핵심 요약. 유출 경위가 확인된 409건(2026년 9월 14일 수집분) 가운데 계정 도용·대입 공격은 12건이고, 그 가운데 과징금이 부과된 것은 3건입니다. 결정문에서 갈리는 지점은 차단 정책을 두었는지가 아니라 그 임계치가 평상시 트래픽에 비추어 합리적인지였습니다. 조사가 시작되기 전에 회사가 먼저 확인할 것은 평상시 로그인 시도량의 기록, 보유 장비의 차단 기능이 실제로 켜져 있는지, 임계치가 그 기록을 근거로 정해졌는지의 순서입니다. 이현섭 변호사(법무법인 세움) 집계.

남의 서비스에서 새어 나온 아이디와 비밀번호를 우리 로그인 페이지에 그대로 넣어 보는 공격이 있습니다. 회사 시스템에 취약점이 없어도 성립하기 때문에, 사고가 난 뒤 회사가 가장 먼저 하는 말은 대체로 같습니다. 우리가 뚫린 것이 아니라 이용자의 비밀번호가 다른 곳에서 샌 것이라는 설명입니다. 그 설명이 조사에서 어디까지 받아들여지는지를 결정문이 말해 줍니다.

몇 건이었고 무엇을 세었나

저희가 정리한 위원회 제재 결정문 가운데 유출 경위가 확인된 것은 409건이고(2026년 9월 14일 수집분), 그중 계정 도용·대입 공격으로 분류된 사건은 12건입니다. 과징금이 부과된 것은 3건이고 나머지는 과태료나 비금전 처분으로 끝났습니다. 유출 경위별 전체 분포는 유출 사고 경위·유출 항목 집계에서 볼 수 있습니다.

건수보다 중요한 것은 결정문이 무엇을 적었는지입니다. 임계치를 정면으로 판단한 의결이 아래 네 건이고, 숫자가 그대로 남아 있습니다.

의결회사가 두었던 설정위원회가 적은 것
제2023-017-216호특정 IP의 API 호출 1초 1,000건 이상이면 15분 차단법원이 초당 29건 이하도 악의적 행위로 판단한 점에 비추어 합리적이지 않다
제2024-002-008호침입방지시스템에 1초 이내 32회 차단 기능 보유탐지 정책만 운영하고 즉시 차단하지 않았다
제2024-011-187호로그인 실패 시 계정 잠금 등 보안정책 적용동일 IP의 대량 반복 로그인에 대한 탐지·차단 정책 관리를 소홀히 했다
제2023-012-151호사고 전까지 동일 IP 대량 시도 탐지·차단 정책 미운영보안장비가 대량의 로그인 시도를 탐지·차단하지 못했다

차단 정책을 갖춰 두면 이행한 것이 되나

갖춰 두는 것으로는 부족하다고 보는 편이 실제 판단에 가깝습니다. 제2024-002-008호의 피심인은 1초 이내 32회 로그인 시도를 탐지할 뿐 아니라 차단할 수 있는 장비를 이미 보유하고 있었는데, 차단 기능을 켜지 않고 탐지 정책만 운영한 것이 위반으로 인정됐습니다. 그 사건에서 공격자는 45,110,745회를 시도해 564,134회 로그인에 성공했고, 1분당 로그인 시도가 최대 9,997회까지 올라갔습니다.

임계치의 수준을 직접 판단한 것은 제2023-017-216호입니다. 피심인은 특정 IP의 API 호출이 1초에 1,000건 이상일 때 차단하도록 설정해 두었는데, 위원회는 법원 판결문이 초당 29건 이하의 반복 로그인도 악의적 행위로 판단하고 정상 로그인 분석을 통해 그에 맞는 탐지룰을 설정할 수 있다고 판시한 점을 들어 그 설정이 합리적이지 않다고 보았습니다. 같은 피심인은 사고 이후 1분에 15건 이상이면 해당 IP를 완전히 차단하는 쪽으로 정책을 바꾸었습니다.

두 사건을 나란히 놓으면 판단의 축이 드러납니다. 위원회가 보는 것은 정책 문서의 존재가 아니라, 그 임계치가 평상시 트래픽을 근거로 정해졌는지 여부입니다.

그래서 무엇을 먼저 준비하나

첫째로 평상시 로그인 시도량의 기록을 남겨 두는 편이 좋겠습니다. 제2024-011-187호에서 위원회는 공격이 없던 기간의 일평균 로그인 시도가 6,690건인데 공격 기간에는 일평균 7,310,304건으로 늘었다고 적었습니다. 평상시 값이 기록돼 있지 않으면 임계치가 왜 그 수준인지를 회사가 설명할 방법이 없고, 조사에서 임계치의 합리성을 다툴 근거도 만들어지지 않습니다.

둘째로 보유한 장비의 차단 기능이 실제로 켜져 있는지를 확인하는 순서가 옵니다. 제2024-002-008호가 보여 주는 것은 기능의 부재가 아니라 설정의 부재였습니다. 셋째로 임계치를 평상시 기록에 맞추어 다시 정합니다. 같은 사건의 개선권고는 임계치 분석·조정을 포함한 시스템 보안 정책 전반의 정비를 요구했습니다.

로그인 실패 시 계정을 잠그는 정책은 이 순서를 대신하지 못합니다. 제2024-011-187호에서 계정 잠금은 부당성을 낮게 보는 참작 사정으로 나열됐지만, 동일 IP의 대량 반복 로그인을 탐지·차단하지 못한 행위 자체는 위반으로 인정됐습니다. 사안에 따라 결론이 달라질 수 있으므로 개별 검토가 필요합니다.

이 집계가 말하지 않는 것

분모인 409건은 결정문에 유출 경위가 적힌 사건만 센 것이고, 경위 절이 없는 의결과 결정문이 공개되지 않은 의결은 빠져 있습니다. 위 표의 네 건은 임계치를 정면으로 판단한 의결이지 계정 도용·대입 공격 사건의 전부가 아닙니다. 피심인을 비실명으로 처리한 결정문이 있어 회사 이름을 적지 않은 자리가 있고, 금액은 주문에 적힌 부과액이라 이후 불복 절차에서 달라진 결과는 반영돼 있지 않습니다. 임계치가 낮았다는 사실과 과징금이 부과됐다는 사실이 함께 적혀 있다고 해서 둘 사이에 인과가 확인된 것은 아닙니다.

자주 묻는 질문

Q. 크리덴셜 스터핑을 막았다고 인정받으려면 차단 정책이 있으면 되나요, 임계치가 맞아야 하나요?

결정문은 정책의 존재가 아니라 임계치의 수준을 따집니다. 어느 사안에서 위원회는 특정 IP의 API 호출이 1초에 1,000건 이상이라야 탐지·차단되도록 해 둔 설정을 두고, 법원이 초당 29건 이하의 반복 로그인도 악의적 행위로 판단한 점에 비추어 합리적이지 않다고 보았습니다(제2023-017-216호). 다른 사안에서는 침입방지시스템이 1초 이내 32회 로그인 시도를 차단할 수 있는 기능을 갖추고 있었는데도 탐지 정책만 운영한 점이 위반으로 인정됐습니다(제2024-002-008호). 장비를 갖추고 정책을 만들어 둔 것만으로는 이행으로 평가되지 않습니다.

Q. 우리 회사의 임계치가 합리적인지는 무엇을 기준으로 판단하나요?

결정문이 반복해서 대는 기준은 평상시 트래픽입니다. 어느 사안에서 위원회는 공격이 없던 기간의 일평균 로그인 시도가 6,690건인데 공격 기간에는 일평균 7,310,304건으로 늘었고 동일 IP에서 초당 최대 372회가 시도됐다는 사실을 적었습니다(제2024-011-187호). 평상시 값을 모르면 임계치가 높은지 낮은지를 회사도 설명할 수 없으므로, 로그인 시도량의 기록을 남겨 두는 것이 임계치 조정의 전제가 됩니다.

Q. 로그인 실패 시 계정을 잠그는 정책을 두고 있으면 참작되나요?

참작 사유로 적힌 예가 있습니다. 다만 그 사안에서도 접근통제 조치를 소홀히 한 행위 자체는 인정됐고, 계정 잠금은 부당성 정도를 낮게 보는 사정으로 함께 나열됐을 뿐입니다(제2024-011-187호). 로그인 실패를 제한하는 것과 동일 IP의 대량 시도를 탐지·차단하는 것은 다른 조치로 다루어집니다.

참고 자료