브라우저 자동 로그인과 세션 쿠키가 다크웹 자격증명 유출 18억 건의 핵심 통로가 된 이유와 AiTM 피싱의 MFA 우회 메커니즘을 분석한다.
보안 점검표에 다 체크했다고 안전한 게 아니다. 방화벽도 켜져 있고 MFA도 붙였고 비밀번호 정책도 세웠는데, 정작 그 계정이 다크웹에서 거래되고 있다면 그 점검표는 무슨 의미가 있을까. 2025년 상반기에만 인포스틸러 악성코드가 훔쳐낸 로그인 정보는 약 18억 건, 피해 기기는 580만 대에 달했다. 브라우저에 저장된 "자동 로그인" 정보와 세션 쿠키가 이 유출의 핵심 통로다.
기업 보안 점수는 대개 정책이 존재하는지를 잰다. MFA를 켰는지, 백신을 설치했는지, 로그를 수집하는지. 하지만 이 지표는 임직원이 브라우저에 저장해 둔 로그인 정보나 세션 쿠키까지는 보지 못한다. 인포스틸러는 정확히 이 사각지대를 노린다. 피싱 메일 하나로 감염되면, 브라우저에 저장된 계정과 쿠키를 통째로 긁어 다크웹 마켓에 올린다.
DeepStrike 집계에 따르면 2024년 한 해에만 악성코드가 훔친 브라우저 쿠키(인증 토큰 포함)는 170억 개를 넘었다. Secureworks는 당시 최대 인포스틸러 로그 판매처였던 Russian Market의 매물 로그 수가 2021년 6월에서 2023년 5월 사이 670% 늘었다고 집계했다. Constella는 2025년 한 해 처리된 인포스틸러 데이터 패키지가 5,170만 건(전년 대비 72% 증가)이라고 밝혔다. 숫자만 보면 "언젠가 당할 수 있다"가 아니라 "이미 누군가는 당했다"에 가깝다.
여기서 오해하기 쉬운 지점이 있다. MFA를 켰으니 비밀번호가 새어나가도 안전하다는 생각이다. 틀렸다. 세션 쿠키 탈취는 비밀번호도 MFA 인증코드도 노리지 않는다. 로그인과 MFA를 모두 통과한 뒤 브라우저에 발급되는 세션 쿠키, 즉 이미 인증된 사용자라는 증명서 자체를 훔친다.
Microsoft가 분석한 AiTM(Adversary-in-the-Middle) 피싱이 대표적이다. 공격자가 진짜 로그인 페이지와 사용자 사이에 프록시를 끼워 넣으면, 사용자는 평소처럼 비밀번호를 입력하고 MFA 인증도 정상적으로 통과한다. 문제는 그다음이다. 인증이 끝나는 순간 발급되는 세션 쿠키를 프록시가 실시간으로 가로챈다. 공격자는 이 쿠키를 자기 브라우저에 심어(리플레이) 로그인 절차 없이 그대로 계정에 들어간다. 2023년 확인된 Storm-1167 캠페인은 이 방식으로 세션을 탈취한 뒤, 장악한 메일함에서 16,000건 넘는 2차 피싱 메일을 보내 비즈니스 이메일 침해(BEC)로 이어갔다.
이 위협이 이론에 머물지 않는다는 걸 보여준 사건이 2024년 Snowflake 침해다. 공격자(UNC5537로 추적)는 새로운 취약점을 쓰지 않았다. 대신 2020년부터 다크웹에 쌓여 있던 인포스틸러 로그에서 Snowflake 고객사 자격증명을 찾아냈다. Cloud Security Alliance는 조건부 접근 제어나 자격증명 순환 같은 기본적인 인증 보안 조치의 부재가 이 침해를 가능케 했다고 지적했다. 결과적으로 고객사 약 165곳이 데이터 노출 가능성을 통보받았고, 피해는 갈취(익스토션) 캠페인으로 번졌다. IBM Cost of a Data Breach 2024에 따르면 이런 방식의 침해는 식별부터 차단까지 평균 292일이 걸린다. 알아채고 막기까지 10개월 가까이 걸린다는 뜻이다.
인포스틸러 로그 하나가 몇 년 뒤에도 유효한 무기가 되는 이유는 단순하다. 계정을 재사용하고, 비밀번호를 오래 바꾸지 않고, 세션을 무기한 유지하는 습관이 그대로이기 때문이다. 공격자는 그 시차를 이용한다.
원문 보도(보안뉴스)는 세 가지를 권고한다. 브라우저에 사내 계정 자동 저장을 금지할 것, 다크웹 유출 여부를 상시 모니터링할 것, 세션을 짧은 주기로 강제 만료시킬 것이다. 국내 기업 다수가 재택·원격근무 환경에서 개인 기기에 사내 서비스 로그인을 저장해 두는 경우가 많다. 위 세 가지 모두 이런 환경에 그대로 적용되는 이야기다. 보안 점검표의 항목 수를 늘리는 것보다, 그 항목이 실제로 다크웹에서 확인되는 위협을 막고 있는지를 되짚는 게 먼저다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.