비밀번호 대신 로그인 상태를 증명하는 브라우저 쿠키가 사이버 범죄의 핵심 표적으로 떠올랐다. 도난당한 활성 세션 쿠키를 재사용하면 로그인 화면을 거치지 않고 정상 이용자로 위장할 수 있어, 비밀번호를 바꾸는 것만으로는 피해를 막기 어려울 수 있다는 경고가 나온다.

글로벌 보안 기업 노드VPN은 최근 1년간 수집된 과거 인포스틸러(정보 탈취 악성코드) 데이터를 분석한 결과, 전 세계에서 524억 개 이상의 브라우저 쿠키가 도난당한 것으로 확인됐다고 밝혔다.

브라우저 쿠키 유출 규모는 비밀번호와 파일, 결제 카드 기록 등 다른 유형의 도난 데이터를 모두 합친 것보다 4.6배 많았다. 브라우저에 저장된 데이터가 사이버 범죄자들 사이에서 주요 통화처럼 거래되고 있다는 분석이다.

비밀번호 없이 계정 침입하는 ‘세션 하이재킹’

브라우저 쿠키에는 이용자의 로그인 상태와 웹사이트 이용 정보 등이 저장된다. 공격자가 활성화된 세션 쿠키를 탈취해 재사용하면 비밀번호를 입력하거나 로그인 화면을 통과하지 않고도 정상 사용자로 위장할 수 있다.

이를 ‘세션 하이재킹(Session Hijacking)’이라고 한다. 계정 소유자가 비밀번호를 변경하더라도 기존 세션이 그대로 유지된다면 탈취된 쿠키가 계속 악용될 가능성이 있다.

공격자들이 노리는 대상도 은행이나 금융 서비스에만 국한되지 않았다. 분석 데이터에서 구글 관련 도난 기록이 1,178만 개로 가장 많았으며, 페이스북이 810만 개, 마이크로소프트가 785만 개로 뒤를 이었다.

노드VPN의 하이재킹된 세션 알림 데이터에서는 넷플릭스, 트위치, 유튜브, 레딧, 빙, 인스타그램, 디스코드, 로블록스 등도 주요 표적으로 나타났다. 웹서핑과 스트리밍, 게임, 소셜미디어처럼 일상적으로 사용하는 플랫폼 계정도 공격자에게 가치 있는 자산으로 취급되고 있다는 의미다.

한국서 3억76만 개 도난…국민 1인당 5.83개

쿠키 도난은 250개 이상의 국가와 지역에서 관찰됐다. 전체 도난 건수는 인도가 46억8,000만 개로 가장 많았고 브라질 28억3,000만 개, 미국 24억3,000만 개, 인도네시아 21억 개, 필리핀 19억3,000만 개 순이었다.

한국에서는 총 3억76만1,511개의 도난 쿠키가 확인돼 전 세계 29위를 기록했다. 국민 1인당 약 5.83개의 쿠키가 도난당한 규모다.

특히 분석된 감염 로그의 96% 이상이 보안 소프트웨어가 정상적으로 활성화된 기기에서 발생한 것으로 나타났다. 백신과 보안 프로그램을 설치하는 예방 조치만으로는 모든 정보 탈취 공격을 차단하기 어려우며, 침해 징후가 발견됐을 때 신속하게 대응해야 한다는 지적이다.

노드VPN은 쿠키 도난이 의심되면 해당 계정의 모든 세션에서 즉시 로그아웃하고 브라우저 캐시와 쿠키를 삭제할 것을 권고했다. 계정에서 제공하는 세션 관리 기능을 이용해 접속 중인 기기를 확인하고, 알 수 없는 세션을 종료하는 조치도 필요하다.

마리우스 브리에디스(Marijus Briedis) 노드VPN 최고기술책임자(CTO)는 “해커들의 공격 방식이 단순한 비밀번호 탈취에서 자물쇠에 이미 꽂힌 디지털 열쇠인 ‘세션 쿠키’를 빼내는 것으로 근본적으로 변화했다”며 “쿠키 도난 시 해당 계정에서 즉각 로그아웃하고 세션을 새로 고치면 탈취된 쿠키를 무효화해 피해를 크게 제한할 수 있다”고 말했다.

이준문 기자/jun@newstap.co.kr

ⓒ 뉴스탭(https://www.newstap.co.kr) 무단전재 및 재배포금지