유튜브·넥플릭스 비밀번호 몰라도 세션 쿠키로 '해킹'

해커가 비밀번호 대신 '쿠키'를 활용해 해킹을 하는 것으로 나타났다. / 사진 콕스뉴스가 제미나이(AI)로 생성

비밀번호 없이도 계정에 침투하는 해킹 기법이 유튜브, 넷플릭스 등 일상 속 플랫폼을 중심으로 확산되고 있다. 해커들이 브라우저 세션 쿠키를 탈취해 로그인 절차 자체를 우회하는 방식이다.

글로벌 보안 기업 노드VPN은 최근 1년간 수집된 인포스틸러(정보 탈취 악성코드) 데이터를 분석한 결과 전 세계적으로 브라우저 쿠키 524억개 이상이 도난당했다고 11일 밝혔다. 국내에서도 3억76만개 이상의 쿠키가 유출돼 전 세계 29위를 기록했다. 브라우저 쿠키 유출 건수는 비밀번호와 파일, 결제 카드 기록 등 다른 모든 도난 데이터를 합친 것보다 4.6배 많았다.

도난당한 쿠키는 로그인 화면을 우회하는 데 쓰인다. 해커는 활성화된 세션 쿠키를 재사용한다. 정상 사용자로 위장하는 것이다. 이를 '세션 하이재킹'이라고 부른다. 비밀번호를 알아낼 필요조차 없다.

해커의 주요 표적은 은행 로그인 정보가 아니었다. 일상에서 널리 쓰이는 플랫폼이 표적으로 드러났다. 구글이 1178만개의 도난 기록으로 1위를 차지했다. 페이스북(810만개)과 마이크로소프트(785만개)가 뒤를 이었다.

노드VPN의 하이재킹된 세션 알림 데이터도 공개됐다. 넷플릭스, 트위치, 유튜브, 레딧, 빙, 인스타그램, 디스코드, 로블록스 등이 포함됐다. 웹서핑과 스트리밍, 여가 목적의 엔터테인먼트·소셜 플랫폼 계정이 공격자들에게 가치 있는 계정으로 떠오르고 있다는 뜻이다.

국가별 쿠기 도난 수를 분석한 그래프 / 사진 노드VPN

쿠키 도난은 전 세계 250개 이상의 국가 및 지역에서 관찰됐다. 국경 없는 위협이라는 의미다. 총 도난 건수는 인도가 46억8000만개로 가장 많았다. 브라질(28억3000만개), 미국(24억3000만개), 인도네시아(21억개), 필리핀(19억3000만개)이 뒤를 이었다.

한국의 경우 총 3억76만1511개의 쿠키가 확인됐다. 국민 1인당 약 5.83개의 쿠키가 도난당한 셈이다.

분석된 감염 로그의 96% 이상은 보안 소프트웨어가 정상 활성화된 기기에서 발생했다. 기존 방어 조치만으로는 부족하다는 뜻이다. 신속한 대응이 함께 필요하다. 노드VPN은 탈취된 세션이 악용되기 전에 로그아웃하고 브라우저 캐시를 삭제할 것을 권장했다. 세션 모니터링 도구 활용도 함께 권했다.

마리우스 브리에디스 노드VPN 최고기술책임자(CTO)는 "해커들의 공격 방식이 단순한 비밀번호 탈취에서 자물쇠에 이미 꽂힌 디지털 열쇠인 '세션 쿠키'를 빼내는 것으로 근본적으로 변화했다"고 말했다. 그는 "사이버 보안은 예방만큼이나 신속한 대응이 중요하다"며 "쿠키 도난 시 해당 계정에서 즉각 로그아웃하고 세션을 새로 고치면 탈취된 쿠키를 무효화해 피해를 크게 제한할 수 있다"고 말했다.