해커, 비밀번호 대신 '쿠키' 노린다…전 세계 524억개 탈취

(etnews.com)

전자신문 IT2026년 8월 11일스타트업

최근 해커들이 비밀번호 대신 활성 세션 쿠키를 탈취해 계정을 가로채는 '세션 하이재킹' 공격을 통해 전 세계적으로 524억 개의 브라우저 쿠키가 유출되며 보안 패러다임의 심각한 위협이 확인되었습니다.

이 글의 핵심 포인트

1최근 1년간 전 세계에서 524억 개 이상의 브라우저 쿠키가 도난됨
2쿠키 유출 건수가 비밀번호 및 결제 정보 유출보다 4.6배 많음
3넷플릭스, 유튜브, 인스타그램 등 주요 플랫폼 계정이 공격 대상에 포함됨
4감염 로그의 96% 이상이 보안 소프트웨어가 활성화된 기기에서 발생함
5한국은 약 3억 76만 개의 도난 쿠키가 확인되어 세계 29위를 기록함

이 글에 대한 공공지능 분석

왜 중요한가?

기존의 비밀번호 중심 보안 체계가 무력화되고 있으며, 특히 보안 소프트웨어가 활성화된 기기에서도 96% 이상의 높은 감염률을 보였다는 점은 기존 방어 방식의 한계를 드러냅니다.

어떤 배경과 맥락이 있나?

해커들이 복잡한 비밀번호 해킹 대신, 이미 로그인된 상태를 유지하는 '세션 쿠키'라는 더 쉽고 효율적인 경로를 찾아내면서 인포스틸러(정보 탈취 악성코드)를 이용한 공격이 급증하고 있습니다.

업계에 어떤 영향을 주나?

SaaS 및 플랫폼 기업들은 단순 ID/PW 인증을 넘어, 세션 만료 정책 강화나 기기 지문(Device Fingerprinting) 기반의 추가 검증 등 보안 아키텍처 재설계를 필수적으로 고려해야 합니다.

한국 시장에 어떤 시사점이 있나?

한국은 세계 29위 규모의 쿠키 도난 피해를 기록하며 글로벌 공격 네트워크의 주요 타겟이 되고 있으므로, 국내 서비스 운영자들은 사용자 세션 관리 보안을 최우선 순위에 두어야 합니다.

이 글에 대한 큐레이터 의견

이번 사태는 '비밀번호 없는 로그인(Passwordless)' 트렌드가 단순한 편의성을 넘어 생존을 위한 필수적인 보안 전략이 되어야 함을 시사합니다. 스타트업 창업자들은 사용자 경험(UX)을 해치지 않으면서도 세션 탈취를 방어할 수 있는 적응형 인증(Adaptive Authentication) 도입을 진지하게 고민해야 합니다.

단, 강력한 세션 검증이나 빈번한 재인증 요구는 사용자 이탈을 초래하는 '보안과 편의성의 트레이드오프' 문제를 야기할 수 있습니다. 따라서 무조건적인 차단보다는 접속 환경(IP, 기기 정보 등)의 급격한 변화를 감지했을 때만 추가 인증을 요구하는 정교한 리스크 기반 접근 방식이 필요합니다. 개발자들은 쿠키 의존도를 낮추고, 보안 토큰의 유효 기간과 범위를 최소화하는 설계를 초기 단계부터 반영해야 합니다.

원문 보기 →