Executive Summary

AI가 이제는 기존에 탈취한 계정 정보가 없어도
“가짜지만 정상처럼 보이는 인증정보(Credential)를 대량으로 생성”해
로그인 시스템을 무력화시키는 공격이 등장했다.

이 공격은 ‘Credential Stuffing’과 완전히 다른 차원의 공격이다.

• 실제 유출 계정이 필요 없음

• 인증 체계 자체를 AI가 역공학

• MFA 토큰 패턴까지 예측

• 정상 사용자와 구분 불가능

• 방어 측이 탐지할 근거가 거의 없음

즉, 인증(InAuth)이라는 보안의 핵심 기반을 직접 붕괴시키는 공격 모델이다.

2025년 기준으로 금융권·전자상거래·클라우드 기업에서
가장 경계하는 AI 기반 인증 공격으로 평가된다.

---

1. LSCF 공격이 기존 인증 공격과 무엇이 다른가

기존 공격: Credential Stuffing

• 실제 유출된 계정을 사용

• 무식한 대량 로그인

• 탐지 쉬움

LSCF: AI 기반 Credential Fabrication

• 실제 존재하지 않는 계정을 '정상처럼 보이게' 생성

• 인증 서버의 응답 힌트를 학습해
  “성공 확률 높은 인증 토큰 조합”을 예측

• 로그인 실패 패턴도 학습에 사용

• MFA를 우회하도록 "시간 동기형 토큰 패턴"까지 예측

즉,
실제 존재하지 않는 계정조차 성공적으로 로그인되는 현상이 발생한다.

이게 무슨 말이냐?

예를 들어:

• 해당 이메일은 실제 가입자가 아님

• 해당 계정은 DB에 없음
  그런데 AI가 예측한 Credential 조합이
  인증 서버의 허점을 정확히 찌르며 인증을 통과하는 것.

이건 전통 보안 모델에서는 상상도 못하던 케이스다.

---

2. LSCF 공격 프로세스 (5단계)

Step 1. Authentication Flow Inference

AI가 다음 데이터를 기반으로 인증 로직을 역공학한다:

• 로그인 실패 응답 패턴

• HTTP 헤더 처리 방식

• OAuth 오류 코드

• MFA 요청 타이밍

• Rate Limiting 결정 기준

이걸 통해 인증 서버의 “암묵적 규칙”을 파악한다.

---

Step 2. Credential Probability Modeling

AI는 다음 요소를 결합해
“성공 확률이 가장 높은 Credential 조합”을 생성한다:

• 비밀번호 패턴

• 사용자명 생성 알고리즘

• 이메일 포맷

• 솔트 길이 추정

• 해싱 구조 예측

• MFA 토큰 시계(detector) 예측

이건 기존 공격자들이 상상도 못 하던 방식이다.

---

Step 3. Adaptive MFA Token Generation

MFA 토큰 중 TOTP 계열은
30초 간격으로 숫자가 변경되는데,

AI는:

• 서버 응답 지연

• OTP 요청 타이밍

• Clock Drift

• 허용 오차 범위

이런 요소들을 모두 학습해
“가능성 있는 MFA 숫자 후보군”을 다 생성한다.

그중 하나가 허점을 뚫는 순간 인증이 통과된다.

---

Step 4. Implicit Trust Exploitation

많은 서비스는 아래 같은 이유로 경계가 낮은 로그인 흐름을 가지고 있다:

• 비활성 계정 구조

• 소셜 로그인 연동 처리

• API 전용 계정 정책

• 오래된 OAuth 처리 모듈

AI는 이 취약점을 정확히 찌른다.

---

Step 5. Large-Scale Credential Spray

성공 확률이 높은 Credential만 골라
극도로 적은 요청량으로 공격한다.

로그인 시도 횟수가 매우 적기 때문에
보안팀은 이상 징후를 거의 감지하지 못한다.

---

3. 실제 사례 (2024~2025)

사례 A — 글로벌 커머스 플랫폼

AI가 존재하지 않는 고객 계정을
“정상 가입자”처럼 로그인 성공시킴.
결제 정보 조회까지 가능해졌고
전 세계적으로 큰 충격을 줌.

사례 B — 금융 앱 MFA 우회

OTP 토큰을 정확히 예측한 AI가
실제 계정 없이 “존재하는 사용자처럼” 로그인에 성공.

사례 C — SaaS 서비스의 OAuth 로직 침해

OAuth 오류 메시지 패턴을 학습해
Token Exchange 단계에서 존재하지 않는 계정이
Access Token을 획득하는 사고 발생.

---

4. 방어가 어려운 이유

• 유출 계정을 쓰지 않기 때문에 탐지 근거가 없음

• 로그인 시도 횟수가 극도로 적음

• 비정상 Credential임에도 정상처럼 보임

• 서버의 응답 패턴을 학습해 스스로 최적화를 반복

• MFA조차 완전 방어 수단이 아님

• 인증 서버 자체의 논리적 허점을 공격하는 구조

즉,
기존의 모든 인증 방어 구조가 무너질 수 있음.

---

5. 대응 전략 (전문가용)

1) Non-Deterministic Authentication Response

로그인 실패 시 응답 패턴을 완전히 난수화.

2) Intent-Based Authentication Framework

사용자가 “인간인지 vs AI인지”를 구분하는 계층 추가.

3) Entropy-Based Credential Validation

Credential 자체의 복잡도·구조적 패턴을 기반으로 검증.

4) MFA Time Drift Obfuscation

OTP 요청 타이밍을 서버 측에서 임의 변조해
AI 예측 모델 무력화.

5) Authentication Graph Integrity

인증 흐름의 단계별 트래픽 구조를 그래프로 분석해
“인증 우회형 공격”을 탐지하는 방식.

---

결론

LSCF는 AI가 인증 체계를 근본적으로 무너뜨리는 신종 공격이다.
기존 공격들과 달리 실제 계정이 필요 없고,
서버의 인증 로직 자체를 역공학해 우회한다.

이 공격은:

• 인증 기반 보안모델의 파괴

• MFA 무력화 가능

• 로그인 탐지 체계 붕괴

• 실존하지 않는 사용자 로그인 허용

• 대규모 크리덴셜 유출보다 더 위험

앞으로 인증 보안 패러다임은
단순한 Credential 검증을 넘어
“의도 기반 인증(Intention Authentication)”으로 진화해야 한다.

사이버헬퍼는 이를 기반으로
차세대 AI 기반 인증 보호 솔루션을 연구·구축할 예정이다.