해킹 방식 VS 방어 방법
1.바이낸스 64억 달러 탈취 해부: EIP-7702 위임과 서명 시스템 장악, 세탁 경로, 그리고 서버·클라이언트 방어법
2026년 10월 29일 바이낸스에서 약 64억 달러가 빠져나갔고, FBI는 10월 31일 북한 TraderTraitor 소행으로 확인했습니다. 개발자 노트북에서 서명 시스템, EIP-7702 위임 50건, 세탁 경로까지 공격 체인을 단계별로 풀고, 서버와 클라이언트에
2.두 번 해석되는 요청: 파서 차이, 요청 밀반입, SMTP 밀반입을 서버에서 막는 법
같은 요청을 두 프로그램이 다르게 읽으면 검사는 통과하고 실제 동작은 다른 곳을 향합니다. URL 파서 차이, 프록시와 백엔드 사이의 HTTP 요청 밀반입, 메일 서버 사이의 SMTP 밀반입을 원리부터 풀고, 코드·설정·아키텍처 세 수준에서 막는 방법을 정리합니다.
3.남의 계정 페이지가 캐시에 남는다: 캐시 속임과 캐시 오염 막기
로그인한 사용자의 계정 페이지가 CDN에 공개 파일처럼 저장되면, 주소만 아는 다른 사람이 그 페이지를 받아 갑니다. 캐시 속임과 캐시 오염이 생기는 원리를 캐시 키와 Cache-Control부터 풀고, 오리진·라우터·CDN 설정에서 막는 방법을 코드와 함께 정리합니다
4.경계 밖의 이름이 문을 연다: DNS 리바인딩과 서브도메인 탈취
외부 웹사이트 하나가 개발자 PC의 로컬 AI 서버에 요청을 보내고, 지운 지 오래된 캠페인 도메인이 대기업 이름으로 메일을 보냅니다. DNS 리바인딩과 서브도메인 탈취의 원리, Ollama·MCP SDK·SubdoMailing·Sitting Ducks 사례, Host
5.쿠폰 한 장으로 열 번 할인: 경쟁 조건과 웹훅 멱등성을 DB로 막기
같은 요청이 동시에 여러 개 오거나 같은 이벤트가 두 번 오면, 한 번만 일어나야 할 할인·차감·결제가 여러 번 일어납니다. AWS us-east-1 장애, GitLab CVE-2022-4037, PortSwigger의 single-packet attack, NatWe
6.봇과 청구서가 공격이 될 때: 자동화 위협과 비용 고갈 막기
카드 테스팅, 티켓 사재기, 가입 쿠폰 남용은 요청 하나하나가 모두 정상입니다. LLM 토큰, SMS 발송, 서버리스 호출은 서비스를 멈추지 않고 청구서를 불립니다. OWASP Top 10에 이름이 없는 두 공격을 원리부터 풀고, 흐름 단위 한도와 사용자별 예산으로 서
7.로그인 말고 복구로 들어온다: 재설정 오염, MFA 피로, SMS 의존, 타이밍 공격
로그인 폼과 비밀번호 저장을 잘 만들어도 계정을 여는 흐름은 더 있습니다. 재설정 메일 링크, 예/아니오 푸시 승인, SMS 인증번호, 그리고 응답 시간입니다. GitLab CVSS 10 취약점, Uber·Cisco 침해, KT 무단 소액결제를 따라 네 개의 뒷문이 열
8.연동 앱이 뚫리면 내 데이터는: OAuth 토큰 탈취와 토큰 바인딩
OAuth 토큰은 인증이 끝난 결과물이라 탈취되면 MFA가 다시 걸리지 않습니다. GitHub 2022, Microsoft Midnight Blizzard 2024, Salesloft Drift 2025 사례로 토큰이 새는 세 경로를 보고, 최소 스코프·짧은 수명과 회
9.정규식 하나, 재시도 하나가 서비스를 멈춘다: ReDoS, HTTP/2 공격, 재시도 폭주
Cloudflare는 2019년 정규식 하나로 27분 동안 전 세계 트래픽을 처리하지 못했고, AWS는 2025년 재시도 작업이 쌓여 혼잡 붕괴에 빠졌습니다. ReDoS와 압축 폭탄, HTTP/2 Rapid Reset·MadeYouReset·CONTINUATION 플러
10.해킹 방식 VS 방어 방법 전체 목록
OWASP Top 10을 다 막아도 뚫리는 곳, 그리고 Top 10 안에서도 자주 놓치는 기본기. 두 번 해석되는 요청, 동시에 두 번 오는 요청, 북한의 64억 달러 탈취부터 접근 제어·입력·키·로그·백업·사고 대응까지 서버 코드와 아키텍처로 막는 법을 20편으로 정
11.남의 것이 보인다: 남의 번호 조회, 대량 할당, SSRF를 서버에서 막기
주문 번호 하나를 바꾸면 남의 주문이 보이고, 닉네임 수정 요청으로 회원 등급이 바뀌고, 이미지 주소 하나로 서버가 내부망에 요청을 보냅니다. 세 가지 접근 제어 빈틈을 개념과 짧은 Spring Boot 코드로 정리합니다.
12.입력이 명령이 될 때: SQL 바인딩, 정렬 허용 목록, 저장형 XSS, 파일 업로드
MOVEit의 SQL 인젝션 하나로 2,773개 조직이 피해를 입었습니다. 쿼리 값 바인딩, 정렬 칼럼 허용 목록, 저장형 XSS의 출력 인코딩과 CSP, 파일 내용으로 형식 확인하기까지 입력이 명령으로 바뀌는 네 자리를 짧은 Spring Boot 코드로 정리합니다.
13.비밀번호가 맞아도: 비밀번호 저장, 크리덴셜 스터핑, 토큰 수명
GS샵 회원 계정에는 약 8개월 동안 대량 로그인이 이어졌고, 그 로그인은 비밀번호가 맞는 로그인이었습니다. 느린 해시와 유출 비밀번호 거부, 계정·IP 축 시도 제한, 짧은 토큰과 회전·폐기를 짧은 Spring Boot 코드로 정리합니다.
14.교체할 수 있는 키: 서명키 회전과 봉투 암호화
2016년에 만든 서명키가 2023년에도 쓰였고, 유심 인증키는 평문으로 저장돼 있었습니다. 토큰에 키 번호(kid)를 넣어 서명키를 멈추지 않고 바꾸는 법, 데이터 키와 마스터 키로 나누는 봉투 암호화, 개인정보 칸을 검색하면서도 암호화하는 법을 Spring Boot
15.코드 밖에 둘 것: 시크릿 저장소, 열린 저장소, 오류 응답과 보안 헤더
코드에 남은 접속키 하나, 비밀번호 없이 열린 저장소 하나가 대규모 유출로 이어졌습니다. 시크릿 저장소와 기본값 기동 거부, 저장소 망 분리와 인증, 스택 추적을 숨기는 공통 오류 응답, 보안 헤더와 CORS 허용 목록을 Spring Boot 설정과 코드로 정리합니다.
16.확인한 것만 배포한다: SBOM, CI 고정, 이미지 서명, 역직렬화
8년 빠져 있던 패치와 버전 태그로 받은 보안 스캐너가 사고의 입구가 됐습니다. SBOM과 악용 중 취약점(KEV) 대조, CI 도구의 커밋 해시 고정과 단기 자격증명, 이미지 서명 확인 배포, 안전한 역직렬화를 Spring Boot 예시로 정리합니다.
17.7개월을 줄이는 기록: 감사 로그, 대량 조회 탐지, 마스킹, 지울 수 없는 로그
쿠팡에서는 대량 조회가 약 7개월 이어졌고, 캐피타에서는 경보가 울린 뒤 격리까지 58시간이 걸렸습니다. 누가 몇 건을 봤는지 남기는 감사 로그, 건수에 거는 경보와 대응 기한, 로그 속 개인정보 가리기, 지울 수 없는 로그를 Spring Boot 예시로 정리합니다.
18.오류가 나면 문이 열린다: 실패하면 막는 예외 처리
인증 서버가 잠깐 멈췄을 때 요청이 막히는지 통과하는지는 catch 블록 한 곳이 정합니다. 실패하면 통과시키는 코드(fail-open)를 찾는 법, 실패하면 막는 기본값, 예외를 삼키지 않는 규칙, 타임아웃을 직접 정하는 법을 Spring Boot 예시로 정리합니다.
19.운영 권한은 필요할 때만: 공용 계정과 상시 권한 없애기
DMM Bitcoin에서는 직원 한 명의 세션으로 거래가 변조됐고, 캐피타에서는 백업 관리자 계정이 도메인 관리자 권한을 갖고 있었습니다. 공용 계정을 개인 계정으로 바꾸고, 운영 권한은 재인증과 사유를 거쳐 정해진 시간만 주고, 모든 접근을 기록하는 방법을 Sprin
20.백업이 같이 잠기지 않게: 불변 백업과 복구 훈련
운영 서버와 백업이 같은 계정에 묶이면 계정 하나로 둘 다 잃습니다. 백업 전용 계정과 객체 잠금, 복구 시간을 재는 훈련, 일부 기능만 멈추는 축소 운영을 Spring Boot 예시로 정리합니다.
21.사고가 났을 때 첫 한 시간: 대응 런북과 신고
감염 서버를 찾고도 신고하지 않으면 피해와 제재가 함께 커집니다. 첫 한 시간의 격리·증거 보존·연락 순서, 토큰 일괄 폐기와 로그 삭제 멈춤 같은 작은 대응 도구, 사례로 본 신고·통지를 정리합니다. 법률 자문이 아닙니다.