해커들이 PC에 직접 또는 원격 데스크톱 프로토콜(RDP)을 통해 접근해 시스템에 침입하는 가장 흔한 수법 중 하나가 바로 무차별 대입 공격(brute force attack)입니다. 이 공격은 관리자 계정의 아이디와 비밀번호를 반복적으로 추측하거나, 이를 자동화한 앱이나 스크립트를 이용해 진행됩니다. 그런데 마이크로소프트가 이 문제에 선제적으로 나섰습니다. Windows 11 22H2 인사이더 빌드에는 이러한 공격을 차단할 수 있는 기능이 기본 옵션으로 탑재된 것입니다(Bleeping Computer 보도).
계정 잠금 정책, 이제 기본으로 활성화
핵심은 로컬 그룹 정책 편집기(Local Group Policy Editor)에 있는 '계정 잠금 기간(Account Lockout Duration)' 설정입니다. 기존 Windows 버전에서는 이 옵션이 기본적으로 꺼져 있었지만, Windows 11 22H2부터는 기본값으로 활성화됩니다. 특히 Windows Insider Preview 빌드 22528.1000 이상에서는 유효하지 않은 로그인 시도가 10회에 달하면 계정이 잠기도록 설정됩니다.
마이크로소프트의 OS 보안 및 엔터프라이즈 부사장인 데이비드 웨스턴(David Weston)은 자신의 트위터를 통해 이 소식을 직접 알렸습니다.
랜섬웨어 대응의 중요한 전환점
마이크로소프트는 실제로 '사람이 개입한 랜섬웨어(human-operated ransomware)' 공격을 다룬 전용 블로그 게시물을 운영하며, 무차별 대입 공격이 어떻게 PC 침입 수단으로 악용되는지 설명해 왔습니다. 이번에 계정 잠금 기간 옵션이 기본적으로 켜지고 로그인 실패 허용 횟수가 10회로 제한되면서, 해커들이 비밀번호를 무작위로 대입해 계정을 탈취하기가 한층 어려워졌습니다.
이는 사이버 보안 분야에서 매우 의미 있는 조치입니다. 미국 연방수사국(FBI)의 통계에 따르면 RDP 유형 공격은 랜섬웨어 공격자들이 가장 즐겨 사용하는 침입 경로로, 전체 침해 사건의 약 80%를 차지하는 것으로 나타났습니다. 따라서 이번 기본 설정 변경은 일반 사용자와 기업 환경 모두의 보안 수준을 크게 끌어올릴 것으로 기대됩니다.