Chrome 146 DBSC technology blocks 94% of cookie theft attempts, protecting 3.4B users after infostealers harvested 3.9 billion passwords from 4.3 million devices in 2024.

쿠키 탈취 94% 차단, 크롬 146이 39억 비밀번호 도난을 끝냈다

작성자:
💡 Key Takeaways

  • 구글 크롬 146이 TPM 하드웨어 기반 DBSC 기술로 쿠키 탈취 시도 94%를 차단했다 — 윈도우 크롬 설치 기기의 85%가 즉시 보호 대상이다.
  • 2024년 한 해 동안 인포스틸러 멀웨어가 430만 기기에서 39억 개 비밀번호를 도난했고, 2025년 상반기에만 18억 건이 추가 유출됐다.
  • DBSC는 세션 쿠키를 기기의 보안 칩에 암호학적으로 묶어 도난 쿠키를 즉시 무력화한다 — W3C 공개 표준으로 Microsoft와 공동 설계됐다.

39억 개. 2024년 한 해 동안 인포스틸러 멀웨어가 전 세계 430만 대 기기에서 훔쳐간 비밀번호 숫자입니다. 쿠키 탈취는 이제 해킹의 보조 수단이 아니라, 사이버 범죄 경제의 핵심 인프라가 됐습니다.

구글이 2026년 4월 9일 크롬 146에 탑재한 DBSC(Device Bound Session Credentials)는 이 흐름에 정면으로 맞섭니다. 통제된 환경에서 쿠키 탈취 시도의 94%를 차단한 이 기술은 전 세계 34.5억 크롬 사용자의 보안 지형을 바꿀 잠재력을 갖고 있습니다.

크롬 브라우저 쿠키 탈취 방어 개념 일러스트레이션
세션 쿠키를 하드웨어에 묶는 DBSC 기술이 인포스틸러의 공격 경제학을 뒤흔들고 있다 — Generated by OpenAI DALL-E 3

39억 비밀번호 도난 — 인포스틸러 대유행의 현실

인포스틸러 멀웨어는 2024년 430만 대 기기를 감염시켜 39억 개 비밀번호를 탈취했습니다. 2025년 상반기에는 580만 대 기기에서 18억 건의 자격증명이 추가로 유출됐는데, 이는 직전 6개월 대비 800% 폭증한 수치입니다.

여기서 핵심은 도난 경로입니다. 감염된 기기 한 대당 평균 1,861개 쿠키가 수집되며, Verizon DBIR 보고서 기준 전체 침해 사건의 88%가 도난 자격증명을 사용합니다. 비밀번호 자체보다 세션 쿠키가 공격자에게 더 강력한 무기인 셈입니다.

이 시장을 지배하는 3대 인포스틸러는 LummaC2·RedLine·StealC로, 전체 감염의 75% 이상을 차지합니다. MaaS(Malware-as-a-Service, 멀웨어를 서비스형으로 판매하는 모델) 구독료는 월 $250부터 시작해, 기술력 없는 범죄자도 대규모 자격증명 탈취에 나설 수 있는 구조입니다.

핵심: 2024년 39억 비밀번호 도난, 2025년 상반기 18억 건 추가 — 침해 사건 88%가 도난 자격증명 기반이며, 월 $250이면 누구나 인포스틸러를 운영할 수 있습니다.

DBSC란 무엇인가 — 쿠키를 하드웨어에 묶는 기술

DBSC(Device Bound Session Credentials)는 세션 쿠키를 특정 기기의 보안 칩에 암호학적으로 바인딩하는 기술입니다. 윈도우에서는 TPM 2.0(Trusted Platform Module), macOS에서는 Secure Enclave를 활용해 기기 고유의 ECDSA(타원곡선 디지털 서명 알고리즘) 키 페어를 생성합니다.

쉽게 말해 작동 원리는 이렇습니다. 서버가 세션 쿠키를 발급하기 전, 크롬 브라우저가 기기의 개인키를 소유하고 있다는 것을 암호학적으로 증명해야 합니다. 이 개인키는 보안 칩 내부에 저장되어 기기 외부로 반출이 불가능합니다.

키는 30일마다 자동 교체되며, 발급된 세션 쿠키는 수명이 극히 짧습니다. 공격자가 쿠키를 탈취해도 개인키 없이는 갱신이 불가능하므로, 도난 쿠키는 곧 만료되어 쓸모없어집니다.

쉽게 말하면: 기존 세션 쿠키는 복사 가능한 열쇠였다면, DBSC 이후의 쿠키는 기기 안에 용접된 열쇠입니다. 열쇠를 사진 찍어 가도 다른 기기에서는 문이 열리지 않습니다.
디지털 보안 잠금 장치
DBSC는 세션 쿠키를 하드웨어 보안 칩에 물리적으로 묶어 도난 자체를 무의미하게 만든다 — Photo by FlyD on Unsplash

94% 차단율의 비밀 — 테스트 결과와 작동 원리

크롬 146의 DBSC는 통제된 환경에서 쿠키 탈취 시도의 94%를 차단한 것으로 확인됐습니다. 나머지 6%는 보안 칩이 탑재되지 않은 구형 기기에서 발생한 것으로, DBSC가 적용 가능한 하드웨어에서는 사실상 완전 차단에 가까운 성능입니다.

왜 이게 중요하냐면, 기존 보안 체계에서는 쿠키가 한 번 탈취되면 공격자가 피해자의 세션을 완전히 장악할 수 있었기 때문입니다. DBSC 환경에서는 도난 쿠키의 수명이 극히 짧고, 갱신에 기기 개인키 소유 증명이 필수이므로 공격 자체가 경제적으로 비효율적이 됩니다.

구글은 자사 서비스에 DBSC 초기 버전을 1년간 내부 배포한 뒤, 보호 대상 세션에서 “세션 도난의 유의미한 감소”를 확인했다고 밝혔습니다. 이 내부 검증이 크롬 146 정식 탑재의 근거가 됐습니다.

💡 함께 읽으면 좋은 글
$1억 AI 보안 동맹, 27년 숨은 버그를 찾아낸 공개 불가 모델의 두 얼굴

크롬 146 적용 범위 — 윈도우 85%, macOS는 다음 차례

DBSC는 Windows 10 버전 1903 이상과 Windows 11 전체에서 작동하며, 이는 활성 윈도우 크롬 설치 기기의 약 85%에 해당합니다. TPM 2.0 칩 또는 Windows Hello 호환 보안 하드웨어가 탑재된 기기라면 크롬 146 업데이트만으로 즉시 보호됩니다.

크롬은 전 세계 34.5억 사용자를 보유한 시장점유율 64.86%의 지배적 브라우저입니다. 윈도우 크롬의 85%가 즉시 보호 대상이므로, DBSC의 실질적 영향력은 수십억 명 규모입니다.

macOS의 경우 Secure Enclave를 활용한 지원이 후속 크롬 릴리스에 예정되어 있으며, 리눅스 지원도 개발 중입니다. 다시 말해 현 시점에서 DBSC의 즉각적 수혜자는 윈도우 사용자이고, 크로스 플랫폼 확장은 순차적으로 진행됩니다.

사이버 보안 인프라 구조
윈도우 크롬 85% 즉시 적용, macOS와 리눅스 순차 확대 — DBSC가 브라우저 보안의 새 기준선을 설정하고 있다 — Photo by GuerrillaBuzz on Unsplash

핑거프린팅 없는 보안 — DBSC의 프라이버시 설계

보안 강화가 프라이버시 침해로 이어지는 사례는 흔합니다. DBSC는 이 딜레마를 구조적으로 차단했습니다. 각 세션마다 고유한 키를 생성하기 때문에, 동일 기기에서도 서로 다른 세션 간 활동을 연결할 수 없습니다.

포인트는 서버에 전송되는 정보의 범위입니다. DBSC는 세션별 공개키만 서버에 전달하고, 기기 식별자나 증명 데이터는 일절 전송하지 않습니다. 이 설계 덕분에 웹사이트가 DBSC를 핑거프린팅이나 교차 사이트 추적 수단으로 악용하는 것이 원천적으로 불가능합니다.

DBSC는 W3C 웹 애플리케이션 보안 워킹그룹의 공개 표준으로 개발됐으며, Microsoft가 표준 설계에 공동 참여했습니다. 특정 기업의 독점 기술이 아닌 개방형 표준이라는 점은, 크롬 외 브라우저로의 확산 가능성을 열어둡니다.

핵심: DBSC는 보안을 강화하면서도 기기 식별자를 서버에 전송하지 않아 핑거프린팅·추적 악용이 원천 차단됩니다. W3C 공개 표준이므로 타 브라우저 확산도 가능합니다.

웹사이트 대응 — 서버사이드 구현 가이드

DBSC의 보호가 작동하려면 웹사이트 서버에서도 대응이 필요합니다. 구체적으로는 등록(registration)과 갱신(refresh) 전용 엔드포인트를 추가해야 합니다. 프런트엔드 코드 변경은 불필요하며, 브라우저가 암호학 연산과 쿠키 교체를 백그라운드에서 자동 처리합니다.

현재 Node.js, Python Django, ASP.NET Core 프레임워크가 공식 지원됩니다. 엔터프라이즈 보안 도구와의 연동도 확인됐는데, CrowdStrike Falcon과 Microsoft Defender for Endpoint와 호환됩니다.

Okta는 DBSC의 Origin Trial에 직접 참여해 피드백을 제공한 첫 번째 주요 ID 관리 기업입니다. 인증 서비스 기업의 참여는 DBSC가 단순 브라우저 기능을 넘어 엔터프라이즈 인증 인프라로 확장될 신호입니다.

💡 함께 읽으면 좋은 글
$30,000 반도체 가격의 충격, TSMC 4년 연속 인상이 끝장낸 싼 칩의 시대

남은 과제와 전망 — TPM 없는 기기와 표준화의 미래

DBSC의 가장 큰 한계는 하드웨어 의존성입니다. TPM 2.0이나 Secure Enclave가 없는 구형 기기에서는 작동하지 않으며, 구글은 이를 위해 소프트웨어 기반 키 방식을 탐색 중입니다. 하드웨어 보안 칩 미탑재 기기의 비율이 윈도우 크롬에서 15%라는 점은 적지 않은 사각지대입니다.

로드맵에는 페더레이션 ID 지원(cross-origin bindings)과 mTLS·하드웨어 보안키 통합도 포함되어 있습니다. 쿠키 탈취 방어를 넘어 전체 인증 체인을 하드웨어에 묶는 방향입니다.

Kaspersky 보고서에 따르면 인포스틸러 탐지는 전년 대비 59% 증가했습니다. 공격자의 도구는 점점 정교해지고 있지만, DBSC가 크롬 생태계 전반으로 확산되면 도난 쿠키의 경제적 가치 자체가 급락합니다. 윈도우 사용자라면 크롬 146 업데이트 여부를 즉시 확인해야 하고, macOS용 후속 릴리스 일정과 W3C 표준의 타 브라우저 채택 현황이 앞으로 주시해야 할 두 가지 지표입니다.

참고 자료

트렌드를 먼저 읽는 사람들

AI, 테크, 경제의 핵심 인사이트를 한국어와 영어로 동시에 제공합니다.

더 많은 글 보기