API 토큰 재사용 우회, 거의 탈출 직전

지난 주 우리 팀은 고객사 X의 API 게이트웨이에 새로운 트래픽 급증 알림을 받았다.
처음엔 단순 DDoS라 생각했지만, 로그를 파고들자 비정상적인 토큰 재사용 패턴을 발견했다.
문제는 인증 단계에서 토큰 검증 로직이 시간 기반 일회성 토큰(TOTP) 검증을 생략하고, 캐시된 토큰을 재사용하도록 설계돼 있었다는 점이다.
나는 즉시 캐시 TTL을 0으로 강제하고, 토큰 검증을 강제 삽입했다.
하지만 그때 놓친 게 있었다. 공격자는 이미 리프레시 토큰을 탈취해, 새 토큰을 발급받아 재사용하고 있었던 것이다.
결국 우리는 로그에 남은 “refresh_token_used” 이벤트를 필터링하지 못해, 탐지를 놓쳤다.
해결책은 두 가지. 첫째, 리프레시 토큰 사용을 별도 이벤트로 기록하고, 비정상적인 연속 사용을 실시간 알림으로 연결한다.
둘째, 토큰 재사용 방지를 위해 Nonce를 도입하고, 동일 토큰이 재사용될 경우 즉시 무효화한다.
적용 후 48시간 만에 동일 시도는 0건으로 떨어졌다.
이 경험이 남긴 교훈은, ‘인증 로직은 눈에 보이는 부분만 검사하면 안 된다’는 것이다.
로그 설계 단계부터 모든 인증 흐름을 완전 추적하도록 해야 한다.
그때 놓친 작은 로그 한 줄이 결국 전체 방어를 무너뜨릴 뻔했으니.