Courier, 배송 사기를 방지하다

고객사: 5대 택배사

연간 매출이 500억 달러를 넘는 세계 5대 글로벌 특송업체(“서비스 제공업체”)는 고객의 계정 탈취를 방지하고 부정한 계정 생성을 차단하고자 했습니다.

과제 #1: 계정 탈취

이 서비스 제공업체는 웹 및 모바일 애플리케이션의 고객 로그인을 크리덴셜 스터핑 공격으로부터 보호하고자 했습니다. 크리덴셜 스터핑은 범죄자가 제3자로부터 탈취한 인증 정보를 로그인 애플리케이션에서 대량으로 시험해 계정을 탈취하는 공격입니다. 공격자는 탈취한 인증 정보 목록을 대량으로 확보하며, 사용자가 비밀번호를 재사용하기 때문에 일반적으로 해당 목록의 약 0.1%~2%가 표적 사이트에서 유효한 것으로 확인됩니다.

8개월 동안 이 제공업체는 지속적인 자동화 트래픽에 더해 대규모 자동화 트래픽이 급증하는 현상을 세 차례 겪었습니다. 일부 사례에서는 공격 트래픽이 하루에 100,000건이 넘는 POST 요청을 기록했으며, 이는 정상 트래픽보다 50% 급증한 수치였습니다. 또한 이 제공업체는 2017년 가을에 네이티브 모바일 API를 대대적으로 업그레이드했는데, 이 API는 공격자들의 빈번한 표적이 되었습니다.

이러한 공격으로 인해 서비스 제공업체는 고객에게서 도난당한 금액뿐만 아니라 계정에 연결된 신용카드로 이루어진 무단 거래에 따른 지불 거절 수수료까지 배상해야 했기 때문에 막대한 비용을 부담해야 했습니다. 크리덴셜 스터핑 공격 자체도 서비스 제공업체에 상당한 비용을 초래했습니다. 고객들은 배송물이 사라졌거나 계정이 잠겼다는 불만을 헬프 데스크에 쏟아냈습니다. 계정 잠금은 공격자의 과도한 로그인 실패 시도로 인해 발생했습니다.

과제 #2: 부정 계정 생성

이 서비스 제공업체는 사기성 계정 생성을 기반으로 한 두 가지 수법으로도 어려움을 겪었습니다. 첫 번째 수법에서 범죄자들은 부유한 지역의 우편번호에 해당하는 주소를 사용해 가짜 계정을 자동으로 생성하고, 공개된 개인 정보를 이용해 지식 기반 인증 질문에 정확히 답했습니다. 그런 다음 서비스 제공업체의 무료 서비스를 이용해 소포를 추적하고 발송 알림을 받았습니다. 이를 통해 절도범들은 소포의 배송 상황을 추적하고 배송 중인 물품을 가로챌 수 있었으며, 그중 상당수는 재판매할 수 있는 상품이었습니다.

두 번째 수법에서는 공격자들이 가짜 계정을 만든 뒤 도난당한 신용카드를 연결했습니다. 그런 다음 불법 마켓플레이스에서 배송 할인, 소포 전달 등의 서비스를 광고하고, 가짜 계정으로 배송 라벨을 구매했습니다. 신용카드 도난 피해자가 사기 사실을 발견하면 배송업체는 배송비를 환불해야 했으며, 신용카드 발급사에 지불 거절 수수료까지 부담해야 할 수도 있었습니다.

솔루션

이 서비스 제공업체는 처음에 이러한 문제를 해결하기 위해 자체 솔루션을 구축하려고 했습니다. 웹 애플리케이션 방화벽, 로드 밸런서, 분석 도구를 함께 사용해 헬프 데스크 티켓과 고객 불만 사항의 연관성을 분석한 후 비밀번호를 강제로 재설정하는 방식으로 문제를 해결하고자 했습니다. 하지만 이러한 자체 구축 방식으로는 자동화된 공격을 효과적으로 완화할 수 없었고, 사기 행위는 계속되었습니다.

자체적으로 문제를 해결할 수 없었던 이 서비스 제공업체는 F5 Distributed Cloud Bot Defense를 도입하고, 웹과 모바일의 로그인 및 계정 생성 애플리케이션 전반에 이 솔루션을 배포하기로 결정했습니다.

성과

일반적인 Distributed Cloud Bot Defense 배포는 관찰 모드와 완화 모드의 두 단계로 이루어집니다. 관찰 모드에서 F5는 방어 체계를 맞춤화하고 자동화된 트래픽을 식별하기 위해 애플리케이션으로 들어오는 모든 요청을 분석합니다. 완화 모드에서 F5는 자동화의 특성과 공급자의 요구 사항에 따라 프로그래밍 방식으로 조치를 취합니다.

관찰 모드

Distributed Cloud Bot Defense가 관찰 모드로 전환되자 공급자는 로그인 트래픽의 전체적인 특성을 즉시 파악하고 이해할 수 있었습니다. 그림 1과 같이, 이 서비스는 관찰 모드에서 로그인 애플리케이션의 정상적인 사용자 트래픽(녹색)과 원치 않는 자동화 트래픽(빨간색)을 구분했습니다.

Distributed Cloud Bot Defense는 자동화 트래픽의 출처에 대한 인사이트가 포함된 고급 위협 인텔리전스 보고서도 해당 제공업체에 제공했습니다. 예를 들어, 이 서비스는 자동화된 활동의 절반이 무해한 활동이며, 해당 제공업체가 이전에는 이를 인지하지 못했다는 사실을 밝혀냈습니다.

또한 관찰 모드에서 Distributed Cloud Bot Defense는 차트에 1, 2, 3으로 표시된 서로 다른 세 가지 자동화 캠페인을 식별했습니다. 이러한 그룹은 전체 관찰 기간 동안 발생한 자동화 트랜잭션의 거의 절반을 차지했습니다. 공격 그룹이 트래픽을 라우팅할 새로운 프록시를 사용하거나 다른 유형의 브라우저를 모방하는 등 수법을 변경하여 Distributed Cloud Bot Defense를 우회하려 하더라도, 이 서비스는 다른 신호를 기반으로 해당 공격 그룹을 계속 식별할 수 있습니다.

F5는 각 캠페인도 면밀히 분석했습니다. 그림 2는 제공업체에 제공된 캠페인 #2의 상세 보기입니다. 이 캠페인은 25,000개가 넘는 IP 주소에서 시작된 고도로 분산된 크리덴셜 스터핑 공격이었습니다. 3일간 진행된 캠페인 기간 동안 이러한 공격은 전체 트래픽의 50% 이상을 차지했습니다. 또한 공격자가 로그인 절차를 넘어 후속 워크플로까지 진행하려 했다는 점도 이 캠페인의 주목할 만한 특징이었습니다.

완화 모드

약 6개월간의 관찰 기간을 거친 후, 해당 제공업체는 Distributed Cloud Bot Defense를 완화 모드로 전환했습니다. 이 서비스는 즉시 크리덴셜 스터핑 공격을 차단하여 수천 건의 계정 탈취를 방지했습니다. 제공업체는 F5가 소비자 로그인 및 계정 생성 애플리케이션을 보호함으로써 사기 피해액을 연간 최소 350만 달러 절감할 수 있었다고 추산했습니다.

* F5는 수백 개의 독자적인 신호를 통해 동일한 출처에서 발생한 것으로 식별된 자동화 요청 그룹을 캠페인으로 정의합니다.

향후 계획

웹사이트와 모바일 앱에서 소비자 로그인을 성공적으로 보호한 Distributed Cloud Bot Defense의 성과를 바탕으로, 이 제공업체는 기업 고객의 신규 계정 등록뿐만 아니라 기업 로그인, 배송, 결제 및 추적 서비스를 비롯한 기타 비즈니스 애플리케이션까지 보호하도록 배포 범위를 확대하고 있습니다.

또한 이 제공업체는 소비자 로그인 애플리케이션에서 자동화 기능을 사용해 제품을 효율적으로 배송하는 기업 고객의 정상적인(무해한) 자동화 트래픽을 효율적으로 허용하기 위해 F5와 협력하고 있습니다.