지난해 아내가 박사 과정을 시작하면서 학자금 지원을 미끼로 한 피싱 이메일을 잇달아 받기 시작했습니다. 불특정 다수를 대상으로 한 이메일이었지만, 유사한 브랜드 이미지와 비슷한 도메인 이름, 행동을 유도하는 문구를 사용해 전문적으로 보이려 했습니다. 그러나 요청하지 않은 이메일이었고, 즉각적인 행동을 재촉하고 있었습니다. 자세히 살펴보니 피싱 시도였습니다. 아내는 Microsoft Outlook에서 곧바로 "피싱으로 신고"를 누르고 이메일을 삭제했지만, 이 일을 계기로 학자금 지원 사기가 미치는 영향에 대해 생각해 보게 되었습니다.
미국에서는 약 4,300만 명이 약 37,000달러의 학자금 대출 잔액 중간값을 보유하고 있습니다. 미국 국립교육통계센터에 따르면 학생의 약 80%가 재정 지원을 받습니다. 학자금 대출을 보유하고 재정 지원을 받는 인구가 상당한 만큼, 악의적인 행위자들은 이 거대한 시장을 주요 표적으로 삼습니다. 포브스는 학자금 대출 사기 피해액이 50억 달러를 넘어섰다고 보도했습니다(2022년 기준). 사기 피해 수치는 단순히 암울한 통계에 그치지 않습니다. 이는 실제 사람들, 즉 사회에 첫발을 내딛는 시기에 경력 초기의 기반이 흔들리는 최근 졸업생들에게 직접적인 영향을 미칩니다.
대출 서비스 기관과 차입자가 직면하는 위험
학자금 대출 서비스 기관은 일반적으로 학자금 대출 및 재정 지원 사기와 관련된 네 가지 유형의 위험에 직면합니다.
- 신규 계좌 개설 사기
- 계정 탈취
- 신원 도용
- 허위 청구
네 가지 위험은 모두 여러 공통된 결과를 초래하지만, 그중 비즈니스에 가장 큰 영향을 미치는 두 가지는 고객 신뢰와 공격 관련 비용입니다. 차용자가 특정 브랜드와 관련된 무단 계정 활동, 사기 또는 신원 도용 피해를 입으면 차용자와 대출 기관 간의 신뢰가 훼손됩니다. 사고 발생 후 신뢰를 회복하는 일은 매우 어렵고 오랜 시간이 걸립니다. 또한 공격이 성공하면 조직은 복구 과정에서 막대한 비용을 부담하게 됩니다. 이러한 상황은 흔히 악몽과도 같습니다.
범죄자들은 학자금 대출, 대출 통합, 채무 탕감을 미끼로 한 사기로 대출자들을 집중적으로 노립니다. 사이버 범죄자들은 제 아내가 받은 피싱 시도처럼 학생들이 이를 공식 서비스로 착각해 계정 접근을 허용하거나 개인 식별 정보(PII)를 제공할 것으로 보고 이들을 노립니다. 2022년 10월 FBI가 발표한 공지에서 FBI는 사이버 범죄자들이 미국 학자금 대출 채무 탕감 계획의 신청 지원을 사칭해 졸업생들을 노리고 있다고 대출자들에게 경고했습니다.
막막한 일을 터무니없이 쉽게 만들기
2022년, 캐나다의 한 정부 기관은 학자금 지원 및 코로나19 팬데믹 구호와 관련하여 심각한 분산 서비스 거부(DDoS) 공격, 봇 및 사기 문제에 직면했습니다. 이 기관이 이러한 공격을 완화하기 위해 F5에 지원을 요청하자, 당사는 F5 Distributed Cloud Services에 대한 광범위한 개념 증명을 시작했습니다. 이 개념 증명을 통해 해당 기관은 애플리케이션 전반에 걸친 완전한 보안 가시성의 중요성을 확인하고, 사기성 애플리케이션 트래픽을 탐지하는 고급 신호를 살펴볼 수 있었습니다.
개념 증명 과정에서 상당한 규모의 부정 청구 및 계정 활동을 시사하는 데이터 이상 징후를 발견했습니다. 우려스러운 결과를 확인한 즉시 해당 기관의 사이버 범죄 대응팀에 알리고, CISO와 보안 조직 내 주요 책임자들에게 조사 결과를 보고하도록 했습니다. 브리핑 후 CISO는 다음과 같이 이번 조사를 높이 평가하는 이메일을 F5에 보냈습니다:
“귀사가 제시한 방식은 제가 33년간 일하면서 본 것 중 이러한 유형의 데이터를 가장 명확하고 간결하게 전달하는 방식입니다.”
현재 이 정부 기관은 안전하게 보호받으며 공격자보다 항상 몇 단계 앞서 나가고 있습니다. F5 Distributed Cloud Bot Defense를 사용하여 300만 달러가 넘는 부정 청구를 차단했습니다. 이를 통해 향후 사기 문제를 해결하고 예방할 수 있는 강력한 서비스를 빠르고 원활하게 배포할 수 있었습니다. 가장 큰 성과 중 하나는 보안팀과 소비자에 대한 보호가 강화되어 모두가 안심하고 밤을 보낼 수 있게 된 것입니다.
The F5 Distributed Cloud Platform은 단일 포털에서 관리되는 멀티 클라우드, 온프레미스 및 엣지 환경 전반에서 봇과 자동화된 공격으로부터 애플리케이션을 보호합니다. 보안 전문가는 대규모 트래픽 공격에 대한 DDoS 완화 기능을 배포하고, 실시간으로 봇을 차단하며, 강력한 AI 기반 사기 방지 및 인증 인텔리전스를 활용해 계정을 보호하는 동시에 정상적인 재방문 고객의 로그인 불편을 해소할 수 있습니다.
학자금 대출 고객을 보호하는 데 도움이 되는 다음 팁을 공유하세요
재학생과 졸업생은 온라인 계정의 보안을 철저히 관리해야 합니다. 공격자는 흔히 크리덴셜 스터핑과 무차별 대입 공격을 사용하므로, 대출자와 재정 지원 수혜자는 비밀번호와 다단계 인증을 강화하고 연락처 정보를 최신 상태로 유지하여 무단 계정 접근 가능성을 최소화할 수 있습니다.
- 피싱에 속지 마세요: 대부분의 공격은 단순한 피싱 이메일에서 시작됩니다. 대출자들에게 학자금 대출 탕감 제안이나 대학 관계자를 사칭해 FSA ID 및 비밀번호와 같은 정보를 요구하는 사람을 의심하도록 교육하는 것이 중요합니다.
- 비밀번호: 당분간 비밀번호가 사라지지는 않을 것입니다. 따라서 비밀번호를 사용해야 한다면 강력하고 고유한 비밀번호를 사용하고, 정기적으로 변경하며, 비밀번호 관리 프로그램 사용을 고려하세요. Security.org에 따르면, mycollege1과 같은 간단한 비밀번호는 컴퓨터 알고리즘으로 해독하는 데 약 하루가 걸릴 수 있지만, dwf19g-3Y&es-cBE@!s 와 같은 무작위 비밀번호는 평생보다 더 오랜 시간이 걸릴 수 있습니다. 암호화된 비밀번호 관리 프로그램을 사용하면 길고 무작위로 생성된 비밀번호를 기억할 필요가 없습니다. Apple의 iCloud 키체인과 1Password 같은 비밀번호 관리 프로그램은 비밀번호를 제안하고 자동으로 입력해 주어 모두의 일상을 조금 더 편리하게 만들어 줍니다.
- 다단계 인증(MFA): 비밀번호가 유출되어 크리덴셜 스터핑 공격에 사용될 경우, MFA는 매우 중요한 2차 방어 수단이 됩니다. MFA를 사용하면 로그인을 완료할 때 일회용으로 생성된 두 번째 코드를 반드시 입력해야 합니다. Apple(macOS 및 iOS의 iCloud 키체인에 내장)에서 제공하는 앱을 비롯해 여러 다단계 인증 앱을 사용할 수 있으며, Microsoft (Microsoft Authenticator), 1Password 등이 있습니다.
- 연락처 정보: 바쁜 일상을 보내다 보면 어느 곳에 이전 우편 주소, 전화번호, 이메일 주소, 이름이 등록되어 있는지 잊기 쉽습니다. 연락처 정보를 최신 상태로 유지하면 알림을 놓치는 일을 방지하고, 악의적인 행위자가 오래된 정보를 이용해 계정에 무단으로 접근하는 것을 막는 데 도움이 됩니다.
수법을 바꾸는 범죄자보다 빠르게 대응하기
서비스 제공업체와 대출자 간의 사이버 보안에 대한 공동의 노력은 필수입니다. 신뢰를 구축하고 향후 공격 가능성을 최소화하려면 보안을 근간으로 삼아야 합니다. 선제적으로 보안을 구현하여 서로의 디지털 생활을 안전하게 지켜 나갑시다. 대출 기관과 서비스 제공업체를 위해 F5 Distributed Cloud Bot Defense는 범죄자가 방어 체계를 우회하도록 수법을 바꾸는 것을 차단하는 동시에 조직이 봇보다 한발 앞서 나갈 수 있도록 지원하여 장기적인 효과와 고객 불편 제로를 실현합니다. F5 Distributed Cloud Bot Defense가 사기성 계정 생성을 줄이는 방법을 자세히 알아보세요.
작성자 소개
Hunter Smit은 F5에서 솔루션 및 전략 부문 제품 마케팅을 담당하는 시니어 매니저입니다. AI 인프라와 애플리케이션 보안을 비롯한 F5 포트폴리오 전반의 솔루션 마케팅을 이끌고 있으며, F5의 신흥 AI 데이터 전송 시장 진출을 주도하고 있습니다. Hunter는 Whitworth University 경영대학 자문위원회 위원이며, 제품 마케팅 겸임 강사로도 활동했습니다. Whitworth University에서 경영학 석사(MBA)와 경영학 학사 학위를 취득했습니다.
Hunter Smit의 다른 블로그 게시물관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.