EMEA 피싱 패턴: F5 SOC의 인사이트

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

실제로 낚시(진짜 살아 있는 물고기를 잡는 낚시)를 해 본 사람이라면 타이밍이 중요하다는 사실을 잘 알고 있습니다. 어떤 어종은 아침에 더 활발해 잡힐 가능성이 높고, 다른 어종은 저녁에, 또 다른 어종은 이른 오후에 더 잘 잡힙니다.

유럽, 중동 및 아프리카(EMEA) 전역의 금융 기관을 대상으로 한 피싱 시도에서 F5 SOC가 2015년에 수집한 통계를 바탕으로 이러한 활동을 벌이는 이들의 패턴을 해석해 보면, 디지털 피싱도 다르지 않은 것으로 나타났습니다.

타이밍이 중요하다

EMEA 지역에서 피싱 공격에 당하는 것을 피하고 싶다면 금융 업무를 처리하기에 가장 좋은 요일은 토요일인 것으로 나타났습니다. 2015년에는 전체 공격의 5%만 토요일에 발생했으며, 그다음으로 안전한 요일은 금요일과 일요일로, 두 요일 모두 공격 발생 비율이 12%에 불과했습니다.

월요일에는 다른 어느 요일보다 더 많은 공격(20%)이 발생해 월요일의 악명이 사실로 드러났지만, 나머지 평일도 상황이 크게 낫지는 않습니다. IDC의 연구에 따르면 직장에서 인터넷을 사용하는 시간의 30~40%가 업무와 무관한 활동에 쓰인다는 점을 고려하면, 금융 기관이 주말보다 평일에 평균적으로 더 많은 공격을 받는 것도 놀라운 일은 아닙니다[1].

대부분의 피싱 공격이 업무 시간 중에 발생한다는 데이터는 이를 더욱 뒷받침합니다.

2015년에는 월말보다 월초에 피싱 공격이 발생할 가능성이 200% 더 높았습니다. 피싱 공격은 매월 첫째 주에 정점을 찍은 후 점차 감소했으며, 예상대로 주중에는 활동이 더 많고 주말에는 더 적었습니다.

예상할 수 있듯이 EMEA 지역 전반에서 대부분의 고용주는 월초나 월말에 직원 급여를 지급합니다. F5 SOC 전문가들은 이러한 급여 지급 시기와 EU 전역의 평균 온라인 뱅킹 이용률 46%[2]가 맞물리면서, 직원들이 청구서를 납부하거나 급여가 입금되었는지 확인하기 위해 온라인 뱅킹 시스템에 로그인하는 월초에 공격이 급증하는 것으로 보인다고 설명합니다.

적합한 루어 선택하기

현실 세계에서 낚시할 때 어떤 미끼가 가장 좋은지만큼 의견이 분분한 주제도 없습니다. 색상, 크기, 움직임, 그리고 미끼가 ‘진짜’를 얼마나 흡사하게 모방하는지가 중요한 요소입니다. 결국 물고기가 물기를 바라며 우리가 사용하는 미끼가 진짜라고 믿게 하려는 것입니다. 디지털 세계에서 금융 데이터를 노리는 피싱 공격자들이 사용하는 미끼와 사이트도 마찬가지입니다.

물고기가 미끼를 물도록 유인하려면 많은 노력이 필요하듯, 잠재적인 피싱 피해자를 속이는 데도 상당한 노력이 필요한 것으로 나타났습니다. F5 SOC의 조사에 따르면, 누군가 미끼를 물기까지 사기성 페이지를 평균 9.14회 방문했습니다.

전문가들은 피싱 공격자와 그 수법에 관해 최대한 많은 정보를 얻기 위해 발견된 사기 사이트를 분석하는 데 많은 시간을 할애합니다. 피싱 공격에 사용된 URL을 통해 공격자에 관한 많은 사실을 파악할 수 있는 것으로 나타났습니다. 2015년에는 사기 사이트 10개 중 1개가 www.phishingsite.com 또는 www.phishingsite.com/index.html처럼 별도의 추가 경로 없이 루트 경로에 호스팅된 것으로 확인되었습니다. 이는 해당 서버가 사기 사이트를 호스팅할 목적으로 특별히 준비되었음을 의미합니다. 즉, 피싱 공격을 위해 특별히 구매되었을 가능성이 높습니다. 일반적으로 공격자는 기존 사이트를 해킹해 악성 콘텐츠를 삽입합니다. 따라서 이러한 방식은 웹 애플리케이션 방화벽과 같은 다른 예방 수단으로 사이트 구성을 탐지하기 어렵다는 점에서 우려스럽습니다.

2015년에 이 인기 시스템을 괴롭히는 심각한 취약점이 다수 보고되었다는 점을 고려하면, 사기성 사이트의 15%가 WordPress 폴더에서 호스팅된 것으로 나타난 것은 놀라운 일이 아닙니다. 패치되지 않았거나 해결되지 않은 취약점은 악성 코드와 사기성 사이트를 호스팅할 곳을 찾는 이들에게 쉽게 악용됩니다.

또한 F5 SOC 전문가들은 URL 경로의 20%가 피해자별로 동적으로 생성되어 기존 보안 조치로 차단하기 어려웠다고 지적합니다. 이로 인해 2015년에 사기 사이트를 삭제하거나 폐쇄하는 데 걸린 평균 시간도 늘어났습니다.

다행인 점은 최종 사용자의 자격 증명이 도난당한 경우 사기 사이트를 폐쇄하는 데 걸리는 시간이 더 짧다는 것입니다. 문제는 사이트가 폐쇄되기 전까지 수 시간 동안 많은 사용자가 보호받지 못한 채 잠재적인 위험을 인지하지 못한다는 것입니다.

F5 SOC는 공식 도메인과 이름이 유사한 도메인을 모니터링하여 생성 시점부터 탐지까지 걸리는 시간을 단축할 것을 권장합니다. 많은 가짜 페이지는 반드시 유사한 이름의 도메인에서 호스팅되는 것은 아니지만, 공격에 사용되는 URL에 공식 명칭 문자열을 포함하고 있습니다. 일반적으로 F5 SOC는 인터넷에서 이러한 특정 단어를 검색할 것을 권장합니다. EMEA 지역의 금융 기관을 표적으로 삼는 피싱 공격은 월요일부터 목요일까지 업무 시간에 가장 활발한 경향이 있습니다. 소비자가 자격 증명 도난의 피해자가 되는 것을 방지하려면 신속한 대응이 핵심이므로, 모든 가짜 페이지를 최대한 빨리 분석하고 폐쇄하는 것이 중요합니다.

[1] http://www.staffmonitoring.com/P32/stats.htm

[2] http://www.statista.com/statistics/222286/online-banking-penetration-in-leading-european-countries/

F5 사기 방지에 대한 자세한 내용은 WebSafe 데이터시트 및 MobileSafe 데이터시트에서 확인할 수 있습니다. F5 보안 운영 센터에 대한 자세한 내용은 F5 SOC 데이터시트에서 확인할 수 있습니다.

작성자 소개

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.

Lori Mac Vittie의 다른 블로그 게시물