모바일로 누리는 현대적인 뱅킹
모바일 기기는 디지털 사용자들이 선호하는 수단으로 빠르게 자리 잡고 있으며, 금융 부문에도 영향을 미치고 있습니다. 새로운 세대는 모바일 친화적인 뱅킹 서비스를 필요로 합니다. 미국 연방준비제도의 조사 결과에 따르면 18~29세 연령층의 모바일 뱅킹 이용률은 67%입니다. 모바일 뱅킹을 이용하지 않는 주된 이유는 보안에 대한 우려였습니다. 모바일화는 거스를 수 없는 흐름이므로, 조직은 위협에 적절히 대비하고 이를 완화하기 위해 이러한 위험 요소를 이해해야 합니다. 이 글에서는 모바일 환경에서 가장 주목할 만한 취약점과 실제로 악용된 취약점 몇 가지를 살펴봅니다.
모바일 멀웨어란 무엇인가요?
다른 모든 멀웨어와 마찬가지로 모바일 멀웨어는 스마트폰이나 이와 유사한 기기를 공격하도록 작성된 코드입니다. 모바일 멀웨어의 역사는 적어도 2000년까지 거슬러 올라가며, 당시 최초로 알려진 모바일 멀웨어인 “TIMOFONICA”가 연구원들에 의해 발견되었습니다. 2016년에는 Android 기기의 최대 90%에서 루트 권한을 획득할 수 있는 "Godless"와 같은 멀웨어가 실제로 발견되었습니다.
Kaspersky Lab의 분석 자료를 간단히 살펴보면 모바일 뱅킹 트로이 목마의 수가 증가하고 있음을 알 수 있습니다. 2015년 한 해 동안 약 56,194명의 사용자가 모바일 뱅킹 트로이 목마의 공격을 한 번 이상 받았습니다.
유형: 스파이웨어 및 애드웨어, 트로이 목마 및 바이러스, 피싱 앱 등
현재 실제 환경에서 활동 중인 멀웨어는 스파이웨어/애드웨어, 트로이 목마 및 바이러스, 피싱 앱 또는 봇 프로세스로 분류할 수 있습니다. 이들의 유일한 목적은 중요한 개인 정보를 탈취하여 외부로 유출하는 것입니다.
- 합법적인 앱으로 위장한 스파이웨어와 애드웨어는 사용자 및 기기 정보를 수집하는 것으로 알려져 있으며, 이렇게 수집된 정보는 향후 공격에 악용될 수 있습니다.
- 트로이 목마는 기기를 장악하고 승인 없이 유료 SMS 메시지를 전송합니다. 널리 퍼진 트로이 목마는 사용자 화면을 변조하고 정상적인 애플리케이션으로 위장하여 은행 계정 인증 정보와 별도 채널로 전송되는 일회용 비밀번호 같은 기밀 정보를 탈취할 수 있습니다.
- 피싱 애플리케이션은 악성 또는 리팩터링된 애플리케이션을 이용해 사용자에게 악성 콘텐츠를 전달합니다.
모바일 악성코드가 악용하는 일반적인 취약점과 수법
모바일 기기는 iOS, Android, Windows 등 다양한 플랫폼을 지원합니다. 시장을 주도하는 iOS와 Android를 중심으로 악용되는 주요 취약점을 살펴보겠습니다:
- 루팅 또는 탈옥된 기기: 휴대폰을 루팅하거나 탈옥하면 모바일 운영 체제에 루트 수준으로 접근할 수 있습니다. 이를 통해 사용자는 기기의 기본 동작을 변경할 수 있지만, 이 과정에서 기기의 보안 모델이 무너지므로 애플리케이션에 심각한 위험을 초래합니다. 루팅되거나 탈옥된 기기는 멀웨어와 악성 애플리케이션이 기기를 감염시키고 데이터를 유출하기에 최적의 환경을 제공합니다.
- 중간자 공격: 이 공격 벡터는 디바이스와 서버 간 통신에 제3자가 개입하여 페이로드를 가로채고 변조하는 방식입니다. 모바일 디바이스의 경우 사람들이 호텔, 커피숍 및 기타 공공장소의 무료 Wi-Fi에 연결하는 경향이 있어 공격 위험이 더욱 커집니다.
구형 운영 체제: 이 문제는 iOS 사용자보다 Android 사용자에게 더 큰 영향을 미칩니다. Android 기기는 버전 파편화가 심합니다. 일부 기기는 알려진 취약점이 있는 구형 버전을 여전히 실행하고 있을 수 있어 멀웨어 공격에 취약합니다.SMS 탈취: 최신 적응형 인증 기술은 대역 외 인증을 활용하며, SMS는 가장 흔히 악용되는 취약 지점 중 하나로 보입니다. Android 기기에 영향을 미치는 모바일 멀웨어는 해당 기기로 전송된 일회용 비밀번호를 탈취할 수 있습니다. Android 4.3 이하 버전에서는 멀웨어가 SMS가 받은편지함에 표시되지 않도록 차단할 수 있어 공격이 전혀 드러나지 않았습니다. 이후 Android 버전에서는 멀웨어가 SMS가 받은편지함에 표시되는 것을 막을 수 없으므로, 사용자는 예상치 못한 SMS를 통해 공격을 인지할 수 있습니다.포커스 탈취: 액티비티 하이재킹 또는 모바일 피싱은 예상된 액티비티 대신 악성 액티비티가 실행되는 Android의 취약점을 악용합니다. 사용자는 유사하게 보이는 화면에 속아 멀웨어에 인증 정보를 입력하게 됩니다. 이 공격 벡터는 금융 멀웨어에서 흔히 악용됩니다. 이 공격 벡터는 Android 5 미만 버전에 영향을 미치며, 이후 버전에서는 Google이 이를 완화했습니다.
재패키징된 애플리케이션: 멀웨어 제작자는 정상적인 애플리케이션을 입수한 뒤 악성 페이로드를 포함하도록 재패키징하여 스팸 캠페인에 이용하며, 경우에 따라 대규모 배포를 위해 해당 애플리케이션을 Play 스토어/App Store에 업로드하기도 합니다. Arxan Technologies가 실시한 연구에 따르면 인기 Android 앱의 80%와 iOS 앱의 75%가 해킹된 것으로 나타났습니다:
- 탈옥하지 않은 iOS 기기를 노리는 악성코드: iOS를 감염시키고 비공개 API를 악용할 수 있는 새로운 변종 악성코드(예: YiSpecter)가 발견되었습니다.
- 그 밖에도 수많은 위협이 있습니다...악성코드 제작자들은 모바일 기기를 침해하기 위한 새로운 기법을 끊임없이 고안하고 개발하고 있습니다.
F5의 사기 방지 솔루션이 해답입니다
사기 방지 솔루션은 조직이 최신 모바일 애플리케이션을 보호할 수 있도록 예방 및 탐지 기반의 완화 방안을 제공합니다. 다양한 기법을 사용해 디바이스의 보안 무결성을 평가하며, 이 정보는 애플리케이션에 제공되고 조직의 위험 관리 엔진과 공유되어 위협을 완화하고 해결하는 데 활용됩니다. 이러한 위협을 극복하는 데 도움이 되는 주요 기능은 다음과 같습니다.
- 인증서 위조 탐지: 인증서를 확인하면 중간자 공격을 방지하는 데 도움이 됩니다. 이 기능은 저장된 정보와 대조하여 인증서의 유효성을 확인합니다.
- DNS 스푸핑 탐지: 서버 이름을 확인하고 저장된 정보와 비교하여 중간자 공격을 방어합니다.
- 탈옥/루팅 탐지: 루트 권한을 확인하여 손상된 기기를 탐지합니다.
- 악성코드 탐지: 침해 지표를 확인하고 행위 분석을 수행하여 기기에 설치된 악성코드를 찾아냅니다.
- 패치되지 않은/안전하지 않은 OS 탐지: SDK는 Android/iOS 버전을 확인하여 해당 정보를 애플리케이션에 제공할 수 있습니다.
- 포커스 탈취 감지: 이 기능을 사용하면 악성 애플리케이션이 보호된 애플리케이션의 포커스를 탈취했는지 감지할 수 있습니다. MobileSafe는 애플리케이션이 이 위협에 대응할 수 있도록 브로드캐스트 이벤트를 생성합니다.
- 리패키징 탐지: Android 앱의 경우 솔루션이 서명을 확인하여 앱의 진위 여부를 검증합니다. iOS의 경우 MD5 해시를 계산하고 검증하여 리패키징 여부를 확인합니다.
환경 설정
기존 WebSafe 환경에서 F5 MobileSafe를 활성화하여 솔루션을 설정할 수 있습니다.
모바일 환경에 최적화된 사전 설정을 사용하여 Fraud Protection Solution 프로필을 생성/구성합니다:
- 프로필이 생성되면 사용자가 모바일 URL에 액세스할 때 Alert Server에서 알림을 확인할 수 있습니다.
결론
모바일 기기는 사용자가 온라인 서비스에 편리하고 쉽게 액세스할 수 있도록 지원하여 폭넓게 보급되고 있습니다. 이 분야의 보안에 대한 이해가 부족한 틈을 타 해커들은 새로운 공격 벡터를 최대한 활용하려 하고 있습니다. F5의 사기 방지 솔루션은 조직이 모바일 엔드포인트를 파악할 수 있도록 지원하고 최신 지능형 위협으로부터 보호합니다.
리소스
- F5 사기 방지 솔루션: https://f5.com/products/modules/websafe
- 모바일 중간자 공격: http://www.information-age.com/technology/security/123461071/what-are-mobile-man-middle-attacks-and-how-dangerous-are-they
작성자 소개
Shahnawaz Backer는 F5 Labs의 수석 보안 고문이었습니다. 최신 애플리케이션 개발, 디지털 신원 및 사기 공격 벡터에 깊은 관심을 바탕으로 솔루션에 보안 인텔리전스를 통합하는 데 주력했으며, 자동화된 선제적 방어의 중요성을 확고히 믿었습니다.
Shahnawaz Backer의 다른 블로그 게시물관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.