2023년 사기 방지를 위한 5가지 팁

Angel Grant

디지털화가 가속화되는 세상에서 사기 수법은 끊임없이 변화하고 진화하고 있으며, 소비자와 전자상거래 판매업체, 금융 서비스 기관을 겨냥한 위협은 그 수뿐만 아니라 정교함도 증가하고 있습니다. 2023년 전 세계 전자상거래 사기로 인한 총비용은 480억 달러를 넘어설 것으로 전망됩니다. 이는 2022년의 410억 달러를 조금 웃도는 수준에서 증가한 수치입니다. 사기 비용이 증가한 데에는 여러 가지 이유가 있습니다. 팬데믹으로 인한 온라인 결제 및 쇼핑의 급증, 웹에서 사용자 정보를 빼내는 악성코드와 봇의 만연, 인간의 취약점을 노리는 사회공학적 사기 등이 그 원인입니다.

디지털 시대 이전에는 사기를 저지르려면 치밀한 계획과 은밀한 행동이 필요했지만, 오늘날에는 개인과 기업을 속이는 데 필요한 도구를 온라인에서 손쉽게 구할 수 있어 진입 장벽이 낮아졌습니다. 가상 마켓플레이스와 디지털 지갑이 확산되고 모든 분야에서 자동화가 계속되면서 범죄자들의 표적은 갈수록 늘어날 뿐만 아니라, 기업에 침투하고 개인 계정을 공격하는 데 활용할 수 있는 정교한 도구와 기술도 갖추게 되었습니다.

2023년 사기 방지를 위한 5가지 팁을 살펴보고, 올해 사이버 범죄자들이 전자상거래 및 금융 서비스 기업을 노리는 데 사용할 최신 위협과 공격 수법에 선제적으로 대비하세요.

1. 고객 경험을 저해하지 않으면서 사기에 더욱 효과적으로 대응할 수 있도록 여러 보안 전략을 조율하고 통합하세요.
   
   판매업체와 금융 서비스 기관은 조직 전반의 보안, 고객 ID 및 액세스 관리(CIAM), 사기 탐지, 인증 팀 간에 협업을 강화해야 합니다. 범죄자는 사일로화된 팀 운영과 CAPTCHA 및 다단계 인증(MFA) 기술에 지나치게 의존한 보안 전략으로 인해 발생한 취약점을 손쉽게 악용할 수 있습니다. 이러한 메커니즘은 로그인 시도에 따른 위험 수준을 고려하지 않은 채 사용자 경험을 지속적으로 방해하는 경우가 많습니다.
   
   투명하고 지속적인 위험 기반 인증 접근 방식은 판매업체와 금융 서비스 기업이 더욱 원활하게 협업할 수 있도록 지원하며, 조직 내 여러 팀에 걸쳐 민첩하고 안정적이며 불필요한 알림이 적은 사기 탐지 전략을 사용자 경험에 부정적인 영향을 주지 않고 구현할 수 있게 합니다.
   
   
2. 기존의 옴니터치포인트 사기 방지 전략을 확장하여 전체 고객 여정에 대한 종합적인 가시성과 인사이트를 확보하세요.
   
   이 전략은 흔히 간과되는 다음 세 가지 핵심 영역에 중점을 두어야 합니다.
   
   
   • 초기 채널 접점부터 시작: 고객이 채널에 접속하거나 계정을 생성하는 순간부터 고객의 활동에 주목하세요. 이를 통해 클라이언트 측 공격에 대한 가시성을 높일 수 있습니다. 디지털 스키밍이나 폼재킹과 같은 공격은 신규 계정 개설 과정에서 로그인 정보와 카드 정보를 탈취하는 데 흔히 사용되며, 결국 계정 탈취와 사기로 이어집니다.
     
     
   • 타사 API 통합 검토: 판매업체와 금융 서비스 기업은 웹 및 모바일 앱뿐만 아니라 보안 전략에 API 보호도 포함해야 합니다. API 역시 웹 앱을 노리는 공격, 즉 데이터 유출과 사기로 이어지는 취약점 악용 및 오용의 대상이 되며, 타사 통합 및 에코시스템으로 인해 예기치 않은 위험이 발생할 수 있습니다.
     
     
   • 비대면 카드 결제(CNP) 거래의 사기 가능성 검토: 근거리 기반 결제, 온라인 구매 후 매장 수령(BOPIS), 선구매 후결제(BNPL) 등의 새로운 서비스를 제공하는 판매자는 이러한 거래에 수반되는 위험을 파악하고 사기 방지 전략에 반영해야 합니다. 여기에는 사기 행위 패턴에 대한 인사이트를 확보하고 이를 모든 채널에서 공유하는 것이 포함됩니다.
     
3. 경기 침체기에 새롭게 대두되는 프렌들리 사기 문제에 주의하십시오.
   
   경기 침체기에 판매자가 증가할 것으로 예상해야 하는 새로운 유형의 프렌들리 사기는 ‘가짜 프렌들리 사기’입니다. 이는 범죄자가 실제 고객처럼 보이도록 합성 신원을 만든 뒤, 구매한 상품의 대금을 지불할 의도 없이 거래하는 수법입니다. 가짜 프렌들리 사기범은 도용한 신원 정보를 손쉽게 재활용하고 새로운 합성 신원을 만들어 신규 계정을 개설함으로써 차단 목록에 의한 차단을 피할 수 있기 때문에, 사기 방지 체계를 교묘히 악용하고 우회할 수 있습니다. 이러한 프렌들리 사기에는 BNPL 프로그램 악용, 로열티 포인트 및 환불 사기, 버스트아웃 사기 등이 포함될 수 있습니다.
   
   머신 러닝으로 강화된 행동 생체 인식 패턴의 인사이트를 활용하여 보안팀과 사기 방지팀 모두가 탈취된 계정을 파악할 수 있도록 함으로써, 합성 신원을 이용한 신규 계정 등록을 방지하십시오.
   
   
4. 디지털 결제에 관한 새로운 규정인 EU 결제 서비스 지침 3(PSD3)에 대비하세요.
   
   2018년 결제 서비스 지침이 처음 시행된 이후 판매자와 은행이 직면한 위협, 결제 및 규제 환경은 크게 달라졌습니다. PSD3의 강화된 규정에 대비하려면 판매자와 은행은 최근 도입한 새로운 서비스, 채널 및 결제 옵션을 점검해야 합니다. 예를 들어, 현재 디지털 지갑과 암호화폐 결제를 지원하고 있습니까? 형식이 서로 다른 타사 제공업체의 신규 API를 시스템과 웹 자산에 얼마나 많이 통합했습니까?
   
   판매자와 금융 서비스 기관은 기존 API 및 인증 전략과 관련해 규정 준수 위험에만 초점을 맞추는 사고방식에서 벗어나야 합니다. 현대적인 API 환경이 초래하는 보안 및 사기 위험 전반을 선제적으로 예측하고 관리해야 합니다.
   
   
5. 섀도 API 및 JavaScript 공급망 공격과 곧 시행될 결제 카드 산업 데이터 보안 표준(PCI DSS) 4.0
   
   조직이 서드 파티 생태계를 확장하고 사이트의 스크립트 수가 증가함에 따라 디지털 스키밍, 폼재킹, Magecart 공격과 같은 클라이언트 측 공격으로 이어질 수 있는 새로운 잠재적 취약 지점이 생깁니다. 디지털 스키밍 공격은 범죄자가 하나 이상의 악성 스크립트를 삽입하거나 정상적인 페이지 또는 애플리케이션의 기존 스크립트를 조작하여 소프트웨어 공급망 기반의 중간자 브라우저 공격을 일으킬 때 발생합니다. 이러한 스크립트는 서드 파티에 의해 자주 업데이트되며, 조직이 보안 검토를 수행할 절차가 없는 경우가 많기 때문에 공격을 탐지하기 어렵습니다.
   
   또한 새로운 PCI DSS 4.0 요구 사항은 결제 처리용 iFrame, 챗봇, 광고, 소셜 공유 버튼, 추적 스크립트 등의 기능을 제공하기 위해 전자상거래 웹사이트에 통합되는 브라우저 기반 서드 파티 JavaScript 라이브러리를 모니터링하고 관리해야 할 필요성에 중점을 둡니다. 새로운 PCI DSS 4.0 요구 사항 준수가 2025년까지 의무화되지는 않지만, 현재 클라이언트 측 공격이 갈수록 빈번해지고 있으므로 강화된 보호 조치를 최대한 빨리 마련해야 합니다.
   
   조직은 웹 애플리케이션에서 실행되는 JavaScript 라이브러리에 대한 가시성을 확보해야 할 뿐만 아니라, GDPR 및 CCPA와 같은 데이터 개인정보 보호 규정을 위반하지 않고 새로운 PCI DSS 4.0 요구 사항 6.4.3 및 11.6.1을 준수하기 위해 스크립트가 어떤 데이터를 수집하는지도 파악해야 합니다.
   
   대부분의 조직에는 스크립트 관리를 위한 중앙 집중식 통제 및 거버넌스가 없습니다. 사이트의 서드 파티 스크립트에 취약점이 있어도 이를 인지하지 못하면 패치할 수 없습니다. 범죄자들은 많은 조직이 현재 웹사이트에 삽입된 스크립트의 방대한 양과 범위, 규모를 관리하고 추적하며 보호하는 데 어려움을 겪고 있다는 사실을 알고 있으며, 이러한 스크립트를 악용해 이익을 취하는 방법도 알고 있습니다.

Aite 보고서 조직화된 사이버 범죄에 맞서 온라인 사기를 방지하는 방법을 읽고 사기 방지를 위한 새로운 전략을 더 자세히 살펴보세요. 또한 웹사이트에서 F5 온라인 사기 방지 솔루션에 대해 자세히 알아보세요.

작성자 소개

Angel Grant

Angel Grant의 다른 블로그 게시물