친구가 최근에 어린 시절 가족과 함께 했던 게임에 대한 이야기를 들려주었습니다. 그들은 차를 운전할 때 다른 차에 탄 사람들이 어디에서 왔는지 추측해 보려고 노력했습니다. 그들의 추측은 제한된 정보에 근거한 것이었습니다. 기껏해야 자동차 번호판이나 범퍼 스티커에 적힌 주 이름 정도였습니다.
반면에 오늘날 우리의 개인 정보는 디지털 자산을 통해 매우 쉽게 찾을 수 있으며, 악의적인 행위자들이 피싱이나 스미싱과 같은 사회 공학적 전술을 통해 개인 정보에 접근하기가 더 쉬워졌습니다.
대부분의 범죄와 마찬가지로 사이버범죄는 MOM, 즉 수단(Means), 기회(Opportunity), 동기(Motive)라는 개념에서 시작됩니다. 사이버 범죄자의 심리와 사이버 사기를 저지르도록 하는 요인을 이해하는 것이 중요합니다.
일반적으로, 당신이 제어하는 모든 소비자 대상 애플리케이션과 디지털 계정은 조만간 공격을 받을 것이라고 가정해 보세요. 공격자가 앱 로직을 악용해 사기를 저지르는 데 능숙해지면서, 가장 보호가 잘 된 계정에서도 이런 일이 발생합니다.
사이버 범죄자에게 승리하려면 팀워크가 필요합니다. 이 팀에는 개인 계정 소유자, 기관 애플리케이션 개발자, 사기 대응팀, 보안팀이 포함됩니다. 올바른 접근 방식에는 이러한 애플리케이션을 사용하는 개인과 이를 구축하는 회사의 집단적 노력이 필요하며, 보안 및 사기 방지 팀이 자동화된 애플리케이션 위협에 대한 방어를 수렴하여 상류의 봇 공격을 차단하고 하류의 사기를 방지하는 것부터 시작해야 합니다.
자동화 자체는 좋은 것입니다. 봇은 반복적인 작업을 자동화하고, 기업이 고객과 소통하고 브랜드 선호도를 구축하는 데 도움을 줍니다. 예를 들어, 고객 서비스 챗봇과 상호작용하여 궁금한 사항에 대한 실시간 답변을 받았을 수 있습니다.
그러나 잘못된 사람의 손에 들어가면 봇과 자동화는 계정을 인수하고 사기를 저지르기 위해 신임장 정보를 수집하는 등 악의적인 공격을 수행하는 데 사용될 수 있는 강력한 도구가 됩니다.
일반적으로 자격 증명 채우기 공격은 이전에 도난당한 자격 증명을 활용하여 여러 도메인에서 테스트합니다. 이러한 공격은 사용자 이름과 비밀번호가 여러 애플리케이션에서 일반적으로 재사용된다는 사실을 이용합니다.
실제로 최근 보고서에 따르면 직원들이 평균적으로 비밀번호를 13번이나 재사용하는 것으로 나타났습니다. 게다가 소비자들에게 자신의 계정이 침해됐다는 알림을 받아도 실제로 비밀번호를 변경하는 사람은 약 3분의 1에 불과합니다.
사이버 범죄자들은 이런 약점을 이용해 다음을 포함한 다양한 유형의 사기를 저지릅니다.
신원 기반 자격 증명 공격은 사기를 유발하는 자동화된 웹 공격의 가장 큰 원인입니다. 사이버범죄 포럼에서는 신원 정보를 쉽게 구입할 수 있습니다. 일부 소셜 미디어 플랫폼에서 목록을 찾아 구매할 수 있습니다.
최근 1~2일 이내에 도난당한 자격 증명 등의 최신 자격 증명은 사이버 범죄자에게 더 가치가 있고 구매 비용도 더 많이 듭니다. 오래된 자격증은 성공 가능성이 훨씬 낮기 때문에 가치가 낮습니다. 외부 계정 침해를 통해 귀중한 자격 증명과 개인 식별 정보가 유출되므로, 이러한 공격을 식별하고 차단하는 것이 어렵습니다.
예를 들어보겠습니다. 자격 증명이 도난되거나 획득되면 사이버 범죄자는 봇이나 기타 자동화된 도구를 사용하여 계정을 만들거나 액세스하려고 시도합니다. 수천 번(혹은 수백만 번)의 시도가 이루어질 수 있습니다. 자격 증명 기반 공격의 성공률 은 0.2%-2% 사이입니다 . 이러한 비율이 낮아 보일 수 있지만, 자격 증명 공격에는 높은 성공률이 필요하지 않습니다. 수십억 개의 자격 증명이 무료이거나 아주 적은 비용으로 제공되기 때문입니다.
계정 100만 개를 성공시키고 성공률이 2,000~20,000개라고 상상해보세요. 정말 엄청난 숫자죠!
이러한 범죄적 행위가 일련의 사건으로 이어진다는 것을 이해하는 것이 중요합니다. '산업화된 공격 주기'(아래 그림 참조)는 생태계의 중요한 요소를 보여줍니다. 안타깝게도 이는 규모가 크고 회복성이 강한 생태계이기 때문에 개인과 조직이 자신과 고객, 그리고 비즈니스 파트너를 보호하기 위해 항상 경계하는 것이 필수적입니다.
개인적으로 우리는 잠재적으로 피해를 줄 수 있는 피싱 공격을 식별하고, 매우 강력한 비밀번호를 사용하고, 여러 계정에서 비밀번호 재사용을 제한하는 방법을 배워야 합니다.
동시에 보안 및 사기 대응 팀은 산업화된 공격 라이프사이클을 공동으로 저지하기 위해 함께 협력해야 합니다.
아래 비디오를 시청하고 F5가 기업이 사이버 사기를 방지하는 데 어떻게 도움을 주는지 알아보세요.
사이버보안 인식의 달을 맞아 API에 대해 알아보고, API가 보안 문제가 될 수 있는 이유를 설명하는 4부작 블로그 게시물의 마지막 게시물을 기대하세요. 또한 이전 블로그 게시물도 꼭 읽어보세요. 최신 앱이 어떻게 구축되고 배포되는지 그리고 악의적인 행위자가 공격을 통해 애플리케이션을 악용하는 방법.