불과 몇 년 사이에 오픈 뱅킹, 즉 개방형 API를 활용해 제3자가 은행, 보험사 및 기타 금융기관의 상품과 서비스를 기반으로 새로운 상품과 서비스를 개발할 수 있도록 하는 방식이 금융 서비스 환경을 변화시켰습니다.
기존 금융 서비스 상품을 활용해 대출, 결제, 보험 등의 분야에서 새로운 서비스를 구축할 수 있게 되면서 소비자는 거래를 완료하고, 재무 생활을 관리하며, 개인 데이터를 통제하기가 훨씬 더 쉬워졌습니다. 동시에 개방형 API 프로토콜은 금융 서비스 전반의 혁신을 촉진하고 금융 기관에 상당한 수익원을 창출하고 있습니다. 또한 API 보안, 상호 운용성 및 성능에 관한 표준을 명문화한 FDX API 5.0의 새 버전 출시와 더불어 유럽 연합에서 예정된 PSD2 강력한 고객 인증(SCA) 시행 기한이 다가옴에 따라 더 많은 혁신과 새로운 수익 기회가 창출될 것이 확실합니다.
하지만 보상이 있는 곳에는 언제나 위험이 따릅니다. 개방형 API는 본질적으로 내부 데이터와 고객 데이터를 제3자에게 노출하므로, 악의적인 행위자가 해당 데이터에 접근할 위험이 커집니다. 특히 Mint와 Plaid처럼 소비자가 최신 금융 서비스를 이용할 수 있도록 지원하는 계좌 통합 서비스와 관련해 우려가 큽니다. 악의적인 행위자가 이러한 통합 서비스를 이용해 은행, 보험사 및 기타 금융 기관을 공격하고 사기를 저지르는 방법을 계속해서 알아보세요.
위험의 가속화: 정보 통합 서비스와 제3자 결제 서비스 제공업체가 크리덴셜 스터핑과 계정 탈취를 가능하게 하는 방식
금융 계좌 통합 서비스는 소비자가 한 화면에서 자신의 금융 현황을 한눈에 파악할 수 있게 해 실질적인 가치를 제공합니다. 또한 거래 과정의 불편을 줄이고 새로운 수익원을 창출함으로써 금융 기관에도 이점을 제공합니다. 이 때문에 많은 금융 기관은 통합 서비스와 연동할 때 보안 절차를 완화합니다. 그러나 통합 서비스는 수억 개 계좌의 데이터를 저장할 수 있어 악의적인 공격자에게 매력적인 표적이 됩니다. 특히 규모가 작은 통합 서비스 업체는 업력이 더 오래된 경쟁사에 비해 자금과 보안 역량이 부족할 수 있어 더욱 취약합니다.
한편, 악의적 행위자가 이용할 수 있는 도난 계정 데이터가 증가하면서 봇넷과 도난당한 인증 정보를 이용해 계정 접근을 시도하는 자동화된 크리덴셜 스터핑 공격이 확산되고 있습니다. 이러한 공격은 금융 기관에 심각한 문제로 대두되어 대규모 데이터 유출과 막대한 금전적 손실을 초래하고 있으며, 급기야 FBI가 최근 크리덴셜 스터핑의 위협과 관련해 미국 금융 부문에 공식 경고를 발령하기에 이르렀습니다.
크리덴셜 스터핑 증가로 인한 가장 우려스러운 결과는 계정 탈취(ATO)의 증가입니다. 공격자는 접근 권한을 얻은 계정을 장악한 뒤 해당 계정의 자금을 부정하게 빼냅니다. Javelin Strategy and Research의 2021년 신원 사기 연구에 따르면, 2020년 ATO 사기로 인한 총손실액은 60억 달러를 넘었습니다.
또한 이 설문조사에서는 크리덴셜 스터핑 공격의 평균 비용을 산출했는데, 놀랍게도 월간 활성 사용자로부터 창출되는 매출의 6배를 넘을 수 있는 것으로 나타났습니다.
위험은 여기서 끝나지 않으며, 안타깝게도 일부 사람들이 생각하는 것보다 더 심각합니다. 악의적 공격자들은 애그리게이터 트래픽이 차단될 가능성이 낮다는 점을 알고 있어, 이를 금융 기관에 침투하기 위한 백도어로 즐겨 이용합니다. 예를 들어 2019년, 금융 서비스 대기업인 NCR Corp.는 일부 애그리게이터에서 대규모 자동화 계정 탈취 시도가 발생한 사실을 발견한 후, 이들의 디지털 뱅킹 플랫폼 접근을 일시적으로 차단해야 했습니다.
금융 기관은 애그리게이터에 API를 개방함으로써 트래픽 급증을 유발하거나 이에 일조하여 시스템 성능 위험도 높입니다. 이는 부분적으로 애그리게이터가 오픈 뱅킹 API를 가장 많이 사용하는 주체 중 하나로서 일반적인 은행 트래픽의 20%를 발생시키기 때문입니다. FBI에 따르면 또 다른 요인은 크리덴셜 스터핑 공격이 금융 기관의 인증 시스템에 막대한 부담을 주어 해당 기관이 서비스 거부 공격을 받고 있다고 판단하게 만들 수 있다는 것입니다.
결론적으로 오픈 뱅킹은 금융 기관을 중대하고 광범위한 위험에 노출시킵니다. 이에 F5는 금융 기관이 오픈 뱅킹 API를 관리하고 보호할 수 있도록 전략적으로 지원하고 있습니다.
금융 기관이 오픈 뱅킹을 안전하게 도입하도록 지원
F5는 이미 API 관리, 고성능 API 게이트웨이, 고급 보안 제어 기능을 올인원 솔루션으로 제공하여 도구의 난립을 줄이고 아키텍처의 복잡성을 최소화하는 데 앞장서고 있습니다.
F5는 금융 기관 계정에 대한 로그인 시도를 실시간으로 모니터링하여 금융 기관이 실제 사용자, 봇 및 자동화된 시도, 수동(사람이 직접 수행하는) 사기 시도를 구분할 수 있도록 지원합니다. 미국 상위 15개 상업 은행이 모두 F5 솔루션을 사용하는 이유 중 하나가 바로 이것이라고 생각합니다. 이제 F5는 솔루션 제품군을 확장하고 오픈 뱅킹을 더욱 포괄적으로 지원하기 위해 혁신을 이어가고 있습니다.
향후 몇 달 동안 F5는 애그리게이터에서 유입되는 트래픽을 더욱 효과적으로 관리하고 API 공격을 방어하는 방법을 비롯해 오픈 뱅킹과 관련된 다양한 주제를 중점적으로 다룰 예정입니다.
그 한 가지 예가 바로 당사의 Aggregator Management 제품입니다. 이 제품은 오픈 뱅킹 커뮤니티의 F5 고객에게 API 트래픽에 대한 향상된 가시성, 크리덴셜 스터핑 자동 탐지, 비정상 트래픽 탐지, 애그리게이터의 콘텐츠 액세스 권한을 제한하는 기능을 제공합니다. 금융 기관은 이를 통해 애그리게이터를 더욱 세밀하게 제어하고, 소비자 계정을 사기로부터 더 효과적으로 보호하며, 앱 가용성을 높이는 동시에 위험을 줄일 수 있습니다.
계속 지켜봐 주세요! 그동안 오픈 뱅킹의 위험과 이에 대처하는 방법에 대해 자세히 알아보세요:
- 오픈 뱅킹에 대해 자세히 알아보려면 웨비나 오픈 뱅킹의 동향, 과제 및 기회를 시청하세요.
- 당사의 애그리게이터 관리 솔루션을 살펴보세요.
- 오픈 뱅킹 봇 공격을 방어하기 위한 청사진을 살펴보세요.
- 당사의 위협 평가를 통해 현재 API 보안이 얼마나 효과적인지 확인해 보세요.
- F5가 조직이 사용자에게 불편을 주지 않으면서 ATO 공격을 방지하도록 어떻게 지원하는지 알아보세요.
- Shape 기술이 북미 10대 은행 중 한 곳의 크리덴셜 스터핑 공격을 차단하는 데 어떻게 기여했는지 알아보세요.
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.