사이버 범죄자들의 기회주의적 행태가 심화되면서 코로나19 절정기에 피싱 공격 220% 급증

David Warburton디렉터, F5 Labs | F5

F5 Labs 2020 피싱 및 사기 보고서의 저자인 David Warburton이 이 영상에서 사기범들이 팬데믹에 어떻게 적응하고 있는지 설명하고 향후 동향을 전망합니다. 아래에는 요약 설명이 이어집니다.

F5 Labs의 새로운 연구에 따르면, COVID-19로 인해 사이버 범죄자들의 피싱 및 사기 시도가 계속해서 크게 기승을 부리고 있습니다.

제4차 피싱 및 사기 보고서에 따르면, 전 세계적인 팬데믹이 절정에 달했을 때 피싱 사고가 연평균 대비 220% 증가한 것으로 나타났습니다.

F5 보안 운영 센터(SOC)의 데이터에 따르면 2020년 피싱 사고 건수는 전년 대비 15% 증가할 것으로 예상되지만, 팬데믹이 추가로 확산되면 이러한 전망은 곧 달라질 수 있습니다.

코로나19 관련 피싱 이메일의 세 가지 주요 목적은 가짜 자선단체에 대한 기부금 사기, 자격 증명 탈취, 멀웨어 유포인 것으로 확인되었습니다.

피싱 공격자의 도메인

지난 몇 년간의 연구에 따르면, F5 Labs는 사기범들이 피싱 사이트의 이름과 주소를 정할 때 갈수록 더 창의적인 수법을 쓰고 있다고 지적했습니다.

2020년 현재까지 피싱 사이트의 52%가 웹사이트 주소에 표적으로 삼은 브랜드의 이름과 정체성을 사용했습니다. F5 Labs는 Webroot의 피싱 사이트 데이터를 분석한 결과, 2020년 하반기에 가장 많이 표적이 된 브랜드가 Amazon이라는 사실을 발견했습니다. Paypal, Apple, WhatsApp, Microsoft Office, Netflix, Instagram도 가장 많이 사칭된 상위 10개 브랜드에 포함되었습니다.

자격 증명이 탈취된 시점부터 실제 공격에 사용되기까지 추적한 결과, F5 Labs는 범죄자들이 피해자를 피싱한 후 4시간 이내에 탈취한 비밀번호를 사용하려 한다는 사실을 확인했습니다. 일부 공격은 다단계 인증(MFA) 보안 코드를 가로채기 위해 실시간으로 이루어지기도 했습니다.

눈앞에 숨어들기

2020년에는 피싱 공격자들이 사기성 사이트를 최대한 진짜처럼 보이게 하려는 시도도 강화했습니다. F5 SOC 통계에 따르면 대부분의 피싱 사이트가 암호화를 활용했으며, 무려 72%가 유효한 HTTPS 인증서를 사용해 피해자를 속였습니다. 또한 이 해에는 멀웨어가 탈취한 데이터를 전송하는 목적지인 드롭 존의 100%가 TLS 암호화를 사용했습니다(2019년 89%에서 증가).

2019년과 2020년의 사고를 종합한 결과, F5 Labs는 드롭 존의 55.3%가 비표준 SSL/TLS 포트를 사용했다고 추가로 보고했습니다. 한 건을 제외한 모든 사례에서 446번 포트가 사용되었습니다. 피싱 사이트를 분석한 결과, 98.2%가 표준 포트를 사용한 것으로 나타났습니다. 평문 HTTP 트래픽에는 80번 포트가, 암호화된 SSL/TLS 트래픽에는 443번 포트가 사용되었습니다.

향후 위협

최근 Shape Security의 연구 결과가 피싱 및 사기 보고서에 처음으로 포함되었으며, 이에 따르면 앞으로 두 가지 주요 피싱 동향이 나타날 것으로 전망됩니다.

봇 트래픽(봇넷)에 대한 보안 통제와 솔루션이 개선됨에 따라 공격자들은 클릭 팜을 활용하기 시작했습니다. 클릭 팜에서는 수십 명의 원격 ‘작업자’가 최근에 탈취한 인증 정보를 사용해 표적 웹사이트에 체계적으로 로그인을 시도합니다. 일반 웹 브라우저를 사용하는 사람이 직접 접속하기 때문에 사기 행위를 탐지하기가 더 어렵습니다.

비교적 적은 규모의 공격도 영향을 미칩니다. 예를 들어 Shape Security는 한 금융 서비스 기관에서 발생한 월간 로그인 1,400만 건을 분석한 결과, 수동 사기 비율이 0.4%인 것으로 확인했습니다. 이는 56,000건의 부정 로그인 시도에 해당하며, 이러한 유형의 활동과 관련된 수치는 앞으로 계속 증가할 전망입니다.

Shape Security 연구진은 다단계 인증(MFA) 코드를 가로채 사용할 수 있는 실시간 피싱 프록시(RTPP)의 사용량도 증가했다고 밝혔습니다. RTPP는 중간자 역할을 하며 피해자와 실제 웹사이트 간의 통신을 가로챕니다. 공격이 실시간으로 이루어지기 때문에 악성 웹사이트는 MFA 코드와 같은 시간 기반 인증 정보를 가로채 재사용하는 과정을 자동화할 수 있습니다. 심지어 세션 쿠키를 탈취해 재사용할 수도 있습니다.

최근 실제로 사용되고 있는 실시간 피싱 프록시로는 Modlishka와 Evilginx2가 있습니다. F5 Labs와 Shape Security는 향후 몇 달 동안 RTPP 사용 증가 추세를 모니터링할 예정입니다.

자세한 내용을 알아보려면 F5 Labs 2020 피싱 및 사기 보고서를 다운로드하세요.

보고서 소개

올해 F5 Labs 피싱 및 사기 보고서에서는 F5 보안 운영 센터(SOC)가 5년간 수집한 피싱 사고를 살펴보고, OpenText의 Webroot® BrightCloud® Intelligence Services가 제공한 현재 활동 중이며 피싱 사이트로 확인된 사이트를 심층 분석합니다. 또한 Vigilante의 다크 웹 시장 데이터 분석과 Shape Security의 연구도 포함되어 있습니다. 이러한 자료를 종합해 전 세계 피싱 현황을 완전하고 일관되게 보여줍니다.

작성자 소개

David Warburton디렉터, F5 Labs | F5

David Warburton은 F5 Labs의 디렉터입니다. 그는 20년 넘게 IT 업계에서 일해 왔으며, 풀스택 개발자로 경력을 시작한 뒤 클라우드 아키텍처의 여러 난제를 헤쳐 나갔고, 이후 고요하고 평화로운 사이버 보안의 세계로 자리를 옮겼습니다. 그의 연구는 암호학처럼 고도로 기술적인 분야부터 보안의 보다 현실적인 사회기술적 측면까지 폭넓은 주제를 아우릅니다. Warburton은 Infosec(영국), GovWare(싱가포르), Crikeycon(호주), ITBN(헝가리), Digital Transformation EXPO(영국), 그리고 영국군을 대상으로 전 세계에서 강연해 왔습니다. 또한 BBC World News, Sky News, SABC, The Guardian, Risky Business를 비롯해 TV, 인쇄 매체, 업계 팟캐스트 등 국제 미디어에 수십 차례 출연했습니다. 그는 매년 발간되는 ‘Phishing and Fraud’ 및 ‘TLS Telemetry’ 보고서를 비롯한 F5 Labs 간행물의 저자이며, 최근에는 조직이 애플리케이션 보안 태세를 개선할 수 있도록 지원하는 SSL/TLS/HTTPS 스캐닝 DevOps 도구 ‘Cryptonice’를 공동 개발했습니다. Warburton은 Royal Holloway University of London에서 정보 보안 석사 학위를 받았으며, 그의 석사 논문은 사물 인터넷(IoT)에서의 보안 및 암호학 활용을 주제로 했습니다.

David Warburton의 다른 블로그 게시물