신원 위협의 실체를 수치로 확인하다: 인증 요청 5건 중 1건은 악성
F5 Labs 연구에 따르면 인증 요청의 19.4%는 크리덴셜 스터핑 공격으로 인해 발생했을 가능성이 높습니다;
완화 조치를 통해 공격 발생률은 3분의 2 이상 감소하지만, 이후 공격은 더욱 정교해진다;
도난당한 자격 증명의 75%는 출처를 알 수 없습니다.
시애틀 – 새로운 F5 Labs 연구에 따르면, 인증 요청의 5분의 1이 악성 자동화 시스템에서 발생하는 등 디지털 신원이 사이버 보안의 격전지로 떠올랐습니다.
The 2023년 ID 위협 보고서: 패치 불가능한 위협에서는 2022년 3월부터 2023년 4월까지 159개 조직의 시스템에서 발생한 3,200억 건의 데이터 트랜잭션을 분석했습니다.
완화 조치가 적용되지 않았을 때 자동화 비율(크리덴셜 스터핑을 나타내는 강력한 지표)은 평균 19.4%였습니다. 악성 트래픽을 선제적으로 완화하자 이 비율은 3분의 2 이상 감소한 6%로 낮아졌습니다.
크리덴셜 스터핑 공격은 악의적인 공격자가 한 시스템에서 탈취한 사용자 이름과 비밀번호를 이용해 다른 시스템에 침입하는 방식입니다. 이러한 공격의 핵심에는 자동화 도구가 있으며, 이를 통해 공격자는 공격 시도 횟수를 극대화할 수 있습니다.
F5 Labs의 위협 연구 에반젤리스트인 샌더 빈버그는 “디지털 ID는 오랫동안 공격자들의 주요 표적이었으며, 비인간 ID가 확산됨에 따라 위협도 커지고 있습니다”라고 말했습니다. “이번 연구는 디지털 ID가 어느 정도로 공격받고 있는지, 그리고 효과적인 완화 조치가 얼마나 중요한지를 보여줍니다. 특히 보호 조치가 마련되면 악성 자동화 사용이 즉시 더 낮은 수준으로 감소하고, 공격자들은 더 쉬운 표적을 찾아 공격을 포기하는 경향을 보이는 일관된 패턴을 확인했습니다.”
완화 조치 적용 전후
이 연구의 핵심 부분에서는 크리덴셜 스터핑 공격에 대한 완화 조치의 영향을 살펴보았습니다. 이러한 조치는 공격자의 행동을 변화시키고 악성 자동화 도구의 사용을 감소시키는 경향이 있었습니다.
F5 Labs의 조사에 따르면 완화 조치가 없을 때는 웹 엔드포인트보다 모바일 엔드포인트를 대상으로 한 공격이 더 빈번했습니다. 완화 조치가 도입된 후에는 모바일 공격이 더 큰 폭으로 감소했으며, 이후 발생한 공격 중 더 많은 공격이 웹 엔드포인트를 통해 이루어졌습니다.
완화 조치는 공격의 정교함에도 영향을 미쳤습니다.
보호되지 않은 인증 엔드포인트를 대상으로 한 악성 트래픽 중 64.5%는 사람의 행동을 모방하거나 봇 방어를 무력화하려는 시도가 없는 ‘기본’ 공격으로 분류되었습니다. 완화 조치를 적용한 후 이러한 공격의 비중은 44%로 크게 감소했습니다.
반면, 봇 방지 솔루션을 우회하기 위해 어느 정도 조작을 시도하는 ‘중급’ 공격은 완화 조치 도입 후 12%에서 27%로 증가했습니다. 마우스 움직임, 키 입력, 화면 크기 등 실제 사용자의 브라우징 행동을 매우 유사하게 모방할 수 있는 도구를 사용하는 고급 공격도 20%에서 23%로 늘었습니다.
“분석 결과, 보호 조치가 적용되면 많은 공격자가 단순히 다른 대상으로 옮겨가는 것으로 나타났습니다.”라고 빈버그는 말했다. “완화 조치가 적용된 시스템을 계속 노리는 공격자는 분명 의지가 더 강하고 수법도 더 정교합니다. 이들은 인간의 행동을 매우 유사하게 모방할 수 있는 도구를 활용하거나 자신의 활동을 숨기기 위해 더 많은 노력을 기울입니다.
“예를 들어, 516,000건의 요청에서 513,000건의 고유한 사용자 상호작용을 모방하면서 식별 가능한 특징을 재사용한 경우는 1% 미만에 불과한 공격 사례를 관찰했습니다. 가장 정교한 공격의 경우에는 악의적인 행동을 식별하고 새로운 시그니처를 생성하기 위해 수동으로 관찰해야 할 때도 있습니다.”
방어 측의 과제는 더욱 커지고 있습니다
F5 Labs는 유출된 자격 증명의 공급망도 조사했습니다. 우려스럽게도 방어 측에서 확보한 가시성은 생각했던 것보다 훨씬 낮은 것으로 보입니다. 공격 중 제출된 자격 증명 중 무려 75%는 이전까지 유출된 것으로 알려지지 않았습니다.
또한 방어자는 완화 조치를 무력화하도록 설계된 ID 위협에 대응해야 합니다. 예를 들어 조직은 인증 요청의 성공률이 비정상적으로 낮은지 확인하여 크리덴셜 스터핑 공격을 모니터링할 수 있습니다. 연구에 따르면 공격자들은 이에 대응해 ‘카나리아’ 계정을 활용했습니다. 이러한 계정에 지속적으로 액세스하여 전체 성공률을 인위적으로 높이는 방식입니다. 한 사례에서는 크리덴셜 스터핑 캠페인이 이러한 목적으로 같은 주에 동일한 카나리아 계정에 3,700만 번 로그인했습니다.
F5 Labs 분석의 또 다른 핵심 중점 영역인 피싱 공격에서도 대응책을 무력화하려는 시도가 더욱 거세지고 있다는 명확한 증거가 다시 한번 확인되었습니다. 특히 다단계 인증 사용이 증가하면서 공격자가 사용자의 자격 증명 입력을 유도하는 가짜 로그인 페이지를 만드는 리버스 프록시 피싱이 확산되고 있습니다.
또한 공격자들은 AntiRed와 같은 탐지 회피 기능을 점점 더 많이 활용하고 있습니다. 이는 Google Safe Browsing과 같은 브라우저 기반 피싱 분석을 우회하도록 설계된 JavaScript 도구입니다. Google Safe Browsing은 잠재적으로 안전하지 않은 사이트가 감지되면 사용자에게 빨간색 경고 메시지를 표시합니다.
다가오는 새로운 위협
지속적으로 진화하는 환경 속에서 F5 Labs는 새로운 세대의 위협이 등장하고 있다는 점도 확인했습니다.
대표적인 사례로, 2022년 8월 다크웹에서 인공지능을 활용해 음성 피싱 전화를 자동화하는 시스템을 홍보하는 광고가 발견되었습니다. AI 기술이 점점 정교해지고 비용은 낮아짐에 따라, 이러한 수법은 시간이 지날수록 더욱 보편화되고 효과도 높아질 것으로 보입니다.
빈버그는 “앞으로 ID 공급자는 크리덴셜 스터핑과 같은 악의적인 자동화 공격을 완화하기 위해 안티봇 솔루션을 도입해야 합니다. 간단한 안티봇 솔루션만으로도 정교하지 않은 크리덴셜 스터핑 공격의 대부분을 막을 수 있습니다”라고 덧붙였습니다.
“조직은 WebAuthn 또는 FIDO2 프로토콜 기반 솔루션과 같은 암호화 기반 MFA 솔루션을 사용해 방어 체계를 더욱 강화할 수 있습니다. 궁극적으로 신원 기반 공격에 대응할 수 있는 만능 해결책은 없습니다. 방어자는 공격을 모니터링하고 탐지하며, 탐지 오류율을 정량화한 뒤 그에 맞게 대응 방식을 조정해야 합니다. 이러한 공격과 끊임없이 변화하는 공격 양상을 더 깊이 연구할수록, 사용자가 접근을 위해 자신의 신원을 증명해야 하는 모든 시스템에 내재된 취약성의 위험을 더욱 효과적으로 관리할 수 있습니다.”
F5 소개
F5는 더 나은 디지털 세상을 실현하기 위해 노력하는 멀티 클라우드 애플리케이션 서비스 및 보안 기업입니다. F5는 세계 최대 규모의 최첨단 조직들과 협력하여 온프레미스, 클라우드 또는 엣지 등 어디서나 모든 앱과 API를 보호하고 최적화합니다. F5는 조직이 고객에게 탁월하고 안전한 디지털 경험을 제공하고 끊임없이 진화하는 위협에 지속적으로 앞서 나갈 수 있도록 지원합니다. 자세한 내용은 f5.com에서 확인하세요. (NASDAQ: FFIV)
또한 Twitter에서 @F5를 팔로우하거나 LinkedIn 및 Facebook을 방문하여 F5와 파트너 및 기술에 대한 자세한 정보를 확인할 수 있습니다. F5는 미국 및 기타 국가에서 F5, Inc.의 상표, 서비스 마크 또는 상호입니다. 여기에 언급된 기타 모든 제품명 및 회사명은 해당 소유자의 상표일 수 있습니다.
###
본 보도자료에는 위험과 불확실성이 수반되는 향후 사건 또는 미래 재무 성과와 관련된 미래예측진술이 포함될 수 있습니다. 이러한 진술은 "~할 수 있다", "~할 것이다", "~해야 한다", "예상한다", "계획한다", "기대한다", "믿는다", "추정한다", "예측한다", "가능성", "지속한다" 등의 표현이나 이러한 표현의 부정형 또는 이와 유사한 표현을 통해 식별할 수 있습니다. 이러한 진술은 예측에 불과하며, 회사가 미국 증권거래위원회(SEC)에 제출한 서류에 명시된 요인을 비롯한 여러 요인으로 인해 실제 결과는 해당 진술에서 예상한 것과 크게 다를 수 있습니다.