웹 애플리케이션 대상 OWASP 자동화 위협

다음은 웹 애플리케이션에 대한 자동화 위협 프로젝트에서 파악하고 취합한 자동화 위협의 목록입니다.

1. Account Aggregation. 이러한 공격의 목표는 보통 신원 도용, 금융 사기 또는 민감한 정보에 대한 무단 액세스와 같은 악의적인 목적으로 여러 사이트 또는 플랫폼에서 사용자 계정 자격 증명을 수집하는 것입니다. 이는 다양한 웹 서비스 또는 애플리케이션과의 인간 상호 작용을 모방하는 자동화된 봇 또는 스크립트를 사용하여 수행됩니다.
   
2. 계정 생성. 악의적인 행위자가 자동화된 스크립트 또는 봇을 사용하여 플랫폼 또는 웹사이트에서 수많은 허위 사용자 계정을 생성하는 공격입니다. 공격자는 이러한 허위 계정을 사용하여 플랫폼에 스팸 콘텐츠, 광고 또는 악성 링크를 플러딩하여 합법적인 사용자에게 중단과 불편을 유발할 수 있습니다. 허위 계정은 웹사이트나 애플리케이션에서 대중의 정서와 후기/평점을 조작하거나 실제 사용자나 공인을 사칭하여 잘못된 정보를 퍼뜨리거나 평판에 피해를 입히는 데도 사용될 수 있습니다. 이 위협은 또한 자사 사기라고도 하는 새로운 계정 생성 사기로 이어질 수 있으며, 디지털 환경 전체에 걸친 파급 효과가 발생할 수 있습니다.
3. 광고 사기. 클릭 사기라고도 하는 이 위협은 클릭 또는 노출과 같은 온라인 광고와의 상호 작용 수를 위조하는 기만 행위입니다. 이러한 사기 행위는 일반적으로 자동화된 봇 또는 스크립트를 통해 수행되며 사기 행위자의 수익을 창출하거나 광고 성과 지표를 조작하는 것을 목표로 합니다.
4. CAPTCHA 우회. 이 위협은 자동화된 기법을 사용하여 CAPTCHA 확인을 우회 또는 회피하며 악의적인 행위자가 봇에 대한 일반적인 방어를 우회할 수 있기 때문에 웹 애플리케이션 보안에 중요한 우려 사항입니다. Completely Automated Public Turing test to tell Computers and Humans Apart(CAPTCHA)는 인간 사용자와 자동화된 봇 또는 스크립트를 구분하는 데 사용되는 보안 제어 조치입니다. 공격자는 이미지 인식 소프트웨어를 사용하여 이미지 캡차 방식을 우회하고 머신러닝 알고리즘을 배포하여 청각 및 퍼즐 캡챠 방식을 우회할 수 있습니다. 경우에 따라 공격자는 수작업으로 CAPTCHA를 실시간으로 해결하는 인간 CAPTCHA 솔버를 활용합니다. CAPTCHA는 일반적으로 사용되는 보안 제어이지만 우회가 가능하며 합법적인 사용자의 고객 경험에 불편을 초래하며 이는 매출 손실로 이어질 수 있습니다.
5. 카드 크래킹. 카드 번호, 만료일, 보안 코드(CVV/CVC)와 같은 결제 카드의 보안 기능을 추측하거나 크래킹하는 자동화된 사이버 범죄 유형입니다. 카드 크래킹은 일반적으로 자동화된 봇 또는 스크립트가 유효한 카드와 일치하는 조합을 찾을 때까지 여러 조합의 카드 세부 정보를 체계적으로 시도하는 무차별 대입 공격을 사용합니다. 유효한 카드 세부 정보가 파악되면 권한이 없는 구매를 실행하거나 금융 사기를 저지르는 등 다양한 불법 행위에 사용될 수 있습니다. 공격자는 실제 매장에서 사용되지 않은 실물 상품권을 가져와 발급자가 순차적인 번호 패턴을 사용했는지 확인할 수 있습니다.
6. 카딩. 사기성 거래 또는 구매를 위해 도난당한 결제 카드 정보를 무단으로 사용하는 자동화된 사이버 범죄의 한 형태입니다. 범죄자는 자동화된 봇 또는 스크립트를 사용하여 다양한 웹사이트 또는 애플리케이션에서 도난당한 신용카드 또는 직불카드 세부 정보를 테스트하여 도용 정보를 수락하는 곳을 파악합니다. 자동화된 봇이 취약한 타겟을 파악하면 도난당한 카드 정보를 사용하여 고가의 상품이나 디지털 서비스를 구매하거나 사용 가능한 금액을 다른 계정으로 이전합니다.
7. 현금화. 비유동자산 또는 가상통화를 실물 자금 또는 유형의 물품으로 전환하는 것을 말합니다. 이 위협은 보통 온라인 플랫폼이나 계정에서 가치가 큰 자산을 훔치는 공격이 성공한 후에 이루어집니다. 공격자는 웹 애플리케이션 또는 온라인 플랫폼에서 사용자 계정을 제어할 때 이러한 계정을 사용하여 상품권, 멤버십 포인트 또는 가상 통화와 같은 계정 소유자의 자산을 현금화할 수 있습니다. 사이버 범죄자는 봇을 통해 이러한 사기 행위를 대규모로 효율적으로 수행할 수 있기 때문에 봇은 현금화에 흔히 사용됩니다.
8. 자격 증명 크래킹. 이 위협은 로그인 페이지, 사용자 계정 포털 또는 인증 API와 같은 웹 애플리케이션의 로그인 메커니즘을 타겟팅하는 무차별 대입 공격의 일종입니다. 공격자는 자동화를 사용하여 사용자 계정에 무단 액세스 권한을 부여할 수 있는 사용자 이름과 비밀번호를 찾을 때까지 체계적으로 일반적인 사용자 이름과 비밀번호 조합을 시도합니다. 이를 통해 공격자는 신원 도용, 금융 사기 등의 무단 행위과 같은 악의적인 활동을 수행할 수 있습니다.
9. 크리덴셜 스터핑: 가장 일반적인 형태의 웹 애플리케이션 위협 중 하나로, 사이버 범죄자가 주로 다크 웹에서 사용자 이름/비밀번호 쌍의 목록을 구매하고 이 자격 증명을 사용하여 다른 로그인 보호 계정에 액세스하려고 시도합니다. 많은 사람들이 사용자 이름과 비밀번호를 재사용하기 때문에 이러한 공격(계정 탈취라고도 함)을 통해 범죄자가 사용자 계정을 탈취하여 자산을 훔치거나 제3자 사기 행위를 저지르는 데 매우 효과적일 수 있습니다.
10. 재고 거부. 이 공격은 공격자가 봇을 사용하여 장바구니에 수많은 상품을 담은 다음 구매를 위한 결제를 진행하지 않아 전자 상거래 상품이 유통되지 못하도록 할 때 발생합니다. 시스템에 재고 소진 상태로 등록되기 때문에 다른 쇼핑객이 상품을 구매할 수 없으며 구매가 완료되지 않기 때문에 벤더가 매출을 울릴 수도 없습니다. 이러한 자동화된 위협의 예는 봇을 사용하여 호텔 객실, 레스토랑 테이블 또는 항공사 좌석을 예매하거나 확보한 다음 결제를 완료하지 않는 경우입니다.
11. 서비스 거부 (DoS) 및 분산 서비스 거부(DDoS). 이러한 공격은 타겟 시스템 또는 네트워크의 정상적인 작동을 방해하여 합법적인 사용자가 이용할 수 없도록 만드는 악의적인 시도입니다. DDoS 공경 시 공격자는 엄청난 양의 트래픽 또는 리소스 요청으로 타겟을 압도하여 서버 과부하를 유발하고 서비스에 액세스할 수 없게 만듭니다. 이러한 공격은 타겟을 패킷으로 플러딩하거나 특수하게 조작된 요청을 전송하는 것과 같은 다양한 방법을 사용하여 수행할 수 있습니다. DoS 공격과 DDoS 공격은 비슷하지만 DDoS의 경우 공격자가 제어하는 보안이 침해된 컴퓨터 또는 장치의 네트워크인 봇넷을 통해 조정되는 여러 소스에서 공격이 이루어집니다. 공격자는 이러한 여러 소스를 조정하여 타겟에 대한 공격을 동시에 시작합니다. 공격자는 봇넷의 리소스를 조합하여 엄청난 양의 트래픽 또는 요청을 생성하여 타겟 시스템의 용량을 압도하고 서비스 거부를 유발할 수 있습니다. 이러한 공격은 방화벽 상태 테이블, CPU 리소스, 인프라 대역폭을 압도할 수 있습니다. DoS 공격은 웹 애플리케이션에 복잡한 SQL 쿼리와 같이 정교하게 만들어진 단일 요청을 전송하여 심각한 CPU 및 성능 저하를 초래할 수 있습니다.
12. 엑스퍼다이팅(Expediting). 자동화된 봇 또는 스크립트를 사용하여 일련의 애플리케이션 프로세스를 신속하게 완료하고 정상적인 제한이나 검사를 우회하는 위협입니다. 공격자 또는 악의적인 사용자는 프로세스를 자동화함으로써 다른 합법적인 사용자가 이용할 수 없는 부당한 혜택을 얻을 수 있습니다. 이 활동은 보통 기만 행위로 다른 당사자에게 손실을 초래할 수 있습니다.
13. 핑거프린팅. 위협 행위자는 핑거프린팅을 정보 수집 기법으로 사용하여 사용자의 웹 브라우저나 장치의 고유한 특성 또는 속성을 수집하고 분석하여 고유한 "핑거프린트" 를 생성합니다. 이를 통해 위협 행위자는 다양한 웹 사이트와 온라인 플랫폼에서 개별 사용자를 식별하고 추적하거나 애플리케이션을 프로파일링한 다음 공격할 수 있습니다.
14. 풋프린팅. 풋프린팅 자체는 자동화된 위협이라기 보다는 해킹 프로세스 또는 정찰의 예비 단계입니다. 풋프린팅은 봇 또는 스크립트를 사용하여 타겟 웹 애플리케이션의 구성, 설정, 보안 메커니즘에 대한 정보를 수집하여 공격자가 타겟 공격을 시작하여 무단 액세스 권한을 확보하거나 특정 취약점을 악용하는 것과 같은 후속 공격을 효과적으로 계획할 수 있도록 합니다.
15. 스캘핑 또는 싹쓸이 구매. 온라인 판매가 시작되는 순간 공격자가 봇을 사용하여 한정 상품이나 서비스를 대량으로 구매하는 구매 자동화의 한 형태입니다(콘서트 티켓, 한정판 운동화 등). 범죄자는 즉시 결제 프로세스를 완료함으로써 가치가 높은 재고를 대량으로 통제할 수 있으며, 이러한 상품에는 일반적으로 2차 시장에서 상당한 이윤이 적용되어 재판매되므로 인위적인 희소성, 재고 거부, 소비자의 불만을 초래합니다.
16. 스크래핑. 본질적으로 악의적이지는 않지만 웹사이트 또는 웹 애플리케이션에서 데이터를 추출하는 자동 프로세스입니다. 스크래핑은 특히 경쟁이 치열한 시장에서 분석, 재사용 또는 가격 조작을 위해 타겟 웹 사이트의 콘텐츠를 수집하는 데 봇을 사용하는 경우와 같이 승인되지 않았거나 악의적인 목적으로 사용되는 경우 자동화된 위협이 됩니다. 또한 사이트 성능을 저하시키고 합법적인 사용자가 사이트에 액세스하지 못하도록 할 수 있습니다.
17. 스큐잉(Skewing) 악의적인 행위자가 웹 애플리케이션에서 개수, 좋아요, 노출수, 설문조사 결과, 빈도 또는 순위과 같은 애플리케이션 기반 측정지표에 영향을 미치려는 의도를 가지고 콘텐츠를 반복적으로 클릭, 요청 또는 제출하는 경우에 발생하는 공격입니다. 스큐잉은 인간의 행동을 모방하여 웹 애플리케이션과의 인위적인 상호 작용을 생성하는 자동화된 봇을 사용하여 수행할 수 있습니다. 스큐잉의 목표는 애플리케이션 기반 측정지표로 생성된 데이터를 조작하고 왜곡하여 부정확하거나 오해의 소지가 있는 결과를 초래하는 것입니다.
18. 스나이핑(Sniping). 온라인 경매, 판매 또는 예약 시스템에서 경쟁 우위를 확보하기 위해 자동화된 봇 또는 스크립트를 사용하는 악의적인 활동의 일종입니다. "스나이핑"이라는 용어는 주로 속도와 정확한 타이밍이 중요한 역할을 하는 시간 한정 이벤트 또는 한정 수량 상품의 경우에 사용되므로 다른 사용자가 입찰하거나 제안할 시간이 충분하지 않습니다. 봇이 더 빠르고 정확하게 작업을 실행할 수 있기 때문에 스나이핑을 통해 공격자는 이벤트에 수작업으로 참여하는 인간 사용자보다 경쟁 우위를 확보할 수 있습니다.
19. 스팸. 봇이 배포하여 웹 애플리케이션의 공개 또는 비공개 콘텐츠, 데이터베이스 또는 사용자 메시지에 나타나는 악성 콘텐츠 또는 의심스러운 정보를 의미합니다. 악성 콘텐츠로는 맬웨어, IFRAME 팝업, 사진, 동영상, 광고, 추적/감시 코드가 포함될 수 있습니다. 공격자는 또한 스팸을 사용하여 포럼 및 기타 메시징 앱에 허위 댓글을 추가함으로써 정보를 위조하거나 맬웨어를 배포합니다.
20. 토큰 크래킹. 이 자동화된 공격은 범죄자가 쿠폰 번호, 바우처 코드, 할인 토큰의 대량 열거를 수행하는 경우 발생합니다. 이를 통해 할인, 현금 대체제, 크레딧 또는 특별가 이용 혜택 등을 받을 수 있습니다.
21. 취약점 스캐닝. 이 위협은 자동화된 도구 또는 스크립트를 사용하여 웹 애플리케이션의 취약점을 식별하고 악용하는 것을 의미합니다. 보안을 강화할 목적으로 취약점을 식별하는 것을 목표로 하는 합법적인 취약점 스캐닝과 달리, 자동화된 위협으로서의 취약점 스캐닝은 애플리케이션의 보안을 침해하려는 악의적인 의도로 수행됩니다. 범죄자는 자동화된 검색 도구 또는 스크립트를 사용하여 일반적으로 취약점이 공개된 직후 인터넷에 노출된 애플리케이션을 체계적으로 스캔합니다. 취약점이 확인되면 범죄자는 이를 악용하여 애플리케이션, 민감한 데이터 또는 기본 서버 인프라에 대한 무단 액세스를 시도합니다.