때로 사기는 고양이와 쥐의 게임처럼 보일 수 있습니다. 범죄자들은 대개 공격적으로 공세를 펼치는 반면, 기업들은 스스로를 보호하기 위해 고군분투하며 방어에 나섭니다. 기업 입장에서는 이 게임이 점점 더 어려워지고 있습니다. 범죄 조직의 도구는 갈수록 정교해지고 공격은 더욱 복잡해지고 있습니다. 금융 서비스 기업과 판매자는 빠르게 진화하는 공격에 대응하기 위해 보안 및 사기 방지 체계를 지속적으로 조정하는 데 어려움을 겪고 있습니다. 계속해서 따라잡지 못하면 결국 뒤처지게 됩니다. 그 결과 더 큰 손실, 거래 포기, 고객 불만족이라는 위험에 직면할 수 있습니다. 돈과 고객을 모두 잃는 것은 결코 좋은 조합이 아닙니다.
이제 사기 방지에 대한 접근 방식을 재고해야 할 때입니다. 하지만 이런 말이 들리는 듯합니다. “인력도 예산도 부족한데, 더 민첩하고 자금력도 풍부한 범죄 조직을 어떻게 따라잡으라는 건가요?” 이처럼 어려운 환경에서는 무작정 더 열심히 하기보다 더 현명하게 대처해야 합니다. 이 문제를 해결한 판매업체와 금융 서비스 기업들은 내부와 외부를 모두 살펴봄으로써 해법을 찾았습니다.
내부 들여다보기
내부를 들여다보면, 성공한 기업들은 보안 및 사기 방지 체계의 비효율성을 인정해 왔습니다. 일반적으로 사이버 보안 부서는 컴퓨팅 네트워크와 외부에 공개된 애플리케이션을 침입, 취약점 악용, 서비스 거부 공격으로부터 보호하고, 사기 방지 부서는 온라인/디지털 거래, 이벤트 상관관계 분석, 사고 대응에 집중합니다. 이로 인해 책임이 분리되고, 서로 다른 도구, 데이터 세트, 성과 지표, 인력, 예산을 운용하는 두 부서가 생겨납니다. 이것이 기업에 어떤 악영향을 미치는지 살펴보겠습니다.
데이터 유출과 인증 정보 노출로 인해 사용자 이름/비밀번호 조합을 비롯한 수십억 건의 개인 식별 정보가 공개되었습니다. 일반적인 공격에서 공격자는 고도로 분산된 봇넷을 이용해 대규모로 크리덴셜 스터핑을 수행하여 어떤 사용자 이름/비밀번호 조합이 여전히 유효한지 확인합니다. 유효한 조합을 확보한 공격자는 고객의 온라인 계정을 탈취해 돈을 빼내거나, 로열티 포인트를 세탁하거나, 무단 구매를 함으로써 손쉽게 사이버 범죄자가 됩니다. 사이버 범죄자는 마주한 보안 대응책에 따라 네트워크 스크립트와 봇넷부터 인간의 행동을 모방하는 도구, CAPTCHA를 풀기 위해 사람으로 구성된 클릭 작업장에 API 호출을 보낼 수 있는 프레임워크에 이르기까지 다양한 도구를 사용해 공격 방식을 변경할 수 있습니다.
이러한 유형의 공격은 보안팀과 사기 방지팀 모두의 책임 영역에 걸쳐 있습니다. 보안팀과 사기 방지팀 또는 이들이 사용하는 도구 간에 정보가 공유되지 않으면 위협 인텔리전스와 맥락이 유실되어 공격의 전체 양상을 파악하기가 어렵거나 불가능할 수 있습니다. 그 결과 사기범이 감시망을 빠져나가 기업과 고객이 금전적 손실을 입게 됩니다.
이제 조직 내 사일로를 허물어야 할 때입니다. 팀과 기술 간의 협업은 통합을 촉진하고 매출을 증대하며 궁극적으로 기업의 성공을 이끄는 원동력이 될 수 있습니다. 또한 리소스와 데이터를 통합하면 가시성이 향상되어 범죄 조직은 차단하는 동시에 정상 고객은 불편 없이 이용할 수 있게 됩니다. 최근 Aite-Novarica Group이 핀테크 기업 110곳을 대상으로 실시한 연구에 따르면, 통합 사기 방지 시스템을 갖춘 기업은 서로 분리된 개별 사기 방지 시스템을 사용하는 기업보다 사기 관리가 어느 정도 또는 매우 쉽다고 답할 가능성이 두 배 더 높았습니다.
통합 플랫폼은 데이터를 한데 모아 지속적으로 분석함으로써 사기 행위의 전반적인 양상을 더 폭넓게 파악할 수 있다는 이점이 있습니다. 데이터 세트가 커지고 그에 따라 사기 징후도 많아지면 예측력과 정확도가 더 높은 머신러닝 모델을 구축할 수 있습니다. 이는 보다 선제적이고 실행 가능한 인사이트를 제공할 뿐만 아니라 사용자 경험도 개선할 수 있습니다. 정확도가 높아지면 인증 절차를 신속하게 처리할 수 있어, 사기 위험을 높이지 않으면서도 고객이 원활하게 거래할 수 있기 때문입니다.
외부를 바라보기
효과적인 사기 방지 생태계를 구축하려면 외부를 살펴보는 것도 중요합니다. 금융 서비스 기업과 판매자가 도구를 구매해 사기 방지 업무를 자체적으로 관리하고, 직원이 사기를 예방하도록 도구를 설정하는 것이 일반적입니다. 사기 공격이 시간이 지남에 따라 변화하면 기업은 이에 대응하기 위해 사기 방지 전략을 조정하고, 인증 규칙을 세밀하게 조정하며, 오탐을 조사해야 합니다. 다시 말해, 향후 유사한 공격을 예방하려면 먼저 새로운 사기 공격을 겪고 금전적 손실까지 입어야 합니다. 이러한 사후 대응 방식은 내부 부서가 보안 허점을 조사하고 해결하는 동안 기업을 위험에 노출시킵니다.
선제적으로 대응하는 것은 어떨까요? 상용 솔루션을 제공하는 공급업체는 폭넓은 경험과 가시성을 활용하여 개별 고객사가 자체적으로 대응하는 것보다 고객을 더 효과적으로 보호합니다. 어떻게 가능할까요? 여러 지역과 산업에 걸쳐 대규모 고객 기반을 보유한 공급업체는 사기 위협을 매우 폭넓게 파악할 수 있으며, 특히 공동 방어 네트워크 전반에서 위협 인텔리전스를 공유할 경우 더욱 그렇습니다. 새로운 사기 공격 경로가 등장하면 공급업체는 모든 고객을 보호할 수 있도록 사기 방어 체계를 신속하게 조정할 수 있습니다.
모두가 윈윈하는 솔루션
갈수록 지능화되는 범죄 조직과 그들의 공격에 한발 앞서 대응하기란 쉽지 않습니다. 특히 인력과 자원이 부족한 상황에서는 더욱 그렇습니다. 이제 내부와 외부를 모두 살펴봐야 할 때입니다. 사이버 보안과 사기 관리를 하나의 통합 팀으로 결합하고 외부 전문성을 활용하면 세 가지 주요 이점을 얻을 수 있습니다. 사이버 보안 및 사기 관리가 간소화되고, 손실이 줄어들며, 고객에게 더 나은 온라인 경험을 제공할 수 있습니다. 모두가 이기는 윈-윈-윈 솔루션입니다.
Aite-Novarica Group 전략 고문 David Mattei 기고
_____
추가적인 관점을 얻으려면 Aite 보고서를 읽고 사기 피해를 최소화할 수 있는 새로운 전략을 알아보세요.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.