애플리케이션과 API가 비즈니스의 생명줄인 오늘날의 디지털 환경에는 정교한 악성 봇이라는 보이지 않는 위협이 도사리고 있습니다. 기존의 보안 조치는 악의적인 공격을 방지하는 데 중점을 두지만, 자동화된 위협은 사람의 행동을 모방하고 예상치 못한 방식으로 애플리케이션 로직의 허점을 악용해 탐지를 피해 침투하고 있습니다.
F5 Labs가 최근 발표한 2025년 지능형 지속 봇 보고서는 지능형 지속 봇의 진화하는 전술과 이로 인해 발생하는 과제를 조명합니다. 전체 보고서를 읽어보시길 권하지만, 여기서는 올해 연구에서 특히 눈에 띈 세 가지 동향과 기업이 스스로를 보호하기 위해 취할 수 있는 조치를 소개합니다.
1. 크리덴셜 스터핑: 도난당한 비밀번호로 중요 데이터가 노출되는 경우
사이버 범죄자들이 쉽게 구할 수 있는 탈취된 자격 증명을 이용해 민감한 사용자 계정에 접근하는 상황을 상상해 보십시오. 이는 비밀번호를 재사용하는 관행이 널리 퍼져 있다는 점을 악용하는 대표적인 봇 기반 공격인 크리덴셜 스터핑의 실상입니다. F5 Labs에 따르면 일부 조직에서는 전체 로그인 트래픽의 80% 이상이 봇이 실행한 크리덴셜 스터핑 공격에서 발생합니다. 이 보고서는 공격 캠페인당 성공률이 1~3%로 낮더라도 자동 로그인 시도가 워낙 많기 때문에 상당수의 계정이 침해된다고 강조합니다.
“기존 보안 조치는 악의적인 공격을 방지하는 데 중점을 두지만, 자동화된 위협은 사람의 행동을 모방하고 예상치 못한 방식으로 애플리케이션 로직의 허점을 악용해 탐지를 피해 침투하고 있습니다.”
2022년 PayPal 침해 사고처럼 약 35,000개의 사용자 계정에 무단으로 접근해 금전적 가치가 높은 개인정보가 노출된 사건은, 다른 온라인 서비스에서 악용할 수 있는 방대한 사용자 이름 및 비밀번호 데이터베이스를 제공합니다. 많은 사람이 비밀번호를 재사용하기 때문에 성공률이 낮더라도 상당한 성과를 거둘 수 있습니다. 이렇게 확보한 정보는 사기 거래나 데이터 탈취에 사용되거나, 표적 공격을 위해 다크 웹에서 판매될 수 있습니다.
최근 몇 년간 여러 유명 브랜드가 크리덴셜 스터핑 공격을 당했다고 보고했습니다. 유전자 검사 기업 23andMe의 쇠퇴는 부분적으로 고객의 건강 및 혈통 정보를 노출한 크리덴셜 스터핑 공격에서 비롯된 것으로 평가됩니다. 해당 데이터는 다크웹에서 프로필 100개당 1,000달러, 프로필 100,000개당 최대 100,000달러에 판매되고 있는 것으로 확인되었습니다.
회사는 고객들이 사이트의 다단계 인증(MFA) 옵션을 사용하지 않은 것을 주된 실패 원인으로 지목했습니다. 하지만 실제로 크리덴셜 스터핑의 위험성은 기존 보안 조치를 우회할 수 있다는 데 있습니다. 봇은 정상적인 자격 증명을 사용하며 취약점을 악용하려 하지 않기 때문에 일반적인 경보를 유발하지 않습니다. MFA가 도움이 될 수는 있지만, 실시간 피싱 프록시(RTPP)가 증가하면서 완벽한 해결책이 되지는 못합니다. 조직은 로그인 패턴, 기기 지문, 행동 이상 징후를 분석해 실제 상황을 파악할 수 있는 지능형 봇 탐지 솔루션을 도입해야 합니다.
2. 공격받는 호스피탈리티 업계: 기프트 카드 봇과 ‘카딩’의 확산
금융 및 소매 부문이 사이버 공격의 주요 표적으로 흔히 여겨지는 반면, F5 Labs의 연구에 따르면 숙박·외식 업계도 악성 봇 활동의 집중적인 표적이 되고 있습니다. 특히 "카딩" 및 기프트 카드 봇이 숙박·외식 업계의 웹사이트와 API를 노리는 것으로 나타났으며, 일부 조직에서는 악성 봇 활동이 지난해보다 300% 급증했습니다. 또한 이 보고서는 봇이 노리는 기프트 카드의 평균 금액이 증가하고 있다고 지적합니다.
카딩은 결제 페이지와 API에서 도난당한 신용카드 번호를 빠르게 테스트하여 유효성을 확인하는 데 봇을 사용합니다. 기프트 카드 봇은 로열티 프로그램과 기프트 카드 시스템을 악용합니다. 공격자는 이러한 봇을 사용해 잔액을 확인하거나 포인트를 이전하고 보상을 불법으로 사용합니다. 이러한 봇은 단순한 패턴이나 연속된 기프트 카드 ID와 같은 취약점을 노리는 경우가 많습니다.
호텔 업계가 취약한 이유는 로열티 포인트와 기프트 카드가 사실상 디지털 화폐이기 때문입니다. 사이버 범죄자는 이러한 자산을 손쉽게 현금화하거나 상품 및 서비스 구매에 사용할 수 있습니다.
이러한 위협으로부터 스스로를 보호하려면 숙박·외식업체는 이에 특화된 강력한 봇 탐지 및 완화 전략을 구현해야 합니다. 여기에는 기프트 카드 활동 모니터링, 거래 패턴 분석, 사람과 봇을 구별할 수 있는 솔루션 도입이 포함됩니다. 한때 봇 차단을 위한 대표적인 해결책이었던 CAPTCHA는 다음에서 살펴보겠지만, 이미 수년 전부터 봇 운영자들에게 손쉽게 우회되어 왔습니다.
3. 문지기 우회하기: 주거용 프록시와 CAPTCHA의 무용성
CAPTCHA와 IP 차단 같은 기존의 봇 방어 수단은 갈수록 정교해지는 우회 수법을 막아내지 못하고 있습니다. 봇 운영자는 CAPTCHA 풀이를 사람으로 구성된 클릭 팜에 손쉽게 외주로 맡길 수 있으며, 이곳에서는 사람들이 소액의 대가를 받고 요청이 있을 때마다 CAPTCHA 문제를 해결합니다.
또한 주거용 프록시 네트워크의 증가도 중요한 요인입니다. 이러한 네트워크는 침해된 기기를 통해 봇 트래픽을 주거용 IP로 라우팅하여 봇의 실제 IP 주소를 숨깁니다. F5 Labs 보고서에 따르면 현재 봇 운영자들이 주거용 프록시를 널리 사용하고 있으며, 봇 트래픽의 대부분이 이러한 네트워크에서 발생하는 것처럼 보입니다.
ID 관리 업체인 Okta는 지난해 자사 사용자를 대상으로 한 크리덴셜 스터핑 공격이 급증한 데 주거용 프록시 서비스의 광범위한 보급이 영향을 미쳤다고 지적했습니다. 회사 측은 수백만 건의 가짜 요청이 주거용 프록시를 통해 라우팅되어 가상 사설 서버(VPS) 제공업체의 IP 대역이 아니라 일반 사용자의 모바일 기기와 브라우저에서 발생한 것처럼 위장했다고 밝혔습니다.
이러한 고도화된 우회 기법에 효과적으로 대응하려면 조직은 기존의 방어 체계에서 벗어나 지능형 봇 솔루션을 도입해야 합니다. 이러한 솔루션은 머신러닝과 행동 분석을 활용해 봇의 고유한 특성을 기반으로 봇을 식별합니다. IP 주소나 CAPTCHA에 의존하는 대신 사람과 유사한 행동에 초점을 맞추면 정교한 봇 공격을 더욱 정확하게 탐지하고 차단할 수 있습니다.
위험 환경 탐색: 최적의 봇 방어 지점 찾기
궁극적으로 조직이 구현하는 봇 방어 수준은 위험 감수 성향에 따라 달라집니다. 모든 기업은 다양한 완화 전략의 잠재적 비용과 이점을 비교하여 감수할 수 있는 위험 수준을 결정해야 합니다.
모든 봇 트래픽을 완전히 차단하는 것은 현실적으로 불가능할 뿐만 아니라 바람직하지 않을 수도 있습니다. 일부 자동화 활동은 합법적이고 유익하기 때문입니다. 하지만 악성 봇 활동에 대응하지 않으면 막대한 금전적 손실과 평판 훼손을 초래하고 고객의 불만을 키울 수 있습니다.
핵심은 적절한 균형을 찾는 것입니다. 조직을 표적으로 삼는 다양한 유형의 봇을 파악하고, 봇 활동이 미칠 수 있는 잠재적 영향을 평가하며, 적절한 탐지 및 완화 조치를 구현하면 봇 위험을 효과적으로 관리하고 지능형 지속 봇 위협으로부터 비즈니스와 고객을 보호할 수 있습니다.
자세한 내용은 전체 보고서를 여기에서 확인하세요. 또한 F5 Distributed Cloud Bot Defense 웹페이지를 방문해 보세요.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.