사이버 범죄가 우리의 정서적 웰빙에 미치는 영향

Ian LauthAI 제품 마케팅 디렉터 | F5

내 평판 따위는 신경 쓰지 않아.

Joan Jett & the Blackhearts는 현대 인터넷 시대가 오기 전, 반문화가 체제 전복적이고 멋지며 도발적이던 시절에 그런 가사를 마음껏 열창할 수 있었다.

오늘날 반문화는 주류가 되었습니다. 그리고 온라인 평판이 무엇보다 중요해졌습니다. 우리는 주머니 속 기기와 갈수록 더 밀접하게 결합하면서, 디지털 자아를 의도적으로 꾸미고 널리 드러내며 철저하게 관리합니다.

따라서 크리덴셜 스터핑으로 계정이 탈취되고 악의적인 공격자가 이를 악용하면, 개인에게 매우 심각한 피해를 초래할 수 있습니다.

공포와 당혹감, 그리고 수치심.

이는 디지털 세상에서 일어나는 일들로 인해 생기는 실제 감정입니다.

소셜 미디어 계정 탈취의 경우에는 특히 더 그렇습니다. 신원 도용 리소스 센터(ITRC)는 이를 ‘계정 탈취의 유행’이라고 명명했습니다.

ITRC에 따르면 2021년에 지원 서비스를 받기 위해 연락한 신원 도용 범죄 피해자가 15,000명에 육박해 그 자체로도 역대 최고치를 기록했으며, 소셜 미디어 계정 탈취는 2020년에서 2021년 사이 1,044% 증가했습니다. 놀라운 수치입니다.

후속 조치로 ITRC는 소셜 미디어 계정 탈취 피해자들을 대상으로 설문조사를 실시했으며, 그 결과 66%가 소셜 미디어 계정에 대한 통제권을 잃은 뒤 강한 감정적 반응을 경험했다고 답했습니다. 92%는 사생활을 침해당했다고 느꼈고, 83%는 걱정과 불안을, 78%는 분노를, 77%는 취약함을 느꼈으며, 7%는 자살 충동을 느꼈습니다.

In the spirit of 세계 정신 건강의 날을 맞아, 사이버 보안 분야에서 이러한 통계에 주목할 필요가 있습니다. 일부 사람들은 소셜 미디어 신원 도용을 단순한 불편으로 여길 수도 있지만, 이 수치는 온라인 평판이 정서적 안녕과 얼마나 밀접하게 연결되어 있는지를 보여줍니다.

제 친구인 트레버와 스테이시의 사례를 들어보겠습니다. 두 사람 모두 2022년 7월, 동일한 크리덴셜 스터핑 공격으로 추정되는 해킹을 당해 소셜 미디어 계정을 탈취당했습니다. 둘 다 2단계 인증을 설정하지 않은 상태였습니다.

두 친구 모두 소셜 미디어에서 활발히 활동하던 성공한 전문직 종사자였으며, 그중 한 명은 암호화폐에 어느 정도 관심이 있었습니다.

악의적인 공격자들은 인스타그램 스토리에 비트코인 채굴 사업에 참여하라는 노골적인 메시지를 게시했습니다. 아이폰 잠금 화면을 캡처한 이미지에는 이들의 프로필 사진(트레버의 경우, 프로필에 있던 자신과 아내의 사진)과 BofA에서 보낸 것처럼 꾸민 가짜 문자 메시지가 표시되어 있었고, 그 뒤에는 본인의 은행 계좌로 추정되는 화면의 캡처 이미지가 이어졌습니다:

이것이 사기라는 사실은 사이버 보안 전문가가 아니어도 알아차릴 수 있지만, 악용 사례가 거의 없는 소셜 생태계에서 신뢰할 수 있는 출처의 실제 계정을 통해 전송되었다는 점에서 효과적인 피싱 수법이 될 수 있습니다.

이 공격자들이 얼마나 정교한지 궁금하기도 했고, 블랙햇 해커들과 직접 대화할 기회를 절대 놓치지 않는 편이기도 해서, 이들의 메시지가 얼마나 효과적인지 알아보기 위해 해당 스토리에 답장을 보냈습니다.

알아, 알아. 나 정말 좋은 친구지, 그렇지?

두 사람 모두에게 끔찍한 시련이었습니다. Trevor는 얼굴을 스캔한 뒤 방대한 태그 사진 라이브러리와 대조하는 Instagram의 얼굴 인식 인증 절차를 이용할 수 있었습니다. 그는 27시간 이내에 계정 접근 권한을 되찾고 2단계 인증을 설정했습니다.

반면 스테이시는 소셜 미디어를 완전히 떠났습니다. 그 일로 너무 큰 수치심과 불안감을 느낀 나머지, 결국 모든 활동을 접고 떠나 버렸습니다. 그녀는 디지털 세계 속 페르소나라는 개념 자체가 자신과 맞지 않는다고 판단했습니다.

이는 드문 일이 아닙니다. 2020년에 발표된 한 연구에 따르면, 소비자의 28%는 계정이 해킹당할 경우 해당 웹사이트 이용을 중단한다고 합니다.

공포와 당혹감, 그리고 수치심.

고객사의 최종 사용자가 우리 제품을 사용할 때 느끼기를 바라는 감정은 결코 아닙니다. 이 사례는 소셜 미디어에만 해당할 수 있지만, 그 심정만큼은 우리 모두가 공감할 수 있습니다.

소셜 미디어, 핀테크, 전자상거래 등 악용될 수 있는 사용자 기반을 보유한 조직이라면 어디든 크리덴셜 스터핑은 앞으로도 계속될 쫓고 쫓기는 싸움이며, 그 파급력 또한 놀라운 수준입니다.

Javelin Strategy and Research의 2021년 신원 사기 연구에 따르면, 계정 탈취(ATO) 사기로 인해 2020년에 발생한 총손실액은 60억 달러를 넘었습니다. 기업이 새로운 방어책을 마련하면 해커는 이러한 보호 장치를 우회하는 도구를 개발하고, 이 같은 악순환은 계속됩니다.

그렇다면 기업은 어떻게 대응할 수 있을까요?

최근 Aite Group 보고서에서는 금융 기관, 핀테크 대출업체 및 전자상거래 기업의 리스크 담당 임원들을 인터뷰하여, 급증하는 계정 탈취(ATO) 공격으로부터 자사를 어떻게 보호하고 있는지 알아보았습니다.

주요 시사점은 다음과 같습니다:

• 대부분의 소비자는 여러 웹사이트에서 몇 개의 동일한 사용자 이름과 비밀번호를 반복해서 사용하며, 이로 인해 조직적 범죄 집단이 악용할 수 있는 보안 취약점이 발생합니다.
• 공격 가능한 영역이 계속 확대되면서 탐지와 완화가 더욱 복잡해지고 있습니다.
• 조직은 자동화된 공격에 신속히 대응하고 악성 활동이 비즈니스에 영향을 미치기 전에 차단할 수 있도록 실시간 데이터 분석을 활용하는 솔루션이 필요합니다.
• 강력한 방어 체계를 갖춘 기업은 범죄자들이 더 쉬운 표적에 공격을 집중함에 따라 공격 건수가 감소하는 것을 확인하게 될 것입니다.

ATO 공격이 수익에 미치는 명백한 영향을 넘어, 이러한 범죄가 실제로 사람들에게 큰 영향을 미친다는 점을 기억하는 것이 중요합니다.

사기를 막는 것은 단지 비용을 절감하는 데 그치지 않습니다. 이는 더 나은 디지털 미래의 근간을 은밀히 잠식하는 인간적 고통을 예방하는 데에도 매우 중요합니다. 현실 세계와 마찬가지로, 우리가 원하는 것을 이루려면 안전과 보안, 신뢰가 필요합니다.

작성자 소개

Ian LauthAI 제품 마케팅 디렉터 | F5

Ian Lauth의 다른 블로그 게시물