2022년 6월 27일, 글로벌 개인정보보호 총회(GPA), 130개 이상의 데이터 보호 및 개인정보 보호 규제·집행 기관으로 구성된 협의체인 GPA는 최초의 크리덴셜 스터핑에 관한 정부 간 지침을 발표했습니다. 이 지침은 크리덴셜 스터핑이 전 세계적으로 개인정보에 위험을 초래하며, 데이터 보호법에 따라 조직이 이에 대한 보호 조치를 마련해야 한다고 명시했습니다.
F5는 이 지침의 제정에 참여한 것을 자랑스럽게 생각하며, GPA가 이를 인정해 준 데 대해 감사드립니다. F5는 오래전부터 크리덴셜 스터핑의 위협을 인식해 왔습니다. F5의 Sumit Agarwal은 ‘크리덴셜 스터핑’이라는 용어를 처음 만든 인물로, 당시 미 국방부에서 국방부 차관보로 재직 중이었습니다. 이러한 통찰은 2011년 최고의 봇 관리 공급업체인 Shape Security(현재 F5의 일부)의 설립으로 이어졌습니다. 오늘날에도 F5는 크리덴셜 스터핑 및 관련 위협으로부터 세계 최대 규모의 은행, 전자상거래 소매업체, 항공사, 숙박 서비스 제공업체 및 소셜 미디어 기업을 지속적으로 보호하고 있습니다.
GPA의 상설 실무 그룹인 국제 집행 협력 실무 그룹(IEWG)이 발표한 새로운 지침은 크리덴셜 스터핑이 수행되는 방식을 설명하고, 이러한 공격이 만연하게 된 배경인 공격자의 경제적 동기를 분석하며, 이것이 전 세계적인 우려 사항으로서 데이터 개인정보 보호법에 반영되어야 하는 이유를 강조하고, 크리덴셜 스터핑을 완화하기 위한 여러 방법을 제시합니다.
GPA 가이드라인은 최근 정부 기관들이 발표한 여러 경고를 바탕으로 마련되었습니다. 2022년 1월 5일, 뉴욕주 법무장관실은 기업 가이드를 통해 크리덴셜 스터핑이 급증하고 있으며 기업이 예방 조치를 취해야 한다고 강조했습니다. 2020년 9월 15일, 미국 증권거래위원회는 SEC에 등록된 투자자문사와 브로커 및 딜러를 대상으로 한 크리덴셜 스터핑이 급증하고 있다는 내용의 위험 경보를 발표했습니다. 2020년 9월 10일, 미국 연방수사국은 미국 금융기관을 겨냥한 크리덴셜 스터핑 공격이 잇따라 발생해 5만 개가 넘는 계정이 피해를 입었으며, 기업들이 통지 및 피해 복구 비용으로만 연평균 600만 달러를 지출하고 있다고 경고하는 민간 업계 통지문을 발표했습니다. 최근 제너럴 모터스를 상대로 한 대규모 크리덴셜 스터핑 공격을 다룬 CPO 기사에서도 확인할 수 있듯이, 이러한 사건은 최고 개인정보 보호 책임자들에게 계속해서 영향을 미치고 있습니다.
크리덴셜 스터핑은 범죄자가 계정을 탈취하기 위해 웹사이트에 도난당한 인증 정보를 대입해 보는 사이버 범죄입니다. 범죄자들은 봇이라고 불리는 자동화 도구를 사용하여 이러한 공격을 대규모로 수행합니다. 이는 다음과 같은 이유로 투자수익률(ROI)이 매우 높은 사이버 범죄입니다. 1) 도난당한 인증 정보를 매우 쉽게 구할 수 있고, 2) 최대 60%의 사람들이 여러 계정에서 비밀번호를 재사용하며(FBI에 따르면), 3) 많은 조직이 CAPTCHA 및 IP 차단 목록과 같이 효과가 떨어지는 완화 수단에 의존하고 있기 때문입니다.
도난당한 자격 증명의 수는 충격적입니다. F5 Labs 2021 크리덴셜 스터핑 보고서에 따르면 2020년 한 해에만 18억 6천만 개의 자격 증명이 도난당했습니다. GPA 가이드라인은 2013년 Yahoo 침해 사고와 같은 초대형 침해 사고로 수십억 개의 자격 증명이 노출되었다고 지적합니다. 공격자는 침해 사고가 공개적으로 보고되기 전까지 수년간 이러한 도난 자격 증명을 악용할 수 있습니다.
"...민간 부문 조사에 따르면 2017년 11월부터 2019년 3월까지 게임 업계에서 550억 건의 크리덴셜 스터핑 공격이 발생했으며, 이는 월 30억 건 이상, 일 1억 700만 건 이상에 해당합니다. 추가 조사에서는 2020년 한 해 동안 전 세계적으로 1,930억 건의 크리덴셜 스터핑 공격이 발생한 것으로 확인되었으며, 이는 월 160억 건 이상, 일 5억 건 이상에 해당합니다."
GPA 지침은 또한 이러한 개인정보 침해의 피해자가 금전적 손실뿐만 아니라, 탈취된 계정으로 허위 정보를 유포하거나 특정 개인에 대해 거짓 진술을 함으로써 발생하는 평판 훼손 등 추가적인 피해를 입을 수 있다고 지적합니다. 이러한 개인정보 침해가 한 사람의 삶을 얼마나 쉽게 망가뜨릴 수 있는지 충분히 짐작할 수 있습니다.
무엇보다도 이 지침은 EU의 GDPR과 미국 연방거래위원회(FTC)의 세이프가드 규칙(Safeguards Rule)의 구체적인 조항을 인용하며, 조직이 크리덴셜 스터핑 방지 조치를 데이터 개인정보 보호법에서 요구하는 ‘적절한’ 보안 조치 중 하나로 고려해야 한다고 결론짓습니다.
"크리덴셜 스터핑 공격이 개인정보에 가하는 명백한 위협(특히 온라인으로 접속할 수 있는 사용자 계정을 보유한 조직의 경우)과 그로 인해 발생할 수 있는 무단 처리 및 접근을 고려할 때, 크리덴셜 스터핑 공격으로부터 개인정보를 보호하기 위한 조치를 시행하는 것은 데이터 보호 및 개인정보 보호법에 따라 적어도 암묵적으로나마 일반적으로 요구될 것입니다."
GPA 가이드라인은 조직이 크리덴셜 스터핑 공격으로부터 보호하기 위해 여러 완화 방법을 고려할 것을 권고합니다.
- 자격 증명을 사용할 필요가 없는 비회원 결제
- 비밀번호 재사용 위험을 최소화하는 강력한 비밀번호 정책
- SSO(Single Sign-On)와 같은 비밀번호 대체 인증 방식
- 다단계 인증(MFA)
- 보조 비밀번호 및 PIN
- 기기 지문 인식
- 예측하기 어려운 사용자 이름
- 유출된 비밀번호 식별
- 요청 속도 제한
- 로그인 페이지 및 절차(다단계 로그인)
- 계정 모니터링/탐지
- 익명 네트워크(예: TOR)에 대한 추가 검사
- CAPTCHA
- WAF
- IP 차단 목록 및 허용 목록
- 인시던트 대응 계획 및 사용자 알림
이러한 기법은 크리덴셜 스터핑 공격을 완화하는 데 기여해 온 유효한 방법임이 분명합니다. 조직에 가장 적합한 접근 방식을 평가할 때, 이 분야에서 오랫동안 혁신을 이어 온 F5는 사용자 경험에 불편을 더하거나 애플리케이션을 재설계할 필요 없이 실시간으로 봇을 효과적으로 차단하는 기법을 고려할 것을 권장합니다.
보조 비밀번호와 PIN, 예측하기 어려운 사용자 이름, 다단계 로그인 페이지는 보안을 강화하지만, 그만큼 사용자 불편을 가중시킵니다. 고객 전환율을 높이고 장바구니 이탈률을 낮추려는 기업은 고객의 구매 과정에 방해 요소를 두지 않으려 할 것입니다. 비회원 결제도 도움이 될 수 있지만, 조직이 개인화된 맞춤형 경험을 제공하기 어렵게 만듭니다. MFA는 효과적이지만 사용자 경험에 불편을 더하며, 범죄자들의 집중적인 공격 대상이 되어 왔습니다.
CAPTCHA 역시 사용자에게 불편을 초래하며, 많은 사람이 생각하는 것보다 방어 효과가 떨어집니다. 머신 러닝과 클릭 팜을 활용하는 CAPTCHA 해결 서비스로 인해 봇은 적은 비용으로 CAPTCHA를 우회할 수 있습니다. (Dan Woods의 모험담은 인간 CAPTCHA 해결사의 이야기에서 확인하세요.)
F5와 협력해 온 조직들은 IP 차단 목록과 정적 WAF 규칙을 유지 관리하기가 지나치게 어렵다는 사실을 알게 되었습니다. 프록시 서비스를 이용하면 봇이 수백만 개의 유효한 가정용 IP 주소를 활용할 수 있습니다. 한편 봇은 차단될 때마다 몇 시간 안에 수법을 바꿉니다. 이러한 접근 방식은 보안 팀을 승산 없는 두더지 잡기식 대응에 내몰 뿐입니다.
마찬가지로 계정 모니터링 및 탐지, 사고 대응 계획, 사용자 알림은 모두 중요하며 봇 관리 프로그램에 포함되어야 합니다. 하지만 이러한 보호 조치는 사후에 적용됩니다. 다행히 범죄자가 계정을 탈취하지 못하도록 사전에 방지할 수 있는 기법이 있습니다.
F5는 자사와 고객을 보호하기 위해 최선을 다하는 조직과 협력하여 크리덴셜 스터핑으로 인한 사기성 악용을 방지하는 동시에, 고객에게 만족을 선사하고 오늘날의 경쟁적인 시장에서 우위를 점할 수 있는 탁월한 디지털 경험을 제공합니다. F5는 고객의 신뢰를 얻어 왔습니다. 사용자에게 불편을 주지 않으면서 업계 최고 수준의 효과로 봇을 차단해 왔기 때문입니다. 이 기술은 디바이스 환경과 봇의 행동 특성을 포괄하는 JavaScript 및 모바일 네이티브 신호에 대한 다년간의 연구 개발을 기반으로 합니다. 이러한 신호를 기반으로 한 실시간 탐지뿐만 아니라 F5 Distributed Cloud Bot Defense에는 봇의 도구 변경을 신속하게 탐지하고 대응하는 머신 러닝 분석 서비스도 포함되어 있습니다. 장기적인 효과를 보장하기 위해 신호 수집 코드는 고급 난독화 기법을 거치며, 이를 통해 리버스 엔지니어링과 신호 변조를 방지합니다.
F5는 사이버 보안을 개인의 문제로 인식하는 것이 중요하다고 믿으며, 조직에 사기 피해를 입히고 개인의 삶을 파괴하는 크리덴셜 스터핑 공격은 바로 F5가 해결하고자 전념하는 문제입니다. F5의 글로벌 인텔리전스 책임자인 댄 우즈가 Fast Company에서 지적했듯이, 이러한 공격은 그동안 충분한 관심을 받지 못했습니다. 다행히 GPA와 여러 개인정보 보호 기관이 개인의 프라이버시에 미치는 위험을 부각하고 있습니다.
"콜로니얼 공격은 사이버 보안에 대한 대중의 인식과 언론의 보도 방식 사이에 뚜렷한 괴리가 있음을 보여주었습니다. 수백만 명에게 약간의 불편을 초래하면 국제적인 헤드라인을 장식합니다. 하지만 각기 다른 사기로 수천 가정의 평생 모은 돈을 훔쳐 삶을 파괴하면 아무도 관심을 보이지 않습니다."
우리 삶의 많은 부분이 온라인 데이터로 저장되는 디지털 시대에는 조직이 데이터 개인정보 보호를 매우 엄중하게 다룰 것이라 믿고 의지합니다. 세계 각국 정부가 갈수록 엄격한 개인정보 보호법을 제정하면서 그 중요성은 더욱 분명해지고 있습니다. GDPR과 같은 데이터 개인정보 보호법은 조직이 개인정보를 보호하기 위해 모든 적절한 조치를 취하도록 요구합니다. 이제까지 밝혀진 크리덴셜 스터핑의 특성을 고려할 때, 이러한 GPA 지침은 크리덴셜 스터핑 방지 대책이 모든 조직의 적절한 보호 조치에 반드시 포함되어야 함을 명확히 보여 줍니다.
봇 방어의 투자 수익률(ROI)에 대한 자세한 내용은 Forrester 총 경제 효과 보고서를 참조하세요. 자세히 알아보고 F5 봇 전문가와의 상담을 예약하려면 f5.com/bot-defense를 방문하세요.
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.