사이버 범죄자들이 온라인 계정을 탈취하는 방법

F5 에코시스템 | 2022년 10월 18일

최근 한 친구가 어릴 적 가족과 함께 했던 놀이에 관한 이야기를 들려주었습니다. 자동차 여행을 할 때면 다른 차에 탄 사람들이 어디에서 왔는지 맞혀 보곤 했다고 합니다. 추측의 근거는 제한적인 정보뿐이었습니다. 기껏해야 자동차 번호판에 적힌 주나 범퍼 스티커 정도였습니다.

반면 오늘날에는 다양한 디지털 자산에서 개인 정보를 매우 쉽게 찾을 수 있으며, 악의적인 행위자들이 피싱이나 스미싱 같은 사회 공학적 수법을 통해 이러한 정보에 접근하기도 더욱 쉬워졌습니다.

사이버 범죄자의 심리

사이버 범죄는 대부분의 범죄와 마찬가지로 수단(Means), 기회(Opportunity), 동기(Motive), 즉 MOM이라는 개념에서 시작됩니다. 사이버 범죄자의 심리와 그들이 사이버 사기를 저지르게 되는 요인을 이해하는 것이 중요합니다:

수단: 범죄를 저지를 수 있는 역량과 도구, 수단은 넘쳐납니다. 이제 범죄자들은 이용할 수 있는 무료 도구와 서비스가 풍부해진 덕분에 사기를 저지르기 위해 고도의 전문 지식을 갖출 필요가 없습니다.
기회: 잠재적인 표적이 무수히 많습니다. 금전부터 개인 의료 기록에 이르기까지 모든 것이 디지털화되면서 애플리케이션 경제가 급성장함에 따라, 사이버 범죄자들이 사기를 저지를 기회와 표적도 충분해졌습니다.
동기: 일반적으로 동기는 금전적 이득이지만, 항상 그런 것은 아닙니다.

공격을 받고 있다고 가정하세요

일반적으로, 여러분이 관리하는 모든 소비자용 애플리케이션과 디지털 계정은 언젠가 공격받을 것이라고 가정해야 합니다. 공격자들이 앱 로직을 악용해 사기를 저지르는 데 능숙해졌기 때문에 아무리 철저히 보호된 계정이라도 공격을 피하기는 어렵습니다.

사이버 범죄자와의 싸움에서 승리하려면 협력이 필요합니다. 이 협력에는 개별 계정 소유자뿐 아니라 기관의 애플리케이션 개발자, 사기 방지 팀, 보안 팀도 참여해야 합니다. 올바른 대응을 위해서는 이러한 애플리케이션을 사용하는 개인과 이를 개발하는 기업이 함께 노력해야 하며, 우선 보안 팀과 사기 방지 팀이 자동화된 애플리케이션 위협에 대한 방어 체계를 통합하여 상류 단계에서 봇 공격을 차단함으로써 하류 단계의 사기를 예방해야 합니다.

봇은 양날의 검입니다

자동화는 그 자체로 좋은 것입니다. 봇은 반복적인 작업을 자동화하고, 기업이 고객과 소통하며 브랜드에 대한 호감도를 높일 수 있도록 지원합니다. 예를 들어, 궁금한 점에 대한 답변을 실시간으로 받기 위해 고객 서비스 챗봇을 이용해 본 적이 있을 수 있습니다.

하지만 악의적인 사람의 손에 들어가면 봇과 자동화는 계정을 탈취하고 사기를 저지르기 위한 크리덴셜 스터핑과 같은 악성 공격을 수행하는 강력한 도구로 악용될 수 있습니다.

일반적으로 크리덴셜 스터핑 공격은 이전에 탈취한 인증 정보를 수많은 도메인에서 대입해 봅니다. 이러한 공격은 사용자 이름과 비밀번호가 여러 애플리케이션에서 흔히 재사용된다는 점을 악용합니다.

실제로 최근 보고서에 따르면 직원들은 평균적으로 비밀번호를 13번 재사용합니다. 또한, 소비자들은 계정이 침해되었다는 알림을 받아도 약 3분의 1만이 비밀번호를 변경합니다.

사이버 범죄자들은 이러한 취약점을 악용하여 다음을 비롯한 다양한 유형의 사기를 저지릅니다:

금융 사기: 공격자는 훔친 개인정보를 이용해 피해자 명의로 계좌를 개설하거나 기존 계좌에 접근하여 돈을 훔칩니다. 이러한 계좌는 자금 세탁과 같은 다른 범죄 활동에도 이용될 수 있습니다.
소매 사기: 공격자는 도용한 개인정보를 이용해 소매점이나 전자상거래 사이트에서 상품을 구매하고, 재고를 사재기하며, 잔액이 남아 있는 기프트 카드를 훔칩니다.
여행·숙박업 사기: 이러한 유형의 사기는 일반적으로 여행 및 고객 로열티 프로그램을 표적으로 삼습니다. 공격자는 사기성 여행 또는 숙박 서비스를 이용해 사용자의 로그인 정보와 신원 정보를 탈취한 후 다른 용도로 악용합니다. 또한 이전에 탈취한 로열티 포인트, 항공 마일리지 및 리워드 포인트를 사용해 자신이나 다른 사람을 위한 여행 서비스를 예약합니다.

자격 증명 공격의 문제점

신원 기반 자격 증명 공격은 사기로 이어지는 자동화된 웹 공격의 가장 큰 원인입니다. 신원 정보는 사이버 범죄 포럼에서 손쉽게 구매할 수 있습니다. 일부 소셜 미디어 플랫폼에서도 관련 목록을 찾아 구매할 수 있습니다.

최근 1~2일 이내에 탈취된 것과 같은 최신 자격 증명은 가치가 더 높아 사이버 범죄자들이 더 비싼 가격에 구매합니다. 오래된 자격 증명은 성공 가능성이 훨씬 낮기 때문에 가치도 떨어집니다. 가치 있는 자격 증명과 개인 식별 정보는 외부 계정 침해를 통해 확보되므로 이러한 공격은 식별하고 차단하기가 어렵습니다.

예를 들어 살펴보겠습니다. 자격 증명을 훔치거나 입수한 사이버 범죄자는 봇이나 기타 자동화 도구를 사용해 계정을 생성하거나 계정에 액세스하려고 시도합니다. 이러한 시도는 수천 번(심지어 수백만 번) 이루어질 수 있습니다. 자격 증명 기반 공격의 성공률은 0.2%~2% 수준입니다. 이 비율이 낮아 보일 수 있지만, 수십억 개의 자격 증명을 무료 또는 매우 저렴한 비용으로 구할 수 있으므로 자격 증명 공격은 성공률이 높을 필요가 없습니다.

100만 개의 계정을 공격해 2,000개에서 20,000개에 달하는 계정에서 성공을 거둔다고 상상해 보세요. 실로 엄청난 수치입니다!

계정 탈취 및 사기 방지

이러한 범죄 행위는 각각 일련의 사건을 잇는 고리라는 점을 이해하는 것이 중요합니다. ‘산업화된 공격 주기’(아래 그림 참조)는 이 생태계의 핵심 요소를 보여 줍니다. 안타깝게도 이 생태계는 규모가 크고 회복력이 강하므로, 개인과 조직은 자신과 고객, 비즈니스 파트너를 보호하기 위해 각별히 경계해야 합니다.

개인 차원에서는 잠재적으로 피해를 줄 수 있는 피싱 공격을 식별하는 방법을 익히고, 매우 강력한 비밀번호를 사용하며, 여러 계정에서 같은 비밀번호를 재사용하지 않도록 해야 합니다.

동시에 보안팀과 사기 방지팀은 조직화된 공격의 전 과정을 함께 차단하기 위해 협력해야 합니다.

아래 동영상을 통해 F5가 조직이 사이버 사기로부터 스스로를 보호하도록 어떻게 지원하는지 알아보세요.

API와 API가 보안 문제가 될 수 있는 이유를 살펴보는 사이버 보안 인식의 달 4부작 시리즈의 마지막 블로그 게시물도 기대해 주세요. 또한 이전 블로그 게시물인 최신 애플리케이션의 구축 및 배포 방식과 악의적 행위자가 공격을 통해 애플리케이션을 악용하는 방식도 꼭 읽어보세요.