많은 사람이 마침내 오랫동안 기다려 온 휴가 여행을 계획하기 시작했습니다. 팬데믹이 시작된 이후 처음으로 제대로 떠날 기회일지도 모릅니다. 그동안 로열티 프로그램에 쌓아 둔 채 사용하지 못했던 항공 마일리지나 호텔 포인트를 사용할 계획일 수도 있습니다. 그런데 사이버 범죄자들이 로열티 계정을 속이거나 탈취해 포인트를 빼돌렸다는 사실을 알게 된다면 얼마나 당황스러울지 상상해 보십시오.
로열티 포인트 프로그램은 오래전부터 운영되어 왔으며 고객을 유치하고 유지하는 데 매우 유용한 수단입니다. 하지만 최근에는 이러한 프로그램을 노려 계정을 탈취하려는 범죄가 급증하고 있습니다. 그 이유는 무엇일까요? 사용되지 않은 로열티 포인트가 매우 많이 쌓여 있기 때문입니다. Loyalty Security Association에 따르면, 미국에서만 계정의 45%가 비활성 상태로 간주되며, 이는 회원 계정에 사용되지 않은 포인트가 약 48조 달러어치나 쌓여 있다는 뜻입니다. 대부분 관리되지 않은 채 방치되어 있거나 잊힌 포인트입니다. 이는 사이버 범죄자들에게 더없이 매력적인 표적입니다. 이들은 이렇게 방치된 포인트를 손쉽게 탈취해 개인적인 이익을 위해 현금화할 수 있기 때문입니다.
범죄자들이 로열티 프로그램을 노리는 이유
사이버 범죄자에게 로열티 포인트 계정을 탈취하는 것은 손쉬운 표적입니다. 이러한 계정에 수천 달러 상당의 가치가 쌓여 있을 수 있지만, 대부분의 소비자는 은행이나 금융기관의 금융 계좌만큼 꼼꼼히 확인하지 않습니다. 많은 계정이 단순한 사용자 이름과 비밀번호 조합으로 보호되며, 여러 소비자가 비밀번호를 재사용하기 때문에 도난당한 인증 정보를 보유한 범죄자는 자동화된 봇 공격을 이용해 로열티 계정에 크리덴셜 스터핑 공격을 비교적 쉽게 수행할 수 있습니다. 포인트를 장악한 범죄자는 이를 현금화하거나 기프트 카드처럼 추적이 어려운 상품으로 교환하거나 다크 웹에서 금전적 대가를 받고 판매할 수 있으며, 이 과정에서 범죄자가 감수하는 위험은 낮습니다. 또한 범죄자들은 로열티 계정을 탈취하면 단기적인 금전적 이득뿐 아니라 개인 식별 정보, 여행 및 숙박 데이터, 쇼핑 패턴 등을 이용한 신원 도용을 비롯해 추가 사기 행위에 활용할 데이터와 정보를 확보할 수 있다는 사실도 알고 있습니다.
사실 주의해야 할 대상은 사이버 범죄자뿐만이 아닙니다. 다음은 유의해야 할 세 가지 유형의 로열티 프로그램 사기입니다:
- 이중 적립: 정상 회원이 포인트를 전화와 온라인에서 동시에 사용하는, 이른바 ‘이중 적립’ 방식으로 프로그램을 악용하는 경우입니다. 또는 자신이 구매하지 않은 거래에 로열티 계정 번호를 연결해 포인트를 부정 적립할 수도 있습니다. 대량의 리워드 포인트를 얻기 위해 상품을 구매한 뒤 거래를 취소하되, 그 전에 포인트를 현금성 보상으로 교환하는 경우도 있습니다. 또한 일반 소비자와 로열티 프로그램 회원이 프로그램의 허점을 이용해 정책이나 비즈니스 로직을 악용하기도 합니다. 쿠폰이나 프로모션 코드를 공유하거나, 판매자 정책을 위반하거나, 부당하게 리워드를 얻기 위해 동일한 리워드 프로그램과 연계된 신용카드를 여러 장 발급받는 행위 등이 이에 해당합니다.
- 내부자 소행: 조직 내부자나 직원이 연루된 사기를 말합니다. 이들은 사용되지 않았거나 주인이 확인되지 않은 포인트를 다른 회원 계정에 적립하거나 계정 간에 포인트를 부정하게 이전하는 등의 방식으로 로열티 프로그램을 조작할 수 있습니다.
- 사이버 범죄자: 로열티 프로그램 사기의 가장 큰 원인은 단연 사이버 범죄이며, 가장 흔한 수법은 크리덴셜 스터핑, 폼재킹 또는 단순한 피싱과 같은 자동화 도구를 이용한 계정 탈취(ATO)입니다. 이를 통해 적립된 포인트와 저장된 신용카드 정보에 접근합니다. 크리덴셜 스터핑은 악의적인 공격자가 유출된 대량의 인증 정보(예: 다른 사이트에서 유출된 사용자 이름과 비밀번호)를 또 다른 사이트의 로그인 페이지에서 시험하는 수법입니다. 사람들은 여러 계정에서 비밀번호를 재사용하기 때문에 이러한 수법으로 로열티 계정에 접근하는 데 성공할 가능성이 매우 높으며, 공격자는 사용자 이름과 비밀번호를 변경해 계정을 탈취할 수 있습니다. 폼재킹은 해커가 계정을 탈취하는 또 다른 경로로, 소비자가 개인 정보를 입력할 때 해당 데이터를 수집하고 전송하도록 로열티 프로그램의 웹 양식을 가로채는 수법입니다. 이로써 공격자는 계정에 대한 완전한 접근 권한을 얻어 마음대로 포인트를 빼돌리거나 계정을 다른 악의적인 목적으로 사용할 수 있습니다.
로열티 포인트 프로그램 방어 및 보호
고객과 로열티 프로그램을 사기 행위로부터 보호하는 것은 매우 중요합니다. 사기 행위에 제대로 대응하지 않으면 소비자의 신뢰와 브랜드 평판이 심각하게 훼손될 수 있기 때문입니다.
하지만 기존의 사이버 보안 체계만으로는 로열티 프로그램을 노리는 정교한 공격을 더 이상 효과적으로 막을 수 없습니다. 짧은 세션 만료 시간, 지역 차단, 다단계 인증, 회원에게 CAPTCHA 풀이를 요구하는 방식과 관련된 낡은 보호 조치와 불필요하게 제한적인 정책은 사용자에게 불편을 초래할 뿐만 아니라 쉽게 우회될 수 있습니다.
공격자는 단 몇 달러만 지불하면 저렴한 CAPTCHA 해결 서비스를 활용해 기본적인 봇 방어 체계를 우회하고, 특정 지역을 표적으로 한 정확도 높은 자격 증명 목록을 구매할 수 있습니다. 방어자가 이들의 활동을 차단하려 하면 범죄 조직은 전술과 수법을 빠르게 바꿀 수 있으므로, 전문 도구와 전담 보안팀 없이는 공격자보다 한발 앞서 대응하기가 거의 불가능합니다.
로열티 프로그램을 사기로부터 보호하기 위한 5가지 모범 사례
로열티 프로그램은 기업의 가장 가치 있는 고객에게 혜택을 제공하고 고객과 더욱 긴밀한 관계를 구축하는 데 도움이 됩니다. 공격이 증가하는 상황에서 이러한 프로그램과 프로그램에 적립된 고객 리워드를 보호하는 일은 그 어느 때보다 중요합니다. 다음의 5가지 모범 사례를 활용하면 정상적인 회원이 포인트를 확인하거나 사용하는 데 불필요한 불편을 겪지 않도록 하면서 가장 일반적인 공격 시나리오에 집중해 대응할 수 있습니다.
- 신규 계정 사기를 방지하세요. 신규 계정 사기는 사기범이 도용되거나 조작된 신원 또는 기타 허위 신원을 사용해 로열티 계정을 대량으로 생성하는 행위를 말합니다. 범죄자는 이러한 사기 계정을 이용해 포인트를 적립하고 재판매하거나 포인트 사용 프로그램을 악용할 수 있습니다. 사이버 방어 솔루션이 공격자가 자동화 도구나 정교한 수작업 기법을 사용해 여러 개의 가짜 계정을 생성하려는 시도를 탐지할 수 있는지 확인하세요.
- 계정 탈취 시도를 완화하세요. 포인트를 훔치거나 저장된 고객 개인정보를 악용하려는 범죄자의 계정 탈취 시도를 방어 체계가 탐지할 수 있도록 하세요. 방어 체계는 공격 패턴의 변화에 적응하고 실시간으로 대응 방식을 재정비할 수 있어야 합니다. 텔레메트리 신호를 활용해 로열티 프로그램 트래픽을 모니터링하고 입력 패턴과 비정상적인 행동을 파악하여, 해당 트래픽이 악성 봇에서 발생한 것인지 사람에게서 발생한 것인지 판단하세요.
- 리워드 현금화 거래를 보호하세요. 각 거래의 신뢰도와 해당 거래와 관련된 고객의 신원을 정확하게 확인하여 로열티 리워드 사용 및 계정에 연결된 신용카드 결제가 정상적인 거래인지 확인하세요. 인공지능과 머신러닝을 활용해 거래 행태를 모니터링하는 도구로 프로그램을 보호하고, 로그인 시도에 따른 위험 수준을 기반으로 적절한 인증 절차를 선택하는 적응형 인증을 적용하세요. 예를 들어 비밀번호 변경이나 대량의 포인트 현금화와 같은 고위험 활동에는 강화된 보안 인증이 필요할 수 있습니다.
- 정책 악용을 모니터링하세요. 모든 상호작용 지점에서 신뢰도를 평가하여 쿠폰 및 프로모션, 할인 또는 추천 보너스의 악용이나 조작으로 인한 금전적 손실을 제한할 수 있도록 예방 조치를 마련하세요.
- 내부 위협 파악하기. 로열티 프로그램은 내부자 위협에도 취약합니다. 이상 징후를 모니터링할 수 있도록 사이트 직원의 활동을 추적하고 측정하며, 직원의 로열티 프로그램 데이터 접근을 제한하세요.
고객이 로열티 포인트 사기를 피할 수 있도록 지원하세요
로열티 프로그램과 그 자산을 보호하는 것뿐만 아니라, 다음 팁을 공유하여 프로그램 회원들이 포인트와 리워드를 사기로부터 지킬 수 있도록 도와주세요:
- 회원은 다른 금융 계좌와 마찬가지로 로열티 프로그램도 주기적으로 확인해야 합니다. 로열티 프로그램에는 수천 달러 상당의 가치가 담겨 있을 수 있으므로, 고객은 계정이 무단으로 변경되지 않았는지 정기적으로 확인해야 합니다.
- 강화된 보안 옵션을 활용하세요. 가능한 경우 회원들에게 다단계 인증과 같은 추가 보안 기능을 사용하도록 권장하세요. 보안 계층이 추가될 때마다 사기범이 계정을 탈취하기가 더욱 어려워집니다.
- 여행 프로모션 이메일과 소셜 미디어 게시물을 주의하세요. 고객에게 프로모션을 어떤 방식과 경로로 안내하는지 알려 주세요. 지나치게 좋은 조건의 여행 상품은 사실이 아닐 가능성이 높다는 점을 고객이 이해하도록 하세요. 요청하지 않았는데도 전송된 이메일 제안이나 피드에 표시되는 할인 정보는 로그인 정보와 신용카드 번호를 비롯한 개인정보를 훔치기 위한 피싱 시도일 가능성이 높습니다. 회원은 회신하거나 정보를 제공하기 전에 발신자의 이메일 주소가 정상적인지 확인하거나, 받은 이메일 또는 소셜 미디어 게시물을 통하지 말고 로열티 프로그램에 직접 연락하여 해당 제안이나 요청이 진짜인지 확인해야 합니다.
F5는 조직이 로열티 프로그램 사기를 방어할 수 있도록 지원하는 것을 자랑스럽게 생각합니다
F5가 회원 계정을 표적으로 삼아 가치 있는 리워드 포인트와 마일리지를 탈취하고 브랜드에 피해를 줄 수 있는 자동화 공격과 사기 행위로부터 여러 조직을 지속적으로 보호하는 방법을 알아보세요. 이 고객 사례를 읽고 Distributed Cloud Bot Defense가 한 글로벌 대형 항공사가 상용 고객 계정을 침해한 자동화된 웹사이트 공격을 차단하는 데 어떻게 기여했는지 알아보세요.
로열티 포인트, 기프트 카드 잔액 및 기타 적립금이 범죄자가 아닌 고객의 손에 안전하게 남도록 F5가 지원하는 다양한 방법을 다음 페이지에서 확인해 보세요: https://www.f5.com/solutions/ecommerce
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.