최근 열린 FDX Global Summit Spring 2021에서 저는 F5를 대표해 Cequence Security 및 Mastercard-Nudata의 패널들과 함께 패널 토론에 참여했습니다. 이 자리에서 금융 기관, 데이터 통합업체, 보안 공급업체가 함께 안전하고 개방적인 데이터 공유용 오픈 뱅킹 표준을 정의하기 위해 협력하는 FDX API 보안 실무 그룹의 활동에 대해 논의했습니다.
Financial Data Exchange(FDX)는 공통 상호 운용 가능한 데이터 표준을 마련하기 위해 FDX API(애플리케이션 프로그래밍 인터페이스) 표준 개발에 주력하는 비영리 단체입니다. 이를 통해 소비자와 기업은 금융 데이터에 안정적이고 안전하게 접근할 수 있으며, 미국과 캐나다의 오픈 뱅킹을 위한 기준이 마련될 것입니다.
오픈 뱅킹은 핀테크 기업과 기타 승인된 제3자가 소비자의 금융 정보에 접근하여 혁신을 이루고 부가가치 서비스를 제공할 수 있도록 함으로써 금융 서비스 업계의 혁신과 협업을 한층 강화할 수 있는 흥미로운 기회를 제공합니다. 오픈 뱅킹 표준을 통해 소비자는 제3자가 특정 소비자 금융 데이터(예: 잔액, 거래 내역)와 기능(예: 결제)에 세분화된 방식으로 안전하게 접근하는 데 동의하고 이를 허용할 수 있습니다. 제3자와 핀테크 기업이 제공할 수 있는 부가가치 서비스에는 다음과 같은 다양한 가능성이 있습니다:
- 여러 기관의 계좌 및 서비스를 한곳에 통합
- 결제 개시
- 금융 상품 비교
- 해당 기관에서 아직 제공하지 않는 은행 서비스를 제공
- 신원 확인, 신용 상환 능력 평가 등 금융 데이터를 기반으로 의사결정 및 인사이트를 제공합니다.
F5는 전 세계 금융 서비스 고객과 긴밀히 협력하여 오픈 뱅킹 API를 구현하고 보호해 왔습니다. F5와 Twimbit는 오픈 뱅킹의 세계적인 동향에 관한 연구를 공동으로 발표했습니다.
소비자 금융 정보의 내재적 가치
소비자 금융 정보는 다크넷 마켓플레이스에서 미화 35달러(잔액이 적어 다른 사기에 대포 계좌로 활용할 수 있는 계정)부터 미화 150달러 이상(잔액이 더 많은 계정)에 거래되는 상품입니다. 소비자 금융 정보의 거래 가격이 이처럼 비교적 낮은 이유는 탈취된 계정과 인증 정보가 지나치게 많이 유통되고 있기 때문입니다. 이에 공격자들은 수천 개의 탈취 계정을 거래하는 작업을 대규모로 수행하기 위해 자동화 수단인 API를 활용해 왔으며, 그 결과 금융 API는 반드시 보호해야 할 주요 공격 표면이 되었습니다.
공격자들이 노리는 오픈 뱅킹 API
최근 금융 서비스 부문을 노리는 사이버 범죄자들은 애플리케이션 프로그래밍 인터페이스(API)에 대한 공격 비중을 늘리기 시작했습니다. 애플리케이션은 점점 더 분산되고 탈중앙화된 모델로 전환되었으며, API가 연결 지점 역할을 하고 있습니다. F5의 최신 연구에 따르면 API 보안 사고는 매년 증가하고 있으며, 지난 2년간 발생한 API 사고의 대부분은 낮은 보안 성숙도와 관련이 있었습니다. 이는 흔히 도구의 무분별한 확산으로 인해 발생합니다. 여러 애플리케이션을 담당하는 각기 다른 개발 팀은 서로 다른 도구 세트를 사용하는 경우가 많습니다. 따라서 기존 보안 팀에는 보안을 적용할 중앙 집중식 제어 지점이 없을 수 있습니다. 이에 따라 API 개발 및 관리 프로세스에 적절한 제어 기능을 내재화할 수 있는 표준 도구 세트가 필요합니다.
진화의 과정—OFX와 스크린 스크래핑
주의가 필요한 위협 표면은 API만이 아닙니다. 전통적으로 소비자 데이터에 액세스해야 하는 제3자와 금융 데이터 통합업체는 다음 두 가지 메커니즘을 활용해 왔습니다:
- OFX(Open Financial eXchange)—원래 소비자용 금융 애플리케이션(예: MS Money, Intuit QuickBooks)을 사용자의 금융기관에 연결하기 위해 구축되었습니다.
- 스크린 스크래핑—소비자가 제3자에게 자신의 은행 로그인 정보를 제공하면, 해당 제3자가 금융 서비스 웹 채널에 로그인하여 관련 정보를 수집하는 방식입니다.
공격자는 OFX를 채널로 활용하여 직접 또는 금융 정보 통합 서비스를 통해 대규모 크리덴셜 스터핑, 계정 검증 및 계정 탈취를 수행할 수 있습니다:
- F5는 공격자가 직접 또는 금융 데이터 통합 서비스를 통해 대규모 크리덴셜 스터핑, 계정 유효성 검증 및 계정 탈취를 수행하는 경로로 OFX를 활용하는 사례를 정기적으로 관찰합니다.
- 화면 스크래핑을 위해 제3자에게 자격 증명을 제공하면 해당 자격 증명의 보안이 그 제3자의 보안 수준에 좌우됩니다.
- 이러한 메커니즘은 제3자가 접근할 수 있는 정보에 대해 소비자가 세부적으로 동의하고 통제할 수 있도록 지원하지 않으므로 개인정보 침해로 이어집니다.
OFX는 FDX에 합류했으며 궁극적으로 하나의 통합 표준으로 병합될 예정입니다. 이는 보안 통제를 현대화하고 과거의 보안 문제를 해결할 기회가 될 것입니다. 화면 스크래핑 기반 방식은 여전히 금융 기관에 어려운 과제로 남아 있습니다.
보안 강화를 위한 권장 사항
FDX는 소비자 계정 정보와 서비스 무결성을 위협 및 위험으로부터 보호하기 위해 구현해야 할 통제 조치에 관한 종합적인 지침을 발표했습니다. 이러한 통제 조치에는 다음이 포함됩니다:
- 소프트웨어 보안—OWASP 10대 보안 위험 및 기타 소프트웨어 취약점에 대한 통제—웹 애플리케이션 방화벽(WAF) 배포 포함
- 네트워크 및 시스템 보안
- 운영 보안
- 물리적 보안
- 비즈니스 연속성 및 재해 복구
- 공급업체 보안
- 자격 증명 대입 공격에 대한 통제를 포함한 인증(authN)/인가(authZ) 설계 패턴크리덴셜 스터핑
- 보안 게이트웨이 아키텍처(SGA)를 위한 패턴(다음 포함): API 게이트웨이에 기본으로 내장된 API 보안 제어
마지막으로, F5 오픈 뱅킹 솔루션 가이드는 오픈 뱅킹을 위한 F5 솔루션에 대한 포괄적인 접근 방식을 제공합니다.
이 글 작성에 기여해 주신 금융 서비스 팀의 Benn Alp, Chad Davis, Andy Franklin에게 특별히 감사드립니다.
작성자 소개
관련 블로그 게시물
AI 시대의 새로운 애플리케이션 제공 원칙으로 복잡성 극복하기
보안, 일관성, 완전 자동화에 중점을 둔 애플리케이션 제공의 새로운 6가지 원칙을 도입하여 복잡성 없이 하이브리드 멀티클라우드의 유연성을 누리세요.
디지털 혁신을 가속화하는 6가지 기술 역량
오늘날의 엔터프라이즈 아키텍처에는 기술 변화를 주도하는 데 핵심적인 민첩성, 확장성, 보안 및 관찰 가능성이 부족하지만, 이 여섯 가지 핵심 역량은 기업이 디지털 혁신 전반에 걸쳐 위험과 과제를 관리하는 데 도움이 될 것입니다.
하이브리드 근무가 ID 중심 보안으로의 전환을 이끌고 있습니다
자동화와 디지털화의 폭발적인 성장에 하이브리드 근무 모델로의 전환 추세가 더해지면서, IP 기반 보안에서 벗어나 ID 기반 액세스 전략으로 전환하는 움직임이 더욱 가속화될 것입니다.
관점의 현대화: 애플리케이션에서 경험으로
그리스와 로마의 신들처럼, 여러 신화에서도 동일한 존재가 다양한 모습으로 나타나는 것을 볼 수 있습니다. 본질적으로 각각의 화신은 기존 존재가 새로운 얼굴로 드러난 것입니다. 디지털 세계에서도 이와 비슷한 양상이 나타납니다. 우리가 ‘애플리케이션’이라고 부르는 것들은 흔히 기존 기능이 새로운 형태로 구현된 것이라 볼 수 있습니다.
코로나19 이후 기업 결제의 디지털 전환
디지털 결제는 과거의 현금만큼이나 보편화되었습니다. 코로나19 팬데믹으로 인한 봉쇄 조치는 소비자의 디지털 결제 서비스 의존도를 더욱 빠르게 높였습니다. 기업의 디지털 결제 도입 역시 가속화되었습니다. 대중을 상대로 영업하든 하지 않든 기업에는 여전히 지급해야 할 대금과 받아야 할 대금이 있기 때문입니다.
공급망 해킹과 보안에서 하드웨어의 역할
수석 아키텍트 Dave Schmitt와 CTO 오피스가 최근 Bloomberg의 Super Micro 관련 기사를 계기로 하드웨어 보안 전문성의 중요성을 되짚어봅니다. 또한 이 글에서는 시스템이 안전하게 보호되고 있는지 확인하기 위해 공급업체에 물어봐야 할 질문도 소개합니다.