새롭게 떠오르는 기술 트렌드에는 으레 수많은 FUD(공포, 불확실성, 의심)가 따라붙으며, 특히 참여를 열망하는 소비자가 대거 몰릴 때는 더욱 그렇습니다. 봇이나 그 밖의 기술적으로 ‘똑똑한’ 것들이 스스로 여러분을 해치려 한다는 편집증적 우려는 (적어도 지금까지는) 대수롭지 않게 넘길 수 있지만, 그것들이 선한 목적만큼이나 악한 목적으로도 쉽게 이용될 수 있다는 현실은 무시하기 어렵습니다.
11월 30일부터 12월 1일 사이에 인터넷의 루트 네임 서버 13대를 겨냥해 발생한 대규모 DDoS 공격을 생각해 보자. 이 서버들은 모두 합쳐 사실상 인터넷 전체를 지탱한다. 물론 분산 방식으로 작동하도록 설계되어 있어, 이 서버들이 장애를 일으키더라도 전 세계의 다른 서버들이 그 역할을 이어받아 도메인 이름에 해당하는 IP 주소를 계속 제공할 것이다. 따라서 이 사건에서 정말 무서운 것은 공격의 영향이 아니라 공격에 사용된 메커니즘이다.
“DDoS 공격이 절정에 달했을 때 서버들은 초당 500만 건이 넘는 쿼리를 받았으며, 이틀 동안 총 500억 건이 넘는 쿼리를 받았다.” (http://www.ibtimes.co.uk/john-mcafee-massive-ddos-attack-internet-was-smartphone-botnet-popular-app-1532993).
여러 보안 전문가에 따르면, 이러한 쿼리의 출처는 거의 확실히 휴대전화였습니다. 여러분의 휴대전화였을 수도 있고, 제 휴대전화였을 수도 있습니다. WiFi, 모바일 네트워크, 이동통신사 등 고려해야 할 변수가 많아 고르게 분포된 IP 주소들이 어디에서 비롯되었는지 파악하기 어렵기 때문에 확실히 알기는 어렵습니다.
전문가들은 악성 앱이 설치된 휴대전화를 원인으로 지목하고 있습니다. 비교적 적은 수의 악성 앱만 활성화되어도 이 정도 규모의 공격 봇을 손쉽게 확보할 수 있다는 것입니다. 대체 누가 악성 앱을 설치할까요? 물론 그 앱이 악성이라는 사실을 모르기 때문입니다. 현재로서는 이 악성 앱이 손전등 앱처럼 용량이 작고 유용하며 완전히 무료인 단순한 유틸리티로 위장하고 있는 것으로 추정됩니다.
이는 결코 현실을 과장한 이야기도, 예전처럼 터무니없는 이야기도 아닙니다. 연결성과 API 의존성으로 인해 악용될 수 있는 ‘사물’의 수가 증가하고 있으며, 머지않아 그 규모가 충분히 커져 오늘날 휴대전화가 초대형 기관에 가하는 위협에 맞먹는 수준으로 간주될 수 있습니다.
공격 대상으로 거론되는 기관 중 가장 대표적인 곳은 물론 봇, 멀웨어 및 기타 악성 프로그램에 익숙한 금융기관입니다. 범죄자들이 사기를 저지르는 가장 흔한 수법 중 하나가 피싱이나 기타 사회공학 기법을 통해 휴대폰에 멀웨어를 심는 것이기 때문입니다. 기기에 침투한 이 악성 소프트웨어는 “다양한 기법을 사용해 피해자의 기기에서 관리자 권한을 획득하고, 사용자의 TAN(거래 인증 번호)을 탈취하며, OTP가 포함된 SMS 메시지를 가로채고, 자격 증명을 빼내고, 사기성 콘텐츠를 표시하고, 자동으로 자금을 이체하는 등 여러 악성 행위를 수행한다”고 샤울 빌코미르-프라이스만 F5 SOC의 선임 멀웨어 분석가는 설명합니다F5 SOC.
Shaul은 최근 새롭게 부상하는 위협인 Tashua-Bot에 대한 분석을 게시했습니다. Tashua-Bot은 합법적인 금융 사이트 위에 콘텐츠를 덧씌워 소비자가 민감한 정보를 입력하도록 속이는 기존 수법을 개선함으로써, 이미 위험 부담이 큰 사기 범죄의 위협 수준을 한층 더 높였습니다. 이는 공격자가 “사실상 무한한 수의 합법적인 애플리케이션”을 표적으로 삼을 수 있을 뿐만 아니라, 악성코드 자체를 변경하지 않고도 각 애플리케이션에 맞춤형 사기 콘텐츠를 표시할 수 있게 한다는 점에서 위험한 진화입니다. 즉, 일단 설치되면 금융기관이 소비자를 사기 행위로부터 보호하기 위해 어떤 방어 조치를 마련하더라도 이를 무력화하며 반복적으로 악용될 가능성이 있습니다.
앱 경제에 대한 시장 전반의 낙관적인 시각을 나타내며 흔히 가볍게 쓰이는 “그런 용도의 앱도 있다”라는 말은 소비자에게만 해당하는 것이 아니라, 악의적인 이들에게도 마찬가지인 듯합니다. 휴대전화든 냉장고든, 또는 가전제품에 부착해 필요한 물품을 Amazon에서 자동으로 주문하는 ‘기기’든, 악의적인 이들은 소비자와 이들이 인터넷에 연결하는 기기의 수가 늘어나는 상황을 악용할 새로운 방법을 적극적으로 모색하고 있습니다. Yasuo-Bot에 대한 분석에서 알 수 있듯이, 이들은 결코 가만히 있지 않고 끊임없이 움직이며 편리함을 추구하는 우리의 욕구를 자신들의 목적에 이용할 새로운 방법을 찾고 있습니다.
모두 안전에 유의하고 단단히 대비하세요. 앞으로 험난한 여정이 될 테니까요.
작성자 소개
Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.
Lori Mac Vittie의 다른 블로그 게시물관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.