소개
인터넷은 전 세계에 혁신을 일으키고 있습니다. 아시아 태평양 지역의 평균 인터넷 보급률은 36%이며, 뉴질랜드는 91%, 싱가포르는 81%에 달합니다. 은행 부문도 이러한 흐름에서 예외가 아니며 디지털화되고 있습니다. 맥킨지 조사에 따르면 아시아 전역의 디지털 뱅킹 이용자는 7억 명이 넘습니다.
아래 차트는 McKinsey & Company가 집계한 아시아의 디지털 뱅킹 보급률을 보여줍니다.
디지털 뱅킹이 널리 보급되면서 범죄자들도 돈을 좇아 움직였고, 금융 기관은 사이버 공격의 주요 표적이 되었습니다. Websense Security Lab의 보고서에 따르면 금융 서비스 기관이 받는 평균 공격 횟수는 다른 업종의 기업보다 4배나 많습니다. 또한 이러한 공격은 특정 지역에 국한되지 않고 전 세계에서 발생하고 있습니다. 아래 차트는 Kaspersky의 2015년 보고서를 바탕으로 공격받은 사용자 비율이 높은 상위 10개국을 보여 주며, 아시아 태평양 지역이 공격 활동의 중심지임을 명확히 나타냅니다.
보안 위협에도 불구하고 디지털 뱅킹 시대는 계속될 것입니다. 이 글에서는 뱅킹 채널을 겨냥한 공격을 차단하기 위한 완화 전략과 활용 가능한 방안을 살펴봅니다.
위협 심층 분석
모든 금융기관은 디지털 자산을 보호하기 위해 상당한 주의를 기울이며, 온프레미스든 클라우드든 데이터센터를 지키기 위한 기술에 막대한 투자를 합니다. 심층 방어 체계에서는 핵심 자산이 여러 보안 계층으로 보호되므로 침해하기가 어렵습니다. 크래커가 이러한 방어 체계를 뚫으려면 제로데이 취약점을 찾아내고 고도로 정교한 기법을 사용해야 합니다. 반면 이러한 디지털 서비스에 접속하는 데 사용되는 엔드포인트는 보호 수준이 미미하거나 전혀 보호되지 않는 경우가 많습니다. 오래된 운영 체제, 백신 프로그램의 부재, 드라이브 바이 다운로드를 통한 감염 등으로 인해 사용자 기기의 보안에 허점이 생길 수 있습니다. 이로 인해 크래커는 기기를 감염시키고 디지털 시대의 앱 중심 환경에서 보안을 약화할 수 있는 다양한 수단을 확보하게 됩니다. 사이버 범죄자가 이러한 피해를 일으키기 위해 컴퓨터 전문가일 필요는 없습니다. 감염과 탈취를 위한 솔루션이 암시장에서 소프트웨어 형태로 유통되고 있기 때문입니다.
최신 멀웨어가 활용하는 도구 모음
공격 벡터 | 설명 |
폼 그래빙 및 키로거 | 폼 그래버는 사용자가 요청을 제출하기 전에 HTML 양식 요소에서 민감한 데이터를 캡처합니다.
키로거는 키 입력을 감지하고 데이터를 기록하여 탈취합니다.
|
RAT 및 백 커넥트 | 원격 운영자가 시스템을 제어할 수 있게 해 주는 원격 관리 도구입니다. 악성 RAT는 트로이 목마 형태로 사용자의 기기에 침투한 후 기기의 보안 소프트웨어에 탐지되지 않도록 숨습니다. |
중간자 공격 | MITM 공격에서 공격자는 브라우저와 서버 사이의 메시지를 중계하면서 이를 변조해 기밀 정보를 탈취하거나 세션을 가로챕니다. |
브라우저 중간자 공격 | MITB 공격은 사용자와 호스트 서버 모두가 알아차리지 못하도록 웹페이지와 거래 내용을 은밀하게 변조합니다. |
모바일 악성코드 | SMS를 탈취하여 일회용 비밀번호를 무력화하고 기기의 DNS를 손상시켜 기밀 정보가 유출되도록 할 목적으로 배포되는 트로이 목마입니다. |
멀웨어 이해하기
현대의 악성코드는 정보를 훔치는 것을 목적으로 제작됩니다. 정교한 악성코드 중 하나인 Dyre의 작동 방식을 살펴보겠습니다.
- 피해자의 컴퓨터는 스팸 캠페인을 통해 감염됩니다.
- 활성화된 악성코드는 브라우저에 후킹하여 사용자의 금융 사이트 접속을 탐지하고 로그인 자격 증명을 탈취합니다. 또한 2단계 인증과 추가적인 위험 기반 인증을 우회하기 위해, 필요한 추가 정보를 입력하도록 유도하는 HTML 콘텐츠를 표시합니다.
- 캡처된 모든 콘텐츠는 드롭 존으로 전송되며, 공격자는 그곳에서 해당 자격 증명을 사용할 수 있습니다.
위협에 선제적으로 대응하기
현대의 악성코드 위협을 완화하고 통제하려면 조직은 이를 탐지하고 억제할 수 있는 기술을 도입해야 합니다. 다음 표에서는 몇 가지 일반적인 원칙을 보여 줍니다.
원칙 | 정의 |
악성코드 사기 탐지
| 기기에서 실행 중인 악성코드 탐지 |
피싱 방지
| 원본 웹사이트를 복제한 사기성 웹사이트의 복제를 방지하고 폐쇄 |
애플리케이션 수준 암호화
| 사용자가 조직에 전송하는 민감한 정보가 브라우저에 남아 있는 동안 가로채지 못하도록 방지
|
거래 보호
| 다계층 거래 검사 및 위험 점수 산정을 통해 사기 거래와 의심스러운 활동으로부터 보호
|
기기 및 행동 분석
| 실제 사용자와 스크립트 및 봇이 시작한 자동화 거래를 구분하여 부정 결제 및 이체 방지
|
모바일 앱 보안
| 악성코드와 탈옥된 기기를 탐지하고 MiTM, 키로거 및 사기성 애플리케이션으로부터 보호하며, 공격자가 정보를 악용할 수 없도록 보장
|
선과 악 사이에는 끊임없는 추격전이 벌어지고 있습니다. 현대의 악성코드를 물리치기 위해 기술은 끊임없이 발전하고 있습니다. 이러한 기술은 크게 에이전트 기반 솔루션과 에이전트리스 솔루션으로 구분할 수 있습니다.
| 에이전트 기반 | 에이전트리스 솔루션 | 하이브리드 솔루션 |
정의 | 데스크톱에서 실행되며 공격 시그니처를 탐지하는 에이전트를 통해 솔루션이 제공됩니다. | JavaScript로 공격 시그니처를 탐지하는 웹 기술을 통해 솔루션이 제공됩니다. | 데스크톱에서 실행되는 에이전트와 JavaScript를 결합하여 애플리케이션과 함께 제공합니다. |
강점 | 에이전트가 데스크톱에서 높은 권한으로 실행되므로 공격을 탐지하고 완화할 수 있습니다. | 클라이언트리스 배포 방식으로 더 넓은 범위를 보호할 수 있습니다. 활성화하는 즉시 보호가 적용되며 사용자가 별도로 활성화하거나 설치할 필요가 없습니다. | 에이전트 기반 솔루션과 에이전트리스 솔루션의 강점을 모두 제공하는 조합입니다. |
배포 | 대규모 배포가 필요합니다. | 클라이언트 측에 배포할 필요가 없습니다. | 에이전트 솔루션을 배포해야 합니다. |
적용 범위 | 에이전트가 설치된 데스크톱을 사용하는 사용자만 보호됩니다. | 어떤 기기에서 접속하는 사용자든 보호합니다. | 모든 기기에서 접속하는 사용자를 보호합니다. |
과제 | 배포 및 대규모 도입 과정에서 채택에 어려움이 있습니다.
매우 다양한 운영 체제를 지원해야 한다는 점도 문제를 가중합니다.
| 문제 완화 또는 악성코드 제거 기능은 제공되지 않습니다. | 에이전트리스 배포만으로도 일반적으로 탐지 및 경고와 관련된 대부분의 시나리오를 보호할 수 있으므로 비용이 더 많이 듭니다.
|
결론
금융 부문을 공격해 얻을 수 있는 이익이 큰 시대인 만큼, 조직은 이러한 위협을 인지하고 최고 수준의 대응 역량을 유지하여 악성코드로 인한 재정적 피해와 브랜드 이미지 훼손을 방지해야 합니다.
자료
- F5 사기 방지 솔루션
- 아시아의 디지털 뱅킹: 소비자가 진정으로 원하는 것
- 2015년 1분기 기준 아시아 태평양 지역의 인터넷 보급률
작성자 소개
Shahnawaz Backer는 F5 Labs의 수석 보안 고문이었습니다. 최신 애플리케이션 개발, 디지털 신원 및 사기 공격 벡터에 깊은 관심을 바탕으로 솔루션에 보안 인텔리전스를 통합하는 데 주력했으며, 자동화된 선제적 방어의 중요성을 확고히 믿었습니다.
Shahnawaz Backer의 다른 블로그 게시물관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.