Web3 기업이 악성 봇으로부터 고객을 보호해야 하는 이유
대체 불가능 토큰, 즉 NFT는 브랜드에 막대한 수익 잠재력을 제공하지만, 처음부터 보안을 고려하지 않으면 사이버 범죄자들이 악용할 기회가 될 수도 있습니다. 아디다스는 첫 NFT 출시로 2,000만 달러 이상의 수익을 올렸습니다. 또한 많은 주요 스포츠 리그가 이제 이러한 현대적인 디지털 수집품을 적극적으로 도입하고 있습니다. 대표적인 사례로는 NBA Top Shot이 있습니다. NBA Top Shot은 NFT 형태의 디지털 농구 수집품을 제공하는 온라인 마켓플레이스로, NBA 플레이오프와 전 로스앤젤레스 레이커스 스타 매직 존슨의 첫 NFT 출시에 대한 뜨거운 관심에 힘입어 큰 호응을 얻고 있습니다.
NBA 파이널과 아버지의 날이 다가오고 졸업 시즌이 한창인 지금은 NFT 마켓플레이스가 한정판 NFT를 아버지와 졸업생을 위한 완벽한 선물로 홍보하기에 좋은 시기입니다. 하지만 최근 NFT가 거둔 막대한 금전적 성공은 악의적인 행위자들의 관심도 끌었습니다. 봇은 사이버 범죄자들의 비밀 무기입니다. 이들은 봇을 이용해 혼란을 일으키고, 가격을 조작하며, 고객을 속이고, NFT 생태계를 훼손합니다. 마켓플레이스에 봇이 침투해 있다면 수집가와 투자자가 자신이 보유한 NFT의 진정한 가치를 어떻게 알 수 있을까요?
NFT 마켓플레이스와 기타 Web3 비즈니스 모델을 고려하는 조직은 메타버스에서 사업을 운영하는 데 필요한 빠르게 변화하는 보안 요구 사항을 이해하고 이에 대응해야 합니다. 이러한 새로운 디지털 거래소가 성공하려면 봇을 비롯한 사이버 공격에 대응하는 동적 보안 방어 체계를 제공하여 NFT 투자 자산과 마켓플레이스의 평판, 고객의 활동 및 경험을 보호해야 합니다.
해커들이 NFT 판매에 봇을 집중시키는 이유는 무엇일까요? 간단히 말해, 돈이 몰리는 곳이기 때문입니다. Chainalysis에 따르면 NFT 시장은 2021년 말까지 410억 달러 규모로 성장했습니다. NFT 마켓플레이스 생태계는 비교적 초기 단계이며, 관련 기술과 프로세스를 제대로 이해하는 사람도 많지 않아 완벽한 공격 표적이 됩니다. 봇을 이용해 혼란을 일으키는 사이버 범죄 조직은 이미 확고히 자리 잡고 있으며, 수년간 축적한 경험을 바탕으로 공격을 수행합니다.
은행, 증권사, 보험사와 같은 전통적인 금융 서비스 업계는 수년간 갈수록 정교해지는 봇 공격에 맞서 왔습니다. 전자상거래 업계 역시 봇으로 인해 큰 피해를 입었으며, 특히 재고를 사재기하는 봇이 운동화 같은 한정판 제품 출시를 노리는 경우가 많습니다. 블록체인, 암호화폐, 탈중앙화 금융은 최근에 등장한 혁신 기술이지만, 이미 성숙하고 실전 경험까지 축적된 사이버 범죄 환경 속에서 성장하고 있습니다.
주의해야 할 봇
봇은 NFT 마켓플레이스에서 피할 수 없는 현실입니다. NFT 드롭은 가격과 상품 공급량을 조작하거나 가짜 상품을 판매하는 악성 봇의 공격에 특히 취약합니다. 또한 봇은 웹사이트 전체를 마비시키거나 신원을 도용하고 기타 개인 금융 정보를 탈취하는 등 더 크고 악의적인 범죄에 이용될 수도 있습니다. 다음은 주의해야 할 몇 가지 봇 유형입니다:
- 구매 봇. 자동 구매 봇은 온라인 상품이나 서비스가 판매되기 시작하는 즉시 대량으로 구매하도록 설계되었습니다. 이러한 봇은 결제 절차를 순식간에 완료합니다. 그 목적은 가치 있는 재고를 대량으로 확보한 뒤, 일반적으로 2차 시장에서 상당한 웃돈을 붙여 재판매하는 것입니다. 이러한 봇은 실제 소비자의 구매를 방해하므로, NFT와 같은 가상 상품의 재고가 소진되어 소비자가 불편을 겪고 상품을 구매하지 못하게 됩니다.
- 입찰 봇. 이러한 봇은 허위 입찰을 통해 NFT 가격을 조작하며, 기본적인 재판매 전략에 따라 가격을 올리거나 내립니다. 가격 인하 봇은 NFT의 호가보다 훨씬 낮은 가격으로 대량의 저가 입찰을 넣어 실제로 구매하지 않고도 NFT의 가치를 떨어뜨릴 수 있습니다. 가격 인상 봇은 저가 NFT를 구매해 인위적으로 희소성을 조성하고 인기를 높임으로써 구매자가 남은 물량에 더 높은 가격을 지불하도록 유도하며, 이는 주로 2차 시장에서 이루어집니다. 최악의 경우 입찰 봇은 자동화된 입찰 경쟁을 통해 NFT 가격을 인위적으로 끌어올릴 수 있습니다.
- 위조 NFT 봇. 길거리에서 판매되는 가짜 롤렉스 시계와 마찬가지로, 봇은 정책 ID와 일치하지 않는 가짜 NFT 프로젝트를 판매하는 데 사용될 수 있습니다. 소비자가 사기꾼에게서 가짜 NFT를 실수로 구매하면 환불받을 가능성이 거의 없으며, 제대로 인증되지 않은 경우 합법적으로 재판매할 수도 없습니다.
- 가짜 프로모션 봇. 봇은 피싱 수법으로 위장해 사용자가 링크를 클릭하도록 유도하고, 다음과 같이 수량이 매우 제한된 혜택을 이용하게 만들기도 합니다. 가짜 YouTube Genesis Mint Pass.
NFT 마켓플레이스에서 기승을 부리는 봇 활동은 의심과 불신을 불러일으키며 잠재 구매자뿐만 아니라 온라인 마켓플레이스에서 상품을 판매하는 선량한 판매자, 예술가, 운동선수, 크리에이터에게도 영향을 미칩니다. 악성 봇은 블록체인 기반 시장의 성장을 저해할 수 있으며, NFT 거래소가 봇의 온상이라는 평판을 얻게 되면 새로운 디지털 경제의 가장 역동적인 형태 중 하나를 위협할 수 있습니다.
봇으로부터 마켓플레이스 보호하기
NFT 마켓플레이스나 기타 Web3 서비스를 운영한다면, 핵심은 고객이 안전하고 빠르며 원활한 경험을 기대한다는 점이며, 이를 보장하기 위해 취할 수 있는 조치가 있다는 것입니다.
F5는 여러 주요 NFT 마켓플레이스 및 거래소와 긴밀히 협력하여 처음부터 정교한 보안 체계와 보호 조치를 구현하도록 지원해 왔습니다. 이를 통해 로그인을 노리는 봇 공격을 방어하고, 가짜 계정 생성을 차단하며, 재고를 사재기해 NFT 가격을 끌어올리는 봇을 방지합니다.
아버지의 날이나 졸업 선물용으로 NFT를 홍보하려는 경우, 다음 몇 가지 팁을 염두에 두세요:
- 사기성 신규 계정 개설 패턴을 파악하고 신규 계정 등록을 검증하세요
- 정교한 인간 모방 자동화와 도구 재구성을 방지할 수 있도록 봇 방어 전략을 평가하세요
- 모든 거래에서 사기 또는 위험 행동의 징후를 모니터링하여 계정 탈취를 방지하고, 다음 공격에 대비해 로그인 시스템을 강화하세요: 크리덴셜 스터핑
- 인증 인텔리전스를 활용하여 사용자 불편을 줄이고 고객 경험을 개선하세요
- 플랫폼 사용자를 관리하여 고객인지 봇인지 식별하세요. 초기 단계에서 봇 공격을 차단하면 이후 단계에서 발생하는 사기를 줄이는 데 도움이 됩니다.
- 새로운 도구와 외부 인텔리전스 지원을 활용해 보안 및 사기 방지 팀의 역량을 강화하고 사기에 선제적으로 대응할 수 있는 방법을 모색하세요
- 범죄자들이 계속해서 공격 수법을 바꿀 것으로 예상되는 만큼, 방어 체계도 신속하게 재정비할 수 있어야 합니다
고객이 사이버 범죄로부터 스스로를 보호하도록 지원하세요
고객의 신뢰를 지키고 얻는 것은 중요하며, 이는 교육에서 시작됩니다. 고객에게 알려줄 수 있는 몇 가지 팁은 다음과 같습니다.
- 하드웨어 지갑을 고려하세요. 암호화폐로 NFT를 구매하는 경우, 소프트웨어 지갑 대신 하드웨어 지갑을 사용하여 구매하고 NFT를 보관하는 것을 고려하세요. 하드웨어 지갑은 개인 키에 접근하지 못하도록 방지하는 특수 펌웨어가 탑재된 외부 물리적 장치로, 봇과 기타 사이버 공격으로부터 암호화폐와 NFT를 보호하여 구매 보안을 크게 강화할 수 있습니다.
- 항상 계약 내용을 검토하세요. NFT를 구매할 때는 거의 항상 판매자와 ‘스마트 계약’을 체결하게 됩니다. 이러한 계약은 블록체인상에서 발행되며, 소유권 및 거래 세부 정보를 비롯해 NFT와 관련된 고유 정보가 명시되어 있으므로 승인하기 전에 꼼꼼히 검토하세요. 스마트 계약에는 NFT 거래 및 기타 소유권에 관한 규칙이 명시될 수 있으므로, 어떤 내용에 동의하는지 정확히 파악해야 합니다.
- 가짜 마켓플레이스를 주의하세요. 보안을 중요하게 여기고 봇 없는 거래 환경을 유지하는 신뢰할 수 있는 기관에서만 NFT 구매를 고려하세요.
- NFT 마켓플레이스의 연락 방식과 NFT를 도난당했을 때 취할 수 있는 조치를 알아두세요. 마켓플레이스가 어떤 방식으로 연락하는지, NFT를 도난당했을 때 어떤 구제 수단을 이용할 수 있는지 미리 알아두면 피싱 공격, 스푸핑 및 기타 사기를 방지하는 데 도움이 됩니다.
다른 조직들이 봇으로부터 고객과 회사를 어떻게 성공적으로 보호했는지 알아보고 싶으신가요? Forrester의 F5 Bot Defense 총경제효과 보고서를 읽어보세요 by Forrester.
F5 Distributed Cloud Bot Defense의 실제 작동 모습을 확인하려면 F5의 DevCentral에서 데모를 시청하세요.
또한 봇 방어 솔루션을 선택할 때 살펴봐야 할 사항을 알아보려면, 다음의 봇 완화 솔루션 공급업체에 물어봐야 할 10가지 질문을 확인해 보세요.
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.