계정 탈취(ATO)는 금융 기관, 전자상거래 및 기타 온라인 디지털 서비스를 겨냥한 공격 중 가장 빈번하게 발생하며 가장 큰 비용을 초래합니다. 범죄자들은 자동화된 봇과 기타 사이버 범죄 수법을 이용해 도난당한 인증 정보로 사용자 계정에 접근하고 이를 장악하여 금전적 이득을 취하거나 사기를 저지릅니다. 계정 탈취 사기의 피해는 현실적입니다. Javelin 2022 ID Fraud Study에 따르면 미국 성인의 22%가 ATO 피해를 입었습니다.
작동 방식: 계정 탈취 사기 수법
계정 탈취 사기는 일련의 사이버 범죄 활동이 최종적으로 이어진 결과로, 일반적으로 도난당하거나 유출된 인증 정보에서 시작되며, 이는 크리덴셜 스터핑 공격으로 이어지고, 결국 고객의 온라인 계정이 탈취될 수 있습니다. 계정을 장악한 범죄자는 계정에서 자금을 빼내고, 저장된 가치를 현금화하며, 해당 계정을 추가 사기에 이용할 수 있습니다.
가장 기본적인 형태의 크리덴셜 스터핑은 봇을 이용한 무차별 대입 공격으로, 공격자는 계정의 인증 정보와 일치하는 조합을 찾을 때까지 로그인 양식에 무작위 문자 조합을 입력합니다.
자격 증명은 어떻게 도난당하나요?
더 정교한 크리덴셜 스터핑 공격은 데이터 유출 사고로 도난당하거나 노출된 유효한 사용자 이름과 비밀번호 조합에서 시작됩니다. 도난당한 인증 정보는 다크웹 마켓플레이스에서 쉽게 구매할 수 있습니다 (Cyber Security Hub에 따르면, 2022년 한 해에만 220억 건의 데이터 기록이 노출되었습니다).
자격 증명은 다음을 비롯한 다양한 사이버 공격 및 기타 사이버 범죄 수법을 통해서도 탈취될 수 있습니다:
- 피싱 공격, 범죄자가 이메일, 문자 메시지 또는 소셜 미디어 메시지를 이용해 로그인 자격 증명, 은행 계좌 정보, 사회 보장 번호 또는 기타 민감한 데이터와 같은 개인정보를 공개하도록 사람들을 속이는 사회 공학적 공격의 일종입니다.
- 키로깅, Magecart, 스키밍 및 기타 형태의 클라이언트 측 멀웨어, 악의적인 공격자가 온라인 결제 양식에 악성 스크립트를 삽입하여 인증 정보를 훔치는 수법입니다. 피해자가 인증 정보와 신용카드 정보를 입력하면 스크립트가 해당 데이터를 공격자에게 전송하며, 공격자는 이 정보를 사기에 이용하거나 다른 범죄자에게 판매할 수 있습니다.
- 중간자(Man in the Middle, MitM) 공격, 공격자가 데이터를 주고받는 두 정상적인 당사자 사이에 프록시로 끼어들어 메시지나 데이터 트랜잭션을 가로채는 공격입니다. 이를 통해 공격자는 양측 간의 정보 및 데이터 전송을 ‘도청’하고 로그인 자격 증명이나 기타 개인 정보를 탈취할 수 있습니다.
사이버 범죄자들은 유효한 인증 정보를 충분히 확보하면 대개 대규모로 크리덴셜 스터핑을 시작할 수 있습니다. 소비자의 약 3분의 2가 여러 웹사이트에서 동일한 사용자 이름과 비밀번호를 재사용하기 때문에, 사이버 범죄자와 이들이 동원하는 수많은 자동화 봇은 이렇게 재사용되는 인증 정보를 손쉽게 악용할 수 있습니다. 유출된 인증 정보 중 상당수는 다른 사이트의 계정에 접근하는 데도 유효합니다. 공격자는 계정을 탈취한 후 인증 정보를 변경해 정당한 계정 소유자의 접근을 차단하고, 자산을 빼돌리며, 해당 계정을 이용해 추가 사기 행위를 저지를 수 있습니다.
계정 탈취 사기의 영향
ATO와 같은 공격으로 인한 디지털 사기 피해액은 2023년부터 2027년까지 전 세계적으로 3,430억 달러를 넘어설 것으로 예상됩니다. 이는 American Banker의 보도에 따른 것입니다.
계정 탈취는 금전적 피해를 넘어서는 영향도 미칩니다. 조직의 브랜드와 평판 역시 훼손될 수 있으며, 이로 인해 비즈니스 기회를 잃고 보안이 취약하다는 인식에 따른 부정적인 여론이 형성될 수 있습니다. 브랜드가 장기적으로 손상될 수 있으며, 긍정적인 평판을 회복하는 데 수년이 걸릴 수도 있습니다.
조직은 고객의 신뢰와 충성도를 잃어 거래 관계가 종료될 수도 있습니다. 기업의 미흡한 보안 조치로 인해 계정 탈취와 막대한 비용을 초래하는 사기 행위가 발생한다면 고객이 불만을 느끼는 것은 당연합니다.
조직은 소비자 데이터를 보호하지 못할 경우 규정 준수 및 법적 책임을 질 수도 있습니다. EU의 일반 데이터 보호 규정(GDPR), 캘리포니아 소비자 개인정보 보호법(CCPA), 결제 카드 산업 데이터 보안 표준(PCI-DSS)과 같은 법률 및 표준은 소비자 데이터의 개인정보 보호를 보장하기 위해 마련되었으며, 데이터 침해가 발생하면 막대한 금전적 제재를 부과합니다. 여기에는 개인정보가 봇에 노출되는 계정 탈취(ATO) 공격도 포함됩니다.
계정 탈취 사기 탐지
계정 탈취(ATO) 징후를 탐지하려면 사용자 계정과 활동을 모니터링하는 것이 중요합니다.
- 계정 활동에 예기치 않은 변화가 있는지 주의 깊게 살펴보세요. 이러한 변화에는 새로 발생했거나 승인되지 않은 거래, 거액 인출, 무작위적이고 간헐적인 트래픽 급증, 비밀번호·주소·결제 수취인 변경 요청 등이 포함될 수 있습니다. 이러한 비정상적인 활동은 계정이 공격받고 있다는 신호일 수 있습니다. 이 경우 계정을 확인하여 비밀번호나 전화번호 같은 사용자 정보도 변경되었는지 살펴보세요. 이러한 변경은 계정이 탈취되었음을 나타낼 수 있습니다.
- 알 수 없는 로그인 시도를 주의 깊게 살펴보세요. 로그인 시도가 연속으로 실패한다면 악의적인 행위자가 크리덴셜 스터핑 수법을 사용해 계정에 침입하려는 것일 수 있습니다. 로그인 시도가 평소와 다른 위치에서 발생하거나 계정이 일반적으로 비활성 상태인 시간대에 발생하는 경우 특히 주의하세요.
- 계정에 액세스하는 새 기기나 인식되지 않은 기기가 있는지 주의 깊게 살펴보세요. 새 기기나 알 수 없는 기기에서 활동이 감지되면 계정이 탈취되었거나 사기범이 도용한 인증 정보로 로그인을 시도하고 있다는 신호일 수 있습니다. 마찬가지로 여러 기기에서 하나의 계정에 로그인하는 경우에도 범죄자들이 해당 계정을 공격하고 있다는 신호일 수 있습니다.
- 의심스러운 이메일 또는 문자 메시지. 피싱 이메일이나 기타 의심스러운 이메일이 증가하면 사용자가 사기범의 표적이 되고 있다는 신호일 수 있습니다. 고객에게 알 수 없는 발신자가 보낸 디지털 메시지의 첨부 파일이나 링크를 절대 클릭하지 말고, 전화나 인터넷을 통해 누구에게도 사용자 이름, 비밀번호, 개인 정보 또는 금융 정보를 제공하지 않도록 안내하세요. 정상적인 기업은 이메일이나 문자 메시지로 계정 정보를 요구하지 않습니다.
계정 탈취 사기 예방
ATO 방지를 위한 선제적 접근 방식에는 다층적인 보호 조치와 전략이 필요합니다. 여기에는 모범 사례에 기반한 방법론, 사용자 교육 강화, 실시간 인프라 모니터링, 강력한 인증 보호 조치가 포함됩니다.
사용자 교육 및 인식 제고
계정 탈취를 방지하는 가장 효과적인 방법 중 하나는 사용자가 위험을 식별하고 이에 대응할 수 있도록 교육하는 프로그램을 운영하는 것입니다. ATO 공격은 악의적인 공격자가 사용자를 속여 계정 인증 정보를 노출하게 하거나 악성 링크를 클릭하도록 유도하는 피싱에서 시작되는 경우가 많습니다. 피싱 이메일과 문자 메시지는 매우 그럴듯할 수 있으며, 특히 범죄자가 소셜 미디어에서 수집한 개인 정보가 포함된 경우 더욱 그렇습니다. 또한 사용자가 올바른 비밀번호 관리의 중요성을 이해하도록 하고 강력한 비밀번호 정책을 적용해야 합니다.
강력한 인증 조치
강력한 인증을 위해서는 사용자가 로그인할 때 사용자 이름과 비밀번호 외에 두 가지 이상의 인증 요소를 제시해야 합니다. 강력한 인증에는 여러 가지 방식이 있습니다.
- 2단계 인증(2FA)은 리소스와 데이터에 액세스하려는 사용자의 신원을 확인하기 위해 두 가지 인증 요소를 요구하는 ID 및 액세스 관리 보안 방식입니다. 일반적으로 이메일이나 문자 메시지로 받은 일회용 암호를 스마트폰이나 가정용 컴퓨터의 브라우저와 같이 등록된 기기에 입력하는 방식이 자주 사용됩니다.
- 다중 인증(MFA)은 2FA와 유사하지만, 로그인에 성공하려면 최소 세 가지 인증 요소를 제공해야 한다는 점이 다릅니다. 대부분의 경우, 알려진 기기에서 일회용 코드를 수신하고 지문 인식, 망막 스캔 또는 음성 인식과 같은 생체 인증 수단을 추가로 제공해야 합니다. 2FA와 MFA는 모두 온라인 계정의 보안을 강화하는 데 여전히 유용한 도구이지만, 더 이상 ATO 공격을 막는 최종 방어 수단으로는 충분하지 않습니다. 범죄자의 공격으로 쉽게 우회될 수 있고 사용자 경험을 저해할 수 있기 때문입니다.
- 위험 기반 인증은 로그인 시도에 따른 위험 수준에 맞춰 인증 절차의 요구 사항을 조정하는 액세스 관리 방식입니다. 예를 들어, 단순히 계좌 잔액을 확인하기 위한 로그인에는 비밀번호를 변경하거나 새 계좌로 자금을 이체하기 위한 로그인보다 덜 엄격한 인증 절차가 적용됩니다. 즉, 위험 수준이 높아질수록 인증 절차가 더욱 엄격해지며, 추가 인증 요소와 감독이 요구됩니다.
계정 모니터링 및 감사
소비자와 기업 모두 의심스러운 활동이 있는지 계정을 정기적으로 모니터링하고 점검해야 합니다. 소비자의 경우 금융 계정과 가치가 저장된 기타 계정(로열티 프로그램 및 기프트 카드 포함)에 정기적으로 로그인하여 잔액과 계정 활동을 확인해야 합니다.
기업과 조직은 머신 러닝 및 AI 기반 탐지 기술을 활용해 사용자의 평소 행동과 일치하지 않는 비정상적인 활동을 식별함으로써 사기를 예방하는 계정 추적 시스템을 비롯한 다양한 기술을 도입하여 계정을 지속적으로 모니터링하고 감사하는 작업을 자동화할 수 있습니다.
웹 애플리케이션 방화벽(WAF)
WAF는 웹 애플리케이션으로 유입되는 악성 HTTP/S 트래픽을 필터링, 모니터링 및 차단하고, 승인되지 않은 데이터가 앱 외부로 유출되는 것을 방지하여 웹 앱을 보호합니다. 이를 위해 트래픽의 악성 여부와 안전 여부를 판단하는 데 도움이 되는 일련의 정책을 따릅니다. WAF는 잠재적으로 악의적인 클라이언트로부터 웹 앱 서버를 보호하는 중개자 역할을 합니다.
WAF는 ATO 활동을 탐지하도록 특별히 설계된 것은 아니지만, 계정 탈취 공격을 식별하고 차단하는 데 도움이 되도록 정책을 설정할 수 있습니다. 또한 WAF는 무차별 대입 방식의 크리덴셜 스터핑 공격에 앞서 발생하는 경우가 많은 악성 봇 활동을 식별하는 데도 도움이 될 수 있습니다.
네트워크에 봇 탐지 및 완화 기능 추가
봇 군단을 이용하면 범죄자는 공격 규모를 확대하고 MFA 제어를 우회하며 사기를 저지를 수 있습니다. 자동화된 봇은 크리덴셜 스터핑이나 피싱 공격 등 주어진 작업을 수행하기 위해 대규모로 배포될 수 있습니다. 봇 탐지 솔루션은 가짜 계정 생성, 재고 사재기, 스크래핑, 자격 증명 정보의 디지털 스키밍과 같은 악성 활동에 대한 가시성을 제공합니다. 또한 폼재킹, 디지털 스키밍, Magecart 및 기타 브라우저 기반 JavaScript 취약점과 같은 클라이언트 측 공격에 대한 경고도 제공할 수 있습니다.
계정 탈취 사기에 대응하기
다크 웹에서 도난당하거나 유출된 인증 정보가 대량으로 손쉽게 유통되고 있어, 조직이 조만간 사이버 공격을 겪을 가능성이 갈수록 커지고 있습니다. 조직은 사이버 공격이 기관과 고객 모두에게 미치는 영향에 대응할 수 있도록 강력한 대응 방안과 절차를 사전에 마련해야 합니다.
사고 대응 계획
인시던트 대응 계획은 위협 이벤트가 식별되었을 때 시행할 구체적인 조치, 가용 리소스 및 커뮤니케이션 전략을 규정합니다. 인시던트 대응 계획에는 해당 이벤트에 대응하기 위한 프로토콜을 명시하고, 계획을 실행할 수 있도록 훈련받은 인시던트 대응 팀을 지정해야 합니다.
고객 알림 및 지원
사고 대응팀은 피해 고객에게 직접 알리고 무슨 일이 발생했는지 설명하며, 고객을 보호하기 위해 어떤 조치를 취하고 있는지 안내해야 합니다. 또한 유출된 비밀번호를 다른 계정에서도 사용하고 있다면 변경하도록 촉구하는 것이 매우 중요합니다. 피해 고객과 지속적으로 소통하는 것은 신뢰를 회복하는 데 중요합니다.
조사 및 해결
공격이 탐지되면 사고를 평가하고 확산을 차단하는 한편, 사고의 성격과 범위 및 영향을 받은 시스템을 파악하는 것이 중요합니다. 접근 지점이 확인되면 조직은 공격자가 영향을 받은 계정에 무단으로 접근하지 못하도록 차단하고, 침해된 계정이 더 이상 악의적으로 사용되지 않도록 복구해야 합니다. 사기 피해 복구 검토의 일환으로 이러한 공격의 재발을 방지할 방법을 분석하세요.
소통과 투명성
보안 침해 및 공격에 대해서는 투명하게 소통하는 것이 중요합니다. 정보를 공개하지 않으면 규제 기관, 언론 또는 소비자가 이를 은폐로 받아들일 수 있으며, 공격으로 인한 재정적 피해가 크게 가중될 수 있습니다.
요약
오늘날 디지털 결제를 발행하거나 수락하는 모든 조직은 계정 탈취(ATO)의 표적이며, 공격 위협은 계속 커지고 있습니다. 이로 인해 온라인 판매업체, 금융 기관 및 서비스 조직은 역설적인 상황에 놓이게 됩니다. 고객이 선호하는 더욱 편리한 온라인 서비스와 앱을 도입할수록 사기 및 기타 형태의 사이버 범죄 위험에 더 많이 노출됩니다. 일단 계정이 침해되면 사기범은 자금을 빼돌리거나 상품 또는 서비스를 훔치고, 결제 정보에 접근해 다른 사이트에서 사용할 수 있습니다. 그 결과 고객의 신뢰를 잃고 매출이 감소할 수 있습니다.
기존의 2FA 및 MFA 통제만으로는 갈수록 정교해지는 ATO 공격을 감행하는 사이버 범죄자를 더 이상 막을 수 없습니다. ATO를 방지하려면 의도를 평가하고 디지털 경험을 간소화하며, 사기 패턴과 위험한 거래를 사전에 식별해 ATO를 차단하는 엔드투엔드 보안 및 사기 방지 접근 방식이 필요합니다.
F5가 지원하는 방법
F5 보안 및 사기 방지 솔루션은 단일 플랫폼에서 업계에서 가장 포괄적인 계정 탈취 방지 기능을 제공합니다. 위협 인텔리전스 모델링 및 머신 러닝과 같은 정교한 기술을 사용하여 공격자의 수법을 탐지하고, Distributed Cloud Bot Defense는 봇 기반 사기 및 계정 탈취(ATO)에 최대한 효과적으로 대응할 수 있도록 적절한 대응 조치를 실시간으로 적용합니다. Distributed Cloud Authentication Intelligence는 고객 여정 전반에서 정상 사용자를 식별하며, Distributed Cloud Client-Side Defense는 클라이언트 측 디지털 스키밍 공격에 대한 실시간 인사이트를 제공합니다.
로그인 후 발생하는 사기를 신속하게 차단하는 Distributed Cloud Account Protection 기능과 결합된 F5 Distributed Cloud 보안 및 사기 방지 플랫폼은 사용자의 의도를 평가하고 디지털 경험을 간소화하며, 자칫 사기, 매출 손실, 고객 충성도 저하로 이어질 수 있는 ATO 시도를 차단하는 엔드투엔드 접근 방식을 제공합니다.
