.jpg)
비밀번호, 단순 거래 품목 넘어 분석 대상되기 시작
비밀번호 주인의 다른 정보까지 결합해 여러 비밀번호 후보 만들어 내
[보안뉴스 문가용 기자] 인기 라이프스타일 앱인 스포티파이(Spotify)를 사용한 피싱 캠페인이 적발됐다. 이 캠페인을 발견한 보안 업체 앱리버(AppRiver)에 의하면 공격자들의 목적은 크리덴셜을 훔치는 것이라고 한다.
공격을 발견한 건 이번 달 초다. 스포티파이의 고객들에게 보내진, 굉장히 설득력이 높은 가짜 이메일이 앱리버에 접수되기 시작되면서부터였다. 공격자의 목적은 스포티파이의 계정을 훔치는 것이었다고 한다.
이메일에는 피싱 링크가 포함되어 있었다. 사용자들이 클릭하도록 유도되어 있었는데, 실제로 피해자가 이를 클릭할 경우, 가짜 웹사이트로 접속이 된다. 이 사이트로 들어가면 프롬프트 창이 하나 뜨는데, 당연하게도 사용자 이름과 비밀번호를 입력받기 위한 장치다. 이 정보는 공격자의 저장소로 들어가게 된다.
왜 스포티파이의 크리덴셜을 노리는 걸까? 사용자들이 대부분 여러 가지 서비스에 같은 로그인 조합(이름과 비밀번호)을 사용하기 때문이다. 스포티파이에 접속하기 위해 사용하는 정보를 온라인 뱅킹에서도 사용하고, 소셜 네트워크에도 사용하는 경우가 많다는 것이다. 그렇기 때문에 이러한 크리덴셜은 다크웹에서의 거래를 통해 현금화할 수 있다.
앱리버의 사이버보안 분석가인 데이비드 피켓(David Pickett)은 “한 가지 서비스의 계정에서 사용되고 있는 비밀번호만 해커가 알고 있어도 다양한 공격을 성공시킬 수 있다”고 말한다. “사이버 범죄자들은 비밀번호만 보고도 그 사람이 어떤 패턴으로 비밀번호를 생성하는지 파악합니다. 이것은 중요한 힌트가 되기 때문에, 나중에 피해자가 비밀번호를 바꾸더라도 이 힌트를 사용해 다시 뚫어낼 수도 있습니다.”
그러면서 피켓은 한 가지 예를 들었다. “누군가 Fluffy84라는 비밀번호를 썼고, 그게 해커의 손에 들어갔다고 합시다. 이것만 보면 비밀번호 주인이 고양이를 좋아할 가능성이 높고(fluffy는 털 많고 푹신한 고양이를 표현할 때 많이 사용되는 단어), 1984년생일 것이라는 게 유추 가능합니다. 또한 단어+숫자라는 포맷 정보도 가져갈 수 있고요.”
여기까지는 꼭 사이버 범죄자가 아니더라도 생각할 수 있는 부분이다. “사이버 범죄자들은 여기서 한 발 더 나아갑니다. 일단 인물 검색 사이트인 피플(Pipl), 윙크(Wink), 피큐(PeekYou)와 같은 곳에서 생년 정보를 통해 확인하는 거죠. 그러면서 실제 그 애완동물의 이름, 다른 중요 날짜 등의 정보도 캐가는 경우가 많습니다. 소셜 미디어를 통해 그 외 사적인 정보도 다양하게 퍼가기도 합니다.”
이렇게 다양하게 수집한 정보를 패스워드 크래커 프로그램에 입력하면 생성 가능한 후보 비밀번호가 나온다. 즉 “하이브리드 비밀번호 공격이 가능하다는 것”이다. “하이브리드 비밀번호 공격이란, 공격 대상의 실제 삶에 대한 여러 가지 정보를 바탕으로 고유한 비밀번호 후보군을 다양하게 만드는 것입니다. 스포티파이의 재생목록도 하이브리드 비밀번호 공격을 가능하게 해주는 중요한 정보가 될 수 있습니다. 가수나 연예인의 이름을 가지고 비밀번호를 만드는 사람들도 상당히 많거든요.”
그러면서 피켓은 해커들이 주로 사용하는 비밀번호 크래킹 소프트웨어는 “존(John), 리퍼(Ripper), 가인과 아벨(Cain and Abel) 등이 있다”고 말한다. “하지만 이런 종류의 프로그램은 무수히 많습니다. 최근엔 인공지능 및 머신 러닝 알고리즘과 결합한 툴들도 나오고 있습니다. 그렇기 때문에 비밀번호 변경을 자주 한다고 해도 하나하나 패턴을 다르게 해서 만들지 않는다면 큰 소용이 없을 수도 없습니다.”
3줄 요약
1. 스포티파이 크리덴셜 노리는 피싱 공격 성행 중.
2. 인터넷 사용자들 대부분 같은 크리덴셜로 여러 가지 서비스를 사용한다는 특징이 있음.
3. 스포티파이의 재생목록 등과 같은 ‘생활 패턴’ 관련 정보 추가되면 후보가 될 가능성 높은 비밀번호 생성이 가능함.
[국제부 문가용 기자(globoan@boannews.com)]
비밀번호 주인의 다른 정보까지 결합해 여러 비밀번호 후보 만들어 내
[보안뉴스 문가용 기자] 인기 라이프스타일 앱인 스포티파이(Spotify)를 사용한 피싱 캠페인이 적발됐다. 이 캠페인을 발견한 보안 업체 앱리버(AppRiver)에 의하면 공격자들의 목적은 크리덴셜을 훔치는 것이라고 한다.
[이미지 = iclickart]
공격을 발견한 건 이번 달 초다. 스포티파이의 고객들에게 보내진, 굉장히 설득력이 높은 가짜 이메일이 앱리버에 접수되기 시작되면서부터였다. 공격자의 목적은 스포티파이의 계정을 훔치는 것이었다고 한다.
이메일에는 피싱 링크가 포함되어 있었다. 사용자들이 클릭하도록 유도되어 있었는데, 실제로 피해자가 이를 클릭할 경우, 가짜 웹사이트로 접속이 된다. 이 사이트로 들어가면 프롬프트 창이 하나 뜨는데, 당연하게도 사용자 이름과 비밀번호를 입력받기 위한 장치다. 이 정보는 공격자의 저장소로 들어가게 된다.
왜 스포티파이의 크리덴셜을 노리는 걸까? 사용자들이 대부분 여러 가지 서비스에 같은 로그인 조합(이름과 비밀번호)을 사용하기 때문이다. 스포티파이에 접속하기 위해 사용하는 정보를 온라인 뱅킹에서도 사용하고, 소셜 네트워크에도 사용하는 경우가 많다는 것이다. 그렇기 때문에 이러한 크리덴셜은 다크웹에서의 거래를 통해 현금화할 수 있다.
앱리버의 사이버보안 분석가인 데이비드 피켓(David Pickett)은 “한 가지 서비스의 계정에서 사용되고 있는 비밀번호만 해커가 알고 있어도 다양한 공격을 성공시킬 수 있다”고 말한다. “사이버 범죄자들은 비밀번호만 보고도 그 사람이 어떤 패턴으로 비밀번호를 생성하는지 파악합니다. 이것은 중요한 힌트가 되기 때문에, 나중에 피해자가 비밀번호를 바꾸더라도 이 힌트를 사용해 다시 뚫어낼 수도 있습니다.”
그러면서 피켓은 한 가지 예를 들었다. “누군가 Fluffy84라는 비밀번호를 썼고, 그게 해커의 손에 들어갔다고 합시다. 이것만 보면 비밀번호 주인이 고양이를 좋아할 가능성이 높고(fluffy는 털 많고 푹신한 고양이를 표현할 때 많이 사용되는 단어), 1984년생일 것이라는 게 유추 가능합니다. 또한 단어+숫자라는 포맷 정보도 가져갈 수 있고요.”
여기까지는 꼭 사이버 범죄자가 아니더라도 생각할 수 있는 부분이다. “사이버 범죄자들은 여기서 한 발 더 나아갑니다. 일단 인물 검색 사이트인 피플(Pipl), 윙크(Wink), 피큐(PeekYou)와 같은 곳에서 생년 정보를 통해 확인하는 거죠. 그러면서 실제 그 애완동물의 이름, 다른 중요 날짜 등의 정보도 캐가는 경우가 많습니다. 소셜 미디어를 통해 그 외 사적인 정보도 다양하게 퍼가기도 합니다.”
이렇게 다양하게 수집한 정보를 패스워드 크래커 프로그램에 입력하면 생성 가능한 후보 비밀번호가 나온다. 즉 “하이브리드 비밀번호 공격이 가능하다는 것”이다. “하이브리드 비밀번호 공격이란, 공격 대상의 실제 삶에 대한 여러 가지 정보를 바탕으로 고유한 비밀번호 후보군을 다양하게 만드는 것입니다. 스포티파이의 재생목록도 하이브리드 비밀번호 공격을 가능하게 해주는 중요한 정보가 될 수 있습니다. 가수나 연예인의 이름을 가지고 비밀번호를 만드는 사람들도 상당히 많거든요.”
그러면서 피켓은 해커들이 주로 사용하는 비밀번호 크래킹 소프트웨어는 “존(John), 리퍼(Ripper), 가인과 아벨(Cain and Abel) 등이 있다”고 말한다. “하지만 이런 종류의 프로그램은 무수히 많습니다. 최근엔 인공지능 및 머신 러닝 알고리즘과 결합한 툴들도 나오고 있습니다. 그렇기 때문에 비밀번호 변경을 자주 한다고 해도 하나하나 패턴을 다르게 해서 만들지 않는다면 큰 소용이 없을 수도 없습니다.”
3줄 요약
1. 스포티파이 크리덴셜 노리는 피싱 공격 성행 중.
2. 인터넷 사용자들 대부분 같은 크리덴셜로 여러 가지 서비스를 사용한다는 특징이 있음.
3. 스포티파이의 재생목록 등과 같은 ‘생활 패턴’ 관련 정보 추가되면 후보가 될 가능성 높은 비밀번호 생성이 가능함.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-16] .jpg)
.jpg)
