.jpg)
온라인 사기, 갈수록 다양해지고 있어...그 수법도 집요해지고
애플리케이션 층위는 가장 공격 표면 넓은 곳...공격 탐지도 쉽지 않아
[보안뉴스 문가용 기자] 온라인 사기는 사이버 범죄의 한 종류로, 주로 애플리케이션 층위에서 발생한다. 기존에 ‘온라인 사기’로 분류되는 공격 유형에는 ‘사기성 거래’나 ‘아이덴티티 탈취’와 같은 것들이 있었다. 하지만 최근 온라인 사기 공격은 질적으로나 양적으로 더 다양해지고 있다. 아마 들어보면 ‘아하’하는 생각이 들 것이다.
1) 특정 제품이나 판매자의 순위를 올리기 위해 가짜 리뷰나 판매량 수치를 등록시킨다.
2) 회원가입 행사나 보너스를 얻기 위해 가짜 계정을 만든다.
3) 모조품으로 구성된 목록이나 매력적인 가격들로 이루어진 목록을 만들어 구매자들을 플랫폼 바깥으로 이끌어낸 뒤 암거래를 실시한다.
4) 클릭 수, 설치 수, 앱 사용률 등을 조작하기 위해 봇을 사용한다.
5) 온라인 게임 내에서 사용되는 가상의 아이템을 거래할 때 사기를 친다.
6) 사기성 거래를 실시한다.
7) 가짜 신원 정보로 가짜 신용카드나 가짜 은행계좌를 연다.
목록은 끝도 없이 이어진다. 네트워크나 시스템 내로 해킹하여 침투하는 일반적인 의미의 사이버 공격과 달리 온라인 사기 공격은 사용자 계정을 만들고 등록한 뒤 정상적으로 사용 가능한 기능들을 남용함으로써 누군가에게 피해를 입힌다. 따라서 각종 온라인 서비스와 플랫폼들이 공격의 도구가 되는 것이라고 볼 수 있다. 사이버 범죄자들 입장에서는 소셜 네트워크와 P2P 시장에 콘텐츠를 익명으로, 아무런 돈도 내지 않고 호스팅할 수 있는데 굳이 안전하고 추적당하지 않을 탄탄한 호스팅 서비스를 사용할 이유가 없다.
특수한 공격을 위한 특별 인프라를 공격자들이 더는 사용하지 않는다는 것은 그 동안 보안의 기본 장치였던 블랙리스팅 및 명성 관리가 효과를 발휘하기 어렵다는 뜻이 된다. 공격자들은 자신들의 악성 콘텐츠를 호스팅하거나 공격을 실시하는 데에 전용 서버를 사용하고 유지할 필요가 없다는 걸 깨달았다. 또한 전용 서버라는 게 없을 때는 작전을 여러 가지 방법으로, 빠르게, 자주 바꿀 수 있다는 장점이 부각되기 시작했다. 최근 데이터바이저(DataVisor)가 발표한 사기 색인 보고서(Fraud Index Report)에 따르면 사기에 사용되는 IP 주소의 수명은 3.5일에 불과하다고도 한다. 온라인 서비스와 애플리케이션을 공격에 활용한다면, 공격은 계속해서 진행할 수 있게 된다.
애플리케이션 층위에서 공격하기
애플리케이션에서 공격을 진행하면 온라인 사기꾼들이 가진 공격 성공의 기회가 더 커진다. 왜냐하면 정상적인 사용자들 사이에 섞여드는 게 더 쉬워지기 때문이다. HTTP 연결이나 요청이 인간이 한 것인지 스크립트가 한 것인지 알아내는 건 꽤나 어려운 일이다. 사용자 계정이 가짜로 만들어진 것인지 진짜 선한 의도로 만들어진 것인지 알아내는 것처럼 말이다.
다양한 통신 프로토콜과 인터페이스를 지원하며, 최종 사용자들의 접근도 활발한 애플리케이션 층위는 공격 표면이 가장 넓다는 특징도 가지고 있다. 취약점은 애플리케이션 코드에도 있을 수 있지만 접근 통제 장치와 웹과 모바일 API들에도 있을 수 있다. 정상적으로 로그인이 된 사용자를 공격에 끌어들이면, 그 공격은 탐지와 방어가 가장 어렵게 되는데, 이 역시 애플리케이션 층위에서 로그인 사용자를 가장하면 된다. 애플리케이션 로그인에 필요한 계정 이름과 비밀번호를 사용해서 공격할 때 이것이 가능하게 된다.
온라인 서비스나 애플리케이션에서 사용 가능한 기능들에 따라 달라지긴 하지만, 사기로 만들어진 계정들은 정상적으로 제공된 기능들 내에서 활동함으로써 탐지를 벗어날 수 있다. 걸리지 않기 위해 조용히 있는데, 이 기간이 수주에서 수개월로 이어진다. 가끔은 수년을 기다렸다가 첫 번째 공격을 실시하기도 한다. 예를 들어 금융 조직을 노리는 사기꾼들은 계좌를 여러 개 개설하거나 카드를 여러 장 만들어 둔다. 물론 가짜 신원 정보가 활용된다. 그리고 정직하고 정상적인 거래 내역을 꾸준히 쌓는다. 신용도가 올라가면 때를 기다렸다가 최대한의 돈을 인출한 뒤 사라진다. 소셜 네트워크 사이트에서도 가짜 계정을 만든 공격자들은 정상적인 활동을 이어가다가 갑자기 피싱 공격을 실시한다.
이런 식의 공격은 탐지가 매우 어렵다. 머신 러닝을 써도 마찬가지다. 왜냐하면 머신 러닝은 사기성 행위나 악성 행위를 분별하기 위해 ‘학습 단계’를 거쳐야 하기 때문이다. 이미지 인식이나 자연어 처리와 같은 인기 높은 머신 러닝 애플리케이션들을 학습시키기 위해서는 답이 명확하며 구분이 확실한 데이터들이 필요하다. 예를 들어 닭과 오리를 구분하도록 만들기 위해서는 닭과 오리의 이미지가 명확히 분류된 후 입력되어야 한다는 것이다. 이런 이미지들을 많이 주면 줄수록 머신 러닝의 결과는 더 정확해질 것이다. 하지만 온라인 사기 행위는 ‘오리’나 ‘닭’처럼 명확히 정의하기가 어렵다. 따라서 머신 러닝을 사기에 적용하면 오탐이 굉장히 많아진다.
공격의 다이내믹 바꾸기
사기 공격은 그 특유의 ‘다이내믹’ 때문에 탐지가 어려워지는 면도 있다. 전용 공격 서버나 인프라가 없기 때문에 사기 전문 공격자들은 적응과 조정에 긴 시간이 필요 없다. 변화가 상당히 빠르다는 얘기다. 따라서 이들이 과거에 사용해왔던 공격 모델을 바탕으로 한 방어 체계를 구축한다는 건 ‘항시 질 수밖에 없는 상황’을 스스로 만드는 것밖에 되지 않는다. 미래의 공격을 막을 수 있을 리가 없다.
고급화 된, 그리고 빠르게 변하는 온라인 공격에 맞서기 위해서는 방대하도록 종합적인 솔루션이 필요하다. 따라서 다층위의 방어막을 펼쳐야 한다. 무슨 말이냐면, 예를 들어 강력한 인증 시스템을 깔고, 모든 API 접근을 재차 점검하며, 자동화 코드 실험 단계를 마련해야 한다는 것이다. 이 세 가지 기본기만 잘 갖춰도 제법 튼튼한 밑바탕을 이룰 수 있게 된다. 뿐만 아니라 개발자들과 서드파티 앱에 대한 검사와 분석도 늘 있어야 하는 일이다. 비표준 인터페이스에 대한 접근을 허용할 때 그 사실을 누군가는 반드시 알도록 해야 하며, 어떤 유형의 공격이 발생할 가능성이 높은지도 미리 파악해두어야 한다.
접근 권한이 높은 사용자들의 계정을 남용하는 공격을 막기 위해서는 고급 행동 프로파일링 및 분석 도구를 마련하는 게 도움이 된다. 사용자의 행동을 보다 폭넓게, 전체적이고 통합적인 시야에서 이해할 수 있어야 한다. 온라인 사기 공격은 꽤나 광범위하게 펼쳐지는 게 대부분이고, 사기를 치기 위한 계정은 못해도 수백 개에서 수천 개씩 마련된다. 요즘 봇이 발달돼서 공격 스케일은 더 커졌다. 이런 계정들을 하나하나가 아니라 묶어서 살펴보면 분명히 인간과는 다른 점이 나타난다. 데이터 분석을 이런 식으로 실시하게 되면 보지 못했던 것들이 보인다.
온라인 사기 기술이 뭐가 있는지, 그 최신 트렌드를 좇아 다니는 것만으로는 이제 충분치 못하다. 사실 ‘트렌드 공부’를 한다는 것 자체가 이미 늦었다는 소리일 수 있다.
글 : 팅팡 옌(Ting-Fang Yen), DataVisor
[국제부 문가용 기자(globoan@boannews.com)]
애플리케이션 층위는 가장 공격 표면 넓은 곳...공격 탐지도 쉽지 않아
[보안뉴스 문가용 기자] 온라인 사기는 사이버 범죄의 한 종류로, 주로 애플리케이션 층위에서 발생한다. 기존에 ‘온라인 사기’로 분류되는 공격 유형에는 ‘사기성 거래’나 ‘아이덴티티 탈취’와 같은 것들이 있었다. 하지만 최근 온라인 사기 공격은 질적으로나 양적으로 더 다양해지고 있다. 아마 들어보면 ‘아하’하는 생각이 들 것이다.
[이미지 = iclickart]
1) 특정 제품이나 판매자의 순위를 올리기 위해 가짜 리뷰나 판매량 수치를 등록시킨다.
2) 회원가입 행사나 보너스를 얻기 위해 가짜 계정을 만든다.
3) 모조품으로 구성된 목록이나 매력적인 가격들로 이루어진 목록을 만들어 구매자들을 플랫폼 바깥으로 이끌어낸 뒤 암거래를 실시한다.
4) 클릭 수, 설치 수, 앱 사용률 등을 조작하기 위해 봇을 사용한다.
5) 온라인 게임 내에서 사용되는 가상의 아이템을 거래할 때 사기를 친다.
6) 사기성 거래를 실시한다.
7) 가짜 신원 정보로 가짜 신용카드나 가짜 은행계좌를 연다.
목록은 끝도 없이 이어진다. 네트워크나 시스템 내로 해킹하여 침투하는 일반적인 의미의 사이버 공격과 달리 온라인 사기 공격은 사용자 계정을 만들고 등록한 뒤 정상적으로 사용 가능한 기능들을 남용함으로써 누군가에게 피해를 입힌다. 따라서 각종 온라인 서비스와 플랫폼들이 공격의 도구가 되는 것이라고 볼 수 있다. 사이버 범죄자들 입장에서는 소셜 네트워크와 P2P 시장에 콘텐츠를 익명으로, 아무런 돈도 내지 않고 호스팅할 수 있는데 굳이 안전하고 추적당하지 않을 탄탄한 호스팅 서비스를 사용할 이유가 없다.
특수한 공격을 위한 특별 인프라를 공격자들이 더는 사용하지 않는다는 것은 그 동안 보안의 기본 장치였던 블랙리스팅 및 명성 관리가 효과를 발휘하기 어렵다는 뜻이 된다. 공격자들은 자신들의 악성 콘텐츠를 호스팅하거나 공격을 실시하는 데에 전용 서버를 사용하고 유지할 필요가 없다는 걸 깨달았다. 또한 전용 서버라는 게 없을 때는 작전을 여러 가지 방법으로, 빠르게, 자주 바꿀 수 있다는 장점이 부각되기 시작했다. 최근 데이터바이저(DataVisor)가 발표한 사기 색인 보고서(Fraud Index Report)에 따르면 사기에 사용되는 IP 주소의 수명은 3.5일에 불과하다고도 한다. 온라인 서비스와 애플리케이션을 공격에 활용한다면, 공격은 계속해서 진행할 수 있게 된다.
애플리케이션 층위에서 공격하기
애플리케이션에서 공격을 진행하면 온라인 사기꾼들이 가진 공격 성공의 기회가 더 커진다. 왜냐하면 정상적인 사용자들 사이에 섞여드는 게 더 쉬워지기 때문이다. HTTP 연결이나 요청이 인간이 한 것인지 스크립트가 한 것인지 알아내는 건 꽤나 어려운 일이다. 사용자 계정이 가짜로 만들어진 것인지 진짜 선한 의도로 만들어진 것인지 알아내는 것처럼 말이다.
다양한 통신 프로토콜과 인터페이스를 지원하며, 최종 사용자들의 접근도 활발한 애플리케이션 층위는 공격 표면이 가장 넓다는 특징도 가지고 있다. 취약점은 애플리케이션 코드에도 있을 수 있지만 접근 통제 장치와 웹과 모바일 API들에도 있을 수 있다. 정상적으로 로그인이 된 사용자를 공격에 끌어들이면, 그 공격은 탐지와 방어가 가장 어렵게 되는데, 이 역시 애플리케이션 층위에서 로그인 사용자를 가장하면 된다. 애플리케이션 로그인에 필요한 계정 이름과 비밀번호를 사용해서 공격할 때 이것이 가능하게 된다.
온라인 서비스나 애플리케이션에서 사용 가능한 기능들에 따라 달라지긴 하지만, 사기로 만들어진 계정들은 정상적으로 제공된 기능들 내에서 활동함으로써 탐지를 벗어날 수 있다. 걸리지 않기 위해 조용히 있는데, 이 기간이 수주에서 수개월로 이어진다. 가끔은 수년을 기다렸다가 첫 번째 공격을 실시하기도 한다. 예를 들어 금융 조직을 노리는 사기꾼들은 계좌를 여러 개 개설하거나 카드를 여러 장 만들어 둔다. 물론 가짜 신원 정보가 활용된다. 그리고 정직하고 정상적인 거래 내역을 꾸준히 쌓는다. 신용도가 올라가면 때를 기다렸다가 최대한의 돈을 인출한 뒤 사라진다. 소셜 네트워크 사이트에서도 가짜 계정을 만든 공격자들은 정상적인 활동을 이어가다가 갑자기 피싱 공격을 실시한다.
이런 식의 공격은 탐지가 매우 어렵다. 머신 러닝을 써도 마찬가지다. 왜냐하면 머신 러닝은 사기성 행위나 악성 행위를 분별하기 위해 ‘학습 단계’를 거쳐야 하기 때문이다. 이미지 인식이나 자연어 처리와 같은 인기 높은 머신 러닝 애플리케이션들을 학습시키기 위해서는 답이 명확하며 구분이 확실한 데이터들이 필요하다. 예를 들어 닭과 오리를 구분하도록 만들기 위해서는 닭과 오리의 이미지가 명확히 분류된 후 입력되어야 한다는 것이다. 이런 이미지들을 많이 주면 줄수록 머신 러닝의 결과는 더 정확해질 것이다. 하지만 온라인 사기 행위는 ‘오리’나 ‘닭’처럼 명확히 정의하기가 어렵다. 따라서 머신 러닝을 사기에 적용하면 오탐이 굉장히 많아진다.
공격의 다이내믹 바꾸기
사기 공격은 그 특유의 ‘다이내믹’ 때문에 탐지가 어려워지는 면도 있다. 전용 공격 서버나 인프라가 없기 때문에 사기 전문 공격자들은 적응과 조정에 긴 시간이 필요 없다. 변화가 상당히 빠르다는 얘기다. 따라서 이들이 과거에 사용해왔던 공격 모델을 바탕으로 한 방어 체계를 구축한다는 건 ‘항시 질 수밖에 없는 상황’을 스스로 만드는 것밖에 되지 않는다. 미래의 공격을 막을 수 있을 리가 없다.
고급화 된, 그리고 빠르게 변하는 온라인 공격에 맞서기 위해서는 방대하도록 종합적인 솔루션이 필요하다. 따라서 다층위의 방어막을 펼쳐야 한다. 무슨 말이냐면, 예를 들어 강력한 인증 시스템을 깔고, 모든 API 접근을 재차 점검하며, 자동화 코드 실험 단계를 마련해야 한다는 것이다. 이 세 가지 기본기만 잘 갖춰도 제법 튼튼한 밑바탕을 이룰 수 있게 된다. 뿐만 아니라 개발자들과 서드파티 앱에 대한 검사와 분석도 늘 있어야 하는 일이다. 비표준 인터페이스에 대한 접근을 허용할 때 그 사실을 누군가는 반드시 알도록 해야 하며, 어떤 유형의 공격이 발생할 가능성이 높은지도 미리 파악해두어야 한다.
접근 권한이 높은 사용자들의 계정을 남용하는 공격을 막기 위해서는 고급 행동 프로파일링 및 분석 도구를 마련하는 게 도움이 된다. 사용자의 행동을 보다 폭넓게, 전체적이고 통합적인 시야에서 이해할 수 있어야 한다. 온라인 사기 공격은 꽤나 광범위하게 펼쳐지는 게 대부분이고, 사기를 치기 위한 계정은 못해도 수백 개에서 수천 개씩 마련된다. 요즘 봇이 발달돼서 공격 스케일은 더 커졌다. 이런 계정들을 하나하나가 아니라 묶어서 살펴보면 분명히 인간과는 다른 점이 나타난다. 데이터 분석을 이런 식으로 실시하게 되면 보지 못했던 것들이 보인다.
온라인 사기 기술이 뭐가 있는지, 그 최신 트렌드를 좇아 다니는 것만으로는 이제 충분치 못하다. 사실 ‘트렌드 공부’를 한다는 것 자체가 이미 늦었다는 소리일 수 있다.
글 : 팅팡 옌(Ting-Fang Yen), DataVisor
[국제부 문가용 기자(globoan@boannews.com)]
Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-16] .jpg)
.jpg)
