[디지털데일리 이종현기자] “자동화 트래픽을 이용한 계정 탈취는 사기 공격의 시작일 뿐입니다. 유출된 계정 정보를 활용해 추가 정보를 유출하고, 이는 사기성 사고의 증가로 이어집니다.”(F5코리아 이진원 이사)

<디지털데일리>가 20일부터 21일까지 이틀간 개최하는 차세대 기업 보안 버추얼 컨퍼런스 [NES 2022]의 첫날 발표자로 나선 F5코리아 이진원 이사는 ‘정교해지고 진화하는 악의적인 자동화 공격, AI/ML 기법으로 대비하라’를 주제로 발표하며 이같이 밝혔다.

이진원 이사는 최근 자동화된 봇(Bot)을 이용한 공격은 점차 진화하고 있다고 말했다. 봇이 취득한 정보를 바탕으로 악의적인 집단의 수동 공격이 이뤄지고, 여기서 더 나아가 지능화된 새로운 사기 수법이 등장하는 구조로 이어진다는 설명이다.

그는 “통계상 매일 100만건 이상의 계정 정보 유출이 발생한다고 한다. 이렇게 유출돼 있는 정보를 악의적인 목적을 지닌 이들이 데이터베이스(DB)화한다. 해당 DB는 다크웹 등 블랙마켓에서 거래되는데, 이를 통해 추가적인 정보 유출을 시도한다”고 전했다.

이미 획득한 계정정보를 바탕으로 다른 웹사이트, 서비스 등에 무작위로 대입(Stuffing)하는 크리덴셜 스터핑(Credential Stuffing)이 대표적인 공격이다. 크리덴셜 스터핑으로 유출된 정보는 추가 유출 혹은 사기로 비화된다. 이 이사는 2020년 사기 사고 비율은 전년대비 65% 증가했는데 자동화된 툴을 이용한 공격의 증가를 그 원인으로 꼽았다.

공격으로부터 데이터를 지키기 위해 활동되는 것은 웹방화벽과 사기 방지, 사용자 ID 정책 등이다. 1분에 10번 이상의 로그인 시도가 이뤄질 경우, 특정 IP에서 과도한 트래픽이 발생할 경우 차단하거나 30분간 PC 및 브라우저 세션이 비활성화일 경우 로그아웃되는 등의 방법이다.

다만 이와 같은 방식은 정교한 봇 트래픽을 발생시키는 유형의 공격자들이 쉽게 우회할 수 있다는 것이 이 이사의 진단이다. 또 과한 대응이 사용자 불편으로 이어지는 경우도 있다. 사람과 컴퓨터를 구별하기 위한 ‘캡차(Capcha)’가 대표적이다. 또 봇 방어를 위해 활용되는 대표적인 수단 중 하나인 멀티팩터(Multi-Factor) 인증 역시 근본적인 봇 대응책이 될 수는 없다고 주장했다.

그는 “F5는 일반 사용자의 경험을 저해하지 않으면서, 동시에 봇을 효과적으로 차단하는 것을 목표로 한다. 여기서 중요한 것은 정교한 자동화 트래픽과 정상 사용자의 트래픽을 구분하는 것인데, F5는 사용자 디바이스 판독, 사용자 행동 분석, 봇 트래픽 유형 분석 등 세 가지 사용자 분석 기술을 활용하고 있다”고 밝혔다.

사용자가 어떤 노트북으로 접속했는지, 해당 노트북으로 몇 번의 로그인 시도가 이뤄졌는지, 하나의 PC에서 다양한 아이디가 접속되지는 않았는지 등을 판독하는 원격측정기법(Telemetry)을 활용한다. 과도하게 빠른 마우스·마우스 입력과 같은 봇에 의한 매크로 행위나 F5가 축적해온 봇 트래픽 유형을 머신러닝(ML)한 뒤 분석하는 등의 수단을 활용한다.

F5의 자동화 봇 방어 솔루션을 도입한 국내 금융 고객 사례도 소개됐다. 하루에 가업자의 전체 수보다도 많은 로그인 시도가 발생했고, 이로 인해 서버 부하가 증가함으로써 정상 사용자가 서비스를 이용하는 데 불편함을 겪었는데, F5 솔루션으로 전체 트래픽을 분석한 결과 약 32%가량이 봇 트래픽으로 확인됐다.

작년 12월 시장조사기관 포레스터는 자동화된 트래픽 방어를 통해 사기 사건의 처리 비용이 30%가량을 줄일 수 있다고 발표했다. 크리덴셜 스터핑 공격으로 인한 처리 비용은 96% 줄고, 보안 팀과 리스크 관리 팀간 협업 역시 개선될 것이라는 내용이다.

이 이사는 “F5의 봇 방어 솔루션은 점점 더 정교해지고, 지능화되는 악의적인 봇 트래픽을 효과적으로 방어할 수 있다. 이런 공격에 대한 방어는 고객에게 경제적인 이익으로 이어질 것”이라고 말했다.