XSSㆍ브라우저 취약점 이용하는 등
전문범죄ㆍ기술 합작사례 확산 추세
기관ㆍ고객`온라인 범죄'일전 벌여야
최근 들어 피싱 공격의 발생 빈도가 줄어들고 있다는 좋은 소식이 들려오고 있다. 온라인 사기를 감시하는 피싱방지실무그룹(APWG)은 올 1월과 2월 사이에 발견된 피싱(phishing) 사기 이메일이 2% 증가하는 수준에 그쳤다고 지난 주 발표했다.
이러한 수치는 지난해 7월 이후 매달 평균 26%씩 증가한 것을 감안하면 상당히 감소한 것이다. 그러나 전문가들은 1월과 2월 사이에 피싱 공격 수법이 훨씬 더 복잡해졌다고 말한다.
피싱 사기 공격이 어떤 형태를 취하든 피싱 사기 수법, 예를 들면 파밍ㆍ크로스사이트스크립팅(cross-site scripting)ㆍDNS 포이즈닝 등은 날이 갈수록 지능화되고 있다.
마이크로소프트(MS)는 최근 피싱 웹사이트를 운영한 혐의자들을 대상으로 117개의 소장을 제출하면서 온라인 범죄와의 전쟁을 선포했다.
MS의 변호사인 아론 콘블럼은 "피싱 사기꾼들은 도둑이다. 이 신종 도둑들은 실제 세계에서와 마찬가지로 온라인에서도 피해자의 개인 금융 정보와 여타 데이터를 빼내려고 갖은 방법을 다 쓰고 있다"라고 말했다.
그는 이어 "피싱 기술을 이용해서 소비자를 속일 수 있는 새로운 방법이 계속 나타날 것"이라며 "이런 기술들이 점점 더 정교해지는 것은 어찌 보면 지극히 당연한 결과"라고 말했다.
◇신종 속임수에 더 효과적인 잔꾀로 무장=피싱 사기꾼들은 먼저 은행, 투자회사, 이베이 같은 전자상거래 회사가 운영하는 웹사이트에서 보낸 것처럼 보이는 스팸 메일을 발송했다. 그런데 사실 이메일에 들어있는 것은 가짜 웹 페이지로 메일을 받아본 사람들이 계정 로그인 데이터나 도용 가능성이 있는 기타 민감한 개인 정보를 입력하도록 만들어져 있다.
최근에는 공격 수법이 점점 더 정교해져서 실제 페이지와 거의 똑같이 보이도록 만들어진 사기성 웹 페이지와 이메일을 사용하고 있다. 또한 인스턴트 메신저 기반 공격이라는 새로운 위협이 등장했다. 합법적 웹 페이지로 가장하기 위해 자바 스크립트 기술을 사용하고, 정보를 빼내기 위해 사용자의 친구로 위장하는 전략을 구사하고 있다.
사회 공학 기술을 이용한 수법도 발전해 피해자의 이름이나 주소 혹은 사회보장번호를 요구하지 않으면서 업체의 데이터베이스에 저장되어 있는 고객정보를 훔치는 사례도 빈번해지고 있다.
이렇게 유출된 고객 정보는 매매되어 온라인 산업 스파이 행위 등 다양한 범죄에 이용될 가능성이 높다. APWG의 데이브 제반스 회장은 "이런 정보가 악용돼 회사 네트워크를 통해 침입의 빌미를 제공하는 보안 구멍이 생기는 것"이라며 "특히 노출되면 곤란한 사업성 있는 아이템을 갖고 있을 때 피싱 사기를 당하면 상당히 당혹스러울 수 밖에 없다"고 말했다.
사이버 범죄 전문가인 제인 히치콕은 귀중한 정보를 가진 특정 부류의 사람들을 대상으로 하는 공격이 증가할 것이라고 전망했다. 히치콕은 "무작위로 피싱 이메일을 보내는 것보다 좀 더 대상에 맞춰 공격을 할 때 발생할 수 있는 피해는 훨씬 크며, 이는 흔히 상상하는 정도를 넘어선다"고 말했다.
안티스팸 기술 전문업체 메일-필터스의 댄 애시비 수석부사장은 합법적 사이트를 가장해 사기 시도를 숨겨놓고는 사기가 아니라고 화려한 문체로 안심시킨 후 피싱 사기를 하는 사례가 늘고 있다고 지적했다.
◇첨단 기술로 포장된 피싱 사기=온라인 범죄에 좀더 진보된 과학 기술적 수법도 적용되기 시작했다. 더 고도화된 피싱 방법에는 사용자를 피싱 사기 사이트로 유도하기 위해 실제 회사가 관리하고 있지 않는 URL을 사용하는 방식 등 상대적으로 단순한 것부터 합법적 사이트 위에 내용을 덧붙이기 위해 자바 스크립트 코드를 사용하는 XSS 등 복잡한 것까지 다양한 방법이 있다.
또 `뛰는 법 위에 나는 사기술이 있다'는 걸 보여주듯 새로운 형태의 피싱 사기가 접수되면 연이어 다른 변종 사기 수법이 나타나는 형국이다. 예를 들어 어느 한 피싱사기 수법에 대한 관심이 높아지고 보안업체가 그 기업을 밝혀내면 피싱 사기꾼들은 변종 사기 수법을 사용한다는 것이다.
인터넷 보안업체인 넷크래프트의 인터넷 서비스 개발자인 폴 뮤톤은 "그들의 상황 대처가 이렇게 빠른 것은 더 많은 전문 범죄자들과 기술자들이 피싱 사기에 관여하고 있다는 것을 보여주는 증거"라고 지적했다.
그는 이어 "지난 6개월 동안 더 전문적인 수법이 사용되고 있다"며 "공격에서 XSS 같은 것들, 그리고 브라우저의 취약성을 이용하는 등 상당히 영리한 속임수가 많아지고 있다"라고 말했다.
APWG는 현 시점에서 제시할 수 있는 해결책은 기업들과 고객들에게 이 문제에 관해 지속적으로 인식시켜는 것뿐이라고 믿고 있으며 공격 대상이 되고 있는 업체들ㆍ법 집행기관ㆍ 정부 규제기관들이 서로 긴밀한 협조를 통해 온라인 범죄에 맞설 수 있는 기반을 조만간 마련하기를 희망하고 있다.
제반스 회장은 "이러한 협력 체제가 없는 상황에서 심지어 온라인 범죄에 이용될 소지가 있는 것들을 업계 전반에 그대로 방치한다면, 피싱 사기가 고개를 쳐들기 시작하는 것은 시간 문제"라고 강조했다.
씨넷/매트 하인스 기자
정리=이홍석기자@디지털타임스
전문범죄ㆍ기술 합작사례 확산 추세
기관ㆍ고객`온라인 범죄'일전 벌여야
최근 들어 피싱 공격의 발생 빈도가 줄어들고 있다는 좋은 소식이 들려오고 있다. 온라인 사기를 감시하는 피싱방지실무그룹(APWG)은 올 1월과 2월 사이에 발견된 피싱(phishing) 사기 이메일이 2% 증가하는 수준에 그쳤다고 지난 주 발표했다.
이러한 수치는 지난해 7월 이후 매달 평균 26%씩 증가한 것을 감안하면 상당히 감소한 것이다. 그러나 전문가들은 1월과 2월 사이에 피싱 공격 수법이 훨씬 더 복잡해졌다고 말한다.
피싱 사기 공격이 어떤 형태를 취하든 피싱 사기 수법, 예를 들면 파밍ㆍ크로스사이트스크립팅(cross-site scripting)ㆍDNS 포이즈닝 등은 날이 갈수록 지능화되고 있다.
마이크로소프트(MS)는 최근 피싱 웹사이트를 운영한 혐의자들을 대상으로 117개의 소장을 제출하면서 온라인 범죄와의 전쟁을 선포했다.
MS의 변호사인 아론 콘블럼은 "피싱 사기꾼들은 도둑이다. 이 신종 도둑들은 실제 세계에서와 마찬가지로 온라인에서도 피해자의 개인 금융 정보와 여타 데이터를 빼내려고 갖은 방법을 다 쓰고 있다"라고 말했다.
그는 이어 "피싱 기술을 이용해서 소비자를 속일 수 있는 새로운 방법이 계속 나타날 것"이라며 "이런 기술들이 점점 더 정교해지는 것은 어찌 보면 지극히 당연한 결과"라고 말했다.
◇신종 속임수에 더 효과적인 잔꾀로 무장=피싱 사기꾼들은 먼저 은행, 투자회사, 이베이 같은 전자상거래 회사가 운영하는 웹사이트에서 보낸 것처럼 보이는 스팸 메일을 발송했다. 그런데 사실 이메일에 들어있는 것은 가짜 웹 페이지로 메일을 받아본 사람들이 계정 로그인 데이터나 도용 가능성이 있는 기타 민감한 개인 정보를 입력하도록 만들어져 있다.
최근에는 공격 수법이 점점 더 정교해져서 실제 페이지와 거의 똑같이 보이도록 만들어진 사기성 웹 페이지와 이메일을 사용하고 있다. 또한 인스턴트 메신저 기반 공격이라는 새로운 위협이 등장했다. 합법적 웹 페이지로 가장하기 위해 자바 스크립트 기술을 사용하고, 정보를 빼내기 위해 사용자의 친구로 위장하는 전략을 구사하고 있다.
사회 공학 기술을 이용한 수법도 발전해 피해자의 이름이나 주소 혹은 사회보장번호를 요구하지 않으면서 업체의 데이터베이스에 저장되어 있는 고객정보를 훔치는 사례도 빈번해지고 있다.
이렇게 유출된 고객 정보는 매매되어 온라인 산업 스파이 행위 등 다양한 범죄에 이용될 가능성이 높다. APWG의 데이브 제반스 회장은 "이런 정보가 악용돼 회사 네트워크를 통해 침입의 빌미를 제공하는 보안 구멍이 생기는 것"이라며 "특히 노출되면 곤란한 사업성 있는 아이템을 갖고 있을 때 피싱 사기를 당하면 상당히 당혹스러울 수 밖에 없다"고 말했다.
사이버 범죄 전문가인 제인 히치콕은 귀중한 정보를 가진 특정 부류의 사람들을 대상으로 하는 공격이 증가할 것이라고 전망했다. 히치콕은 "무작위로 피싱 이메일을 보내는 것보다 좀 더 대상에 맞춰 공격을 할 때 발생할 수 있는 피해는 훨씬 크며, 이는 흔히 상상하는 정도를 넘어선다"고 말했다.
안티스팸 기술 전문업체 메일-필터스의 댄 애시비 수석부사장은 합법적 사이트를 가장해 사기 시도를 숨겨놓고는 사기가 아니라고 화려한 문체로 안심시킨 후 피싱 사기를 하는 사례가 늘고 있다고 지적했다.
◇첨단 기술로 포장된 피싱 사기=온라인 범죄에 좀더 진보된 과학 기술적 수법도 적용되기 시작했다. 더 고도화된 피싱 방법에는 사용자를 피싱 사기 사이트로 유도하기 위해 실제 회사가 관리하고 있지 않는 URL을 사용하는 방식 등 상대적으로 단순한 것부터 합법적 사이트 위에 내용을 덧붙이기 위해 자바 스크립트 코드를 사용하는 XSS 등 복잡한 것까지 다양한 방법이 있다.
또 `뛰는 법 위에 나는 사기술이 있다'는 걸 보여주듯 새로운 형태의 피싱 사기가 접수되면 연이어 다른 변종 사기 수법이 나타나는 형국이다. 예를 들어 어느 한 피싱사기 수법에 대한 관심이 높아지고 보안업체가 그 기업을 밝혀내면 피싱 사기꾼들은 변종 사기 수법을 사용한다는 것이다.
인터넷 보안업체인 넷크래프트의 인터넷 서비스 개발자인 폴 뮤톤은 "그들의 상황 대처가 이렇게 빠른 것은 더 많은 전문 범죄자들과 기술자들이 피싱 사기에 관여하고 있다는 것을 보여주는 증거"라고 지적했다.
그는 이어 "지난 6개월 동안 더 전문적인 수법이 사용되고 있다"며 "공격에서 XSS 같은 것들, 그리고 브라우저의 취약성을 이용하는 등 상당히 영리한 속임수가 많아지고 있다"라고 말했다.
APWG는 현 시점에서 제시할 수 있는 해결책은 기업들과 고객들에게 이 문제에 관해 지속적으로 인식시켜는 것뿐이라고 믿고 있으며 공격 대상이 되고 있는 업체들ㆍ법 집행기관ㆍ 정부 규제기관들이 서로 긴밀한 협조를 통해 온라인 범죄에 맞설 수 있는 기반을 조만간 마련하기를 희망하고 있다.
제반스 회장은 "이러한 협력 체제가 없는 상황에서 심지어 온라인 범죄에 이용될 소지가 있는 것들을 업계 전반에 그대로 방치한다면, 피싱 사기가 고개를 쳐들기 시작하는 것은 시간 문제"라고 강조했다.
씨넷/매트 하인스 기자
정리=이홍석기자@디지털타임스
