다크웹에서 신종 캠페인이 발견됐다. 흥미로운 건 피해자들이 자발적으로 자신들의 신원 정보를 공격자들에게 넘긴다는 것이다. 이는 현존하는 인증 시스템의 근간을 뒤흔드는 흐름으로, 현재 남미에서 동유럽으로 확대되고 있다.

3줄 요약
1. 요즘 다크웹에서 성행하고 있는 새로운 신원 정보 수집 캠페인.
2. 사용자들이 직접 자기들의 개인정보를 건네는 것이 특징.
3. 얼굴 인증을 위한 이미지들도 포함되어 있어 최신 인증 기술도 침해할 수 있음.

[보안뉴스 문정후 기자] 다크웹에서 진행되고 있는 대규모 작전 및 거래 행위가 발견됐다. 생체 인증 솔루션 전문 업체인 아이프루브(iProov)가 발견한 것으로, 다크웹의 여러 사이버 공격자들이 진본 신분증과 얼굴 인증 이미지를 체계적으로 수집한 후 이를 가지고 추가 유통을 하거나 추가 범행을 기획하고 있다고 한다. 신원을 중심으로 한 사기 행각이 어떻게 진화하고 있는지를 보여주는 사례라고 아이프루브는 평한다.


[이미지=gettyimagesbank]

어떤 것이 발견됐나?
아이프루브가 발견한 것을 한 마디로 요약하면 “다크웹에서 활동하는 어떤 그룹이 일반인들의 신분증과 얼굴 이미지를 대량으로 수집하고 있다”라고 할 수 있다. 다크웹에서 이런 일이 일어난 게 하루 이틀이 아닌데, 뭐가 그리 대단한 발견일까? “기존의 해킹 공격 기법이 사용되지 않았다는 것이 이 캠페인의 특징입니다. 실제 신원 문서와 얼굴의 주인이 되는 사용자들이 자발적으로 문건과 이미지를 넘긴 것이 이 캠페인의 핵심입니다. 공격자들이 일종의 대가를 이들에게 제공한 것으로 보입니다. 주로 남아메리카 지역의 주민들이 여기에 휘말리고 있는데, 동유럽에서도 비슷한 현상이 조금씩 나타나고 있습니다.”

아이프루브의 CSO인 앤드류 뉴웰(Andrew Newell)은 자사 블로그를 통해 “피해자들이 자발적으로 자신의 정보를 넘기고 있다는 것이 특히 우려스럽다”고 말한다. “단기적인 돈 벌이를 위해 가장 소중할 수 있는 자산을 기꺼이 포기한다는 것, 그것도 아주 많은 사람들이 여기에 참여하고 있다는 것이 가장 걱정스러운 현상입니다. 피해자들은 이것이 별 일 아니라고 생각하는 듯 하지만 공격자들은 작은 대가로 엄청난 재료를 얻게 되는 것입니다. 진짜 신원 문서와, 그 문서와 매칭되는 얼굴 이미지를 가지고 사기를 치면 우리가 현재 가지고 있는 탐지 기법으로는 알아내기가 어렵습니다.”

우리의 신원 확인 시스템, 이대로 괜찮은가?
피해자들을 꼬드겨 신원 정보를 기꺼이 넘기게 하는 수법의 등장은, 현재 우리가 가지고 있는 신원 확인 시스템에 커다란 허점이 있음을 시사한다. “이제 고객의 신원을 확인하려는 기업들은 신원 문건의 위조 여부만 확인해서는 안 됩니다. 진본을 가진 사람들이 자신의 문서를 아무에게나 넘기는 상황이니까요. 그렇다면 이제 기업들은 진본이라 하더라도 올바른 사람이 사용하고 있는지를 확인할 수 있어야 합니다.”

현재 널리 사용되는 인증 기술 중 이번 사건으로 인해 위협을 받는 것을 간단히 요약하면 다음과 같다.
1) 문서 확인 과정 : 기존의 문서 확인 시스템은 위조 문서 혹은 변조된 문서를 탐지하는 데에는 유용하다. 하지만 반대로 진본 신분증을 엉뚱한 사람이 사용할 경우라면 무용지물이 된다.
2) 얼굴 매칭 : 이번에 발견된 캠페인의 또 다른 특징은 얼굴 인증용 이미지가 포함되어 있다는 것이다. 따라서 고객 확인 시스템에서 진본 신원 서류를 받은 후 얼굴이 포함되어 있는 사진을 제출하라고 요구한다 하더라도 사기 시도를 탐지할 수 없게 된다.
3) 라이브니스(liveness) 검증 : 진짜 인간 사용자가 서비스를 사용하고 있는지, 아니면 사진이 사용자인 것처럼 시늉하고 있는 것인지를 인증하는 것이 라이브니스 검증인데, 이번 사건으로 얼굴 매칭 이미지들이 도난당했기 때문에 이런 기술 역시 무력화될 수 있다.

어떻게 공격이 이뤄지는가?
수준이 그렇게까지 높지 않은 공격자라면 피해자들로부터 얻어낸(혹은 개인정보를 유통하는 자들로부터 구매한) 정보를 활용하여 문서 확인 과정이나 얼굴 매칭 시스템까지 뚫어낼 수 있다. 하지만 라이브니스 검증까지는 속이기가 어렵다. 따라서 라이브니스 검증을 갖추지 않은 서비스들까지는 기본적인 수준을 갖춘 공격자들도 위협할 수 있게 된다.

그것보다 조금 더 수준이 높은, 중간 레벨 정도의 공격자들이라면 실시간 얼굴 교체 및 딥페이크 기술을 활용할 수 있다. 여기에 피해자들로부터 얻어낸 진짜 신분증까지 결합하여 여러 인증 시스템을 침해하려 한다. 조명을 조작하거나 다양한 기법을 사용할 수도 있는데, 이 때문에 라이브니스 검증 시스템에도 어느 정도 효과를 볼 수 있다. 하지만 성공하리라는 보장은 없다. 즉 라이브니스 검증에 도전을 해봄직한데, 반드시 성공할 수는 없는 단계에까지 이르른다.

그렇다면 고급 기술을 갖춘 공격자들은 어떨까? “맞춤형 인공지능 모델과 특수 소프트웨어를 사용하여 라이브니스 검증에 반응하는 합성 얼굴을 생성할 수 있습니다. 3D 모델링과 실시간 애니메이션 기술까지 이용하며 매우 그럴 듯하게 라이브니스 검증용 영상을 만들고, 따라서 라이브니스를 높은 확률로 뚫어낼 수 있습니다.”

그래서?
이 소식은 고객의 인증이 큰 비중을 차지하는 서비스를 제공하는 기업들에 특히 경종을 울릴 만한 것으로, 기존의 인증 기술의 근간이 되는 원리를 다방면으로 검토할 필요가 있다. 그 동안의 인증 기술들도 더 탄탄히 유지해야 함은 물론이다. 다음 질문들을 바탕으로 점검하면 좋을 것이다.

1) 신원을 제시한 사람이, 제시된 정보와 일치하는지 확인할 수 있는가?
2) 신원 정보 혹은 얼굴 이미지가 진짜인지 가짜인지 판별할 수 있는가? 내장된 이미지 및 메타데이터 분석을 통해 악의적인 시도를 탐지하는 게 가능한가?
3) 신원의 실시간 확인과 검증이 가능한가?
4) 각종 신원 사칭 공격 시도를 빠르게 탐지하여 대응할 수 있는가? 선제적으로 이런 위협들을 찾아낼 수 있는가?

“기억해야 할 건 새로운 인증 기술이나 사칭 시도를 탐지하는 기술이 그 자체로 완벽 무결할 수 없다는 것입니다. 또한 탐지의 목표도 그 어떤 신원 사칭 공격도 성공하지 못하도록 하는 게 아닙니다. 여러 겹의 방어탑을 쌓음으로써 공격자가 신원을 도용하려 할 때 어렵고 시간과 돈이 많이 들도록 하는 것이 신원 보호의 목표입니다.” 아이프루브가 강조한다.
[국제부 문정후 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>