97%의 크리덴셜, 이미 암시장에 돌아다니고 있어...SNS가 문제
개인용 및 업무용 이메일 인증 설정 다르게 하도록 해야...다중인증도 좋아

[보안뉴스 문가용] 포브스가 선정한 2000대 기업들 중 1000개 기업을 조사한 결과 무려 97%가 크리덴셜 및 로그인 정보 도난을 경험한 바 있는 것으로 나타났다. 보안 전문업체인 디지털셰도우즈(Digital Shadows)가 2014년 4월부터 2016년 6월까지 온라인에 공개된 ‘탈취 크리덴셜’을 수집해 분석한 결과다.



또한 디지털셰도우즈는 해당 자료를 1000개 기업의 도메인 19362개와 일일이 대조했으며, 그 결과 약 5백만 개의 이메일-암호 정보를 찾아낼 수 있었다고 한다. 이 5백만 개는 세계에서 제일 크다 하는 1천 개 기업 및 그 파트너사의 임직원들 것이라고 한다.

크리덴셜 혹은 로그인 정보만 가지고 있으면 특정 조직을 표적 삼아 여러 종류의 공격을 감행하는 게 가능해진다. 게다가 멀웨어를 제작하지 않아도 공격이 가능해지니 사이버 범죄자들에게 있어 훨씬 매력적이다.

“원래 직원인 것처럼 합법적으로 로그인 해서 여러 데이터에 접근하는 것도 가능해지고, 스피어피싱 공격 성공률도 높일 수 있으며, 훔친 데이터를 가지고 협박을 할 수도 있고 봇넷을 만들 수 있습니다. 사용처는 무궁무진합니다.” 디지털셰도우즈의 설명이다.

특히 엔터테인먼트 산업에 있는 조직들이 크리덴셜 탈취해 독보적으로 취약한 모습을 보였다. 엔터테인먼트 산업에서 기업 당 평균 유출 크리덴셜 수는 자그마치 37399건이었는데, IT 기술산업의 경우 이는 25806건으로 2위를 차지했다.

다음으로는 의료 및 제약 산업이었고 평균 3453건의 정보가 도난당한 것으로 밝혀졌다. 부동산업은 평균 395건을 기록해 12개 산업군 중 가장 안전한 것으로 나타났다. 지역별로 보면 아프리카, 미국, 영국의 조직들에서 많은 도난이 발생했다고 한다.

그렇다면 이 많은 대기업 크리덴셜은 어디서부터 새나왔을까? 대부분 SNS 기업들이었다. “최근 발생한 링크드인, 텀블러, 마이스페이스에서 발생한 유출사고 당시 공개된 크리덴셜이 범죄자들 사이에서 사용되고 있는 전체 크리덴셜의 60%를 차지합니다. SNS 다음으로는 게임 관련 데이터 웹 사이트였습니다.”

이는 즉 “해당 종류의 서비스를 활용하는 임직원이 회사 업무에서도 똑같은 이메일/암호 크리덴셜을 사용하면 공격에 당한다는 소리”라고 디지털셰도우즈는 결론짓는다. “조직 및 기업들은 크리덴셜 관리 및 보호에 엄격하고 명확한 규칙을 적용해야 합니다. 수많은 조직원들을 하나하나 살펴서 리스크를 줄이려면 명확한 기준이 필요하거든요.” 사이버 범죄자 행동 분석 전문가인 셰인 슈크(Shane Shook) 박사의 설명이다.

“또, 기업들이 고객들에게 과도한 접근권한을 허용해주는 경우가 생각보다 많이 있습니다. 이걸 노리는 공격자들이 점점 늘어나고 있는 추세입니다.” 다행히 최근 시장에 사용자 행동분석 툴들이 늘어나고 있어 크리덴셜이 어디서 어떻게 사용되고 있는지 가시성을 확보하는 게 가능해졌다. 다만 아직 완전하지는 않다.

디지털셰도우즈의 전략부회장인 릭 홀란드(Rick Holland)는 “아무리 세계에서 손꼽히는 기업들이라도 현재 매우 위험한 상태에 있다는 게 드러났다”며 “그중에서도 인증 과정을 노리는 사이버 범죄자들이 늘어났으므로 다중인증 체제를 갖추는 것이 현명한 대응법”이라고 설명한다. “VPN, 아웃룩 웹 액세스, 각종 SaaS 애플리케이션 등 외부망과 연결된 내부 리소스들은 전부 다중인증을 해야 해요.”

또 업무 이메일을 개인용으로 사용할 수 없다든지, 개인용 이메일과 업무용 이메일의 로그인 정보를 다르게 해야 한다든지 하는 내용을 반드시 사규에 담아내야 한다고 홀란드는 권장한다. “바로 정책에 반영시키기 어렵다면 적어도 이런 내용을 바탕으로 보안 교육이라도 시켜야 합니다. 회사가 추천해줄만한 암호 관리 솔루션을 몇 개 소개해줘도 괜찮고요.”
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>