다양한 웹사이트, 소셜 네트워크 및 애플리케이션에 등록할 때 개인이 계정을 생성합니다. 인터넷의 광범위한 사용에 비추어 볼 때, 각 사용자가 여러 개의 계정을 만들었을 가능성이 높으며, 그 중 일부는 더 이상 기억하지 못할 수도 있습니다.
장기간의 비활동에도 불구하고 디지털 플랫폼에 개인 정보가 남아 있는 것은 사이버 범죄자의 신원 기반 공격의 희생양이 될 위험에 처한 개인에게 심각한 문제가 되고 있습니다. 이러한 공격은 피싱 사기나 바이러스와 같은 다양한 수법을 사용하여 실행되며, 이를 통해 가해자는 개인의 온라인 프로필에 저장된 민감한 데이터에 액세스할 수 있습니다. 이러한 위협으로부터 보호하려면 강력한 비밀번호, 2단계 인증, 온라인 활동의 정기적인 모니터링 등 강력한 보안 조치를 채택하는 것이 중요합니다. 또한, 사이버 공격으로 인한 잠재적 피해를 최소화하기 위해 생성되는 디지털 프로필의 수를 제한하는 것이 좋습니다.
신원 기반 공격이란 무엇인가요?
신원 기반 공격이라는 용어는 공격자가 특정 개인 또는 단체의 기밀 데이터를 추출할 목적으로 의도적으로 컴퓨팅 장치, 네트워크 또는 계정에 무단으로 액세스하는 시나리오를 포괄합니다. 이러한 유형의 공격을 일반적으로 사칭 공격이라고 하며, 민감한 정보를 입수하거나 피해자를 속이거나 평판을 손상시키려는 사이버 범죄자들이 종종 이러한 공격을 수행합니다.
5가지 신원 기반 공격 유형 및 작동 방식
사이버 범죄자가 신원 기반 공격을 수행하기 위해 사용하는 전술은 피싱 사기, 바이러스 공격, 사회 공학 사기 등 매우 다양하고 많습니다. 이러한 공격자들은 성공 가능성을 극대화하기 위해 이러한 방법을 조합하여 사용하는 경우가 많습니다. 예를 들어
피싱
피싱은 가해자가 금융 계정 세부 정보, 로그인 자격 증명, 개인 식별 정보 등 민감한 기밀 데이터를 빼낼 목적으로 이메일, SMS, 인스턴트 메시지, 소셜 미디어 플랫폼과 같은 전자 통신 채널을 통해 신뢰할 수 있는 기관이나 개인을 사칭하는 사이버 범죄를 말합니다.
잠재적인 피싱 공격을 탐지하려면 특정 지표를 식별해야 합니다. 피싱 공격은 일반적으로 메시지에 긴박감이 느껴지거나, 클릭해서는 안 되는 링크가 포함되어 있거나, 열어서는 안 되는 첨부 파일이 포함되어 있습니다. 또한 사기 단체는 사실이라고 하기에는 너무 좋아 보이는 유혹적인 제안을 할 수도 있습니다.
크리덴셜 스터핑
크리덴셜 스터핑은 한 웹사이트 또는 애플리케이션에서 인증 정보를 획득한 후 허가 없이 다른 사이트 또는 애플리케이션에서 해당 정보를 활용하려고 시도하는 행위를 말합니다. 여기에는 데이터 유출, 지하 시장에서 구매 또는 자동화된 도구를 사용하여 웹사이트에서 스크래핑하는 등 다양한 수단을 통해 사용자 이름과 비밀번호 목록을 확보하는 것이 포함될 수 있습니다. 이러한 자격 증명을 확보한 후에는 사용자가 로그인 정보를 재사용한 대상을 식별하기 위해 여러 대상에 대해 테스트할 수 있습니다. 이 기법이 성공하면 공격자는 여러 온라인 서비스에서 계정에 무단으로 액세스할 수 있으므로 크리덴셜 스터핑 공격의 위험을 완화하기 위해 강력한 비밀번호 위생 관행을 채택하고 다단계 인증을 시행하는 것이 중요합니다.
크리덴셜 스터핑은 성공률이 상대적으로 낮지만 방대한 양의 사용자 데이터가 관련되어 있기 때문에 여전히 강력한 위협이 될 수 있습니다. 연구에 따르면 공격자의 성공률이 0.1%로 낮더라도 공격자가 적어도 하나의 계정을 침해하는 데 성공할 가능성은 여전히 높습니다. 잠재적인 공격 대상의 수를 고려할 때, 귀하의 계정도 이러한 공격에 취약한 유효한 항목의 범위에 포함될 수 있습니다.
중간자 공격
중간자 공격을 통해 개인 데이터를 가로채는 것은 사이버 범죄자들이 명시적인 승인 없이 민감한 정보를 얻기 위해 사용하는 일반적인 방법입니다. 공격자는 통신 채널 내에 전략적으로 자신을 배치함으로써 애플리케이션 간에 전송되는 모든 기밀 데이터에 액세스하고 수집할 수 있습니다.
중간자(MITM) 공격은 피해자가 자신의 데이터가 가로채지고 있다는 사실을 인지하지 못하는 경우가 많기 때문에 신원 기반 공격에 매우 효과적입니다. 이를 통해 공격자는 전송된 정보를 조작하여 의도한 수신자가 보낸 것처럼 보이는 사기성 메시지로 대체할 수 있습니다. 그 결과 수신자는 허위 메시지를 인지하지 못한 채 행동하여 추가적인 위험이나 피해에 노출될 수 있습니다.
비밀번호 스프레이
반복적인 잘못된 로그인 자격 증명 입력으로 인한 계정 일시 차단은 동일한 네트워크에서 일반적으로 알려진 비밀번호와 다양한 사용자 아이디 변형을 조합하여 계정 액세스를 시도하면서 탐지를 회피하는 비밀번호 스프레이와 같은 사이버 범죄 활동을 방지하기 위해 플랫폼에서 구현하는 보안 조치입니다. 이 전략을 사용하면 범죄자가 무단 액세스를 악의적으로 시도하는 것이 아니라 실수로 자격 증명을 여러 번 입력한 합법적인 사용자로 보일 수 있습니다.그 결과 시스템은 부정 행위를 의심하고 사용자가 보안 질문에 답하거나 추가 식별 정보를 제공하는 등 대체 수단을 통해 신원을 확인할 수 있을 때까지 사용자의 계정을 차단할 수 있습니다.
위협 행위자는 개인이 비밀번호로 사용하는 일반적인 용어와 문구가 널리 퍼져 있기 때문에 비밀번호 스프레이를 수행하는 것과 관련하여 상당한 수준의 확신을 가지고 있습니다. 수많은 사용자 이름 자격 증명을 고려할 때, 여러 개인이 이렇게 쉽게 추측할 수 있는 비밀번호를 사용하는 것은 놀라운 일이 아닙니다.
패스 더 해시
“패스 더 해시”라는 용어는 공격자가 실제 비밀번호 자체가 아닌 해시된 버전의 비밀번호를 악용하여 사용자 계정에 무단으로 액세스하는 사이버 공격 전략을 말합니다. 이러한 유형의 공격은 공격자가 원래 비밀번호를 알고 있거나 피해자로부터 비밀번호를 입수할 필요 없이 무작위로 생성된 문자 시퀀스로 나타나는 손상된 해시 버전의 비밀번호에 액세스하기만 하면 됩니다.
NTLM 취약점을 악용하여 민감한 데이터에 무단으로 액세스하는 것은 많은 조직에서 널리 퍼진 문제가 되었습니다. 이러한 유형의 침입은 사이버 범죄자가 암호화된 비밀번호에 대한 액세스 권한을 얻기 위해 NTLM에서 사용하는 인증 프로세스를 조작할 때 발생할 수 있습니다. 그 결과 신원 도용이나 금전적 손실과 같은 심각한 결과를 초래할 수 있습니다. 기업은 이러한 유형의 공격이 발생하지 않도록 강력한 보안 조치를 구현하는 것이 중요합니다.
신원 기반 공격을 어떻게 방지할 수 있나요?
신원 기반 공격을 예방하려면 민감한 개인 정보에 대한 액세스를 제한하고 무단 공개 또는 오용으로부터 보호하여 기밀성과 보안을 유지해야 합니다. 이러한 목표를 달성하기 위해 암호화, 다단계 인증, 정기적인 소프트웨어 업데이트 및 패치, 사용자 교육 프로그램, 확립된 사이버 보안 프로토콜 및 모범 사례의 엄격한 준수 등 다양한 기술을 사용할 수 있습니다.
휴면 계정 비활성화
가입한 모든 온라인 플랫폼의 기록을 유지하지 않는 것이 일반적인 접근 방식입니다. 종종 사용자는 특정 계정의 사용을 중단하고 삭제를 소홀히 하는 경향이 있는데, 이러한 미사용 계정이 악의적인 공격자가 자신의 개인정보에 접근할 수 있는 관문 역할을 한다는 사실을 인지하지 못하기 때문입니다. 휴면 계정을 삭제함으로써 개인은 민감한 데이터가 악의적인 사람의 손에 넘어갈 가능성을 줄일 수 있습니다.
스프레드시트를 통해 자신의 금융 포트폴리오를 종합적으로 파악하면 상태를 효과적으로 모니터링할 수 있습니다.이메일 서비스의 비밀번호 관리 기능을 활용하면 검토 및 유지 관리 목적으로 관련된 모든 계정의 목록과 해당 자격 증명을 검색할 수 있습니다. 장기간 접속하지 않은 휴면 계정은 등록을 해지하는 것이 좋습니다.
다단계 인증 도입
다단계 인증을 구현하려면 시스템에 접근하려는 개인에 대해 일련의 검증 프로세스를 거쳐야 합니다. 즉, 권한이 없는 사람이 합법적인 사용자 이름과 비밀번호를 가지고 있더라도 이메일 주소, 전화번호 또는 장치와 같은 대체 수단을 사용하여 신원을 추가로 확인하지 않으면 계정에 침입할 수 없습니다.
다단계 인증은 공격자가 사용자의 신원을 성공적으로 확인하기 위해 둘 이상의 계정 또는 디바이스에 액세스해야 하기 때문에 신원 관련 공격에 대한 강력한 보호 수단으로 간주됩니다. 다단계 인증 시스템의 특정 취약점이 해커에 의해 악용될 수 있는 것은 사실이지만, 이러한 인증 방법은 비교적 안전하며 극복하기 어렵습니다.
최소 권한 액세스 제어 구현
인증 기술은 시스템이나 네트워크에 액세스하려는 개인의 신원을 확인하는 데 자주 사용됩니다. 그러나 단순히 이 확인을 통과했다고 해서 그 개인이 선량한 사람이라는 것을 반드시 의미하는 것은 아닙니다. 액세스 제어 원칙의 일부인 최소 권한 개념은 네트워크에서 각 사용자 또는 트래픽에 부여되는 권한을 특정 작업이나 기능에 필요한 권한으로만 제한하는 것을 옹호합니다. 이 접근 방식은 달리 입증될 때까지 모든 사용자와 데이터를 잠재적으로 의심스러운 것으로 취급하여 악의적인 활동의 위험을 최소화하는 데 도움이 됩니다. 최소 권한은 네트워크의 모든 부분에 대한 무제한 액세스를 허용하는 대신 사용자의 특정 요구와 관련된 영역으로만 액세스를 제한하도록 요구합니다.
일상적인 유지 관리 및 수리를 수행하는 사이버 보안 전문가를 포함하되 이에 국한되지 않는 다른 사용자에게 개인 정보를 공개하지 마시기 바랍니다. 이러한 접근이 필요한 경우, 이들의 행동을 주의 깊게 관찰하고 의심스러운 행동에 대해 책임을 져야 합니다.
비밀번호 문화 개선
수많은 신원 기반 공격의 성공 여부는 비밀번호와 같은 민감한 정보를 입수하는 데 달려 있습니다. 따라서 비밀번호 보안 조치를 강화하면 공격자의 접근을 효과적으로 피할 수 있습니다.개인정보나 일반적으로 사용되는 숫자가 포함된 쉽게 추측할 수 있는 비밀번호는 사용하지 않는 것이 좋습니다.
보안을 강화하려면 개별 단어 대신 구문 기반 비밀번호를 사용하는 것이 좋습니다. 또한, 여러 계정에 걸쳐 하나의 비밀번호를 사용하는 것은 상당한 위험을 초래할 수 있으므로 자제하세요. 여러 계정에 대해 다양한 비밀번호를 생성해야 하는 문제를 해결하려면 신뢰할 수 있는 비밀번호 관리자를 사용하는 것이 좋습니다.
사이버 보안 인식 함양
수립할 수 있는 가장 중요한 사이버 보안 조치 중 하나는 해당 분야에 대한 지식과 숙련도를 습득하는 것입니다. 최첨단 보안 도구를 구현하더라도 그 기능과 응용에 대한 포괄적인 이해 없이는 그 잠재력을 완전히 실현할 수 없습니다.
다양한 사이버 공격 방법과 그 작동 메커니즘, 그리고 이러한 공격을 완화하기 위해 취할 수 있는 조치에 대한 심층적인 이해가 필수적입니다. 피싱을 예로 들 수 있는데, 이 수법에 익숙해지면 의심스러운 링크를 클릭하거나 원치 않는 첨부파일을 열 때 더욱 주의를 기울이게 됩니다. 또한 여러 계정에서 동일한 비밀번호를 사용하지 않는 관행을 채택하면 크리덴셜 스터핑 공격으로부터 보호할 수 있습니다.
신원 기반 공격으로부터 디지털 발자국 추적
개인 신원은 신원 기반 공격의 기반이 되며, 위협 행위자는 개인의 개인 데이터를 확보해야만 이러한 공격을 실행할 수 있습니다. 개인의 개인 정보를 소유하면 가해자는 개인에 대한 영향력을 행사할 수 있습니다.
자신의 디지털 각인에 대한 인식을 유지하는 것은 민감한 데이터를 숨기고 권한이 없는 당사자가 검색할 수 없도록 하기 때문에 다른 사람이 액세스할 수 있는 정보의 범위를 규제하는 데 필수적입니다.