영국의 주요 소매업체인 코옵(Co-op), 막스앤스펜서(M&S), 해러즈(Harrods)가 최근 며칠 동안 대규모 사이버 공격을 받았습니다. 해커에 대한 자세한 정보는 아직 알려지지 않았지만, 공격 시기가 근접한 점으로 미루어 보아 단일 공격자가 세 건 모두를 저질렀을 가능성이 높으며, M&S 공격과 연관된 것으로 알려진 스캐터드 스파이더(Scattered Spider) 해킹 그룹이 유력한 후보입니다. 소매업체, 은행, 그리고 관련 업계 종사자들은 이러한 상황에 어떻게 대응해야 할까요?
소매 해커 전술
영국 소매 체인 부츠(Boots)가 최근 IT 장애로 큰 타격을 입은 가운데, 모리슨(Morrisons)은 작년 사이버 공격으로 매출에 큰 타격을 입었고, 커리스(Currys)와 JD 스포츠(JD Sports) 역시 고객 데이터를 침해하는 공격을 받았습니다. 소매업체들은 분명히 취약한 상태이며, 막스앤스펜서(Marks & Spencer)는 비접촉식 결제 시스템 도입 실패로 5억 파운드(약 6,000억 원)의 손실을 입었고, 코옵(Co-op)은 매장 진열대를 텅 비운 상황에서 이러한 공격의 심각성은 아무리 강조해도 지나치지 않습니다.
도대체 무슨 일이 벌어지고 있는 걸까요? 북한 출신 원격 근무자들이 가짜 자격증으로 IT 부서에 침투한 걸까요? 이런 악당들이 얼마나 교묘한지 우리는 이미 알고 있습니다. 한 인사 부서는 지원자의 사진과 AI로 보정된 사진이 일치하는지 확인하기 위해 네 번의 화상 면접을 진행하고, 추가적인 신원 조사를 실시했지만 모두 문제가 없다고 나왔습니다(도용된 미국 신분을 사용했기 때문입니다). 그런데도 가짜 직원을 채용했고, 그 직원은 곧바로 악성 소프트웨어를 다운로드하기 시작했습니다. 또 다른 회사는 결국 북한 출신 원격 근무자를 채용하려는 조직적인 계획의 피해자가 되었고, 전체 엔지니어링 팀의 3분의 1 이상 이 북한 출신이라는 사실을 알게 되었습니다!
북한 파이썬 프로그래머가 아니었다면, 외국 세력의 요원들이 지금까지 알려지지 않은 양자 컴퓨터에 접근하여 비밀 코드를 해독하고 개인 키를 복제하여 소매업체 네트워크에 침투하여 네트워크 보안을 무력화했을까요? 내부자들이 원치 않는 약관 변경에 대한 보복으로 호스트를 공격하여 마비시키려 했을까요? 주요 공급업체가 제공한 IT 시스템이 경쟁 소매업체를 대신하여 활동하는 위장된 방해 공작원에 의해 해킹당했을까요?
아니, 당연히 아니죠. 가짜 직원이나 해커가 암호를 해독한 게 아니라, 어디서든 항상 일어나는 흔한 공격 수법이었어요. 해커들이 직원인 척 가장해서 헬프데스크에 연락한 거죠. 영국 국가사이버보안센터(NCSC)는 이러한 공격과 관련하여 기업들이 IT 헬프데스크에서 비밀번호 재설정 전에, 특히 IT 네트워크의 고위급 접근 권한을 가진 직원의 경우, " 직원 인증 " 방식을 재검토해야 한다고 밝혔습니다. 뭐, 당연한 얘기죠. 예전부터 흔히 볼 수 있는 사회공학적 해킹 수법일 뿐입니다.
꼭 이럴 필요는 없습니다. 금융 부문에서 생체 인식의 가장 일반적인 용도 중 하나는 계좌 복구입니다. 은행에서 고객 확인(KYC) 인증을 통해 계좌 접근 권한을 복구하는 것처럼, 소매업체가 직원 확인(KYE) 인증을 복구하는 데 동일한 기술을 사용할 수 없는 이유는 알 수 없습니다.
(예를 들어 Keyless와 Anonybit 같은 회사가 무엇을 하고 있는지 살펴보세요.)
M&S는 최근 연례 보고서에서 하이브리드 근무 방식으로의 전환으로 사이버 공격에 더욱 취약해졌다고 경고했습니다. 주목할 만한 점은 이번 공격에 대한 회사의 대응책 중 하나로 직원들에게 원격 회의 중 카메라를 켜고 "참석자 전원 확인"을 지시했다는 것입니다. 70,000만 명의 직원에게 발송된 내부 이메일에는 팀즈(Teams) 통화를 녹음하거나 녹취하지 말라는 내용도 포함되어 있었는데, 이는 해커들이 내부 회의에 참석하여 녹취록을 확보하고 이를 바탕으로 소셜 엔지니어링 공격을 개선하거나, 향후 침해를 위한 내부 시스템 정보를 수집했을 가능성을 시사합니다.
새로운 범죄, 새로운 범죄자.
범죄의 양상이 변하고 있고 사이버 범죄자들이 더욱 교묘해지고 있다는 것은 우리 모두 알고 있습니다. CCTV를 켜두는 것이 여러모로 좋은 정책이긴 하지만, 이 문제에 얼마나 큰 도움이 될지는 확신할 수 없습니다. 인공지능은 이미 동료들을 속일 수 있는 사람들의 영상을 만들어낼 수 있으며, 수년 동안 악의적인 목적으로 사용되어 왔습니다. 아럽(Arup)은 사기꾼들이 인공지능을 이용해 회사 CFO를 사칭하고 부하 직원에게 여러 명이 참여하는 그룹 화상 통화 중에 자금을 이체하도록 지시하는 바람에 25만 달러를 잃었습니다. 홍콩 경찰에 따르면, "화상 통화에서 부하 직원이 본 모든 사람은 가짜였다 "고 합니다.
이러한 딥페이크는 은행과 소매업뿐만 아니라 만연합니다. 런던의 한 미술관 주인은 가짜 피어스 브로스넌과 몇 달 동안 전시회를 협상한 후 30,000만 파운드(약 14천만 원)의 손실을 입었습니다. 또 다른 영국 사례에서는 한 여성이 시민권 시험에 합격하기 위해 남녀 최소 XNUMX명을 대신하여 가발과 의상을 착용한 혐의로 체포되었습니다. 이 과정에서 발각을 피하기 위해 "가짜 신분증"을 사용했습니다. 한 에어비앤비 주인은 도용된 신분증을 소지한 여성에게 부동산을 임대하고 위조 운전면허증으로 참고 보고서를 제출했습니다. 이후 그녀는 가구를 훔쳐 파티 장소로 재임대했습니다.
AI 해커, AI 방어 수단? 아니요.
마이클 바 연방준비제도이사회(FRB) 이사는 최근 AI 기반 딥페이크 공격이 증가하는 상황에서 은행들이 "불에는 불로 맞서야 한다"며 AI에 더 많이 투자해야 한다고 주장했습니다. 저는 동의하지 않습니다. 얼굴 인식, 음성 분석, 행동 생체 인식 기술이 이러한 가짜 공격이 개선될 때까지 AI 기반 딥페이크 공격을 탐지할 수 있을지도 모릅니다. AI에 대한 상당한 투자가 AI 기반 사기의 홍수로부터 은행을 보호하는 데 도움이 될 수 있다는 것은 사실이지만, 사기꾼들이 수법을 개선하고 있는 상황에서 이는 일시적인 안도감일 수 있습니다. 하지만 왜 이런 방식을 택해야 할까요? AI로 공격자를 따돌리려 하기보다는 위조가 불가능한 검증된 기술인 디지털 서명을 사용하는 것이 어떨까요?
AI 대 AI의 경쟁은 끝없는 치열한 경쟁일 뿐입니다. 그 대신, 은행, 소매업체, 미디어 회사 및 기타 모든 기관이 딥페이크로 무장한 현대 해커를 막기 위해 검증된 보안 인프라 사용을 강화하도록 요구해야 합니다. 제가 이전에 썼 듯이, 브래드 피트의 완벽하게 그럴듯한 가짜 영상을 만들 수는 있지만 , 브래드 피트의 완벽하게 그럴듯한 디지털 서명을 만들 수는 없습니다. 직원들에게 실제로 청구서 정산 부국장(북동부 지역)을 보고 있는지 아니면 봇을 보고 있는지 추측하게 하는 대신, 비밀번호 대신 2단계 인증을 제공하고, 카메라 활성화 권한 대신 강력한 생체 인증을 통한 검증 가능한 자격 증명을 제공하며, 암호화되고 디지털 서명된 사본을 제공하고, 암호화 키를 변조 방지 방식으로 저장(예: 휴대폰)해야 합니다. *참고: 디지털 서명은 데이터의 진위성과 무결성을 강력하게 보장하므로 위조 방지에 매우 유용한 도구입니다.*
댓글이 닫혔습니다.