2016.12.12

기고 | 소셜미디어 해킹이 기업에 시사하는 바는?

John Brandon | CSO
기업의 제품 마케팅 관리자가 링크드인에 사진을 올렸다. 자, 여기서 무엇이 문제일까? 이 사진 속 배경에 자신의 네트워크 비밀번호가 적힌 포스트잇(Post-It) 메모가 있다. 알아보기 어렵긴 하지만 인공지능 알고리즘을 이용하는 해커들은 공개된 이미지를 스캔하고 네트워크 비밀번호가 있는지 판단해 이를 데이터 도난에 사용할 수 있다.



데이터 보안 전문가 데이비드 메이너에 따르면, 이는 그리 복잡한 일이 아니다. 사실 AI 프로그램은 검색 엔진을 사용하기보다 쉽다. 메이너는 "AI가 이미지 내의 객체와 사진의 환경을 인식하고 이미지 콘텐츠의 설명뿐만이 아니라 연령, 성별, 표정 등으로 추측할 수 있다"고 말했다. "그리고 이런 툴들은 점차 스캔하는 모든 이미지를 통해 학습하고 더욱 정확해지면서 강력해지고 있다."

직원들은 페이스북, 트위터, 링크드인 등의 사이트가 무해하다고 생각하기 쉽지만, 여기에는 해커들이 활용할 수 있는 많은 정보가 있다.

엔드포인트 보안 업체 아벡토(Avecto)의 수석 보안 엔지니어인 제임스 모드는 소셜미디어 해킹이 일으킬 수 있는 또 다른 문제를 언급했다. 해커들은 이제 트위터 피드를 스캔하여 직원의 선호도와 취향에 관한 정보를 찾아낼 수 있다. 해당 마케팅 관리자가 하루 종일 자신의 새 아이폰7에 관한 게시물을 작성했다면 해커는 아이폰7 케이스 제품 발표처럼 보이는 피싱 신용 사기를 준비할 수 있다. 해커는 기존의 검증된 관심사를 알고 있으므로 이런 속임수가 더 효과적일 수 있다.

모드는 "소셜미디어와 개인 이메일을 겨냥한 시도가 늘어나면서 이메일 스캔과 URL 필터링 등 많은 네트워크 방어책을 우회하고 있다"며 "가장 위험한 측면은 공격자가 이직 제안이나 불법 콘텐츠로 피해자를 조종해 해당 사건을 회사나 보안팀에 알리지 못 하게 하는 점이다"고 말했다.

물론, 소셜미디어가 역사상 가장 거대한 공격 벡터라는 점도 일조한다. 페이스북은 17억 9,000만 명의 사용자를 보유하고 있다. 트위터는 3억 1,700만 명의 사용자를 보유하고 있다. 비즈니스 환경에서 소셜미디어를 사용하지 않는 사람을 찾기가 어려워지고 있다. 해커들은 남에게 잘 속아 민감한 정보를 쉽게 공개하는 사람을 잘 찾아낼 수 있다.

손쉬운 해킹?
IT 자동화 기업인 업가드(UpGuard)의 보안 전문가 마이크 보케스에 따르면, 소셜미디어 해커는 오래된 기법을 주로 사용한다. 많은 사용자가 페이스북 같은 사이트를 ‘소비자용’으로 인식하기 때문에 직원들은 보안에 관해 그렇게까지 생각하지 않으며 이중 인증(문자로 잠금 해제 코드 받기 등)을 활용하지 않는다. 그리고 직원들은 안전하지 않을 수 있는 무수히 많은 써드파티 앱에도 접근 권한을 부여한다.

보케스는 사용자들이 어떤 사이트에 정보를 공개했고, 자신에 대한 게시물을 작성했으며, 다른 서비스 연동을 허용했는지 잊어버리기 때문에 손쉽게 대상이 된다고 말했다. 해커는 트위터 계정을 해킹할 수는 없어도 덜 안전한 포털에서 인증 데이터를 저장하는 대시보드 해킹에 성공할 가능성이 더 높을 수 있다.

또 다른 단순한 공격은 너무 보편적이어서 이미 많은 직원이 당했을 수 있다. 해커는 소셜미디어에서 얻은 직원의 사진을 이용해 피싱 메시지를 전송한다. 자신의 사진이 보이기 때문에 자연스럽게 클릭하게 된다. 보안 계정 관리 기업인 싸이코틱(Thycotic)의 GSA(Global Strategic Alliances) 책임자 조셉 카슨은 이메일에서 클릭하면 사용자가 일반적으로 가짜 ‘비밀번호 재설정’을 통해) 자신의 로그인에 접근권한을 부여하는 사이트로 이동한다.

무엇을 해야 할까?
보케스는 페이스북과 트위터 등의 주요 소셜미디어 서비스의 대부분이 이중 인증을 제공하므로 직원들에게 이런 기능을 활성화하여 사용하는 방법을 가르쳐야 한다고 강조했다. 그리고 나서 직원들은 써드파티 사이트에 크레덴셜(Credential)을 제공할 때는 매우 신중히 해야 한다. 로그인 정보 공유로 보안 사고가 일어날 수 있기 때문이다.

메이너는 해킹된 소셜미디어 데이터가 어떻게 활용되는지 아는 것이 중요하다고 말했다. 예를 들어, 셀카 신용 사기의 경우 광고주가 위치와 성별 등 추출된 데이터를 광고 목적으로 사용할 수 있다. 직원들은 소셜미디어 정보가 회사에 관한 중요한 데이터를 공개하여 해커들이 비도덕적인 목적을 활용할 수 있음을 인지해야 한다.

애즈텍 컨설팅(AsTech Consulting)의 수석 보안 설계자 네이썬 웬즐러는 사용자에게 소셜 미디 활동의 이례적인 변화에 주의하도록 교육해야 한다고 말했다. 예를 들어, 페이스북을 사용하며 해당 서비스에서 절대로 로그아웃하지 않는 경우에 갑자기 로그아웃된다면 해킹 때문일 수 있으며, 사용자는 이런 변화를 보고해야 한다.

웹사이트 보안 업체 사이트록(SiteLock)의 사장이자 OTA(Online Trust Alliance)의 이사회 이사인 네일 피더도 트윗덱(Tweetdeck)이나 훗스위트(HootSuite) 같은 써드파티 사이트에 대한 우려를 지적했다. 직원들이 주요 소셜미디어 사이트에 강력한 비밀번호를 사용하면서도 대시보드에는 약한 비밀번호를 사용하는 실수를 범하는 경우가 많다. 또 다른 베스트 프랙티스는 모르는 사람의 친구 요청을 절대로 수락하지 않는 것이다. 그는 페이스북 사용 계정 중 최소 2%를, 트위터는 최소 5%를 가짜로 추정했다.

이 때문에 소셜미디어를 개방된 해킹 포털로 보아야 하며 근거도 정당하다. 이 사이트들은 트롤(Troll), 해커, 곤란한 질문들이 난무한다. 하지만 진정한 비즈니스 가치를 제공하여 단기간 내에 사라지지는 않을 것이다. 모든 전문가들은 “교육이 핵심이다. 사용자는 단순한 소셜미디어 해킹의 피해자가 되기 쉽다는 사실을 인지해야 한다”는 데 의견을 같이했다.

*John Brandon은 포춘지 선정 100대 기업의 IT관리자를 지냈고 현재 기술에 대한 글을 쓰고 있다. ciokr@idg.co.kr
 



2016.12.12

기고 | 소셜미디어 해킹이 기업에 시사하는 바는?

John Brandon | CSO
기업의 제품 마케팅 관리자가 링크드인에 사진을 올렸다. 자, 여기서 무엇이 문제일까? 이 사진 속 배경에 자신의 네트워크 비밀번호가 적힌 포스트잇(Post-It) 메모가 있다. 알아보기 어렵긴 하지만 인공지능 알고리즘을 이용하는 해커들은 공개된 이미지를 스캔하고 네트워크 비밀번호가 있는지 판단해 이를 데이터 도난에 사용할 수 있다.



데이터 보안 전문가 데이비드 메이너에 따르면, 이는 그리 복잡한 일이 아니다. 사실 AI 프로그램은 검색 엔진을 사용하기보다 쉽다. 메이너는 "AI가 이미지 내의 객체와 사진의 환경을 인식하고 이미지 콘텐츠의 설명뿐만이 아니라 연령, 성별, 표정 등으로 추측할 수 있다"고 말했다. "그리고 이런 툴들은 점차 스캔하는 모든 이미지를 통해 학습하고 더욱 정확해지면서 강력해지고 있다."

직원들은 페이스북, 트위터, 링크드인 등의 사이트가 무해하다고 생각하기 쉽지만, 여기에는 해커들이 활용할 수 있는 많은 정보가 있다.

엔드포인트 보안 업체 아벡토(Avecto)의 수석 보안 엔지니어인 제임스 모드는 소셜미디어 해킹이 일으킬 수 있는 또 다른 문제를 언급했다. 해커들은 이제 트위터 피드를 스캔하여 직원의 선호도와 취향에 관한 정보를 찾아낼 수 있다. 해당 마케팅 관리자가 하루 종일 자신의 새 아이폰7에 관한 게시물을 작성했다면 해커는 아이폰7 케이스 제품 발표처럼 보이는 피싱 신용 사기를 준비할 수 있다. 해커는 기존의 검증된 관심사를 알고 있으므로 이런 속임수가 더 효과적일 수 있다.

모드는 "소셜미디어와 개인 이메일을 겨냥한 시도가 늘어나면서 이메일 스캔과 URL 필터링 등 많은 네트워크 방어책을 우회하고 있다"며 "가장 위험한 측면은 공격자가 이직 제안이나 불법 콘텐츠로 피해자를 조종해 해당 사건을 회사나 보안팀에 알리지 못 하게 하는 점이다"고 말했다.

물론, 소셜미디어가 역사상 가장 거대한 공격 벡터라는 점도 일조한다. 페이스북은 17억 9,000만 명의 사용자를 보유하고 있다. 트위터는 3억 1,700만 명의 사용자를 보유하고 있다. 비즈니스 환경에서 소셜미디어를 사용하지 않는 사람을 찾기가 어려워지고 있다. 해커들은 남에게 잘 속아 민감한 정보를 쉽게 공개하는 사람을 잘 찾아낼 수 있다.

손쉬운 해킹?
IT 자동화 기업인 업가드(UpGuard)의 보안 전문가 마이크 보케스에 따르면, 소셜미디어 해커는 오래된 기법을 주로 사용한다. 많은 사용자가 페이스북 같은 사이트를 ‘소비자용’으로 인식하기 때문에 직원들은 보안에 관해 그렇게까지 생각하지 않으며 이중 인증(문자로 잠금 해제 코드 받기 등)을 활용하지 않는다. 그리고 직원들은 안전하지 않을 수 있는 무수히 많은 써드파티 앱에도 접근 권한을 부여한다.

보케스는 사용자들이 어떤 사이트에 정보를 공개했고, 자신에 대한 게시물을 작성했으며, 다른 서비스 연동을 허용했는지 잊어버리기 때문에 손쉽게 대상이 된다고 말했다. 해커는 트위터 계정을 해킹할 수는 없어도 덜 안전한 포털에서 인증 데이터를 저장하는 대시보드 해킹에 성공할 가능성이 더 높을 수 있다.

또 다른 단순한 공격은 너무 보편적이어서 이미 많은 직원이 당했을 수 있다. 해커는 소셜미디어에서 얻은 직원의 사진을 이용해 피싱 메시지를 전송한다. 자신의 사진이 보이기 때문에 자연스럽게 클릭하게 된다. 보안 계정 관리 기업인 싸이코틱(Thycotic)의 GSA(Global Strategic Alliances) 책임자 조셉 카슨은 이메일에서 클릭하면 사용자가 일반적으로 가짜 ‘비밀번호 재설정’을 통해) 자신의 로그인에 접근권한을 부여하는 사이트로 이동한다.

무엇을 해야 할까?
보케스는 페이스북과 트위터 등의 주요 소셜미디어 서비스의 대부분이 이중 인증을 제공하므로 직원들에게 이런 기능을 활성화하여 사용하는 방법을 가르쳐야 한다고 강조했다. 그리고 나서 직원들은 써드파티 사이트에 크레덴셜(Credential)을 제공할 때는 매우 신중히 해야 한다. 로그인 정보 공유로 보안 사고가 일어날 수 있기 때문이다.

메이너는 해킹된 소셜미디어 데이터가 어떻게 활용되는지 아는 것이 중요하다고 말했다. 예를 들어, 셀카 신용 사기의 경우 광고주가 위치와 성별 등 추출된 데이터를 광고 목적으로 사용할 수 있다. 직원들은 소셜미디어 정보가 회사에 관한 중요한 데이터를 공개하여 해커들이 비도덕적인 목적을 활용할 수 있음을 인지해야 한다.

애즈텍 컨설팅(AsTech Consulting)의 수석 보안 설계자 네이썬 웬즐러는 사용자에게 소셜 미디 활동의 이례적인 변화에 주의하도록 교육해야 한다고 말했다. 예를 들어, 페이스북을 사용하며 해당 서비스에서 절대로 로그아웃하지 않는 경우에 갑자기 로그아웃된다면 해킹 때문일 수 있으며, 사용자는 이런 변화를 보고해야 한다.

웹사이트 보안 업체 사이트록(SiteLock)의 사장이자 OTA(Online Trust Alliance)의 이사회 이사인 네일 피더도 트윗덱(Tweetdeck)이나 훗스위트(HootSuite) 같은 써드파티 사이트에 대한 우려를 지적했다. 직원들이 주요 소셜미디어 사이트에 강력한 비밀번호를 사용하면서도 대시보드에는 약한 비밀번호를 사용하는 실수를 범하는 경우가 많다. 또 다른 베스트 프랙티스는 모르는 사람의 친구 요청을 절대로 수락하지 않는 것이다. 그는 페이스북 사용 계정 중 최소 2%를, 트위터는 최소 5%를 가짜로 추정했다.

이 때문에 소셜미디어를 개방된 해킹 포털로 보아야 하며 근거도 정당하다. 이 사이트들은 트롤(Troll), 해커, 곤란한 질문들이 난무한다. 하지만 진정한 비즈니스 가치를 제공하여 단기간 내에 사라지지는 않을 것이다. 모든 전문가들은 “교육이 핵심이다. 사용자는 단순한 소셜미디어 해킹의 피해자가 되기 쉽다는 사실을 인지해야 한다”는 데 의견을 같이했다.

*John Brandon은 포춘지 선정 100대 기업의 IT관리자를 지냈고 현재 기술에 대한 글을 쓰고 있다. ciokr@idg.co.kr
 

X