'이 사이트 해킹해주세요'··· 다크웹 내 긱 이코노미 부상 중

솔로비에프의 팀이 찾은 광고에 따르면 웹 사이트 해킹 비용은 최대 1만 달러다. 하지만 일부 구매자들은 이런 작업의 예산이 수백 달러에 불과하다. 시장은 다양하며 범죄 목적으로 구매할 수 있는 모든 것을 아마도 할인된 가격에 구매할 수 있을 것이다.


특정 사이트 해킹 서비스를 구매하려 하고 있다. 

사람들은 웹 셸을 확보하거나 웹 사이트의 관리 인터페이스에 액세스하거나 기성 익스플로잇 공격을 이용해 SQL 코드를 주입하고 싶어한다. 웹 셸(공격자가 웹 인터페이스를 통해 OS 명령을 실행하기 위해 사용할 수 있는 서버에 업로드 된 파일)의 경우 비용이 몇 센트에서 최대 1,000달러까지일 수 있으며, 가격이 낮은 이유는 획득한 권한이 제한적이기 때문이라고 솔로비에프가 설명했다.

다크웹 개인 정보 시장이 성장하고 있다
특히 보편적인 광고는 온라인 스토어를 표적으로 삼는 것들이다. 이런 기업들을 해킹하려면 일반적으로 50~2,000달러가 필요하다. 공격자들은 웹 사이트에 악성 자바스크립트 코드를 주입하여 쇼핑객들이 입력하는 데이터를 수집하고 싶어한다. 솔로비에프는 “고객들은 개인 정보를 남기고 이런 웹 사이트에 등록한다. 그들은 신용카드 정보를 입력하여 구매를 하고 클라우드 서비스를 이용하여 정보를 저장한다”라고 말했다.

그의 팀은 이미 해킹된 데이터베이스의 가격이 최대 2만 달러 또는 1,000개 항목당 최대 50달러라는 사실을 발견했다. 사용자 항목에는 일반적으로 사용자 이름, 이메일 주소, 전체 이름, 전화번호, 집주소, 생년월일 그리고 때로는 심지어 사회보장번호도 포함되어 있다. 

디지털 셰도우즈(Digital Shadows)의 위협 연구원 스테파노 디블라시는 “전통적인 훔치거나 유출된 데이터베이스 구매 및 판매는 이를 이용한 잠재적인 범죄 기회 때문에 여전히 널리 보편화되어 있다”고 말했다. 

이어 그는 “예를 들어, 재정적 동기가 있는 적들은 데이터베이스에서 추출한 훔친 신용카드 상세정보를 이용하여 훔친 돈을 세탁할 수 있다. 또한, 범죄자가 개인 식별 정보를 실업 및 세금 경감 사기뿐 아니라 신원 도난과 계정 탈취 등 다양한 목적으로 활용할 수 있다”라고 말했다.

이런 이유 때문에 디블라시는 데이터베이스 시장이 공급보다 수요가 많은 웹 사이트 해킹 시장보다 더 번창하고 있다고 말했다.

사이버 범죄 용병 위험을 완화하는 방법
기업들은 다크웹에서 자신들 또는 산업을 표적화 하는 요청이나 제안에 관한 광고 게시물을 모니터링해야 한다. 이 외에 조직이 어디에 집중해야 하는지에 대해 전문가들의 조언은 다음과 같다.

웹 사이트 보안을 강화하라
솔로비에프의 팀은 웹 리소스를 표적으로 하는 많은 광고를 발견했다. 그는 기업들이 이런 것들을 충분히 보호하지 않으며 그 결과가 엄청날 수 있다고 말했다. 웹 서비스가 내부 네트워크에 연결된 서버에서 호스팅 되는 경우 공격자는 이론적으로 기업 인프라에 침투할 수 있다. 

그는 “해커가 웹 리소스에 대한 통제권을 확보하면 정보를 변경하고 악성 소프트웨어를 배치하며 사용자가 재화와 서비스의 비용을 지불할 때 입력하는 신용카드 번호를 가로챌 수 있다”라고 말했다.

게다가 포지티브 테크놀로지스가 2020년 8월에 공개한 이전의 보고서에서 제시된 기업 중 86%가 웹 애플리케이션 보호가 충분하지 못한 것으로 나타났다. 솔로비에프는 “웹 애플리케이션은 상용 소프트웨어 개발 경험이 거의 없는 기업들이 자체적으로 개발하고 보안을 나중에 생각하는 경우가 많기 때문에 웹 사이트가 사이버 도둑들이 선택하는 입구가 될 수밖에 없다”라고 말했다.

기업의 웹 애플리케이션 해킹은 데이터 유출 또는 프라이버시 규정 위반으로 이어질 수 있지만 공격자는 해당 조직의 리소스를 플랫폼으로 활용하여 맬웨어를 확산시키거나 다른 공격 중 다운로드하는 도구를 보관할 수 있다.

웹 애플리케이션 보안에 대한 접근방식을 검토하라
범죄자 그룹들이 더 이상 목적을 갖고 사이트를 해킹할 필요가 없어졌기 때문에 기업이 공격의 피해자가 될 가능성이 크게 높아졌다. 그들은 다크웹에서 일련의 액세스를 하나의 묶음으로 구매할 수 있다고 솔로비에프가 말했다. 그는 기업들이 ‘집단으로 웹 사이트의 알려진 취약성을 찾는 덜 숙련된 해커들의 집중적인 공격’을 받고 있음을 발견할 수 있다고 전했다.

솔로비에프는 “웹 리소스에 대한 공격을 최소화하기 위해 조직은 웹 애플리케이션 보안에 대한 포괄적인 접근방식을 도입해야 하며, 여기에는 세부적인 분석과 테스트뿐만이 아니라 웹 애플리케이션 방화벽 같은 기술 또는 공격에 대한 선제적인 보호 등을 구현하는 것이 포함된다”고 말했다. 

보안 시스템을 구축할 때, 그는 회사가 감내할 수 있는 부정적인 결과의 규모를 고려하는 위험 지향적인 접근방식의 원칙을 따르라고 조언했다.

피싱(Phishing) 및 업무용 이메일 유출을 보호하라
레코드디 퓨처의 사니코프는 조직의 특히 조심해야 할 영역이 피싱과 업무용 이메일 유출이라고 주장했다. 그는 “스니퍼(Sniffer)와 웹 인젝트(Web Inject) 등을 통해 유출된 자격 증명을 통해 너무 많은 정보가 제공되고 강탈 사이트에서 문서가 유출되는 상황에서 위협 활동자들이 직원 계정에 액세스한 후 회사 내에서 횡방향으로 이동하여 권한 상승 또는 비즈니스 이메일 유출을 수행하기가 훨씬 쉬워졌다”라고 말했다.

사니코프는 “또한 강탈 사이트에서 문서가 유출되는 상황에서 위협 활동자들은 매력적인 미끼를 더 쉽게 개발하여 피해 기업의 파트너 조직을 표적으로 삼을 수 있다. 위협 활동자가 피해자로부터 제3자에 대한 송장을 발견하면 이를 손쉽게 도용하고 처음부터 작업하고 있던 제3자에 속한 같은 사람에게 보낼 수 있다”라고 말했다.

그는 기업들이 지속적으로 정보를 확보하고 다크웹 플랫폼에서 광고되는 모든 웹 인젝트를 추적하라고 조언했다. 사니코프는 “협력 중인 제3자가 피해자가 되었는지 파악하기 위해 강탈 사이트를 예의주시하면 해당 기업과의 소통 또는 상호작용을 중심으로 경고 메시지를 보내는 데 도움이 된다”라고 말했다.

보안 원칙을 준수하라
디블라시는 블랙햇 해커들이 기회주의적인 경우가 많고 ‘쉬운 것’을 먼저 표적으로 삼을 가능성이 높다고 덧붙였다. 그는 “이런 공격을 방지하는 가장 효과적인 방법은 업데이트된 보안 패치를 설치하고 사이버 위생 모범 사례를 구현하여 어려운 표적이 되는 것이다. 또한 자체 또는 아웃소싱 사이버 위협 정보팀이 있으면 보안팀의 보안 조치 우선순위 설정 및 잠재적 위협 완화 노력을 지원할 수 있다”라고 말했다.

디블라시에 따르면 온라인으로 운영 중인 기업들은 항상 현재 또는 미래에 사이버 범죄자들이 그들의 데이터를 능동적으로 노릴 수 있음을 가정해야 한다.