2017년은 '해커의 해'라고 불릴 만했습니다. 콘텐츠 관리 시스템(CMS), 전자상거래 포털, 데이터 유출 사고부터 금융기관 웹사이트 해킹에 이르기까지 사이버 범죄는 해마다 증가하는 추세입니다. 2017년에는 대규모 금융 정보 탈취 사건인 이퀴팩스(Equifax) 데이터 유출, 당해 연도 최악의 랜섬웨어 공격으로 기록된 워너크라이(WannaCry), 페티야(Petya) 랜섬웨어 공격, 그리고 악명 높은 야후(Yahoo) 데이터 유출 등 충격적인 사이버 공격이 잇달아 발생했습니다.
웹사이트는 어떻게 해킹당할까?
구글은 최근 해킹당한 웹사이트 수가 32% 증가했다고 밝혔습니다. 웹사이트가 해킹당하는 가장 흔한 경로는 다음과 같습니다.
- 보안 업데이트 미적용: 보안 패치와 업데이트를 놓치면 소프트웨어가 공격자에게 취약해집니다. 웹 서버 소프트웨어, CMS, 플러그인 등 필수 소프트웨어가 자동으로 업데이트되도록 설정하는 것이 중요합니다.
- 취약한 비밀번호: 유출된 계정 자격 증명은 웹사이트 해킹의 가장 흔한 원인 중 하나입니다. 강력한 비밀번호 규칙을 지키지 않거나 여러 계정에 동일한 비밀번호를 사용하면 계정이 쉽게 노출됩니다. 해커는 무작위 추측과 다양한 변형 조합을 통해 비밀번호를 알아낼 수 있습니다.
- 데이터 유출: 데이터가 잘못 관리되거나 부적절하게 업로드되면 유출본에 포함될 수 있습니다. '도킹(Dorking)'이라 불리는 기법은 일반 검색 엔진을 이용해 노출된 데이터를 찾아냅니다.
- 안전하지 않은 테마와 플러그인: 공격자들은 유료 플러그인이나 테마의 무료 버전에 악성 코드를 심는 경우가 많습니다. 따라서 패치가 적용된 플러그인과 테마를 사용하는 것은 물론, 개발자가 더 이상 관리하지 않는 테마나 플러그인은 반드시 제거해야 합니다. 또한 출처를 알 수 없는 사이트에서 배포하는 무료 플러그인은 사용에 각별히 주의해야 합니다.
해커가 해킹된 웹사이트로 하는 일
그렇다면 정보가 한번 유출되면 해커는 이 데이터로 무엇을 할 수 있을까요? 이에 대한 추측은 많지만, 공격자의 입장에서 해킹 이후의 행동 과정을 이해하면 향후 발생할 수 있는 사이버 공격의 피해를 최소화하는 데 큰 도움이 됩니다.
해커의 침해 후 체크리스트에는 대략 다음과 같은 작업이 포함됩니다.
-
유출 데이터 목록화
해킹 직후 해커는 신용카드 정보, 인증 자격 증명 같은 금융 정보와 이름, 주소, 전화번호 같은 개인 정보를 모아 하나의 목록(inventory)을 작성합니다.
-
정보 판매
이름, 자격 증명, 주소, 전화번호 같은 개인 정보는 해커들에 의해 대량으로 판매됩니다. Quartz의 추산에 따르면 신분 번호, 주소, 생년월일, 신용카드 정보까지 포함된 개인 정보 한 세트는 블랙마켓에서 1달러에서 450달러 사이에 거래됩니다.
-
고가치 정보 선별
유출된 인증 계정 목록을 작성한 뒤, 해커는 나머지보다 더 높은 가격에 판매할 수 있는 가장 수익성 높은 계정을 찾아냅니다. 정부·군 관련 주소 정보는 매우 높은 가치를 지니며, 대기업의 회사 이메일 주소와 비밀번호 역시 마찬가지입니다. 해커는 이런 자격 증명을 다크웹에서 훨씬 비싼 값에 되팔 수 있습니다.
게다가 한 웹사이트의 해킹이 다른 곳의 정보 유출로 이어지기도 합니다. 실제로 2012년 드롭박스(Dropbox)는 같은 해 발생한 링크드인(LinkedIn) 데이터 유출 사건에서 탈취된 자격 증명을 이용해 해킹당했습니다. 사용자들이 여러 계정에 같은 비밀번호를 재사용한다는 점을 해커는 잘 알고 있으며, 이를 교묘히 악용합니다. -
신용카드 정보 판매(카딩)
해커들은 보통 신용카드 번호 같은 금융 정보를 10개 또는 100개 단위의 묶음으로, 해당 분야 지식이 있는 사람들에게 판매합니다. 이 정보는 먼저 '브로커(broker)'에게 넘어간 뒤, 적발되지 않은 상태에서 '카더(carder)'에게 다시 판매됩니다. 이른바 카더는 탈취한 신용카드 정보로 오프라인 매장이나 아마존닷컴(Amazon.com)의 기프트카드를 구매하고, 그 카드로 실물 제품을 사들입니다.
기프트카드는 다시 전자제품 같은 고가의 물품 구매에 사용되어 기업 입장에서 추적이 매우 어려워집니다. 회사가 사기를 인지하고 카드를 차단할 때쯤이면 범죄자는 이미 물품을 손에 넣은 상태입니다. 이렇게 확보한 물품은 보통 '재배송(re-shipping) 스캠'을 통해 처리됩니다. 크레이그리스트(Craigslist) 구직 광고 같은 합법적인 경로를 이용해 아무것도 모르는 사람들을 '뮬(mule, 재배송책)'로 모집한 뒤, 물품은 국외로 발송되거나 범죄자가 옥션 사이트에 올려놓은 물품을 구매한 사람에게 직접 배송됩니다.
-
대량 할인 판매
해커는 인증 자격 증명을 모아 할인된 가격에 대량으로 판매하기도 합니다. 침해 사고가 발생하면 피해 기업은 피해 복구 조치와 함께 자격 증명을 변경하기 때문에 대부분의 자격 증명은 시간이 지나면 무용지물이 됩니다. 따라서 해커는 가치가 사라지기 전에 할인 대량 판매를 통해 빠르게 이익을 실현하려 합니다.
마무리: 해킹 피해를 줄이는 방법
해킹 위험을 줄이려면 보안 업데이트를 즉시 적용하고, 계정마다 강력하고 고유한 비밀번호를 사용하며, 관리가 중단된 플러그인과 테마를 제거하는 것이 기본입니다. 2018년에 꼭 지켜야 할 간단한 워드프레스 보안 수칙을 담은 영상도 함께 확인해 보세요.
또한 개발자라면 보안 코딩 실무 체크리스트(Secure Coding Practices Checklist)를 다운로드해 코드 단계에서부터 취약점을 줄여나가시길 권합니다.
날로 늘어나는 온라인 취약점 때문에 내 웹사이트의 안전이 걱정되시나요? 아스트라(Astra) 웹 보안 솔루션에 문의해 추가적인 보호 방법을 알아보세요.