도난당한 비즈니스 자격 증명이 다크 웹에 이르는 과정과 대응 방법

비밀번호 하나가 도난당했다고 해서 곧바로 혼란이 일어나지는 않습니다. 유출된 데이터베이스에 저장되어 있을 수도 있고, 수천 건의 다른 기록과 함께 번들로 묶여 있을 수도 있습니다. 때로는 거래되거나 재판매되고, 다른 서비스에서 시험되거나, 몇 주 후 원래 보안 사고와 무관해 보이는 피싱 캠페인에 사용되기도 합니다.

기업이 계정 중 하나가 노출된 사실을 인지할 때쯤이면 자격 증명은 이미 여러 사람의 손을 거쳤을 수 있습니다. 그래서 다크 웹에 올라온 기업 자격 증명을 관리하기가 특히 어렵습니다. 보안 사고는 한곳에서 발생하지만 데이터는 다른 곳에 나타날 수 있고, 뒤이어 벌어지는 공격은 전혀 다른 시스템을 겨냥할 수도 있습니다.

이 자격 증명이 다크 웹에 나타날 때쯤이면 보안 사고는 이미 어딘가에서 발생한 상태입니다. 그곳에서 드러나는 것은 다음 위험입니다. 누가 데이터를 찾을 수 있는지, 누가 이를 재사용할 수 있는지, 기업이 얼마나 빠르게 대응할 수 있는지입니다. 다크 웹에 올라온 기업 자격 증명은 사이버 범죄자에게 값진 자원이므로, 기업은 데이터 보안 사고의 영향을 받을 경우에 대비해야 합니다.

기업 자격 증명이 탈취되는 방식

자격 증명이 유출된 사실을 기업이 알아차리기까지는 며칠, 몇 주, 심지어 몇 달이 걸릴 수 있습니다. 가짜 로그인 페이지를 통해 수집되거나, 감염된 기기에서 빼내지거나, 공급업체 보안 사고로 노출되거나, 오래된 개인 계정에서 재사용되어 결국 도난당한 데이터가 대량으로 거래되는 다크 웹 마켓플레이스에 이르기도 합니다.

피싱

피싱 이메일은 여전히 자격 증명을 탈취하는 흔한 경로입니다. 직원이 익숙한 SaaS 플랫폼처럼 보이는 페이지에 접속하거나, 로그인을 요구하는 문서 요청을 열거나, 신뢰할 수 있는 서비스에서 온 것처럼 보이는 메시지를 따라갈 수 있습니다. 자격 증명을 한 번 입력하면 공격자는 즉시 이를 사용하거나 나중을 위해 저장할 수 있습니다. 피싱 공격이 한 번만 성공해도 유출된 계정이 접근할 수 있는 모든 시스템이 노출될 수 있습니다.

랜섬웨어

다른 유출은 덜 눈에 띕니다. 랜섬웨어 사고가 발생하면 공격자는 시스템을 암호화하기 전에 계정 목록, 설정 파일, 비밀번호, 접근 기록을 비롯한 파일을 훔칠 수 있습니다. 공급망 보안 사고는 기업 자체 시스템이 최초의 유출 지점이 아니었더라도 공급업체, 계약업체, 소프트웨어 제공업체 또는 관리형 서비스 파트너를 통해 자격 증명을 노출시킬 수 있습니다.

재사용한 비밀번호

직원이 개인 계정과 업무 계정에서 같은 비밀번호를 사용하면, 회사 외부에서 발생한 보안 사고가 여전히 업무 문제가 될 수 있습니다. 공격자가 먼저 업무 시스템에 침입할 필요는 없습니다. 이미 유출된 자격 증명을 수십 개의 서비스에서 시험해 보고 어디에서 아직 통하는지 확인할 수 있는데, 이를 자격 증명 스터핑 공격이라고 합니다.

정보 탈취형 멀웨어

직원의 기기도 노출의 원인이 될 수 있습니다. 정보 탈취형 멀웨어는 기기에 저장된 비밀번호, 브라우저 세션, 쿠키, 자동완성 데이터 및 기타 민감한 정보를 수집하도록 만들어졌습니다. 해당 기기가 업무에, 가끔이라도 사용된다면 개인의 유출로 인해 공격자가 업무 계정, 도구 또는 커뮤니케이션 채널에 접근할 수 있게 됩니다.

자격 증명이 범죄 데이터 세트나 다크 웹 소스에 나타날 때쯤이면 최초의 탈취는 이미 며칠, 몇 주, 몇 달 전의 일일 수 있습니다. 기업은 단순히 유출된 비밀번호 하나를 다루는 것이 아닙니다. 자격 증명이 어디에서 왔는지, 누가 이를 보았는지, 테스트되었는지, 함께 무엇이 더 노출되었을 수 있는지에 대한 불확실성을 다루는 것입니다.

자격 증명이 탈취된 후 벌어지는 일

자격 증명은 탈취된 후 한곳에 머무는 경우가 거의 없습니다. 더 큰 보안 사고 데이터 세트에 추가되거나, 비공개로 공유되거나, 대량으로 판매되거나, 서로 다른 그룹이 각기 다른 목적으로 사용할 수 있습니다. 일부 공격자는 계정에 직접 접근하기를 원합니다. 다른 공격자는 재판매할 수 있는 유효한 기업 이메일 목록, 비밀번호, 세션 데이터 또는 관리자 계정을 원합니다.

자격 증명으로 무엇을 열 수 있는지에 따라 가치가 달라집니다 :

• 기본 직원 로그인 정보는 피싱이나 내부 정찰에 도움이 될 수 있습니다.
• 재사용한 비밀번호는 여러 계정을 열 수 있습니다.
• 관리자 자격 증명은 설정, 고객 데이터, 결제 정보 또는 사용자 관리에 대한 접근 권한을 제공할 수 있습니다.
• 금융 계정 로그인 정보는 결제 사기에 이용될 수 있습니다.
• SaaS 자격 증명은 문서, 메시지, 프로젝트 데이터 또는 고객 기록을 노출시킬 수 있습니다.

다크 웹에 올라온 기업 데이터가 위험해지는 이유는 파괴적인 행동에 사용될 수 있기 때문입니다. 자격 증명 하나가 계정을 열 수 있지만, 일부 기록만으로도 공격자는 누구를 사칭할지, 어떤 고객을 표적으로 삼을지, 어떤 재무 프로세스를 모방할지, 다음으로 어떤 직원을 압박할지 파악할 수 있습니다. 기업에는 유출된 데이터베이스로 보이는 것이 사기, 피싱, 비싱, 계정 탈취를 준비하는 사람에게는 기회의 목록으로 보일 수 있습니다.

Proton 데이터 유출 관측소⁠를 소개한 글에서 많은 보안 사고가 뉴스에 보도되지 않아 문제의 실제 규모가 가려진다는 점을 설명했습니다. Proton은 기업 데이터가 어디에서 다크 웹으로 유출되는지 보여주고, 조직이 실제 노출에서 비롯되는 새로운 위험을 이해할 수 있도록 돕기 위해 이 관측소를 만들었습니다.

다크 웹에서 가장 가치 있는 기업 데이터는 무엇인가

다크 웹에서 가장 가치 있는 기업 데이터는 비밀번호나 결제 세부사항에 국한되지 않습니다. 공격자는 계정에 접근하고, 직원을 사칭하고, 고객을 표적으로 삼고, 기업이 어떻게 운영되는지 파악하는 데 도움이 되는 정보를 흔히 찾습니다.

Proton의 데이터 유출 관측소⁠는 노출된 기업 데이터가 얼마나 다양한지 보여 줍니다. 이름과 이메일 주소부터 연락처 정보, 비밀번호, 추가 공격을 지원할 수 있는 기타 기록에 이르기까지 다양합니다. 일부 정보만으로도 다른 유출에서 나온 데이터와 결합하면 유용해질 수 있습니다.

공격자에게 가장 가치 있는 기업 데이터는 일반적으로 다음과 같습니다 :

• 로그인 자격 증명 : 이메일 주소, 비밀번호, 세션 쿠키, 인증 토큰은 공격자에게 업무 계정으로 들어가는 직접적인 경로를 제공할 수 있습니다. 직원이 여러 도구에서 비밀번호를 재사용하거나 MFA가 활성화되지 않은 경우 이 위험은 더 커집니다.
• 직원 정보 : 이름, 직책, 업무용 이메일, 전화번호, 조직 관련 세부사항은 공격자가 누구를 표적으로 삼을지, 메시지를 어떻게 정상처럼 보이게 할지 파악하는 데 도움이 될 수 있습니다. 이 데이터는 피싱, 사칭, 비즈니스 이메일 유출 시도를 지원할 수 있습니다.
• 고객 데이터 : 이름, 연락처 정보, 주소, 계정 정보, 구매 내역은 사기, 신원 도용, 피싱 또는 사회공학 공격에 사용될 수 있습니다. 이 데이터에 비밀번호가 포함되지 않더라도 공격자가 사기를 더 개인적이고 설득력 있게 만드는 데 도움이 될 수 있습니다.
• 재무 및 결제 정보 : 송장, 은행 세부사항, 청구 기록, 세금 문서, 결제 데이터는 송장 사기, 결제 리디렉션 사기 또는 공급업체와 파트너를 사칭하려는 시도를 지원할 수 있습니다.
• 내부 업무 문서 : 계약서, 공급업체 목록, 프로젝트 파일, 전략 문서, 운영 기록은 즉각적인 계정 접근 권한을 제공하지는 않을 수 있지만, 기업이 어떻게 운영되는지, 누구에게 의존하는지, 공격자가 어디에서 취약점을 찾을 수 있는지 드러낼 수 있습니다.

재사용한 비밀번호, 유출된 자격 증명, 예측 가능한 조합은 업무 계정에 들어가는 가장 쉬운 방법이며, 익스플로잇도 필요 없이 목록 하나와 인내심만 있으면 됩니다. 하지만 다른 노출된 데이터도 공격자가 더 표적화된 공격을 구축하는 데 도움이 됩니다. 기업 정보가 다크 웹에 나타나면 계정 하나가 유출될 수 있다는 것만이 위험이 아닙니다. 같은 데이터는 최초 보안 사고가 발생한 뒤 오랜 시간이 지나도 재사용되고 결합되고 악용될 수 있습니다.

다크 웹에서 기업 자격 증명을 발견하면 해야 할 일

다크 웹 활동으로 인해 발생한 손실에 대한 정확한 추정치는 없지만, 다크 웹은 훨씬 더 큰 사이버 범죄 경제에서 역할을 합니다. 학술 리뷰인 Global Cybercrime Damages: A Baseline for Frontier AI Risk Assessment(새 창)는 전 세계 사이버 범죄 피해액을 연간 약 5,000억 달러로 추정하며, 예상 범위는 1,000억 달러에서 1조 달러 사이입니다. 다크 웹 포럼과 마켓플레이스는 도난당한 자격 증명, 개인 데이터, 기업 정보를 더 쉽게 거래하고 결합하고 재사용할 수 있게 함으로써 이 생태계에 기여합니다.

다크 웹에서 기업 자격 증명이 발견되면, 가장 먼저 해야 할 일은 공격자가 여전히 이를 사용할 수 있을 가능성을 줄이는 것입니다. 몇 달 전에 노출된 자격 증명도 비밀번호가 변경되지 않았거나 다중 인증(MFA)이 설정되지 않았거나 같은 비밀번호가 다른 도구에서 재사용되었다면 여전히 유효할 수 있습니다.

1. 영향을 받을 수 있는 계정, 직원, 시스템 파악

노출된 비밀번호를 재설정하고, 활성 세션을 취소하고, 동일하거나 유사한 비밀번호가 다른 곳에서도 사용되었는지 확인합니다. 해당 계정이 이메일, 파일 저장공간, 재무 시스템, 고객 데이터 또는 관리자 패널에 연결되어 있다면 더 높은 위험으로 간주하고, 최근 활동에서 의심스러운 로그인, 전달 규칙, 권한 변경 또는 비정상적인 다운로드를 검토합니다.

노출된 자격 증명에 개인 데이터가 포함되어 있다면 해당 사고를 관련 감독 기관에 신고해야 하는지 평가합니다. 영국에서는 ICO(새 창)가, 각 EU 회원국에서는 국가 개인정보 보호 기관이 그 역할을 합니다. 영국과 EU의 GDPR 모두에서 모든 개인 데이터 보안 사고가 신고 대상은 아니지만, 보안 사고가 사람들의 권리와 자유에 위험을 초래할 가능성이 있을 때는 조직이 신고해야 합니다. ICO의 보안 사고 신고(새 창)⁠ 지침은 기업이 사고를 평가하고 신고 절차를 이해하는 데 도움이 될 수 있습니다.

2. 가능한 모든 곳에서 MFA 적용

이메일, 관리자 계정, 클라우드 플랫폼 등 민감한 기업 데이터가 담긴 도구에 집중해야 합니다. MFA가 이미 활성화되어 있었다면 인증 방식과 복구 옵션을 검토하여 공격자가 유출된 백업 코드, 취약한 복구 이메일 계정 또는 사회공학 공격을 통해 이를 우회할 수 없도록 해야 합니다.

3. 영향을 받은 내부 사용자에게 알림

다음으로 영향을 받은 팀 구성원에게 알리고, 무엇을 변경하고 무엇을 주의해야 하는지 명확한 지침을 제공해야 합니다. 자격 증명이 다크 웹에 나타나면 공격자는 이를 자격 증명 스터핑, 피싱, 사칭 또는 유출된 계정 하나에서 다른 업무 시스템으로 이동하려는 시도에 사용할 수 있습니다.

4. 접근 제어 검토

사용하지 않는 계정을 삭제하고, 권한을 업데이트하고, 공유된 자격 증명을 확인하고, 직원이 모든 업무 서비스에 고유한 비밀번호를 사용하도록 합니다. 비밀번호 관리자는 팀이 더 강력한 비밀번호를 생성하고, 이를 안전하게 저장하고, 비밀번호 자체를 노출하지 않고 접근 권한을 공유하고, 관리자가 위험한 비밀번호 사용 행태를 더 잘 파악하도록 도울 수 있습니다.

5. 추가 노출 지속 모니터링

마지막으로 향후 노출을 계속 모니터링해야 합니다. 다크 웹 데이터는 최초 보안 사고가 발생한 뒤 오랜 시간이 지나도 다시 나타나거나, 재가공되거나, 다른 유출 데이터와 결합될 수 있습니다. 노출된 자격 증명을 일찍 발견하면 공격자가 유출된 데이터를 계정 탈취, 사기 또는 더 광범위한 보안 사고로 이어가기 전에 기업이 접근 권한을 재설정할 가능성이 커집니다. Proton Pass for Business와 같은 기업용 비밀번호 관리자를 사용하면 취약한 계정을 식별하고 데이터 보안 사고 알림을 한곳에서 제공하므로, 누구도 직접 찾아 나서지 않아도 노출을 파악할 수 있습니다.

Pass Monitor가 자격 증명 노출 감지를 돕는 방법

다크 웹 노출은 흔히 지연되고 파편화되어 있습니다. 유출된 이메일 주소는 한 데이터 세트에, 비밀번호는 다른 데이터 세트에, 관련 개인 정보는 또 다른 곳에 나타날 수 있습니다. 모니터링은 노출된 자격 증명이 계정 탈취, 피싱 또는 사기로 조용히 재사용되기 전에 이러한 신호를 더 일찍 드러내는 데 도움이 됩니다.

Proton Pass for Business⁠와 같은 기업용 비밀번호 관리자를 사용하면 팀이 자격 증명을 암호화된 비밀번호 보관함에 저장하고, 고유한 비밀번호를 생성하고, 로그인 정보를 자동완성하고, 접근 권한을 안전하게 공유하고, 패스키를 관리하고, 내장된 2단계 인증을 사용할 수 있습니다. 정책, 보고, 로그, 그룹 관리, SCIM 프로비저닝, SSO 통합과 같은 관리자 기능은 기업이 성장함에 따라 접근 권한을 통제하는 데 도움이 됩니다.

다크 웹 모니터링 도구는 Proton Pass for Business의 기능으로, 취약한 비즈니스 계정을 식별하고 데이터 유출 경보를 한곳에서 받을 수 있도록 도와줍니다. 다크 웹 모니터링, 비밀번호 건강도 검사, 비활성 2단계 인증 경보가 포함됩니다.

Pass Monitor는 데이터 유출로 개인정보가 유출되었을 때 사용자에게 알리고, 재사용되거나 취약한 비밀번호를 식별할 수 있습니다. 비밀번호 건강도는 비밀번호를 해독하는 데 걸리는 시간을 추정하므로, 팀은 몇 초 만에 뚫리는 비밀번호와 몇 년이 걸리는 비밀번호의 차이를 확인할 수 있습니다.

또한 2단계 인증이 비활성화된 계정을 알려 주는데, 이는 중요한 추가 보안 계층이며 유출된 비밀번호가 단순한 불편으로 끝날지 보안 사고로 이어질지를 가르는 경우가 많습니다. 데이터 유출을 너무 늦게 알게 될 때까지 기다리지 말고, 비즈니스가 스스로를 보호하는 데 필요한 도구를 제공하세요.

다크 웹에서 비즈니스 자격 증명을 모니터링하려면 비즈니스 비밀번호 관리자⁠를 사용하세요.