조심하면 피할 수 있는 소셜 엔지니어링 수법 여섯 가지

교묘한 이메일 메시지 드라이어는 "피싱 이메일은 항상 성공률이 상당히 높은 방법이다. 보통 IT 부서 또는 업계 신망이 두터운 개발업체를 가장해 이메일을 보내며, 우리가 제어하는 첨부된 파일을 열어보거나 웹 사이트를 방문하라는 사용자 행동을 요구한다"고 말했다. 일단 클릭하면 공격은 성공한 것이다. 공격자는 사용자의 도메인 사용자 이름과 비밀번호를 비밀리에 수집하고 워크스테이션에 대한 셸 접근 권한까지 획득할 수 있다. 이후 이 워크스테이션에 기지를 구축하고, 기업 네트워크 공격을 위한 교두보로 활용한다. "한 번은 모든 직원에게 외부 웹 메일 서비스를 새 버전으로 업그레이드했다는 내용의 이메일을 보냈다. 그러자 모든 직원이 로그인하기 시작했다. 우리는 그 직원의 이메일에는 관심이 없었고, 로그인할 때 사용한 사용자 이름과 비밀번호를 수집했다. 사용자 가운데 한 명은 VPN 접근 권한까지 갖고 있어서 덕분에 우리는 VPN을 통해 기업 네트워크로 침투할 수도 있었다."

미끼 투척(공짜 물건) 드라이어는 "사람들은 공짜를 좋아한다"고 말했다. 출근길, 주차장에 새 것처럼 보이는 USB 드라이브가 떨어져 있다면 그냥 지나치기 어렵다. 드라이어는 "이 드라이브에는 우리가 일주일 내내 코딩한, 숨겨진 악성코드가 저장되어 있다. USB를 연결하는 순간 코드가 실행되어 컴퓨터를 점유하고 우리에게 원격 접속 권한을 부여한다. 그러면 최소한의 위험 부담으로 다른 내부 시스템 공격을 시작할 수 있다"고 설명했다. "성공률을 더욱 높이기 위해 신뢰감을 주는 장소에 두기도 한다. 작은 바구니에 드라이브를 가득 채우고 '무료'라고 써붙인다. 건물 정문으로 당당하게 들어가서 안내 데스크 직원과 자연스럽게 대화를 나눈 다음, 이 바구니를 로비 어딘가에 놓아둔다. 두어 시간이 지나면 30개 드라이브가 모두 동나고 곧 신호가 들어오기 시작한다." 출처. Custom USB

앞사람 바짝 따르기(Tailgating) 사람들은 바쁘다. 가끔은 너무 바쁜 나머지 자신이 사무실에 들어갈 때 누가 바짝 뒤에 따라와 같이 들어가더라도 그 사실을 인지하지 못한다. 드라이어는 "출입 카드도 없고 낯선 사람이지만 사무실이 워낙 큰데다 차림새도 그곳과 잘 어울려서 의심을 받지 않는다. 전화기로 중요한 이메일을 입력하거나 통화하는 시늉을 하면서 자연스럽게 행동한다. 대부분의 경우 미소를 짓고 있으면 앞에 가던 사람이 문을 잡아준다. 내가 출입 카드를 깜박 잊고 온 모양이라고 생각하는 것"이라고 설명했다. "일단 안에 들어가면 둘러보면서 파티션으로 가려진 구석의 빈 자리를 찾은 다음 책상 밑으로 기어 들어가서 무선 액세스 포인트(AP)를 연결한다. 바깥에 주차해 둔 미니밴에 타고 있는 동료는 무선 네트워크가 뜨면 이를 통해 내부 네트워크를 탐색한다." 출처. https://www.flickr.com/photos/gtzecosan/13359919974

쓰레기통이 곧 보물 창고(쓰레기통 뒤지기) 드라이어는 "회사의 쓰레기통은 정보의 금광이다. 개발업체 정보, 비밀번호, 사용자 이름, 설계도, 네트워크 정보 등 온갖 것이 다 들어 있다"고 말했다. "쓰레기통은 잠겨 있는 경우가 거의 없으므로(잠겨 있더라도 쉽게 열림) 새벽 3시 건물이 텅 비어 있을 때 뒤지면 성과가 아주 좋다. 쓰레기통을 뒤져 서류로 꽉 찬 봉투를 집어 들고 집으로 돌아와 분석한다. 한 번은 쓰레기통에서 1만 명이 넘는 사람들의 주민등록번호가 포함된 급여 데이터를 입수한 적이 있었다." 출처. Daneil Hsia

얼굴을 맞대고 하는 해킹 드라이어는 여유로운 태도에 적당히 차려 입으면 어디든 갈 수 있다고 말했다. "넓은 공개 사무실을 운영하는 한 회사에서 윤리적 해킹 작업을 진행하던 중, 잠겨 있지 않은 워크스테이션 하나를 발견했다. 이 시스템은 분명히 직원 전용이었다. 워크스테이션 키보드에 슬쩍 접근해 내 권한을 승격시키고 백도어를 설치했다. 몇 분 후 한 직원이 다가와서 무엇을 하고 있느냐고 물었다. 그는 내가 대답하기도 전에 '아, 드디어 컴퓨터를 수리하러 오셨군요. 몇 달 전부터 너무 느리다고 알려줬어요!'라고 말했다. 당연히 나는 웃으면서 수리하러 온 것이 맞다고 말했다." 그 직원은 돌아가고 나는 계속 작업했다. 몇 분 후 이번에는 경비원이 다가왔다. 경비원이 옆으로 오기 전에 백도어 설치를 완료하려고 애를 쓰고 있는데, 고맙게도 아까 그 직원이 경비원에게 다가가 '괜찮아요. IT 부서에서 컴퓨터를 고치려고 온 사람이에요'라고 대신 말해줬다. 직원이 경비원을 붙잡고 이야기하는 동안 나는 일을 마치고 유유히 사라졌다." 출처. Shutterstock

전화 통화 드라이어는 민감한 정보를 캐내는 가장 직접적인 방법은 '전화를 걸어 물어보는 것'이라고 말했다. 소셜 엔지니어는 약간의 준비 과정을 통해 꽤 그럴듯한 구실을 만들어 좋은 효과를 볼 수 있다. 드라이어는 "즐겨 사용하는 방법은 회사가 구하는 기술직에 관심이 있는 척하면서 HR 또는 그날 맞닥뜨린 아무 부서에서나 부가적인 정보를 얻어내는 것이다. 대부분 상대방이 내 이력서를 요청하게끔 유도하는 데 성공한다. 피싱 이메일을 보내기 위한 완벽한 준비가 된 것"이라고 말했다. "한 번은 IT 부서를 가장해 어느 직원과 전화 통화를 했다. 컴퓨터 문제를 해결해주는 척 대화를 하면서 계정 침입을 위해 비밀번호를 우리가 아는 값으로 바꾸도록 유도했다. 대화를 마칠 때쯤, 그 직원은 자신의 부서에 있는 다른 동료들도 똑같은, 우리가 속인 '가짜 문제'를 겪고 있다고 말하면서 동료 직원들도 모두 동일한 비밀번호로 바꾸도록 하면 해결하는 데 도움이 되겠느냐고 물었다. 당연히 큰 도움이 된다고, 고맙다고 말했다!" 출처. Shutterstock

알면 당하지 않는다 지금까지 슬라이드는 모두 트러스트웨이브에서 직접 실행한 소셜 엔지니어링의 사례들이다. 드라이어는 "이런 종류의 서비스들은 기업들이 최신 위협에 대해 방어하고 범죄자들보다 앞서 나갈 수 있게 해준다. 기업들은 공격으로부터 보호하기 위한 다른 보안 수단도 마련해야 한다"고 말했다. "여기에는 악성코드를 실시간으로 탐지해 걸러내는 안티 악성코드 기술, 네트워크 접근 권한을 필요한 사람에게만 제한적으로 부여하는 네트워크 접근 제어, 공격을 차단하고 중요 데이터와 그렇지 않은 데이터를 나누는 웹 애플리케이션 방화벽, 침입 탐지 및 방지 제어 등이 포함된다. 또 한 가지 중요한 방어 계층은 사람이다. 직원과 경영진은 보안 인식 교육을 통해 최선의 보안 관행을 숙지해야 한다.” 출처. Shutterstock