.jpg)
크리덴셜 스터핑, SQL 인젝션 등 게이머 노리는 공격 크게 늘어
개발사와 게이머 모두 계정 보호 위한 다양한 방안 마련해야
[보안뉴스 이상우 기자] 코로나19 대유행으로 인해 외부활동이 줄어들면서, 자연스럽게 집에서 즐길 수 있는 엔터테인먼트 산업, 특히 게임 산업이 전 세계적으로 크게 성장했다. 한국콘텐츠진흥원이 발표한 2020 게임이용자 실태조사에 따르면 전체 게임 이용률은 2019년 65.7%에서 2020년 70.5%로 증가했으며, 코로나19 이후 게임 이용 시간이 매우 증가한 편이라고 응답한 사용자는 PC 게임 45.6%, 모바일 게임 47.1%, 콘솔 게임 41.4% 등으로 조사됐다. 이러한 변화는 게임이 하나의 여가 문화로 자리잡은 것은 물론, ‘힐링 게임’을 통해 심리적 방역 수단으로 발전했다는 것을 의미한다.
이처럼 게임 산업이 성장하면서 이를 노리는 사이버 공격 역시 증가했다. 모바일 게임 시장의 성장과 더불어 게임 사용자 수의 증가로 인해 게임 업계는 이전에 비해 사이버 범죄자에게 보다 수익성이 높은 목표물이 된 것이다. 실제로 올해 1분기 국내 모바일 게임 거래액은 약 1조 6,500억 원을 기록했으며, 세계적으로는 24조 6,000억 원에 이르는 것으로 나타났다. 이에 따라 모바일 게임 업계는 범죄자들에게 아주 매력적인 공격 대상이 됐다.
기술이 발전하면서 공격 방식도 진화하고 있다. 아카마이가 발표한 ‘2021년 인터넷 보안 현황 연구 보고서: 팬데믹 시대의 게임, 코로나19 시대의 게임’에 따르면, 전 세계 웹 애플리케이션을 대상으로 한 공격은 2019년에 비해 지난해 2% 증가하는데 그쳤지만, 게임 업계를 대상으로 한 공격은 같은 기간에 무려 340%나 증가했으며, 2018년부터 2020년까지 게임 업계 웹 애플리케이션에 대한 공격은 415% 증가했다.
해당 보고서에 따르면 사이버 범죄자는 크리덴셜 스터핑(Credential Stuffing)을 통해 유출된 계정을 여러 가지 방식으로 활용한다. 실제로 2020년 게임 업계에서 발생한 스터핑 공격은 2019년 대비 224% 증가했다. 게다가 2020년에는 크리덴셜 스터핑 공격이 흔하게 발생해 사용자 이름과 비밀번호로 구성된 대규모 리스트가 불법 웹 사이트에서 겨우 5달러(한화 약 6,700원)에 판매되기도 했다. 사이버 범죄자들은 코로나19 기간 중, 이전에 확보한 계정 목록을 재활용하기도 했으며, 새로운 공격 목표를 대상으로 탈취한 목록을 시험하기도 했다. 이런 활동은 2020년 초에 시작돼 1년간 지속됐다는 설명이다.
아카마이 코리아 솔루션 엔지니어링팀 한준형 상무는 “2020년 코로나19 팬데믹으로 우리는 모두 ‘뉴 노멀’에 적응하기 위해 노력해왔다. 이 과정에서 많은 사람들이 게임을 하나의 배출구이자 개인적인 소통 수단으로 삼았다. 범죄자들 또한 이러한 새로운 시대에 적응하면서 게임 업계가 공격 타깃으로 삼기에 수익성이 높은 매력적인 분야라는 걸 알게 됐다”고 말했다.
이어 “게임 업계를 대상으로 한 공격 증가의 또 다른 원인은 한층 발전하고 정교해진 범죄자들의 공격 기법 때문이라고 할 수 있다. 범죄자들은 정보를 탈취할 수 있는 취약점을 발견하기 위해 매일 또는 매시간 방어벽을 테스트하고 외부와 접속하는 서버를 확인한다. 또한, 유명한 소셜 네트워크를 통해 공격 기법과 사례들을 공유하기 위한 수많은 그룹 채팅방이 만들어지는 것을 목격하기도 했다. 이들 대부분은 데이터베이스와 보호되지 않은 자산을 노리고 있다”고 덧붙였다.
오늘날 게임 업계에서 범죄자들이 목표로 삼는 것은 게이머다. 게이머들은 ‘범죄자들이 노리는 몇 가지 특징’을 갖췄다. 이들은 소셜 미디어에서 활발하게 활동하며, 수입의 일부를 게임 관련 물품이나 제품을 온라인으로 구매하는데 투자한다, 이로 인해 게이머들은 피싱이나 계정 탈취 공격 목표가 된다. 범죄자들은 게임 업계에서 유출한 계정을 스트리밍 미디어, 금융, 기업 자산을 포함한 다양한 플랫폼과 서비스에 테스트하기 위해 활용한다. 예를 들어, 범죄자들이 비밀번호를 탈취한다면, 그들은 해당 사용자가 비밀번호를 재활용하거나 재사용했는지 확인하기 위해 탈취한 비밀번호를 다른 모든 플랫폼과 서비스에 적용해볼 수 있으며, 이는 심각한 개인정보 유출로 이어진다.
특히, 모바일 게임과 웹 기반 게임은 데스크톱이나 콘솔 게임에 비해 보안이 탄탄하지 않기 때문에, 손쉽게 SQL 인젝션 공격의 주요 표적이 된다. SQL 인젝션은 게이머 또는 계정 세부 정보를 노출시켜 로그인 인증정보, 개인정보, 노출된 데이터베이스에 저장된 모든 것을 유출시킬 수 있다. 모바일 게임 산업은 글로벌 게임 시장 점유율의 52%를 차지하는 매우 큰 시장으로, 2021년 1,750억 달러(한화 약 200조 2,000억 원)의 매출을 기록할 것으로 예상된다. 또한, 점점 더 많은 게이머들이 스킨, 캐릭터 강화, 레벨업 등 게임 내 아이템에 실제 돈을 지출하면서, 모바일 게임 산업의 인앱 결제 모델을 악용해 언제 어디서든 이를 공격하고자 하는 범죄자들의 표적이 되고 있다.
한준형 상무는 “공격자들의 방식이 점점 더 정교해지고 있지만, 게임 회사들은 현재 모바일 게임용 보안 시스템이 직면할 수 있는 잠재적인 위험을 인식하지 못하고 있다고 생각한다. 공격자들이 모바일을 통해 악성코드를 유포하기 위해 보다 정교한 기법을 활용하기 때문에 모바일 게임 플랫폼은 PC 기반 게임에 비해 공격에 보다 취약하다. 최근 확산하고 있는 공급망 공격(Supply Chain Attack)이 바로 그것이다. 아무런 의심 없이 업데이트를 다운로드 하는 것을 공격자들이 노리고 몰래 악성코드를 넣어 멀웨어를 퍼트리는 것이다. 매우 적은 노력으로 아주 큰 피해를 주기 때문에 최근의 공급망 공격 증가추세는 매우 우려스러운 상황”이라고 말했다.
게임 업계를 노리는 사이버 공격 유형
아카마이 보고서에 따르면, 아카마이가 추적한 2020년 전 세계 63억 건의 공격 중 4%는 게임 업계를 대상으로 한 웹 애플리케이션 공격이다. 상위 웹 공격 기법들 중 SQL 인젝션이 59%로 게임 업계에서 여전히 가장 많이 사용되는 공격 기법이며, LFI(로컬 파일 인클루전) 공격이 24%로 그 뒤를 이었다. XSS(크로스 사이트 스크립팅) 공격과 RFI(원격 파일 인클루전) 공격은 각각 8%와 7%를 차지하는 등 1, 2위와 큰 격차를 보였다.
지난해 게임 산업을 대상으로 한 디도스(DDoS) 공격은 아카마이에서 관측한 DDoS 공격의 46%를 차지했다. DDoS 공격은 지난해 2019년 대비 약 20% 감소했지만, 공격의 특성상 인프라를 오프라인 상태로 만들어 비즈니스 운영과 게임 성능에 심각한 악영향을 미치기 때문에 간과해서는 안 된다는 설명이다. 특히, DDoS 공격은 게이머들의 플레이를 망치기 때문에 게임 서비스 입장에서는 사용자 경험을 저해하는 일이다.
크리덴셜 스터핑은 게임 업계를 표적으로 삼는 또 다른 공격 기법이다. 아카마이가 전 세계적으로 추적한 1,930억 건 크리덴셜 스터핑 공격 중 약 6%가 게임 산업에서 발생했다. 크리덴셜 스터핑은 가장 많이 활용되는 계정 탈취 공격 방식 중 하나로, 피싱에 이어 두 번째로 많이 활용된다.
웹 사이트 스푸핑 또한 범죄자들이 모바일 게이머들을 표적으로 삼기 위해 활용하는 기법 중 하나다. 범죄자들은 가짜 웹 사이트를 만들어 게이머들을 속이고 개인정보와 게임 계정을 탈취해 이득을 취한다.
게임 업계가 사이버 공격에 대응하기 위한 방법
한준형 상무는 “게임 회사들은 모든 종류의 공격에 대항해 인프라를 지속적으로 보호하고 있다. 온라인 게임 조직들은 다른 기업과 마찬가지로 웹 기반 공격과 트렌드에 주의를 기울이고 있다. 마찬가지로 게임 개발자들도 기존 보안 기능을 강화하며 API 접속을 보호하기 위해 사이버 공격 동향을 파악하고, 이에 맞춰 시스템을 보호해야 한다”고 말했다.
이를 위해서는 우선 계정에 대한 보호를 강화해야 한다고 설명했다. 비밀번호 재사용 가능성을 줄일 수 있도록 패스워드 관리 도구를 이용할 수 있고, 다요소 인증(MFA: Multi-factor authentication) 앱과 U2F(Universal 2nd factor) 인증 장치 역시 유용하다. 또한, 사용자와 소비자들에게 계정과 개인정보를 보호하기 위한 절차의 중요성을 교육하는 것도 필요하다.
이와 함께 사용자를 안전하게 보호할 수 있는 적절한 솔루션도 도입해야 한다. DDoS 방어, Web Application Firewall(WAF), API 보호, 봇 매니저 등 사용자들을 모든 위협으로부터 안전하게 보호할 수 있는 지능형 엣지 보안 플랫폼을 활용하거나 제로 트러스트 솔루션을 구축해야 한다.
게이머는 자신의 계정을 지키기 위해 어떤 조치가 필요할까
아카마이 보고서에 따르면 응답자의 20%가 게임 계정이 손상되는 것에 대해 걱정한다고 답했으며, 응답자의 55%는 과거에 적어도 한 번 이상 계정을 탈취당한 적이 있다고 답했다. 게이머들이 범죄자들의 공격에 취약한 원인은 쉽게 추측되거나 재활용된 패스워드의 사용이라고 할 수 있다. 이는 범죄자들에게 크리덴셜 스터핑 공격 기회를 제공하는 것과 마찬가지다. 게이머들이 플랫폼과 서비스 전반에 걸쳐 비밀번호를 재사용한다면, 동일한 비밀번호가 존재하는 다른 모든 곳에서도 공격이 가능하기 때문에 범죄자들의 공격 성공률을 높이는 셈이 된다. 범죄자들은 과거의 데이터 유출 사건에서 노출된 인증정보 중에 새롭게 탈취할 수 있는 계정이 있는지 확인하기도 한다는 설명이다.
무엇보다 게이머들은 게임 계정과 관련된 데이터의 가치가 높다는 것을 인지해야 한다. 필요하다면 게임 개발사는 게이머들에게 주기적 비밀번호 변경 및 MFA 등의 기능 활용을 강제해야 한다. 게이머를 보호하기 위한 기업과 개발자의 노력을 신뢰하도록 하면서도 보안 인식을 높이고 간단한 보안조치들을 취하는 것을 아카마이 보고서는 권장하고 있다.
[이상우 기자(boan@boannews.com)]
개발사와 게이머 모두 계정 보호 위한 다양한 방안 마련해야
[보안뉴스 이상우 기자] 코로나19 대유행으로 인해 외부활동이 줄어들면서, 자연스럽게 집에서 즐길 수 있는 엔터테인먼트 산업, 특히 게임 산업이 전 세계적으로 크게 성장했다. 한국콘텐츠진흥원이 발표한 2020 게임이용자 실태조사에 따르면 전체 게임 이용률은 2019년 65.7%에서 2020년 70.5%로 증가했으며, 코로나19 이후 게임 이용 시간이 매우 증가한 편이라고 응답한 사용자는 PC 게임 45.6%, 모바일 게임 47.1%, 콘솔 게임 41.4% 등으로 조사됐다. 이러한 변화는 게임이 하나의 여가 문화로 자리잡은 것은 물론, ‘힐링 게임’을 통해 심리적 방역 수단으로 발전했다는 것을 의미한다.
[이미지=utoimage]
이처럼 게임 산업이 성장하면서 이를 노리는 사이버 공격 역시 증가했다. 모바일 게임 시장의 성장과 더불어 게임 사용자 수의 증가로 인해 게임 업계는 이전에 비해 사이버 범죄자에게 보다 수익성이 높은 목표물이 된 것이다. 실제로 올해 1분기 국내 모바일 게임 거래액은 약 1조 6,500억 원을 기록했으며, 세계적으로는 24조 6,000억 원에 이르는 것으로 나타났다. 이에 따라 모바일 게임 업계는 범죄자들에게 아주 매력적인 공격 대상이 됐다.
기술이 발전하면서 공격 방식도 진화하고 있다. 아카마이가 발표한 ‘2021년 인터넷 보안 현황 연구 보고서: 팬데믹 시대의 게임, 코로나19 시대의 게임’에 따르면, 전 세계 웹 애플리케이션을 대상으로 한 공격은 2019년에 비해 지난해 2% 증가하는데 그쳤지만, 게임 업계를 대상으로 한 공격은 같은 기간에 무려 340%나 증가했으며, 2018년부터 2020년까지 게임 업계 웹 애플리케이션에 대한 공격은 415% 증가했다.
▲온라인에서 거래되는 유출 게임 계정[자료=아카마이]
해당 보고서에 따르면 사이버 범죄자는 크리덴셜 스터핑(Credential Stuffing)을 통해 유출된 계정을 여러 가지 방식으로 활용한다. 실제로 2020년 게임 업계에서 발생한 스터핑 공격은 2019년 대비 224% 증가했다. 게다가 2020년에는 크리덴셜 스터핑 공격이 흔하게 발생해 사용자 이름과 비밀번호로 구성된 대규모 리스트가 불법 웹 사이트에서 겨우 5달러(한화 약 6,700원)에 판매되기도 했다. 사이버 범죄자들은 코로나19 기간 중, 이전에 확보한 계정 목록을 재활용하기도 했으며, 새로운 공격 목표를 대상으로 탈취한 목록을 시험하기도 했다. 이런 활동은 2020년 초에 시작돼 1년간 지속됐다는 설명이다.
아카마이 코리아 솔루션 엔지니어링팀 한준형 상무는 “2020년 코로나19 팬데믹으로 우리는 모두 ‘뉴 노멀’에 적응하기 위해 노력해왔다. 이 과정에서 많은 사람들이 게임을 하나의 배출구이자 개인적인 소통 수단으로 삼았다. 범죄자들 또한 이러한 새로운 시대에 적응하면서 게임 업계가 공격 타깃으로 삼기에 수익성이 높은 매력적인 분야라는 걸 알게 됐다”고 말했다.
이어 “게임 업계를 대상으로 한 공격 증가의 또 다른 원인은 한층 발전하고 정교해진 범죄자들의 공격 기법 때문이라고 할 수 있다. 범죄자들은 정보를 탈취할 수 있는 취약점을 발견하기 위해 매일 또는 매시간 방어벽을 테스트하고 외부와 접속하는 서버를 확인한다. 또한, 유명한 소셜 네트워크를 통해 공격 기법과 사례들을 공유하기 위한 수많은 그룹 채팅방이 만들어지는 것을 목격하기도 했다. 이들 대부분은 데이터베이스와 보호되지 않은 자산을 노리고 있다”고 덧붙였다.
오늘날 게임 업계에서 범죄자들이 목표로 삼는 것은 게이머다. 게이머들은 ‘범죄자들이 노리는 몇 가지 특징’을 갖췄다. 이들은 소셜 미디어에서 활발하게 활동하며, 수입의 일부를 게임 관련 물품이나 제품을 온라인으로 구매하는데 투자한다, 이로 인해 게이머들은 피싱이나 계정 탈취 공격 목표가 된다. 범죄자들은 게임 업계에서 유출한 계정을 스트리밍 미디어, 금융, 기업 자산을 포함한 다양한 플랫폼과 서비스에 테스트하기 위해 활용한다. 예를 들어, 범죄자들이 비밀번호를 탈취한다면, 그들은 해당 사용자가 비밀번호를 재활용하거나 재사용했는지 확인하기 위해 탈취한 비밀번호를 다른 모든 플랫폼과 서비스에 적용해볼 수 있으며, 이는 심각한 개인정보 유출로 이어진다.
특히, 모바일 게임과 웹 기반 게임은 데스크톱이나 콘솔 게임에 비해 보안이 탄탄하지 않기 때문에, 손쉽게 SQL 인젝션 공격의 주요 표적이 된다. SQL 인젝션은 게이머 또는 계정 세부 정보를 노출시켜 로그인 인증정보, 개인정보, 노출된 데이터베이스에 저장된 모든 것을 유출시킬 수 있다. 모바일 게임 산업은 글로벌 게임 시장 점유율의 52%를 차지하는 매우 큰 시장으로, 2021년 1,750억 달러(한화 약 200조 2,000억 원)의 매출을 기록할 것으로 예상된다. 또한, 점점 더 많은 게이머들이 스킨, 캐릭터 강화, 레벨업 등 게임 내 아이템에 실제 돈을 지출하면서, 모바일 게임 산업의 인앱 결제 모델을 악용해 언제 어디서든 이를 공격하고자 하는 범죄자들의 표적이 되고 있다.
[자료=아카마이]
한준형 상무는 “공격자들의 방식이 점점 더 정교해지고 있지만, 게임 회사들은 현재 모바일 게임용 보안 시스템이 직면할 수 있는 잠재적인 위험을 인식하지 못하고 있다고 생각한다. 공격자들이 모바일을 통해 악성코드를 유포하기 위해 보다 정교한 기법을 활용하기 때문에 모바일 게임 플랫폼은 PC 기반 게임에 비해 공격에 보다 취약하다. 최근 확산하고 있는 공급망 공격(Supply Chain Attack)이 바로 그것이다. 아무런 의심 없이 업데이트를 다운로드 하는 것을 공격자들이 노리고 몰래 악성코드를 넣어 멀웨어를 퍼트리는 것이다. 매우 적은 노력으로 아주 큰 피해를 주기 때문에 최근의 공급망 공격 증가추세는 매우 우려스러운 상황”이라고 말했다.
게임 업계를 노리는 사이버 공격 유형
아카마이 보고서에 따르면, 아카마이가 추적한 2020년 전 세계 63억 건의 공격 중 4%는 게임 업계를 대상으로 한 웹 애플리케이션 공격이다. 상위 웹 공격 기법들 중 SQL 인젝션이 59%로 게임 업계에서 여전히 가장 많이 사용되는 공격 기법이며, LFI(로컬 파일 인클루전) 공격이 24%로 그 뒤를 이었다. XSS(크로스 사이트 스크립팅) 공격과 RFI(원격 파일 인클루전) 공격은 각각 8%와 7%를 차지하는 등 1, 2위와 큰 격차를 보였다.
지난해 게임 산업을 대상으로 한 디도스(DDoS) 공격은 아카마이에서 관측한 DDoS 공격의 46%를 차지했다. DDoS 공격은 지난해 2019년 대비 약 20% 감소했지만, 공격의 특성상 인프라를 오프라인 상태로 만들어 비즈니스 운영과 게임 성능에 심각한 악영향을 미치기 때문에 간과해서는 안 된다는 설명이다. 특히, DDoS 공격은 게이머들의 플레이를 망치기 때문에 게임 서비스 입장에서는 사용자 경험을 저해하는 일이다.
크리덴셜 스터핑은 게임 업계를 표적으로 삼는 또 다른 공격 기법이다. 아카마이가 전 세계적으로 추적한 1,930억 건 크리덴셜 스터핑 공격 중 약 6%가 게임 산업에서 발생했다. 크리덴셜 스터핑은 가장 많이 활용되는 계정 탈취 공격 방식 중 하나로, 피싱에 이어 두 번째로 많이 활용된다.
웹 사이트 스푸핑 또한 범죄자들이 모바일 게이머들을 표적으로 삼기 위해 활용하는 기법 중 하나다. 범죄자들은 가짜 웹 사이트를 만들어 게이머들을 속이고 개인정보와 게임 계정을 탈취해 이득을 취한다.
게임 업계가 사이버 공격에 대응하기 위한 방법
한준형 상무는 “게임 회사들은 모든 종류의 공격에 대항해 인프라를 지속적으로 보호하고 있다. 온라인 게임 조직들은 다른 기업과 마찬가지로 웹 기반 공격과 트렌드에 주의를 기울이고 있다. 마찬가지로 게임 개발자들도 기존 보안 기능을 강화하며 API 접속을 보호하기 위해 사이버 공격 동향을 파악하고, 이에 맞춰 시스템을 보호해야 한다”고 말했다.
이를 위해서는 우선 계정에 대한 보호를 강화해야 한다고 설명했다. 비밀번호 재사용 가능성을 줄일 수 있도록 패스워드 관리 도구를 이용할 수 있고, 다요소 인증(MFA: Multi-factor authentication) 앱과 U2F(Universal 2nd factor) 인증 장치 역시 유용하다. 또한, 사용자와 소비자들에게 계정과 개인정보를 보호하기 위한 절차의 중요성을 교육하는 것도 필요하다.
이와 함께 사용자를 안전하게 보호할 수 있는 적절한 솔루션도 도입해야 한다. DDoS 방어, Web Application Firewall(WAF), API 보호, 봇 매니저 등 사용자들을 모든 위협으로부터 안전하게 보호할 수 있는 지능형 엣지 보안 플랫폼을 활용하거나 제로 트러스트 솔루션을 구축해야 한다.
게이머는 자신의 계정을 지키기 위해 어떤 조치가 필요할까
아카마이 보고서에 따르면 응답자의 20%가 게임 계정이 손상되는 것에 대해 걱정한다고 답했으며, 응답자의 55%는 과거에 적어도 한 번 이상 계정을 탈취당한 적이 있다고 답했다. 게이머들이 범죄자들의 공격에 취약한 원인은 쉽게 추측되거나 재활용된 패스워드의 사용이라고 할 수 있다. 이는 범죄자들에게 크리덴셜 스터핑 공격 기회를 제공하는 것과 마찬가지다. 게이머들이 플랫폼과 서비스 전반에 걸쳐 비밀번호를 재사용한다면, 동일한 비밀번호가 존재하는 다른 모든 곳에서도 공격이 가능하기 때문에 범죄자들의 공격 성공률을 높이는 셈이 된다. 범죄자들은 과거의 데이터 유출 사건에서 노출된 인증정보 중에 새롭게 탈취할 수 있는 계정이 있는지 확인하기도 한다는 설명이다.
무엇보다 게이머들은 게임 계정과 관련된 데이터의 가치가 높다는 것을 인지해야 한다. 필요하다면 게임 개발사는 게이머들에게 주기적 비밀번호 변경 및 MFA 등의 기능 활용을 강제해야 한다. 게이머를 보호하기 위한 기업과 개발자의 노력을 신뢰하도록 하면서도 보안 인식을 높이고 간단한 보안조치들을 취하는 것을 아카마이 보고서는 권장하고 있다.
[이상우 기자(boan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
이상우기자 기사보기
[2024-11-22] .jpg)
.jpg)
.jpg)
.jpg)
.jpg)
