신원 도용 공격이 회사의 다음 두통이 될 수 있는 이유

Microsoft Office 365는 전 세계 기업에서 계속 사용됨에 따라 cybercriminals에게 여전히 attractive target이다. AI 도구의 growing sophistication는 bad actors로 하여금 credential stuffing attacks의 역사를 반복하도록 embolden했다. 2019년 Microsoft는 고객 수천 개의 compromised Office 365 계정에서 150만 개 이상의 malicious 및 spam 이메일이 발송되었음을 밝혔다.

2022년 12월, Norton 사용자는 credential stuffing 공격으로 인해 high alert에 처했다. 보안 application이 compromised되어 약 925,000개의 계정이 lockdown되었다. Norton Password Manager 사용자의 login attempts에서 suspicious한 surge가 lockdown을 trigger했다. 조사 결과, cybercriminals가 “수천 개의 계정”에 성공적으로 breach하여 수많은 사용자의 personal information을 jeopardizing했음이 밝혀졌다. 그렇다면 2023년에는 이러한 유형의 cybercrime로부터 계정을 보호하기 위해 무엇을 준비해야 할까?

credential stuffing attacks의 mechanics

credential stuffing attacks는 모든 login attempts의 34%를 차지하며, malicious actors는 user account를 hijack하기 위해 노력한다. 하지만 이 과정은 어떻게 작동하며, 이러한 campaigns를 counter할 수 있는 조치는 무엇일까?

Credential stuffing은 threat actors가 stolen login credentials를 various online account에서 swiftly test하기 위해 automated software를 사용하는 prevalent cyberattack method이다. 이 과정에는 다음이 포함된다:

1. 데이터 유출 후 일반적으로 available한 dark web에서 username과 password 목록을 구매하거나 다운로드한다.

2. automated bots를 설정하여 multiple user account에서 logins을 시도하며, IP 주소를 masking하여 detection을 evading한다.

3. bots가 match를 찾을 때 account에 gaining access하면, attackers는 credit card numbers나 social security numbers와 같은 personal information을 steal할 수 있다.

4. bots가 다른 account에서 successful password combinations을 시도하는 것을 monitoring한다. 65%의 사람들이 multiple account에 동일한 password를 사용하기 때문에, 동일한 password pair로 multiple account를 breaching할 가능성이 높다.

credential stuffing vs. brute force attacks

Credential stuffing과 brute force attacks는 cyberattacks의 두 distinct method이다. credential stuffing에서는 attackers가 real account에서 leaked 또는 stolen password data를 사용하여 logins을 시도한다. 반면, brute force attacks는 commonly used passwords와 common passphrases의 dictionaries를 guessing하는 것을 포함한다.

Credential stuffing threat actors는 genuine credentials를 보유하고 있으며 matching account를 찾기만 하면 된다는 것을 알고 있다. 반면, brute force attacks를 시도하는 사람들은 대상의 correct credentials에 대한 context가 없으므로, 이러한 attacks는 blind luck이나 easy-to-guess passwords에 의존한다. 그럼에도 불구하고 numbers game인 credential stuffing은 automation으로 인해 highly profitable할 수 있다.

credential stuffing의 impact

Credential stuffing attacks의 victims는 sensitive data theft, financial reputation damage, 그리고 potential identity theft의 risk에 직면한다. 이러한 attacks의 consequences는 다음과 같다:

1. Compromised accounts: Threat actors는 spyware를 설치하거나, data를 steal 또는 destroy하거나, account holder를 impersonate하여 spam을 보내거나 다른 targets에 phishing attacks를 launch할 수 있다.

2. Data leaks: Attackers는 종종 financial institutions 또는 high-value government targets를 breach하여, stolen data를 illicit online marketplaces에서 identity thieves와 politically motivated gangs에게 sell한다.

3. Account lockouts: Excessive failed login attempts는 account의 security system이 lockout을 trigger하여 business를 disruption하거나 email이나 banking과 같은 crucial account에 대한 access를 limit할 수 있다.

4. Ransomware demands: State-sponsored hacking groups는 critical infrastructure facility 또는 large enterprise를 seize하여 ransom payment를 demand할 수 있다.

5. Increased cybersecurity risks: Stolen user credentials는 future attacks에 사용될 수 있으며, initial breach 이후 victims와 closely related parties를 greater risk에 놓인다.

6. Negative impact on business reputation: Company의 breach는 consumer trust를 significantly undermine할 수 있다. 수천 또는 수백만 명의 사용자가 private data에 대한 threat을 perceive할 때, 이는 회사에 stock market에서 비용을 초래할 수 있다. 2022년 data breach의 average cost는 435만 달러였다.

credential stuffing의 recent examples

• Major Outdoor Apparel Company, 2022년 7월: Cybercriminals는 credential stuffing을 사용하여 이 outdoor recreation apparel company를 target하여 거의 200,000개의 customer account를 compromise하고, 이름, 전화번호, 성별, 구매 내역, billing 주소, loyalty points와 같은 details를 expose했다.

• Large Payment Processing Company, 2022년 12월: 이 attack은 nearly 35,000개의 user account에 영향을 미쳐, 이름, social security numbers, tax identification numbers를 expose했지만, unauthorized transactions는 보고되지 않았다.

• Prominent Fast Food Chain, 2023년 1월: ** 이 fast-food chain은 71,000개 이상의 customer account에 접근한 breach를 확인했다. Threat actors는 몇 달 동안 credential stuffing attack을 수행하여 customers의 reward balances, potential physical addresses, 그리고 customer credit cards의 last four digits에 접근했다.

credential stuffing attacks에 대한 countermeasures

금융 부문은 credential stuffing attacks의 significant increase를 목격했으며, 2022년에는 year-on-year 45%의 growth가 보고되었다. 기업이 확장되고 더 많은 user base를 유치함에 따라 cybercriminals에게 increasingly attractive targets가 된다. 이 escalating threat에 combat하기 위해 security teams는 여러 countermeasures를 implement할 수 있다.

Multi-factor authentication (MFA)를 implement하면 additional layer of security를 제공하여, threat actors가 unauthorized access를 gain하는 것을 더 challenging하게 만든다. 일부 popular password managers가 recent breaches를 경험했음에도 불구하고, 이러한 tools는 modern digital security의 cornerstone이며 활용되어야 한다.

Better password practices를 promoting하는 것이 crucial하다. Security teams는 password reuse를 제거하고, code sharing을 discouraging하며, login information을 paper에 writing하는 것을 advising하는 proactive stance를 취해야 한다. 이러한 조치는 insider attacks의 likelihood를 significantly reduce할 수 있다.

Malicious actors는 automated bots의 army를 구축할 수 있다

Microsoft의 security researchers는 Office 365 account를 hijack하기 위해 HTTPS proxying techniques를 사용하는 large-scale phishing campaign를 uncover했다. 이 attack은 multi-factor authentication (MFA)를 bypass할 수 있으며, 2021년 9월 이후 10,000개 이상의 organization을 target해 왔다.

Login attempts의 consistent monitoring는 fraudulent activities를 identify하고 thwart하는 데 도움이 된다. 갑자기 login attempts가 spike하거나 unusual patterns가 감지되면, security team은 관련 IP 주소를 block하고 legitimate users에게 attempted hack에 대해 alert할 수 있다.

Another effective defensive mechanism은 rate-limiting이다. 이 strategy는 malicious bots가 excessive login attempts를 swiftly making하는 것을 방지하여, automated attacks의 progress를 effectively stalling한다.

Dark web을 monitoring하면 security teams가 emerging cyber threats보다 한 발 앞서 나갈 수 있다. dark web에서 available한 username과 password collections를 monitoring함으로써, attack이 발생하기 전에 vulnerabilities를 reinforce할 수 있다.

Security teams는 users를 protect하고 educate할 책임이 있다. Malicious actors는 매일 수천 또는 수백만 개의 fraudulent login requests를 실행하는 automated bots의 army를 구축할 수 있다. 이 growing threat에 combat하기 위해, users는 good password practices를 adopt하고 reliable password managers를 사용하도록 장려되어야 한다. 그러나 data protection의 primary responsibility는 website security teams와 app providers에게 있다. Robust access control, threat monitoring, 그리고 rate-limiting safeguards를 결합한 multi-faceted approach는 attack cycle을 disruption하고 threat actors를 at bay에 유지한다. 궁극적으로 가장 potent한 defense는 education과 security culture fostering에 기반을 둔다.

Microsoft는 조직이 suspicious한 목적으로 사용될 수 있는 inbox rules를 모니터링하거나, 신뢰할 수 없는 IP 주소 또는 장치에서 비정상적인 양의 mail access events에 대해 alerts를 trigger하도록 정책을 설정할 것을 권장합니다.