최근 핀서브 부문에 영향을 미치는 사이버 범죄 분석에 따르면, 2022—distributed 건의 서비스 거부(DDoS) 공격, 랜섬웨어, 비즈니스 이메일 침해(BEC) 사기 등을 통해 금융 서비스 회사를 표적으로 삼는 많은 위협 중 공급망 보안이 향후 1년 동안 가장 시급한 위험 목록보다 높습니다.
That’s a key finding from Navigating Cyber 2023, an annual report from the Financial Services Sharing and Analysis Center (FS-ISAC), a cyber intelligence-sharing nonprofit with some 5.200 member institutions, including banks, brokers, insurance companies, and credit unions, representing $100 trillion in assets in 75 countries.
금융 서비스 회사들은 일반적으로 자금이 풍부하고 최고의 보안 도구 세트를 배포할 수 있지만 여전히 사이버 범죄자들에게 인기 있는 표적이 되고 있습니다.
FS-ISAC에 따르면, 회원들은 전년 대비 2022 년에 BEC 공격 이 300% 증가했다고 보고했습니다. 유럽의 금융 회사에 대한 DDoS(Distributed Denial-of-Service) 공격은 같은 기간 73% 증가했으며, 이는 이 지역의 모든 DDoS 공격의 절반을 차지합니다. 또한 랜섬웨어 공격자에 대한 암호화폐 지급은 이러한 지급에 대한 제재로 인해 2022—likely 년에 감소했을 수 있지만, 보고서 노트에 따르면, FS-ISAC 구성원은 여전히 공격의 “계속된 스트림”을 보았습니다.
Liberty Mutual Insurance의 공격적 보안 담당 이사인 Chris Blow는 “보고서에 나열된 바와 같이 매년 업계 전반에 걸쳐 동일한 유형의 공격이 많이 발생하고 있습니다.
이 보고서는 2022 년에 금융 서비스 회사를 표적으로 삼은 가장 중요한 위협을 다루고 있으며, FS-ISAC 분석가가 2023년의 나머지 기간 동안 가장 중요한 위험이 될 것이라고 믿는 것에 대해 살펴봅니다. 스포일러: 기술의 발전 덕분에 작년에 목격한 대부분의 위협이 증가할 가능성이 높습니다.
지정학적 충돌, MFA 우회 공격이 중심 단계 이동
2022년에 금융 서비스 사이버 위험에 대한 가장 중요한 영향은 지정학적 갈등이 증가하는 것으로 입증되었습니다. “ 러시아의 우크라이나 침략 으로 인해 악화된 기존의 긴장은 계속해서 완화되지 않는 핵티비스트 활동의 범람을 촉발했다”고 보고서는 언급합니다. “중국과 대만 통합의 목표, 그리고 이란의 서구 금융기관에 대한 이념적으로 의욕적인 공격은 지정학적 사이버 위협 환경에 기여합니다.”
“소프트웨어 공급망 위협이 2022위에 오지 않았다는 사실에 놀랐습니다. 2023년에는 위협이 가장 많았던 것을 보고 놀랍지 않습니다.”Chris Blow, 공격적인 보안 담당 이사, Liberty Mutual Insurance
금융 서비스 보안 팀은 향후 1년 동안 특히 러시아/우크라이나, 중국/대만, 이란과 같은 핫존에서 정치적 동기를 부여받을 수 있는 핵티비스트들 사이에서 지정학적 긴장을 계속 관찰할 것입니다. 분쟁에 연루된 국가와 밀접한 관계를 맺고 있는 대규모 금융 서비스 회사는 표적이 될 것이라고 가정할 수 있습니다.
또한 다중 인증(MFA) 에 대한 공격으로 인해 작년에 보안팀이 번잡하게 되었습니다. 2022년 중반에 FS-ISAC 회원은 Office 365 고객의 인증 수집 피싱 공격이 증가했습니다. MFA에 대한 이러한 유형의 공격은 일반적으로 “중간 공격자”(AitM) 공격으로, 세션 쿠키와 같은 자격 증명을 도난당할 수 있도록 사용자와 액세스하려는 서비스 사이에 시스템을 배치하는 것을 포함합니다.
[읽기 또한: 다중 인증(MFA)이 과감하게 적용됩니까?]
공격자는 도난당한 자격 증명을 사용하여 보호된 리소스에 액세스합니다. 이러한 AitM 접근 방식은 미국, 영국, 뉴질랜드 및 호주의 금융 기관에 배포되었습니다.
랜섬웨어는 헤드라인을 만들지만 BEC 스캠은 (많이) 비용이 많이 듭니다
랜섬웨어 공격은 여전히 엄청난 위협으로 남아 있으며, 이는 “이전보다 더 나은 비즈니스 모델”임을 입증합니다.
FS-ISAC 분석가에 따르면, 2022 년 랜섬웨어의 공격을 받은 상위 2개 산업은 제조업과 전문, 과학 및 기술 서비스 부문이었으며, 핀서브 및 보험 회사는 3위를 차지했습니다. 또한, 대부분의 핀서브의 제3자 공급업체 및 벤더가 전문적, 과학적 및 기술적 서비스 부문에서 온다는 점을 감안할 때 3위에는 편안함이 거의 없습니다.
이로 인해 금융 기관은 직접 공격을 받지 않더라도 위험에 처하게 됩니다. 작년 금융 부문의 제3자 공급업체에 대한 랜섬웨어 공격에는 아일랜드 은행 소프트웨어 회사 CR2, 디지털 보안 소프트웨어 회사인 Entrust, 금융 및 회계 솔루션 제공업체인 Exela가 포함되었습니다.
사이버 조직들은 공격을 확산시키기 위해 서비스형 랜섬웨어 제공업체를 계속 수용하고 있지만, BEC 사기도 널리 퍼져 있습니다. “BEC는 전 세계 기업에 영향을 미치는 가장 일반적이고 비용이 많이 드는 사기 중 하나가 되었습니다.”라고 보고서는 선언합니다. BEC는 여러 가지 형태를 취할 수 있지만 FS-ISAC에 가장 많이 보고되는 것은 사칭 사기 또는 벤더 사기의 일환으로 급여 유용 요청 또는 사기성 지급 요청입니다.
[또한 읽기: 비즈니스 이메일 침해 그룹은 글로벌화되고 다국어로 진행됩니다]
그리고 이러한 공격은 누적됩니다. According to the FBI’s Internet Crime Complaint Center, the FBI received BEC complaints totaling $2,4 billion. That’s considerably more than the $49,2 million in damages reported from ransomware complaints.
소프트웨어 공급망 및 AI 위험이 향후 1년을 지배할 수 있음
작년에 소프트웨어 공급망 위협은 점점 더 디지털화된 비즈니스 환경을 표적으로 삼았으며, 디지털화는 감소의 징후를 보이지 않습니다. 2022년에 FS-ISAC 구성원이 보고한 가장 일반적인 공급망 공격 은 소프트웨어 업데이트 하이재킹, 사기 코드 서명 및 오픈 소스 코드 침해였습니다.
“AI와 같은 새로운 도구는 덜 숙련된 공격자가 더 쉽게 효과를 발휘할 수 있도록 하고 있습니다.”블로우
이러한 전략은 서비스형 악성코드의 가용성이 증가하고 모바일 뱅킹 앱과 오픈 뱅킹의 인기가 급증함에 따라 증가할 것으로 예상됩니다. 2018년에 광범위하게 출시된 오픈 뱅킹은 금융 데이터에 대한 빠른 액세스를 제공하는 API(Application Programming Interface)에 의존하므로 소비자가 경쟁 뱅킹 서비스를 쉽게 평가할 수 있습니다. 한 보고서에 따르면 작년에 API에 대한 공격이 681% 증가했습니다.
Blow는 “소프트웨어 공급망 위협이 2022위에 오지 않았다는 사실에 놀랐습니다. “ 2023년에는 위협에 대한 상위 목록에 올라가는 것을 보고 놀랍지 않습니다.”라고 그는 덧붙입니다.
모든 핵티비스트는 일반적인 사이버 범죄자 및 그라인딩을 위한 도끼를 가진 아마추어와 함께 인공 지능(AI) 기술의 발전에 의해 지원을 받게 되며, 이는 올해뿐만 아니라 향후 수십 년 동안 판도를 바꿀 수 있는 것으로 입증될 수 있습니다.
[또한 읽기: AI를 실제로 일시 중지할 수 있습니까? 1.100 전문가, 그리고 예, Elon Musk는 예라고 말합니다]
AI 기반의 생성 텍스트 챗봇 ChatGPT 는 11월에만 출시되었으며 이미 이 도구는 악성 코드를 생성하고 피싱 이메일을 설득력 있게 만드는 데 사용되었습니다. 또한 세대 언어 모델은 정보 스텔러 멀웨어, 암호화 도구 등을 생성했습니다. 이와 같은 위협은 최전선에서 보안 전문가를 지속적으로 보호합니다.
Blow는 “조직 범죄와 초기 해커가 걱정됩니다. “AI와 같은 새로운 도구는 덜 숙련된 공격자가 더 쉽게 효과를 발휘할 수 있도록 하고 있습니다.”
AI 지원 공격이 급증함에도 불구하고 FS-ISAC 분석가는 AI 지원 방어가 효과적일 것이라고 여전히 낙관하고 있습니다. 또한 취약성 및 패치 관리에 대한 자동화된 접근 방식에 대한 투자 증가도 예상하고 있습니다. 그럼에도 불구하고 이들은 금융 서비스 보안팀에서 일하는 남성과 여성을 최대한 신뢰합니다.
\"자동화\"라는 보고서는 \"예상 가능한 미래를 위해 훈련된 전문가의 판단과 전문 지식을 대체하지 않을 것입니다.\"라고 결론지었습니다.
