한국은 IT강국이 맞습니다. 뛰어난 인프라로 전세계 해커들이 마음껏 놀수 있는 놀이터를 제공해주는 강국이죠. 이렇게 한국이 해커들의 놀이터가 된 이유는 인식 때문입니다. 옥션, 국민카드, 농협, 네이트 등등 해커들이 고객의 개인정보를 다 털어가도 특별한 대책도 없습니다.
옥션 같은 경우는 고객 정보 유출해도 법원에서 면죄부를 줬고 다른 해킹 사고도 큰 제재가 없었습니다.
이렇게 해킹 사고가 많은 이유는 보안에 대한 정부의 제대로 된 인식이 없기 때문입니다. 또한, 기업들은 보안 인력을 외주를 주는 등 비용에만 관심 있지 고객 정보에 대한 소중함을 모릅니다. 아니! 제 정신들이면 어떻게 보안을 외주를 줍니까? 그러니 외주업체 직원이 개인정보를 돈 받고 팔려다가 걸리죠. 솔직히 외부 유출이 없다고 하지만 이미 중국에 팔았을 것이 빤 합니다.
그냥 중국에 한국의 모든 국민의 개인정보인 주민등록번호와 이름이 떠 다닌다고 생각하면 편합니다.
정부는 제2의 주민등록번호를 만든다 어쩐다 하는데 제발 아무것도 하지 말아주세요. 그게 도와주는 것입니다. 최선의 보안은 지키지도 못하는 고객들의 정보를 저장하지 마세요. 딱 필요한 것만 저장하게 하고 나머지 정보는 그냥 다 버리세요. 또한, 저장해야 할 정보도 아주 중요한 것이 아니면 일정 시간이 지나면 다 버리세요.
그런데 이런 개인 정보를 왜 해커들은 훔칠까요?
뭐 다 아시겠지만 돈이 되니까 훔치는 것입니다. 고객 아이디와 비밀번호 그리고 개인정보를 가지고 보이스피싱 같은 사기를 치기 위한 도구로 활용하려고 하기 때문입니다. 그런데 이런 개인정보가 암시장에서 얼마에 거래 될까요?
해커가 훔친 개인 정보의 시세는 얼마일까?
http://www.secureworks.com/resources/blog/the-underground-hacking-economy-is-alive-and-well/
세계적인 PC메이커인 델은 해커들이 훔친 정보가 암시장에서 얼마나에 거래 되는 지를 보여주는 시세표를 정리해서 발표 했습니다.
먼저 신용 카드 정보입니다.
미국인의 비자와 마스터카드 정보는 4달러이고 아메리칸 익스프레스는 7달러, 디스커버 카드는 8달러입니다.
영국이나 호주, 캐나다인들이 쓰는 비자와 마스터 카드가 7~8달러에 거래 됩니다. 아메리칸 익스프레스는 12~13달러입니다. 유럽과 아시아의 비자와 마스터 카드는 15달러이고 디스커버와 아메리칸 익스프레스는 18달러입니다.
아시아가 비싸게 거래 되네요.
이외에도 카드의 마그네틱 테이프 부분에 저장되어 있는 데이터 자체를 판매하는 경우도 존재합니다.
마그네틱 테이프 부분에는 눈에 보이지 않는 3개의 라인으로 나누어져 있는데 1라인과 2라인(트랙)에는 계좌번호와 유효기간, 카드 주인의 이름 등의 인증정보가 저장되어 있습니다.
이 1,2라인(트랙)정보는 미국 카드는 12달러, 영국, 호주, 캐나다는 19~20달러이며 유럽 아시아는 28달러입니다.
Fullz는 이름과 주소, 전화번호, 이메일 주소 등의 개인 신상 정보와 함꼐 관련된 암호 등의 정보를 정리한 것인데 이 정보는 아주 위험해서 나 몰래 온라인 사이트에서 가짜 계정을 만들 수 있고 그로 인한 피해를 받을 수 있습니다.
이 Fullz는 미국 정보는 25달러, 영국 호주 유럽 아시아 정보는 30~40달러입니다.
온라인 결제의 안정성을 높이기 위한 비자의 인증 및 생일 정보와 예금이 있는 은행 계좌 번호까지도 거래가 되는데 미국의 비자 인증 정보는 10달러, 영국, 호주, 유럽, 아시아 정보는 17~25달러에 거래되고 있습니다.
생일정보는 미국 것은 11달러, 영국, 유럽, 호주, 아시아는 15~25달러입니다. 한국은 이미 중국 해커들에게 다 털렸기 때문에 그냥 공공재라고 할 수 있겠네요.
흥미로운 것은 예금이 7만 달러 ~ 15만 달러가 들어가 있는 읂애 계좌 번호는 300달러 이하에 거래되고 있습니다.
악성코드도 시세가 나와 있네요. 악성 코드에 감염된 컴큐터 정보 1000건에 20달러입니다. 악성 코드에 감염된 컴퓨터 정보 5000건은 90달러 1만 건은 160달러입니다. 1만 5천건은 250달러입니다.
원격에서 접속할 수 있는 트로이 목마(RAT)는 50~250달러이며 여기에 추가적인 서비스를 더 달면 20~50달러를 더 내면 됩니다. 익스플로잇 키트나 스위트 오렌지 같은 고급 해킹 툴은 1주일에 450달러 또는 1달에 1,800달러에 거래 되고 있습니다. 스위트 오렌지 같은 경우 백신 회피 기술 및 악성코드 탐지 기술을 피해가는 기술이 있는 최신 공격키트입니다.
웹 사이트 직접 해킹해서 데이터를 빼내는 금액은 100~300달러로인데 해커의 명성에 따라서 가격은 달라집니다.
디도스 공격은 시간당 3~5달러, 하루에 90~100달러, 1주일에 400~600달러입니다. 아주 싸네요.
Doxing은 공격 대상의 개인 정보를 인터넷이나 악성 코드를 통해서 얻거나 SNS나 여러가지 사회 공학적 해킹으로 얻어내는 것을 말합니다. 이 Doxing은 25~100달러입니다.
IPS 서버와 ISD 서버로 대비해라
그럼 이런 무시무시한 해커들의 공격으로 부터 고객의 정보를 어떻게 지켜야 할까요? 간단합니다. 보안 인력을 키우고 외주를 절대로 주면 안됩니다. 또한, 장비로 막아야죠.
침입 방지 시스템 서버인 IPS 서버와 침입 탐지 시스템인 ISD 서버를 구축해서 해커들의 공격을 사전에 막아야 합니다.
이 서버들은 이상한 네트워크 패킷을 감지해서 자동으로 차단해주는 체제를 갖춘 서버입니다. 이 서버를 유지하고 관리하면서 최신 악성코드나 패킷 공격 등 예상치 못한 공격을 감지하고 즉각 차단할 수 있습니다. 따라서 이런 서버를 구축하고 이 서버를 잘 운영하는 경험이 풍부한 보안 인력을 구축해야 합니다.
이외에도 이메일을 암호화 해서 보내거나 직원들에 대한 보안 교육을 자주 시켜야 합니다
또한, 은행 거래나 금전 관리를 하는 PC는 따로 운영해서 은행 거래만 전문적으로 하고 다른 작업은 하지 않는 PC를 배치합니다. 수시로 은행 계좌 거래 내역과 신용카드 사용 내역을 들여다 보면서 내가 모르게 나간 돈이 없나 자주 보는 것도 중요합니다.
뭐 이건 귀에 딱정이가 붙을 정도라서 따로 말하지 않아도 되겠지만 백신은 항상 최신 업데이트까지 해 놓으십시요. 백신 깐다고 무조건 다 되는 것이 아닌 업데이트를 바로 바로 해줘야 합니다. 그리고 검증 받지 못한 이상한 프로그램 함부로 다운 받지 마십시요. 이렇게 하면 분명 불편해집니다. 주인이 들어오기 힘든 집은 도둑도 들어오기 어렵다는 생각으로 불편하더라도 보안을 위해서 좀 더 노력하는 기업과 개인이 많아졌으면 합니다.
