여러분의 결제 카드 정보가 다크 웹에 돌아다니고 있습니다

다크 웹에서 발견된 400만 개의 결제 카드 정보

도둑의 손에 들어간 결제 카드는 재앙을 일으킬 것이라는 사실은 누구나 알고 있는 사실입니다. 하지만 설마 카드를 도난 당하지만 않는다면 걱정할 일이 없다고 생각하시나요?

애석하게도, 우리가 살고 있는 세상은 그리 안전하지 않습니다.

데이터베이스에 침입하지 않고도 결제 카드 번호를 알아낼 수 있는 방법이 존재할 뿐만 아니라, 지하 암시장도 그 어느때보다 호황을 누리고 있습니다. 다크웹에는 지금 이 순간에도 수백만 개의 카드 번호가 판매되고 있습니다. 심지어 카드 한 장당 평균 10달러에 거래되는 것으로 알려져 있습니다.

사이버 보안 사고를 전문으로 조사하는 NordVPN의 독립 연구진이 결제 카드 번호가 판매되고 있는 다크웹 시장에서 수집한 통계 데이터를 분석했습니다. 그 결과를 여러분과 공유합니다.

결제 카드 정보 해킹 지도

NordVPN의 독립 연구진이 다크웹에서 발견한 방대한 양의 데이터는 온라인 결제 카드 정보 해킹의 범위를 통계내어 파악하는 데 도움이 되었습니다. 또한 이 자료를 통해 국가별로 가장 많이 판매되는 카드 세부 정보 유형과 국가별 카드 데이터의 평균 가격을 알아내고 데이터에 포함된 각 국가에 위험 지수를 할당할 수 있었습니다. 여러분의 국가 순위는 어떤지 알고 싶으신가요? 아래 지도에서 원하는 국가를 클릭하세요.

데이터를 분석한 연구진이 발견한 주요 결과는 다음과 같습니다:

• 해킹된 결제 카드의 평균 데이터 가격은 10달러 미만이며, 해커들은 수백만 개의 카드를 판매할 준비가 되어 있습니다.
• 다크웹에서 발견된 카드의 종류로는 비자 카드가 가장 흔했고, 마스터카드와 아메리칸 익스프레스가 그 뒤를 이었습니다.
• 독립 연구자들이 조사한 시장에서는 신용카드보다 직불카드가 더 흔하게 거래되었습니다. 직불카드는 보호 장치가 미흡한 경향이 있기 때문에 해킹된 직불카드는 피해자를 더 큰 위험에 빠뜨리는 것으로 밝혀졌습니다.
• 독립 연구진은 조사 기간 동안 미국에서 다크웹에서 1,561,739건의 카드 정보가 판매되고 있는 것을 발견했습니다. 이는 다른 어느 곳보다 훨씬 많은 양이지만, 이 결과가 반드시 미국 사람들이 대체적으로 더 많은 위험에 처해있다는 것을 의미하지는 않습니다. 예를 들어, 터키는 1인당 카드 수가 미국의 절반에도 미치지 못하지만, 환불 불가 카드의 비율이 높기 때문에 위험 지수가 더 높습니다.
• 위험 지수는 1인당 한 장의 카드를 기준으로 하기 때문에 카드 수가 많을수록 카드 중 하나가 해킹될 가능성이 높아집니다. 이러한 요소는 1인당 카드 발급 수가 많은 미국에서 특히 문제가 됩니다. 또한 보유 카드 수가 많은 유럽인들도 주의가 필요합니다.

영어로 쓰여진 연구 결과를 보려면 여기를 클릭하세요.

브루트 포싱: 무차별 비밀번호 대입

더 이상 데이터베이스 유출만이 결제 카드 정보를 해킹하는 유일한 방법은 아닙니다. 다크 웹에서 유통되는 카드 번호가 무차별 대입 공격으로 유출된 정보인 사례가 점점 더 많아지고 있습니다. 브루트 포스 라고 불리는 이 무차별 비밀번번호 대입 공격은 어떻게 작동할까요?

무차별 비밀번호 대입 기법은 추측과 비슷합니다. 컴퓨터가 비밀번호를 알아내려고 한다고 생각해보세요. 처음에는 000000, 000001, 000002를 시도하고 결국 진짜 비밀번호를 맞힐 때까지 계속해서 시도하겠지요. 컴퓨터는 1초에 수천 번의 추측을 할 수 있습니다. 대부분의 로그인 시스템은 이러한 종류의 공격을 방지하기 위해 정해진 시간 내에 비밀번호를 추측할 수 있는 횟수를 제한합니다. 하지만 이를 우회할 수 있는 방법이 있습니다. 이러한 무차별 암호 대입 공격을 특정 개인이나 특정 카드를 대상으로 하지 않습니다. 판매에 사용할 수 있는 모든 가능한 카드 정보를 추측합니다.

영리한 해커는 결제 카드 번호를 짧은 시간 내에 찾아내기 위해 추측하고 확인해야 하는 숫자의 수를 크게 줄일 수 있습니다. 실제로 뉴캐슬 대학교의 연구원들은 이와 같은 공격이 6초 정도밖에 걸리지 않는다고 추정합니다.

결제 카드 보안을 유지하는 방법

이러한 위협으로부터 스스로를 완벽히 보호하는 방법은 카드 사용을 완전히 자제하는 것이겠지만, 이것은 쉬운 일이 아닙니다. 언제나 해킹의 위험이 도사리고 있는 상황에서 가장 중요한 것은 경계를 늦추지 않는 것입니다. 카드 월별 명세서를 검토하여 의심스러운 활동이 발견되는지 확인하고, 혹시 카드가 무단으로 사용되었다는 은행의 통지를 받으면 신속하고 진지하게 대응하세요.

은행 및 기타 서비스 제공업체가 사용자를 보호하기 위해 할 수 있는 일은 다음과 같습니다:

• 비밀번호 시스템 강화: 결제 및 기타 시스템에서는 비밀번호를 사용을 의무화해야 하며, 강력한 비밀번호를 사용하도록 권장해야 합니다. 또한 공격자의 침입을 훨씬 더 어렵게 만드는 추가 자격 증명 단계를 마련해야 합니다. 사용자의 로그인 관련 불편을 방지하기 위해 은행은 비밀번호 관리자 소프트웨어를 제공할 수 있으며, 이미 훌륭한 소비자 옵션도 시중에 나와있습니다.
• 다단계 인증(MFA): 다단계 인증은 최소한의 권장사항이 되고 있는 추세입니다. 은행에서 다단계 인증을 아직 제공하지 않는다면 이를 요구하거나 은행을 바꾸는 것을 고려하세요. 비밀번호는 한 단계에 불과하지만 장치 인식, 문자 코드 입력, 지문 또는 기타 보안 수단을 사용한 본인 인증을 추가하면 보안 수준을 크게 높일 수 있습니다.
• 시스템 보안 및 사기 탐지 기능: 은행은 개인 정보 해킹 공격과 기타 공격을 탐지하고 예방하는 데 사용할 수 있는 입증된 스마트 도구를 마련하고 있어야합니다. 사기 탐지 시스템은 자격 증명이 도난당한 상황을 감지합니다. 은행은 AI와 같은 도구를 사용해 결제 시도를 추적하여 이러한 사기 공격을 걸러낼 수 있습니다. 또한 전체 시스템 보안이 강화되면 결제 시스템이나 온라인 판매자에게도 보안에 더 신경을 써야하는 의무가 강화됩니다. 사기나 해킹이 발생할 경우 그들도 책임 비용을 부담하기 때문에 자체 시스템을 개선할 이유를 갖게 됩니다.

연구 방법

데이터 수집: 분석에 사용된 데이터는 사이버 보안 사고 연구를 전문으로 하는 독립 연구 기관과 협력하여 수집되었습니다. 연구진은 카드 유형(신용카드 또는 체크카드), 발급 은행, 환불 가능 여부 등의 세부 정보를 포함하여 총 4,478,908개의 카드 세부 정보가 포함된 데이터베이스를 평가했습니다. NordVPN이 제3의 연구 기관으로부터 받은 데이터에는 사용자 개인이 식별될만한 정보(예: 이름, 연락처 정보 또는 기타 개인 정보)가 일체 포함되어 있지 않았습니다. NordVPN은 독립 연구 기관이 제공한 통계 데이터 세트만 분석했기 때문에 다크 웹에서 판매된 결제 카드 세부 정보를 정확히 파악할 수 없습니다.

분석: 원시 수치는 그림의 일부만을 제공합니다. 인구 규모와 카드 사용량은 국가마다 다르며, 이는 이 수치의 영향을 바꿀 수 있는 두 가지 요소일 뿐입니다.

연구진은 국가 간 카드 통계 데이터를 UN 인구 통계와 Visa, Mastercard, American Express의 국가별 또는 지역별 유통 카드 수와 비교했습니다. 이를 통해 국가별로 다크웹에서 카드를 사용할 수 있는 가능성을 보다 직접적으로 비교할 수 있는 위험 지수를 계산할 수 있었습니다.

다음 요소를 사용하여 위험 지수를 계산했습니다:

• 해당 국가의 1인당 데이터베이스에 있는 카드 수
• 해당 국가에서 유통되는 카드 수(비자, 마스터카드, 아메리칸 익스프레스의 국가 또는 지역 데이터 기준)
• 해당 국가의 데이터베이스에서 환불이 불가능한 카드의 비율(전체 지수에 미치는 영향은 감소)

그런 다음 이러한 수치를 대수적으로 정규화하여 0에서 1 사이의 등급을 산출했습니다.