요약생성
바쁠 때는 리얼라이즈가 내용을 요약해 드려요.
공격자들은 선거를 조작하고, 현재 거래소와 국가에서 수백만 달러를 사취하고, 중요 인프라를 공격하기 위해 AI를 무기화하고 있습니다.
이러한 적대 세력에는 국가 지원을 받는 공격자와 사이버 범죄 조직이 포함되며, 이들은 운영 자금을 마련하기 위해 AI를 사용하여 점점 더 정교해지는 신원 도용 공격을 생성하고 실행합니다.
무기화된 AI 신원 공격 증가
생성형 AI를 사용하여 신원 기반 공격을 시작하는 공격자들의 전략은 피싱 및 사회 공학 기반 공격부터 암호 및 권한 있는 액세스 자격 증명 탈취, 금융 기관, 소매업체 및 글로벌 전자 상거래 판매자 기반을 대상으로 하는 합성 신원 사기 공격 생성 및 실행에 이르기까지 다양합니다.
신원 도용은 수익을 위한 생명줄과 같기 때문에 국가 지원을 받는 공격자들은 노력을 확대하기 위해 AI에 두 배로 집중하고 있습니다. 이로 인해 합성 신원 사기는 가장 빠르게 증가하는 사기 유형 중 하나가 되었으며 전년 대비 14.2% 증가했습니다.
금융 기관은 미국 자동차 대출, 은행 신용 카드, 소매 신용 카드 및 무담보 개인 대출에 대해 의심스러운 합성 신원 사기에 31억 달러를 노출하고 있으며, 이는 사상 최고 수준입니다. TransUnion은 작년에 새로 생성된 전 세계 디지털 계정의 거의 14%에서 의심스러운 디지털 사기를 발견했습니다. 소매, 여행, 레저 및 비디오 게임은 가장 큰 타격을 입은 산업입니다.
딥페이크는 AI 기반 신원 공격의 최첨단 기술입니다. 작년 한 해에만 딥페이크 사용이 약 3,000% 증가한 것으로 추산됩니다. 딥페이크 사건은 2024년에 50~60% 증가하여 전 세계적으로 140,000~150,000건에 이를 것으로 예상됩니다.
작년에 딥페이크는 합성 신원 사기 사례의 거의 20%에 연루되어 무기화된 AI 중 가장 빠르게 성장하는 범주가 되었습니다. 공격자들은 최신 AI 앱, 비디오 편집 및 오디오 기술을 활용하여 끊임없이 전략을 개선하고 있습니다. 딥페이크 관련 신원 사기 시도는 올해 50,000건에 이를 것으로 예상됩니다.
딥페이크는 매우 흔해져서 미국 국토안보부는 딥페이크 신원 위협 증가 가이드를 발행했습니다.
대부분의 기업은 AI 기반 신원 공격에 대한 준비가 되어 있지 않습니다.
Ivanti의 2024 사이버 보안 현황 보고서에 따르면 오늘날 조직 3곳 중 1곳은 생성형 AI 위험을 해결하기 위한 문서화된 전략이 없습니다. CISO와 IT 책임자는 AI 기반 신원 공격에 대한 준비가 되어 있지 않다고 인정합니다.
Ivanti의 보고서에 따르면 조직의 74%가 이미 AI 기반 위협의 영향을 받고 있으며, 89%는 AI 기반 위협이 이제 막 시작되었다고 생각합니다. 인터뷰에 응한 CISO, CIO 및 IT 책임자의 대다수(60%)는 조직이 AI 기반 위협 및 공격으로부터 방어할 준비가 되어 있지 않다고 우려합니다. 피싱, 소프트웨어 취약점, 랜섬웨어 공격 및 API 관련 취약점은 공격자가 생성형 AI로 전략을 미세 조정함에 따라 더욱 위험해질 것으로 예상되는 네 가지 가장 일반적인 위협입니다.
출처: Ivanti 2024 사이버 보안 현황 보고서.
Ping Identity의 최근 보고서인 다음 주요 디지털 위협과의 싸움: AI 및 신원 사기 방지가 최우선 과제는 대부분의 조직이 다음 AI 기반 신원 공격에 얼마나 준비가 되어 있지 않은지를 보여줍니다. 보고서의 저자 중 한 명이자 Customer Futures의 설립자인 Jamie Smith는 “AI 기반 사이버 위협과 신원 공격이 급증하고 있으며, 기업의 40% 이상이 내년에 사기가 크게 증가할 것으로 예상한다고 답했습니다.”라고 기술합니다. Ping Identity의 보고서에 따르면 조직의 95%가 AI 기반 위협과 싸우기 위해 예산을 늘리고 있습니다.
AI 기반 신원 공격이 빠르게 증가하고 있음에도 불구하고 조직은 위협에 대응하기 위해 최신 기술을 활용하지 못하고 있습니다. 절반에 못 미치는 49%만 일회성 암호 인증을 사용하고 있으며, 46%는 디지털 자격 증명 발급 및 검증에 의존하고 있습니다. 45%만 2단계 인증 또는 다단계 인증(MFA)을 채택하고 있습니다. CISO는 VentureBeat에 MFA가 특히 광범위한 제로 트러스트 프레임워크 전략의 일부일 때 빠른 성공을 거둘 수 있다고 말했습니다. 또한 보안 책임자의 44%가 생체 인식 또는 행동 생체 인식을 사용하고 있습니다.
출처: Ping Identity.
목표: 사용자 경험을 개선하는 동시에 신원 사기 방지
많은 조직의 과제는 사용자 경험에 부정적인 영향을 미치지 않으면서 ID 및 액세스 관리(IAM), 권한 있는 액세스 관리(PAM) 및 인증 시스템을 강화하는 것입니다. CISO는 오랫동안 VentureBeat에 최고의 사이버 보안 보호 장치는 사용자에게 보이지 않는 것이라고 말해 왔습니다.
AI 기반 공격에 저항하는 인증 기술로 암호를 대체하려는 움직임이 일어나고 있으며, 이는 공격자가 자격 증명을 훔치는 것을 더욱 어렵게 만듭니다. Gartner는 내년까지 직원의 50%와 고객 인증 거래의 20%가 암호 없이 이루어질 것으로 예측합니다. API, 생체 인식 및 암호 없는 기술은 모두 기존 암호를 대체할 수 있는 강력한 대안으로 간주됩니다.
주요 암호 없는 인증 공급자에는 Microsoft Azure Active Directory(Azure AD), OneLogin Workforce Identity, Thales SafeNet Trusted Access 및 Windows Hello for Business가 있습니다. 이 중 Ivanti의 Zero Sign-On(ZSO)은 회사의 통합 엔드포인트 관리 플랫폼(UEM) 플랫폼을 사용하여 암호 없는 인증을 결합하는 동시에 고객의 제로 트러스트 프레임워크를 지원하여 사용자 경험을 간소화합니다. Ivanti의 FIDO2 프로토콜은 암호를 제거하고 Apple의 Face ID와 같은 생체 인식을 지원하여 AI 기반 신원 공격을 통해 손상된 자격 증명에 액세스하기 어렵게 만듭니다. 암호 없는 인증 및 모바일 통합은 AI 기반 신원 위협을 막고 있습니다.
옴니채널 검증 트래픽을 거래를 간소화하는 하나의 API로 통합하는 애플리케이션 프로그래밍 인터페이스(API)를 사용하여 AI 기반 신원 공격을 중지하면 사기도 줄어듭니다. Telesign은 초기에 검증 채널을 통합하기 위해 AI 지원 API에서 고객과 협력하기 시작했습니다. Verify API는 몇 달 만에 고객 중심 아이디어에서 빠르게 발전했습니다. 이 새로운 옴니채널 API는 SMS, 자동 검증, 푸시, 이메일, WhatsApp, Viber 및 RCS(Rich Communication Services)의 7가지 주요 사용자 검증 채널을 통합 API에 통합합니다.
Telesign의 CEO인 Christophe Van de Weyer는 최근 인터뷰에서 VentureBeat에 “합성 신원 사기의 위협이 증가함에 따라 기업은 등록 중에 고객이 자신이라고 주장하는 사람인지 확인하여 사기를 막는 가장 효과적인 방법으로 온보딩을 고려합니다. 그 어느 때보다 기업이 고객의 신원, 자격 증명 및 PII를 보호하는 것이 중요해졌습니다. Telesign의 온보딩 모델은 적절한 수준의 사용자 마찰을 도입하는 동시에 기업이 합성 신원을 차단, 플래그 지정 및 감지하는 데 도움이 되는 위험 평가 점수를 제공합니다.”라고 말했습니다.
Telesign의 Verify API는 AI 및 머신 러닝(ML)을 사용하여 여러 검증 채널을 통합하여 보안을 개선하고 사기를 줄입니다. 이 방법은 실시간으로 사기를 감지하고 평가하여 플랫폼 전반에 걸쳐 고객 신원 보호를 개선합니다.
Van de Weyer는 “사기의 많은 유형에 공통적으로 적용되는 한 가지 사실은 종종 말하자면 ‘현관문'에서 막을 수 있다는 것이기 때문에 고객을 검증하는 것이 매우 중요합니다. 최근에 도입된 Verify API 솔루션은 모든 회사가 특정 사용 사례에 가장 적합하고 안전하며 고객 친화적인 최신 검증 채널을 원활하게 선택할 수 있도록 옴니채널 접근 방식을 취합니다. Verify API를 사용하면 단일 통합으로 최소한의 개발 리소스로 7개의 일반적으로 선호되는 인증 채널을 손쉽게 통합하여 최종 사용자를 보다 쉽게 검증하고 검증 가격을 안정화할 수 있습니다.”라고 덧붙였습니다.
회사의 신원을 통제하는 자가 회사를 소유합니다.
도난당한 자격 증명을 거래하고 AI를 사용하여 합성 신원을 만드는 것은 국가 지원을 받는 조직과 사이버 범죄 조직이 도난당한 신원을 현금으로 전환하여 운영 자금을 조달하는 여러 가지 방법 중 두 가지일 뿐입니다. 국가 지원을 받는 공격자가 이념적 및 재정적 목표를 달성하기 위해 딥페이크를 사용함에 따라 조직이 대처해야 하는 위협 환경은 빠르게 변화하고 있습니다. 조직은 신원 관리 방식의 허점과 약점이 어디에 있는지 파악하거나 팀이 AI 전쟁에서 패배할 위험에 처하지 않도록 해야 합니다.