'전직 해커' 보안 전문가의 조언 "FIDO, 피싱 95% 예방"

[나트랑(베트남)=김윤희 기자]"패스워드를 탈취하기 위한 피싱 공격에 저항할 수 있는 기술이 패스트아이덴티티온라인(FIDO)입니다. 피싱 공격의 95%는 FIDO만으로 보호할 수 있습니다. 적은 금액을 들여 큰 돈을 지키는 방법이기도 합니다."

히에우 민 응오 베트남 국가사이버보안센터(NCSC) 위협헌터는 29일 개최된 'FIDO APAC 서밋 2023' 현장에서 만나 이같이 말했다.

피싱 공격은 해킹 시도가 아닌 것처럼 이메일이나 웹사이트, 문자 등을 보내 피해자가 계정 정보, 금융 정보 등 개인정보를 입력하게 유도하는 해킹 기법이다. 계정 인증 과정에서 패스워드 사용을 배제하는 FIDO 인증 방식을 사용해 피싱 공격에 따른 피해 상당 부분을 예방할 수 있다는 것이다.

응오 위협헌터는 특히 현재는 정부기관 보안 전문가로 활동 중이지만, 과거 미국 시민 2억명의 개인정보와 은행 계좌 정보를 해킹으로 탈취한 이력이 있다는 점이 주목된다. 이 해킹 때문에 미국에서 체포돼 수년간 징역형을 받았다. 출소한 뒤로는 베트남에 귀국한 뒤 NCSC 활동을 지속 중이다.

응오 위협헌터는 "당시엔 여러 데이터들이 취약하게 관리되고 있었다"며 "10년 전 해킹을 할 때는 SQL 인젝션 취약점을 사용해 해킹을 했다"고 했다.

방화벽 사용이 일반화된 현재는 SQL 인젝션 취약점 기반 해킹이 어려워졌다. 반면 소셜 엔지니어링 기법으로 대상을 공략하고, 피싱 공격과 아울러 랜섬웨어 감염을 유도하는 해킹 기법이 성행하게 됐다고 진단했다.

FIDO 인증 방식은 패스워드를 사용하지 않고, 생체인증 또는 외부 인증장치 등을 활용한다. 이를 통해 이용자가 피싱 공격에 노출돼 계정정보를 입력하고, 결과적으로 해킹 피해를 입는 상황을 방지할 수 있다는 의견이다.