DEranged Security » 블로그 아카이브 » 100 만 달러를 훔치는 방법

» 블로그 아카이브 » 백만 달러를 훔치는 방법 백만 달러를 훔치는 방법 2007 년 10 월 29 일, 작성자: admin | 분류: DEranged Security | 주말 동안 스웨덴 크로나 100 만 kronor(약 15 만 달러) 를 훔쳐 백만장자가 되겠다는 도전에 나섰던 기억이 나십니까? 아니요, 성공하지는 못했습니다. 방법을 선택하고 법적 문제를 검토하며 모든 관계자와 대화하는 데 시간이 너무 오래 걸렸습니다. 인정합니다 그리고 좀 속상합니다. 설정된 시간 제한 내에 목표를 달성하지는 못했지만, 시간을 제외하면 제 승리였습니다! 규칙을 읽지 않으신 분들을 위해 다시 한번 정리해 드립니다: 최소 100 만 크로나에 접근할 것 (백만장자 되기!) 들키지 않을 것 (매우 중요!) 그 누구에게도 피해를 주지 않을 것 (나쁜 짓 말고 좋은 일을 할 것) 미션은 월요일 전에 완료할 것 (그보다 길어지면 지루해질 테니까) 이 일이 다시는 반복되지 않도록 보안을 강화할 것 (이 도전의 핵심 목적!) 방법 IT 보안은 저의 열정입니다. 하지만 오늘날 컴퓨터 보안과 물리적 보안의 경계는 매우 얇습니다. 예를 들어, 서버를 들고 나갈 수 있도록 문이 잠겨 있지 않다면 완벽하게 구성된 방화벽이 무슨 소용이 있을까요? 아니면 컴퓨터 옆에 비밀번호를 적어 둔다면 강력한 비밀번호가 무슨 의미가 있겠습니까? 바로 이런 점들을 이번 도전 과제에 포함시키고 싶었습니다. 90 년대 후반은 신용카드 사기의 황금기였습니다. 사람들은 오픈된 IRC 채널에서 수천 건의 도난당한 신용카드 정보를 주고받았습니다. 이들 대부분은 집에 앉아 있었으며, 프록시나 암호화조차 사용하지 않았습니다. 그들은 온라인 사업을 막 시작한 웹숍과 기업들에 침입했는데, 이러한 기업들은 컴퓨터 지식이 전무하여 신용카드 정보가 평문으로 저장된 목록을 누구나 쉽게 접근할 수 있는 서버에 보관하고 있었습니다. 사람들은 신용카드 정보를 다른 신용카드 정보나 셸 (shell), 비밀번호, 봇넷 등과 교환했습니다. 수사 비용보다 훔친 금액이 적은 한 범죄 수사는 이루어지지 않았으며, 우리는 모두 무능한 컴퓨터 전문가들이 청구하던 비현실적으로 낮은 비용이 얼마인지 알고 있습니다. 그리고 지금도 여전히 그렇습니다… 당시 사용자 수 대비 절도/사건 건수를 비교해 보면, 인터넷의 범죄율이 오늘날보다 훨씬 높았다고 믿습니다. 그러니 과거가 모두 더 좋았던 것은 아닙니다. 단지 당시에는 그렇게 심각하게 여겨지지 않았을 뿐이지요. 왜 이런 이야기를 할까요? 10 년 전 일이라 해도 여전히 신용카드는 범죄자들에게 가장 쉬운 자금원 중 하나이자 주요 표적이기 때문입니다. 그들이 무엇을 하는지 안다면 저도 똑같은 대상을 노릴 것입니다. 피해자 만약 우리가 한 단계 더 나아갔다면 피해자들에게 다음과 같은 일이 벌어졌을 것입니다: 주말이면 사람들은 펍이나 클럽에서 기꺼이 큰돈을 씁니다. 물론 그들은 완전히 취해 있어 자신의 은행 계좌가 털리는 사실을 눈치채지 못할 것입니다. 다음 날, 숙취에 시달리다가 누군가 지난밤에 자신의 신용카드 정보를 훔쳐 갔고 그로 인해 모든 돈을 잃었다는 사실을 깨닫게 됩니다. 기억은 흐릿하지만, 신용카드를 두 번 사용했던 것은 기억납니다. 한 번은 바텐더에게, 또 한 번은 택시 기사에게 결제했죠. 당연히 둘 중 하나가 범인일 겁니다! 아니면 남극에서 휴가를 보낼 때 스키밍 (skimming) 당한 걸까요? 저런 빌어먹을 펭귄들 때문에! 절도 손님이 신용카드로 결제할 때마다 바텐더는 접시 위에 다섯 가지 물건을 올려둡니다. 고객님의 신용카드 신분증 영수증 펜 서명을 위한 펍의 영수증 당신은 1 번, 2 번, 3 번 항목을 가져와 맥주를 마시며 친구들과 어울리고, 4 번과 5 번 항목은 접시 위에 남겨둡니다. 반면 바텐더는 끊임없는 스트레스 속에서 다른 고객들을 응대하느라 정신이 없습니다. 당신은 영수증에 서명하고 자리를 뜨죠. 바 접시에 서명된 영수증이 몇 장 쌓이면 그것들은 현금함에 수집됩니다. 저는 아주 친절한 손님으로서 몇 장을 모아 제 현금함 (주머니) 에 넣으며 바텐더를 도와줍니다. 전부 가져가는 건 아니에요. 저는 게으른 녀석이기도 하고, 당연히 바텐더의 일을 빼앗고 싶지는 않으니까요! 오, 그렇습니다. 영수증이 모두 사라졌다면 분명 의문을 제기할 수도 있겠죠. 맥주를 주문할 때 바텐더의 관심을 끌기가 얼마나 어려운지 아시잖아요? 영수증을 가져갈 때도 마찬가지로 주목받기 어렵습니다. 30 분 후면 저는 이런 영수증 열 장을 확보합니다. 시간당 평균 20 장씩 5 시간 동안 계속한다고 가정해 보면 총 100 장의 영수증을 얻게 됩니다. 그렇다면 종이 조각 100 장으로 무엇을 할 수 있을까요? 운 좋게도 이 영수증들에는 100 만 크로나를 만드는 데 도움이 될 흥미로운 정보들이 적혀 있었습니다. 기술 각 영수증에는 다음과 같은 데이터가 기록되어 있습니다: 신용카드 전체 번호 카드 유효기간 이름 또는 생년월일 이렇게 하면 CCV(카드 뒷면에 있는 3 자리 코드) 를 제외하고 온라인에서 카드를 사용하는 데 필요한 모든 정보를 갖게 됩니다. 이 부분이 약간 번거롭긴 합니다. CCV 를 계산하려면 다음 공식을 사용할 수 있습니다: PAN x ED x SC x CVK == CCV PAN == Primary Account Number(기본 계정 번호) ED == Expiration Date(유효기간) SD == Service Code(서비스 코드), 아마도”000”이지만 발급사만 알 수 있음 CVK == DES 키 여러 개, 역시 발급사만 알 수 있음 CCV == Credit Card Verification(신용카드 검증), 사기 방지를 위해 뒷면에 인쇄된 3 자리 코드 간단히 말해, SD 와 SVK 를 알 수 없으므로 알고리즘을 사용하여 CCV 를 얻을 수는 없습니다. 훌륭한 보안이네요! 마음에 듭니다! 하지만 3 자리 코드가 missing 된다고 해서 우리가 멈추지는 않을 것입니다. 무차별 대입 공격 (bruteforce) 을 사용하면 카드당 최대 1,000 회, 평균 500 회 시도하면 되므로 거의 모든 스크립트 키디 (script kiddie) 의 꿈과 같습니다. 더 쉽게는 CCV 가 필요 없는 수많은 온라인 샵에서 물건을 구매하거나 현금을 인출하면 됩니다 (미국이라고 하셨나요?). 제 이론을 테스트하기 위해 주요 신용카드 하나로 무차별 대입 공격을 시도해 보았습니다. 15 분 후, 001, 002, 003… 순서로 직접 입력하며 포커 계정에 자금을 충전했습니다. 이는 수동으로 진행했지만, 작은 스크립트를 만든다면 미래를 위한 악용 목적으로 프로세스를 자동화하는 데同样으로 짧은 시간이 소요될 것입니다. 이것이 어떤 보안 시스템을 작동시켰어야 하지 않았을까요? 제가 무언가를 촉발시켰을까요? 사실 중요하지 않습니다. 어쨌든 돈을 인출하는 데 성공했으니까요. 은행에 경보를 울린 보호 장치라도 있었다면 그것은 너무 늦게 작동한 셈입니다. 아무도 눈치채기 전에 돈은 이미 사라진 뒤일 테니까요. 아, 그리고 제 카드를 사용하도록 허락해 준 친구에 따르면 카드는 여전히 정상 작동한다고 합니다. 감사합니다 T!=) 자금 세탁 다음 단계는 돈을 제 주머니로 넣는 것입니다. 이는 그리 어려운 문제가 아닙니다. 안타깝게도 널리 사용되는 기법들이 많기 때문입니다. 가장 일반적인 방법은 해킹된 포커 계정을 이용하는 것입니다. 훔친 돈으로 계정을 채운 후, 다른 해킹된 계정으로 일부러”잃고”, 또 다른 계정으로 넘기는 식이죠. 그런 다음”합법적인”돈으로 인출합니다. 과정 중에 형편없는 포커 플레이어들이나 잔고가 있는 해킹된 계정을 상대로 오히려 수익을 낼 수도 있습니다. 포커 사이트에 전화해서 계정이 해킹당해 모든 돈을 잃었다고 말해 보세요. 물론 그들은 당신의 돈을 돌려주지

P.S. A few readers have asked which marketplace & everyday deals we actually reach for — it's Amazon Associates (Amazon.com); take a look here if you want the current details.