구글은 암시장 봇 계정 가격을 성적표로 읽었다; VoIP 차단이 가격을 30% 이상 올렸다

WIRED는 2015년 9월, 여섯 개 대학과 함께 작성한 구글 논문을 보도했다. 이 논문은 기존 사이버범죄 연구를 검토한 것으로, 기술적 보안만으로는 범죄 경제를 꺾을 수 없으며 기업이 공급망을 들여다보고 비용에 민감한 취약 지점을 공격해야 한다고 주장했다. 구글 연구원 커트 토머스는 기술적으로는 해결 불가능해 보이는 문제도 경제적으로 바라보면 해결 가능해진다고 말했다.

한 가지 방법은 암시장을 거울로 삼는 것이었다. 구글은 YouTube와 Chrome 웹 스토어 스팸, 악성 Android 앱의 가짜 리뷰, Google Drive의 피싱 페이지 등에 사용되는 봇 제어 구글 계정의 가격을 추적한다. 토머스는 이 시장을 방어가 얼마나 잘 되고 있는지 알려주는 신탁(oracle)이라고 불렀다. 가격이 오르면 무언가 효과가 있다는 뜻이고, 떨어지면 문제가 있다는 뜻이다. 2013년 말 가격은 계정 1,000개당 약 170달러에서 60달러로 떨어졌다. 가입 내역을 분석한 결과 봇 계정의 거의 4분의 1이 VoIP 전화번호를 사용했는데, 이는 구글의 '전화번호당 계정 하나' 확인을 우회하는 저렴한 방법이었다.

구글은 악용이 잦은 VoIP 서비스를 차단해 범죄자들을 SIM 카드로 되돌렸고, 계정 가격은 30%에서 40% 사이로 올랐다. 연구진은 또한 자사 제품을 넘어 인프라를 공격할 것을 권고했으며, 결제 처리업체를 가장 유망한 표적으로 꼽았고, 브랜드 위험 없이 시장을 연구할 수 있는 학계와 협력할 것도 권했다.

악용된 구글 계정의 암시장 가격을 방어가 얼마나 잘 작동하는지 보여주는 실시간 척도로 삼는다.

악용된 계정의 가격은 구글이 범죄자의 시스템에 접근하지 않고도 관찰할 수 있는 숫자다.

가격이 갑자기 떨어지면 계정을 싸게 만든 바로 그 허점을 가리킨다.

값싼 허점을 막으면 범죄자의 비용이 올라가고 이윤 폭이 줄어든다.

공격자의 비용은 패치된 취약점을 세는 것보다 더 나은 척도다.

공격자의 비용으로 방어를 측정한 뒤, 공급망에서 가장 값싼 단계를 압박한다.

구글은 VoIP 차단으로 봇 계정 가격이 30%에서 40% 올랐다고 밝혔다. 이 기사는 그보다 광범위한 결과를 보도하지 않는다. 연구진은 한계도 지적했다. 개별 범죄자를 잡기는 어렵고, 체포된 범죄자는 빠르게 대체되며, 봇넷 도메인 압수는 부수적 피해를 일으킬 수 있다.