OWASP 웹 애플리케이션에 대한 자동화된 위협

다음은 OWASP 웹 애플리케이션에 대한 자동화된 위협 프로젝트에서 식별하고 편집한 자동화된 위협 목록입니다.   

1. 계정 집계. 이러한 공격의 목표는 신원 도용, 금융 사기 또는 민감한 정보에 대한 무단 액세스와 같은 악의적인 목적을 위해 여러 사이트나 플랫폼에서 사용자 계정 자격 증명을 수집하는 것입니다. 계정 집계 공격은 다양한 웹 서비스나 애플리케이션과 인간의 상호작용을 모방하는 자동화된 봇이나 스크립트를 사용하여 수행됩니다. 
   
2. 계정 생성. 이러한 공격에는 악의적인 행위자가 자동화된 스크립트나 봇을 사용하여 플랫폼이나 웹사이트에 대량의 가짜 사용자 계정을 만드는 것이 포함됩니다. 공격자는 이러한 가짜 계정을 사용해 플랫폼을 스팸 콘텐츠, 광고, 악성 링크로 가득 채워서 합법적 사용자에게 방해와 불편을 끼칠 수 있습니다. 가짜 계정은 웹사이트나 애플리케이션에서 여론 및 리뷰/평가를 조작하거나, 실제 사용자나 공인을 사칭하여 잘못된 정보를 퍼뜨리거나 평판을 손상시키는 데 사용될 수도 있습니다.  이러한 위협은 신규 계좌 개설 사기를 초래할 수도 있는데, 이를 제1자 사기라고도 하며 전체 디지털 세계에 영향을 미칩니다.
3. 광고 사기. 클릭 사기라고도 알려진 이 위협에는 클릭이나 노출 등 온라인 광고와의 상호작용 횟수를 조작하는 기만적인 활동이 포함됩니다. 이러한 사기 행위는 일반적으로 자동화된 봇이나 스크립트를 통해 수행되며 사기꾼의 수익을 창출하거나 광고 성과 지표를 조작하는 것을 목표로 합니다. 
4. CAPTCHA 실패. 이러한 위협은 CAPTCHA 문제를 우회하거나 회피하기 위한 자동화된 기술을 사용하며, 악의적인 행위자가 봇에 대한 일반적인 방어수단을 우회할 수 있으므로 웹 애플리케이션 보안에 큰 문제가 됩니다. CAPTCHA(Completely Automated Public Turing test to tell Computers and Humans)는 인간 사용자와 자동화된 봇 또는 스크립트를 구별하는 데 사용되는 보안 제어입니다. 공격자는 이미지 인식 소프트웨어를 사용하여 시각적 CAPTCHA를 풀고, 기계 학습 알고리즘을 사용하여 청각적 CAPTCHA와 퍼즐 CAPTCHA를 풀 수 있습니다. 어떤 경우 공격자는 CAPTCHA를 실시간으로 수동으로 풀어주는 인간 CAPTCHA 해결사를 고용하기도 합니다. CAPTCHA는 일반적으로 사용되는 보안 제어 기능이지만, 우회될 수 있으며 합법적인 사용자에게 고객 경험을 저하시켜 거래 및 수익 중단으로 이어질 수 있습니다.   
5. 카드 크래킹. 이는 카드 번호, 만료일, 보안 코드(CVV/CVC) 등 지불 카드의 보안 기능을 추측하거나 해독하는 자동화된 유형의 사이버범죄입니다. 카드 해킹은 일반적으로 무차별 대입 공격을 사용하는데, 이는 자동화된 봇이나 스크립트가 체계적으로 수많은 카드 세부 정보 조합을 시도하여 유효한 카드와 일치하는 조합을 찾을 때까지 진행됩니다. 유효한 카드 정보가 확인되면 승인되지 않은 구매나 금융 사기를 저지르는 등 다양한 불법 활동에 사용될 수 있습니다. 공격자는 실제 매장에서 충전되지 않은 몇 개의 실제 상품권을 훔쳐서 상품권 발급자가 순차적 번호 패턴을 사용했는지 확인할 수 있습니다. 
6. 소면. 이러한 형태의 자동화된 사이버범죄에는 도난한 지불 카드 정보를 무단으로 사용하여 사기 거래나 구매를 하는 것이 포함됩니다. 범죄자는 자동화된 봇이나 스크립트를 사용해 다양한 웹사이트나 애플리케이션에서 훔친 신용카드나 직불카드 정보를 테스트하여 훔친 정보를 수락하는 웹사이트나 애플리케이션을 식별합니다. 자동화된 봇이 취약한 대상을 식별하면 도난당한 카드 정보를 사용해 고가 상품이나 디지털 서비스를 사기성 구매하거나 사용 가능한 금액을 다른 계좌로 이체합니다.  
7. 현금화. 이는 유동성이 없는 자산이나 가상화폐를 실제 자금이나 유형의 상품으로 전환하는 것을 말합니다. 이러한 위협은 종종 온라인 플랫폼이나 계정에서 귀중한 자산을 도난하는 성공적인 공격에 뒤따릅니다. 공격자가 웹 애플리케이션이나 온라인 플랫폼에서 사용자 계정을 장악하면 이러한 계정을 이용해 기프트 카드, 로열티 포인트, 가상화폐 등 계정 소유자의 자산을 현금화할 수 있습니다. 봇은 사이버 범죄자들이 대규모로 효율적으로 사기 활동을 수행할 수 있도록 허용하므로 현금화를 용이하게 하는 데 자주 사용됩니다. 
8. 신임장 해킹. 이 위협은 로그인 페이지, 사용자 계정 포털, 인증 API 등 웹 애플리케이션의 로그인 메커니즘을 표적으로 삼는 무차별 대입 공격의 한 유형입니다. 공격자는 자동화를 사용하여 사용자 계정에 대한 무단 액세스를 허용하는 일반적인 사용자 이름과 비밀번호 조합을 체계적으로 시도한 후 해당 조합을 찾습니다. 이를 통해 공격자는 신원 도용, 금융 사기 또는 기타 무단 행위와 같은 악의적인 활동을 수행할 수 있습니다.  
9. 신임장 정보 입력. 웹 애플리케이션 위협의 가장 일반적인 형태 중 하나인 자격 증명 채우기는 사이버 범죄자가 다크 웹에서 구입한 사용자 이름/비밀번호 쌍 목록을 얻고 자격 증명 쌍을 사용하여 다른 로그인으로 보호된 계정에 액세스하려고 시도할 때 발생합니다. 많은 사람이 사용자 이름과 비밀번호를 재사용하기 때문에 이러한 공격(계정 인수라고도 함)은 매우 효과적일 수 있으며, 범죄자는 사용자 계정을 제어하여 자산을 훔치거나 제3자에게 사기를 저지를 수 있습니다.  
10. 재고 거부. 이러한 공격은 공격자가 봇을 이용해 대량의 품목을 쇼핑 카트에 담은 후, 해당 품목을 구매하기 위해 결제 단계로 넘어가지 않고 전자상거래 상품을 유통에서 제외함으로써 발생합니다. 이런 상황에서는 시스템이 품절 상태로 등록되어 다른 쇼핑객이 해당 상품을 구매할 수 없게 되고, 구매가 완료되지 않아 공급업체가 판매를 거부당하게 됩니다. 이러한 자동화된 위협의 한 변형은 봇을 사용하여 결제를 완료하지 않고 호텔 객실, 레스토랑 테이블 또는 항공편 좌석을 예약하거나 보류하는 경우 발생합니다. 
11. 서비스 거부(DoS) 와 분산 서비스 거부(DDoS). 이러한 공격은 대상 시스템이나 네트워크의 정상적인 기능을 방해하여 합법적인 사용자가 해당 시스템이나 네트워크를 사용할 수 없게 만들려는 악의적인 시도입니다. DDoS 공격에서 공격자는 엄청난 양의 트래픽이나 리소스 요청으로 대상을 압도하여 서버에 과부하를 일으키고 서비스에 접근할 수 없게 만듭니다. 이러한 공격은 대상에게 패킷을 대량으로 보내거나 특별히 제작된 요청을 보내는 등 다양한 방법을 통해 수행될 수 있습니다. DoS와 DDoS 공격은 비슷하지만, DDoS의 경우 공격에 여러 소스가 관여하며, 일반적으로 봇넷을 통해 조정됩니다. 봇넷은 공격자가 제어하는 손상된 컴퓨터 또는 장치의 네트워크입니다. 공격자는 이러한 여러 소스를 조정하여 동시에 타겟에 대한 공격을 시작합니다. 공격자는 봇넷의 결합된 리소스를 활용하여 엄청난 양의 트래픽이나 요청을 생성하여 대상 시스템의 용량을 압도하고 서비스 거부를 일으킬 수 있습니다. 이러한 공격은 방화벽 상태 테이블, CPU 리소스, 인프라 대역폭을 과부하시킬 수 있습니다. DoS 공격은 웹 애플리케이션에 대한 단 하나의 잘 만들어진 요청으로 실행될 수 있습니다. 예를 들어, CPU와 성능이 크게 저하되는 복잡한 SQL 쿼리를 실행할 수 있습니다.
12. 신속 처리. 이러한 위협에는 자동화된 봇이나 스크립트를 사용해 일련의 신청 프로세스를 빠르게 완료하고, 일반적인 제한이나 검사를 우회하는 것이 포함됩니다. 프로세스를 자동화함으로써 공격자나 악의적인 사용자는 다른 합법적 사용자에 비해 부당한 이점을 얻을 수 있습니다. 이런 활동은 종종 사기와 연관되며 다른 당사자에게 손실을 초래할 수 있습니다.  
13. 지문 채취. 위협 행위자는 지문을 정보 수집 기술로 사용하여 사용자의 웹 브라우저나 기기의 고유한 특성이나 속성을 수집하고 분석하여 독특한 "지문"을 만듭니다. 이를 통해 위협 행위자는 다양한 웹사이트와 온라인 플랫폼에서 개별 사용자를 식별하고 추적하거나 애플리케이션을 프로파일링한 후 공격할 수 있습니다. 
14. 발자국. 이는 그 자체로 자동화된 위협은 아니지만 해킹 과정이나 정찰의 예비 단계입니다. 풋프린팅은 봇이나 스크립트를 사용하여 대상 웹 애플리케이션의 구성, 구성 및 보안 메커니즘에 대한 정보를 수집하는 것을 포함하며, 이를 통해 공격자는 무단 액세스를 얻거나 특정 취약성을 악용하기 위해 타깃을 지정한 익스플로잇을 실행하는 등 후속 공격을 더 잘 계획할 수 있습니다. 
15. 암표매매 또는 재고 축적. 이는 공격자가 봇을 이용해 한정된 재고의 상품이나 서비스(콘서트 티켓이나 한정판 스니커즈 등)가 온라인에서 판매되는 즉시 대량으로 구매하는 구매 자동화 형태입니다. 범죄자들은 즉시 결제 과정을 완료함으로써 귀중한 재고를 대량으로 장악하게 되고, 이 재고들은 보통 2차 시장에서 상당한 마진을 붙여 재판매되어 인위적인 희소성, 재고 거부, 소비자 좌절로 이어진다.  
16. 스크래핑. 스크래핑은 본질적으로 악의적인 것은 아니지만, 웹사이트나 웹 애플리케이션에서 데이터를 추출하는 자동화된 프로세스입니다. 스크래핑은 승인되지 않은 목적이나 악의적인 목적으로 사용될 경우 자동화된 위협이 됩니다. 예를 들어, 봇을 이용해 대상 웹사이트의 콘텐츠를 수집하여 분석, 재사용하거나 가격 조작에 사용하는 경우, 특히 경쟁 시장에서 그렇습니다. 스크래핑은 사이트 성능에 영향을 미치고 합법적인 사용자가 사이트에 액세스하지 못하게 할 수도 있습니다. 
17. 기울어짐. 이는 악의적인 행위자가 웹 애플리케이션에서 콘텐츠를 반복적으로 클릭하거나 요청하거나 제출하여 개수, 좋아요, 노출 수, 설문 조사 결과, 빈도 또는 비율과 같은 애플리케이션 기반 지표에 의도적으로 영향을 미칠 때 발생합니다. 자동화된 봇을 사용하여 웹 애플리케이션과 인공적인 상호작용을 생성함으로써 인간의 행동을 모방하여 왜곡을 수행할 수 있습니다. 왜곡의 목적은 애플리케이션 기반 메트릭에서 생성된 데이터를 조작하고 왜곡하여 부정확하거나 오해의 소지가 있는 결과를 얻는 것입니다. 
18. 저격. 이는 자동화된 봇이나 스크립트를 사용하여 온라인 경매, 판매 또는 예약 시스템에서 경쟁 우위를 확보하는 일종의 악의적 활동입니다. "스나이핑"이라는 용어는 일반적으로 시간 제한이 있는 이벤트나 제한된 가용성 항목의 맥락에서 사용되며, 이러한 상황에서는 속도와 정확한 타이밍이 중요한 역할을 하며 다른 사용자가 입찰하거나 제안을 할 시간이 충분하지 않습니다. 스나이핑을 통해 공격자는 이벤트에 수동으로 참여하는 인간 사용자에 비해 경쟁 우위를 얻을 수 있습니다. 봇은 더 빠르고 정확하게 작업을 실행할 수 있기 때문입니다. 
19. 스팸 발송. 이는 웹 애플리케이션의 공개 또는 비공개 콘텐츠, 데이터베이스, 사용자 메시지에 나타나는 봇이 배포하는 악성 콘텐츠나 의심스러운 정보를 말합니다. 악성 콘텐츠에는 맬웨어, IFRAME 팝업, 사진, 비디오, 광고, 추적/감시 코드 등이 포함될 수 있습니다. 공격자는 또한 스팸을 사용하여 포럼이나 다른 메시징 앱에 가짜 댓글을 추가하여 정보를 위조하거나 맬웨어를 배포합니다. 
20. 토큰 크래킹. 이러한 자동화된 공격은 범죄자들이 쿠폰 번호, 바우처 코드, 할인 토큰을 대량으로 수집하여 발생합니다. 받을 수 있는 혜택으로는 할인, 현금 대체, 신용 또는 특별 행사 이용 등이 있습니다.
21. 취약점 스캐닝. 이 위협은 자동화된 도구나 스크립트를 사용하여 웹 애플리케이션의 취약점을 식별하고 악용하는 것을 말합니다. 보안을 강화할 목적으로 취약점을 식별하는 합법적인 취약성 스캐닝과 달리, 자동화된 위협으로서의 취약성 스캐닝은 애플리케이션의 보안을 손상시키려는 악의적인 의도로 수행됩니다. 범죄자는 자동화된 스캐닝 도구나 스크립트를 사용해 인터넷에 노출된 애플리케이션을 체계적으로 스캔하는데, 이는 일반적으로 취약점이 공개된 직후에 이뤄진다. 취약점이 확인되면 범죄자는 이를 악용해 애플리케이션, 중요 데이터 또는 기반 서버 인프라에 대한 무단 액세스를 시도합니다.