클라우드플레어, 계정 오용 방지 위한 새로운 대시보드 출시

계정 오용 방지 대시보드의 변화

클라우드플레어는 계정 오용 방지(Account Abuse Protection, AAP) 기능을 강화하는 새로운 사기 방지 대시보드를 얼리 액세스 고객에게 우선 제공한다. 이 대시보드는 웹사이트의 로그인 및 가입 흐름에서 관찰되는 활동을 기반으로 계정 개요를 통합하여 제공한다. 이를 통해 사기 분석가는 전체 사용자 집단을 파악하고, 의심스러운 추세를 식별하며, 집계된 활동 패턴에서 특정 계정 조사로 전환할 수 있다.

새로운 대시보드는 조사 퍼널(investigative funnel) 형태로 설계되어 있다. 의심스러운 이벤트가 감지되면 사기 대응팀은 계정 집단 개요를 통해 의심스러운 패턴의 규모와 형태를 파악할 수 있으며, 모든 계정을 개별적으로 조사할 필요 없이 전반적인 상황을 이해한다. 이후 특정 계정으로 심층 분석을 진행하여 상세한 이력과 맥락을 확인하고 적절한 대응 방안을 결정한다.

상태 기반 신뢰 모델의 필요성

기존의 온라인 사기 방지는 비밀번호 입력, 생체 인식 확인, 라이브니스 체크와 같은 시점 기반의 신원 증명에 의존했다. 과거에는 사기꾼이 실제 사용자의 자격 증명을 훔치는 것이 어려웠으나, 오늘날 인공지능(AI)의 광범위한 접근성으로 인해 노출된 자격 증명과 합성 미디어를 결합하여 합법적인 신원을 위조하거나 모방하는 것이 가능해졌다. 이로 인해 신원 확인만으로는 충분하지 않으며, 특정 시점에 확인을 통과했더라도 해당 계정 자체를 신뢰할 수 없는 상황이 발생한다.

하나의 설득력 있는 상호작용은 위조될 수 있지만, 일관된 합법적 행동 패턴을 조작하는 것은 훨씬 어렵다. 따라서 현대의 사기 방지는 무상태(stateless) 결정에서 벗어나 상태 기반(stateful) 신뢰 모델로 전환해야 한다. 기존의 신원 확인이 '이 사람이 지금 확인을 통과할 수 있는가?'를 묻는다면, 상태 기반 접근 방식은 '이 계정과 그 확립된 행동에 대해 우리가 아는 바와 일치하는가?'를 추가로 질문한다. 클라우드플레어는 각 상호작용에서 과거의 행동, 네트워크, 장치 패턴을 기반으로 신뢰를 지속적으로 획득하고 재평가한다.

클라우드플레어의 AAP는 웹사이트 소유자가 로그인 및 가입 활동 전반에서 오용을 감지하고 조사할 수 있도록 상태 기반 계정 개요를 생성한다. 고객은 기존 로그인 또는 가입 흐름에서 이메일 주소, 사용자 이름, 전화번호와 같은 식별자를 구성한다. 클라우드플레어는 이 값을 암호화하여 도메인별로 개인 정보 보호를 유지하는 Hashed User ID를 생성한다. AAP 내에서 Hashed User ID는 계정을 나타내며 해당 활동의 기준점이 된다. 각 로그인 또는 가입 시, AAP는 클라우드플레어 엣지에서 관찰된 이벤트와 관련 네트워크 및 장치 신호를 추가한다. 시간이 지남에 따라 축적된 이력은 계정의 일반적인 행동에 대한 맥락을 확립하여 의미 있는 편차를 더 쉽게 식별할 수 있도록 돕는다.

대시보드의 구체적인 기능 및 활용

새로운 대시보드는 사기 대응팀이 계정 집단 개요를 통해 로그인 및 가입 총량, 해당 이벤트를 생성한 계정 수, 고유 IP 주소 및 장치, 국가 및 ASN별 분석 정보를 확인할 수 있도록 지원한다. 이를 통해 로그인 또는 가입 볼륨이 예상치 못하게 변경되었는지, 실패한 로그인 또는 유출된 자격 증명 일치 수가 증가하고 있는지, 특정 국가, ASN 또는 시간대에 이벤트가 집중되어 있는지 등의 질문에 대한 답을 찾을 수 있다.

예를 들어, 자격 증명 스터핑 공격을 조사하는 경우, 사기 대응팀은 대시보드에서 비정상적인 로그인 활동을 파악한다. 계정 집단 개요에서 실패한 로그인 활동의 증가를 확인하고, 로그인 이벤트에 대한 유출된 자격 증명 확인 결과를 검토한다. 특정 사례에서는 약 2.4천 건의 이벤트에서 유출된 사용자 이름 또는 비밀번호 결과가 나타났고, 11.7천 건의 이벤트에서는 자격 증명이 깨끗하게 분류되었다. 이러한 패턴은 조사의 단서가 되며, 모든 관련 계정이 침해되었다는 확정은 아니다.

조사 범위를 좁히기 위해 필터를 활용할 수 있다. 예를 들어, 최소 3회 이상 로그인 실패, 최소 3회 이상 유출된 자격 증명 일치, 최소 5개 이상의 고유 IP 주소에서 관찰된 계정만 필터링하여 검토할 수 있다. 필터링된 계정 중에서 가장 시급한 주의가 필요한 특정 Hashed User ID를 선택하여 심층 조사를 진행한다. 개별 계정 보기에서는 로그인 시도, 새로운 장치 또는 위치 식별, 활동 전개 방식 재구성 등의 정보를 확인할 수 있다. 각 이벤트에는 Ray ID가 포함되어 있어 분석가가 보안 이벤트에서 관련 정보를 조회할 수 있다.

개별 계정 보기는 로그인 성공률, 유출된 자격 증명 일치 여부, 가장 자주 연결된 네트워크, 위치 및 장치 등 해당 계정의 로그인 및 가입 활동 요약을 제공한다. 분석가는 각 이벤트의 타임스탬프, Ray ID, 적용된 완화 조치를 포함한 개별 이벤트를 검토하여 단일 로그인 이벤트인지 반복적인 시도의 일부인지, 새로운 국가, 네트워크, IP 주소 또는 장치가 도입되었는지, 사용자 행동이 이후 변경되었는지 등을 파악한다. 충분한 증거가 확보되면 분석가는 Hashed User ID를 WAF 규칙에 사용하여 해당 식별자와 관련된 향후 요청을 차단하거나 도전할 수 있다.

개발자 및 사용자에게 미치는 영향

이 새로운 대시보드는 사기 분석가와 보안팀에게 조사에 대한 강력한 기반을 제공한다. 개별 계정을 일일이 조사할 필요 없이 의심스러운 패턴의 규모와 형태를 이해하고, 수동 검토가 필요한 계정의 우선순위를 정하며, 계정 내에서 발생한 일을 재구성하고, 대응 방법을 결정할 수 있다. 또한, 개별 계정의 행동 및 이벤트 이력에 대한 더 깊은 통찰력을 얻을 수 있다.

웹사이트 소유자는 로그인 및 가입 활동 전반에서 자동화된 오용과 인간에 의한 오용을 모두 감지하고 조사할 수 있게 된다. 이 기능은 클라우드플레어의 봇 관리(Bot Management) 기능과 상호 보완적으로 작동하여, 봇 감지 기능이 활동의 자동화 여부를 파악하는 반면, AAP는 로그인 및 가입 활동이 합법적인 사용과 일치하는지 여부를 조사하는 계정 수준의 개요를 제공한다. 이 두 가지 기능이 결합되어 웹사이트 소유자는 계정 생성 및 로그인 전반에 걸쳐 자동화된 및 인간 주도형 오용에 효과적으로 대응할 수 있다.

개인 정보 노출을 최소화하기 위해 클라우드플레어는 두 가지 새로운 접근 수준 역할을 도입한다. 'Account Abuse Protection' 역할은 대시보드 접근을 제어하며, 'Account Abuse Protection PII' 역할은 이메일과 같은 추가적인 계정 수준의 개인 식별 정보(PII) 접근을 제어한다. 'Account Abuse Protection PII' 역할은 PII를 포함하는 Logpush 작업을 생성하거나 업데이트하는 데도 필요하다. 이러한 권한 분리는 고객이 대시보드 및 데이터 내보내기 워크플로우 모두에 최소 권한 접근을 적용할 수 있도록 돕는다.

적용 조건 및 제한 사항

새로운 대시보드는 현재 계정 오용 방지 얼리 액세스(Early Access) 고객에게 먼저 제공된다. 이 기능을 사용하고자 하는 봇 관리 엔터프라이즈(Bot Management Enterprise) 고객은 얼리 액세스 프로그램에 등록할 수 있다. 잠재적인 봇 관리 엔터프라이즈 고객 또한 동일한 양식을 통해 클라우드플레어 팀에 문의할 수 있다.

고객은 기존 로그인 또는 가입 흐름에서 이메일 주소, 사용자 이름 또는 전화번호와 같은 식별자를 구성해야 한다. 클라우드플레어는 이 값을 암호화하여 도메인별로 개인 정보 보호를 유지하는 Hashed User ID를 생성한다. 기사에서 언급된 바와 같이, 유출된 자격 증명 요약은 '모든 관련 계정이 침해되었다는 확정은 아니며, 조사의 단서'라는 점을 인지해야 한다. 이는 제품의 한계라기보다는 사기 조사 과정의 일반적인 특성이다.