숄더서핑이란?

컴퓨터 보안에는 많은 위험과 그러한 위험이 취할 수 있는 다양한 형태가 있습니다. 숄더 서핑은 사회 공학의 한 형태입니다. 공격자가 피해자의 장치를 보고 정보를 얻는 공격 클래스를 말합니다. 이것은 역사적으로 그들의 어깨 너머로 물리적으로 보는 것을 포함했지만 몰래 카메라와 관련된 기술도 포함합니다.

숄더 서핑의 전형적인 예는 공격자가 지불 카드 PIN을 입력하는 동안 피해자의 어깨 너머로 보는 것입니다. 이러한 유형의 공격에 대한 인식은 적극적으로 손을 가리고 다른 손으로 PIN을 입력하는 등 행동 변화로 이어졌습니다. 일부 결제 단말기에는 PIN 패드 위에 개인 정보 보호 커버가 내장되어 있습니다. 일부 ATM은 또한 사용자에게 어깨 너머로 확인하도록 상기시킵니다. 어깨 너머로 확인할 수 있는 작은 거울도 있습니다.

참고: ATM 거울은 종종 작고 약간 흐릿합니다. 이것은 의도적입니다. 어깨 너머로 확인하기에 충분합니다. 잘 배치된 공격자가 귀하의 PIN을 볼 수 있도록 허용하는 것도 좋지 않습니다.

이러한 대책은 실제 세계에서 더 발전된 기술로 이어졌습니다. 많은 범죄 기업이 몰래 카메라를 사용하여 PIN 패드를 염탐했습니다. 일부는 안전한 거리에서 PIN 패드를 보기 위해 더 멀리 떨어져 쌍안경이나 망원경을 사용했습니다. 열화상 카메라는 버튼을 만졌을 때 버튼에 남은 열로 인해 PIN을 식별하는 데에도 사용되었습니다. 경우에 따라 스키머 장치가 장치 전면에 배치되어 실제 버튼을 덮습니다. 이 마지막 사례는 여전히 PIN과 카드 세부 정보가 도난당하는 결과를 초래하지만 실제 관찰이 필요하지 않았기 때문에 엄격하게 어깨 서핑으로 간주되지 않습니다.

기타 상황

물론 숄더 서핑은 다른 시나리오에서도 위험할 수 있습니다. 암호가 짧은 시스템, 특히 번호가 매겨진 PIN 패드에 있는 모든 시스템은 이러한 위험에 노출되어 있습니다. 공격자는 보안 도어에 입력된 코드를 보거나, 금고를 열 때 텀블러 위치를 보거나, 비밀번호가 입력되는 것을 관찰할 수 있습니다.

참고: 키패드에서 단일 PIN을 장기간 사용하면 버튼이 닳거나 더러워질 수 있습니다. 이는 열화상 개념의 극단적인 변형인 경우와 유사합니다. 일반적으로 보안 도어에는 인증된 모든 사람이 알고 있는 하나의 PIN이 있고 자주 변경되지 않는 경향이 있으므로 보안 도어에만 적용됩니다.

암호가 입력되는 것을 관찰하는 공격자의 시나리오는 컴퓨터 보안에서 특히 흥미롭습니다. 다른 사람에게 암호를 알려주지 않을 수도 있지만 암호를 얻을 수 있는 다른 방법이 있습니다. 피싱은 상대적으로 잘 알려져 있지만 종종 과소평가되는 위험입니다. 숄더 서핑도 또 다른 위험 요소입니다. 이 위험은 특히 주변 사람들을 통제할 수 없는 공공 장소에서 적용됩니다. 가정이나 직장 환경에서는 신뢰성에 대한 기대가 잘못 배치된 경우가 더 많습니다.

예를 들어 커피숍에서 휴대폰에 로그인하면 공격자가 어깨너머로 암호를 볼 수 있습니다. 랩톱을 사용하는 경우에도 공격자가 동일한 작업을 수행할 수 있습니다. 암호를 빠르게 입력하면 키가 눈에 잘 띄고 구별하기 쉽기 때문에 더 쉽습니다.

기타 콘텐츠

종종 숄더 서퍼의 가장 큰 목표는 가치가 높은 작은 것입니다. PIN과 암호는 짧고 상대적으로 식별 및 기억하기 쉽고 예를 들어 자금이나 계정 또는 장치에 대한 추가 액세스를 제공하므로 이에 이상적입니다. 다른 경우에는 공격이 순전히 기회주의적이거나 스파이 활동과 같은 특정 대상의 결과일 수 있습니다.

기회주의적 공격은 민감하지만 공격자에게 유용하지 않은 것을 관찰하는 경향이 있습니다. 예를 들어 일부 사업가는 대중 교통에서 일합니다. 그들은 재무 예측 또는 기타 종류의 민감한 내부 및 비공개 정보와 관련된 민감한 문서에 대해 작업할 수 있습니다. 근처에 앉아 있는 누군가가 자신의 화면을 보고 정보를 수집할 수 있습니다.

이 경우 공격자는 실제 공격자가 아닐 수도 있습니다. 그들은 호기심이 많을 수 있지만 배운 내용으로 아무 것도 할 생각이 없습니다. 하지만 항상 그런 것은 아니며 알 수 있는 방법이 없으므로 공공 장소에서 민감한 정보를 다룰 때는 주의를 기울여야 합니다. 이 개념은 민감한 개인 콘텐츠, 특히 사진이나 동영상에도 적용됩니다. 다시 한 번, 다른 사람이 귀하의 화면을 볼 수 있습니다. 더 이상 공유하지 않더라도 원치 않는 침입일 수 있습니다.

스파이 활동 및 사회 공학적 맥락에서 공격자는 의도적으로 피해자나 위치를 대상으로 하여 화면에서 중요한 정보를 볼 수 있습니다. 이는 암호와 같이 공격자에게 직접 액세스를 제공하지 않을 수 있습니다. 이전 예와 마찬가지로 다른 민감한 정보도 공격자에게 유용할 수 있습니다.

결론

숄더 서핑은 일종의 사회 공학 공격입니다. 공격자는 피해자의 행동이나 화면을 보고 정보를 수집합니다. 숄더 서핑은 주로 암호나 PIN을 식별하려는 시도를 다룹니다. 또한 회사 또는 정부의 기밀이나 유출 정보와 같은 개인 정보를 화면에서 보려고 시도하는 경우도 다룹니다. 숄더 서핑은 본질적으로 도청하거나 들을 수 없는 대화를 듣는 것과 시각적으로 동일합니다.