Security
처리하는 데이터의 가치나 업무 방식 때문에 사이버 공격 위험이 더 높은 그룹이 있습니다. Keylogger는 자격 증명을 훔치고, 통신을 감시하고, 표적 사이버 공격을 지원하는 데 흔히 사용됩니다.
다음은 몇 가지 예입니다.
개인
원격 근무자는 회사 방화벽 밖에서 일하는 경우가 많고, Wi-Fi나 개인 디바이스를 활용할 수 있습니다.
결과: 이로 인해 피싱 전자 메일, 악성 다운로드, 드라이브 바이 공격에 노출될 수 있으며, 이러한 공격은 Keylogger를 몰래 설치하고 중요한 로그인 자격 증명을 훔칠 수 있습니다.
게이머는 가치가 높은 온라인 계정이나 인게임 구매로 인해 공격 대상이 됩니다.
결과: 크랙되었거나 수정된 게임 파일에는 숨겨진 Keylogger가 포함된 경우가 많습니다. 이러한 Keylogger는 게임 계정을 탈취하거나, 결제 정보를 훔치거나, 동작을 모니터링하는 데 쓰일 수 있습니다.
학생은 구입하지 않은 학습 소프트웨어나 허가되지 않은 시험 도구를 비공식 웹사이트에서 다운로드할 수 있습니다.
결과: 이러한 도구에는 키 입력을 기록하고, 개인 데이터를 캡처하거나, 대학 계정에 접근하는 스파이웨어나 Keylogger가 포함될 수 있으며, 이로 인해 개인 정보 침해나 학업 부정 행위로 이어질 수 있습니다.
중소기업
중소기업은 전담 보안 팀이 없는 경우가 많아, Keylogger를 통한 자격 증명 탈취, 랜섬웨어, 간첩 행위의 표적이 되기 쉽습니다. 이러한 조직은 강력한 방어 체계나 모니터링 도구가 마련돼 있지 않은 경우가 많아 외부 위협과 내부 위협 모두에 취약합니다. 다음은 몇 가지 예입니다.
건설. 미국의 한 건설 회사는 피싱 전자 메일을 통해 설치된 Keylogger 때문에 USD$550,000의 손실을 입었습니다.
결과: 맬웨어가 은행 자격 증명을 캡처해, 사이버 공격자가 회사 계정에서 자금을 이체할 수 있게 했습니다.
공공 부문/공공 서비스. 공공 기관 회사의 한 직원이 동료를 감시하려고 작업용 컴퓨터에 물리적 Keylogger를 설치했습니다.
결과: 내부 감시 및 무단 데이터 수집이 발생하여 내부자 위협으로 분류됐습니다.
의료. 의료 기관은 Emotet과 TrickBot처럼 키로깅 기능이 있는 악성 코드의 표적이 반복적으로 돼 왔습니다.
결과: 환자 기록, 로그인 자격 증명, 내부 시스템의 보안이 침해돼 규제 및 운영 위험이 발생했습니다.
대기업
대기업은 지적 재산, 금융 데이터 탈취, 내부 시스템 침해를 노린 표적 Keylogger 공격의 위험에 노출됩니다. 이러한 조직은 방대한 네트워크, 고객 데이터, 핵심 인프라를 관리하기 때문에 정교한 악성 코드 활동이나 공급망 취약성을 통해 자주 공격을 받습니다.
소매업 분야 - 판매 시점 악성 코드. 200개가 넘는 소매 매장이 POS 단말기를 노린 키로깅 악성 코드에 감염되었습니다.
결과: 사이버 공격자는 신용 카드 데이터와 키 입력을 모두 캡처해, 수천 명의 고객에게 영향을 줄 수 있었고, 기업에는 재정 손실과 브랜드 손상을 초래할 수 있었습니다.
금융 부문 - 내부자 위협 및 자격 증명 탈취. 한 글로벌 금융 기관은 계약업체가 여러 내부 시스템에 Keylogger를 설치한 사실을 발견했습니다.
결과: Keylogger가 몇 주 동안 직원 자격 증명과 내부 통신을 캡처해 민감한 금융 데이터를 노출했고, 네트워크의 제한된 영역에 무단으로 액세스할 수 있게 했습니다. 이 침해 사고로 전면적인 조사와 타사 액세스 제어 개편이 진행되었습니다.
기술 분야 - 공급망 노출. 노트북은 원래 내부 디버깅용으로 설계된 내장 Keylogger가 포함된 오디오 드라이버와 함께 출하됐습니다.
결과: 키 입력이 디바이스에 로컬로 저장돼, 문제가 발견되고 수정될 때까지 중대한 개인 정보 및 규정 준수 위험이 발생했는데, 이는 공급망 내에 숨겨진 로깅 메커니즘의 위험성을 보여줍니다.
고위험 직무
임원, 재무 책임자, 개발자, IT 관리자들은 Keylogger가 포함된 스피어 피싱과 스파이 활동 캠페인의 빈번한 표적입니다. 이들은 재무 시스템, 기밀 전략 문서, 소스 코드, 인프라 자격 증명에 대한 권한 있는 액세스 권한을 가지고 있어, 사이버 공격자에게 매우 가치 있는 침투 지점으로 인식됩니다. 이들의 보안이 침해되면 더 넓은 조직으로 들어가는 관문이 되거나, 장기간 감시 활동을 이어가기 위한 중심이 될 수 있습니다.
임원을 노린 공격의 예로 DarkHotel 캠페인이 있습니다. Keylogger는 보안이 침해된 호텔 Wi-Fi 네트워크를 통해 전달되어 출장 중인 임원을 노렸습니다. 사이버 공격자들은 로그인 자격 증명을 훔치고, 중요한 비즈니스 데이터에 액세스하고, 임원의 통신을 조용히 모니터링했는데, 이는 고위 인물을 대상으로 한 표적 감시 캠페인의 정교함을 보여줍니다.
Keylogger를 검색하는 방법
다음은 디바이스의 보안이 침해되었을 수 있음을 나타내는 일반적인 경고 신호입니다.
성능 저하. 내용을 입력하거나 로그인할 때와 같은 상황에서 디바이스의 속도가 느려지는 경우 백그라운드에서 무언가가 몰래 실행되고 있다는 뜻일 수 있습니다.
예기치 않은 팝업 또는 충돌. 인터넷을 적극적으로 사용하지 않는 상황 등에서 오류 메시지가 자주 표시되거나, 시스템이 충돌하거나, 이상한 팝업이 뜬다면 악성 소프트웨어가 작동 중인 것일 수 있습니다.
비정상적인 네트워크 활동. 온라인 상태가 아닐 때도 인터넷 연결이 활성화되어 있거나, 방화벽에서 비정상적인 활동이 표시된다면 Keylogger가 데이터를 사이버 공격자에게 보내고 있을 수 있습니다.
바이러스 백신 경고 또는 차단된 앱. 바이러스 백신에서 이상한 경고가 표시되거나, 알 수 없는 프로그램이 차단되거나, 계속 경고가 뜨거나, 갑자기 작동을 멈춘다면 주의해야 합니다.
감지 도구
바이러스 백신 및 맬웨어 방지 프로그램은 시스템에서 알려진 위협을 검사하고, Keylogger를 비롯한 의심스러운 소프트웨어를 찾으면 알려줍니다.
동작 기반 감지 도구는 알 수 없는 앱이 키 입력을 추적하거나 데이터를 보내려는 등 이상한 동작을 찾아내고, 일반 검사기로는 놓칠 수 있는 위협을 잡아내는 데 도움이 됩니다.
방화벽 및 네트워크 모니터링 소프트웨어는 갑작스러운 트래픽 급증이나 알 수 없는 연결처럼 이상한 인터넷 활동을 감지합니다.
루트킷 방지 유틸리티는 시스템 깊은 곳을 검사해 숨겨진 위협을 찾아내며, 특히 일반 바이러스 백신 프로그램으로는 감지할 수 없는 고급 Keylogger를 찾는 데 유용합니다.
수동 식별 기술
보안 소프트웨어가 가장 좋은 방어선이지만, 잠재적인 Keylogger를 찾아내는 데 사용할 수 있는 다음과 같은 몇 가지 수동 방식도 있습니다.
작업 관리자 또는 활동 모니터를 확인합니다. 백그라운드에서 실행 중인 낯선 프로그램이 있는지 살펴봅니다. 일부 Keylogger는 일반적인 이름을 사용하므로, 이상해 보이는 항목은 확인해 볼 필요가 있습니다.
설치된 프로그램 또는 앱을 검토합니다. 앱과 브라우저 확장 기능을 확인합니다. 익숙하지 않거나 어색해 보이는 것이 있다면, 숨겨진 사이버 위협일 수 있습니다.
아웃바운드 네트워크 트래픽을 모니터링합니다. 후순위 프로그램이 알 수 없는 서버로 데이터를 정기적으로 보내는 것처럼 보이는 예상치 못한 인터넷 활동이 있는지 살펴봅니다.
키보드 및 USB 연결을 점검합니다. 하드웨어 Keylogger의 경우 키보드와 컴퓨터 사이에 이상한 것이 있는지 살펴보거나, 키보드 자체를 확인합니다. 특히 공용 또는 공유 디바이스에서는 이러한 노력에 더욱 신경을 써야 합니다.
의심스러운 동작이 있는지 확인합니다. 오타가 반복되거나, 입력이 지연되거나, 브라우저의 홈페이지나 검색 엔진이 바뀌었다면 숨겨진 모니터링 도구가 있다는 뜻일 수 있습니다.
Keylogger가 의심되는데도 확인할 수 없다면, 신뢰할 수 있는 바이러스 백신 소프트웨어로 전체 시스템 검사를 실행하고 IT 또는 사이버 보안 전문가와 상담해 보세요.
고급 사이버 위협 감지
사이버 위협 인텔리전스 보안 도구는 사이버 공격자의 동작과 새로운 맬웨어에 대한 조기 인사이트를 제공해 Keylogger로부터 보호하는 데 도움이 됩니다. 이 도구는 전 세계 데이터를 사용해 위협을 더 빨리 찾아내고, 방어를 강화하고, 대응 속도를 높입니다.
사이버 위협 헌팅은 일반 프로그램처럼 위장한 Keylogger와 같이 전문가가 자동화 도구가 놓칠 수 있는 숨겨진 위협을 찾아내는 실무 중심의 보안 방식입니다. 이러한 도구는 사이버 위협 인텔리전스를 사용해 비정상적인 동작을 조사하고, 공격 징후를 조기에 찾아내며, 전반적인 보안을 강화합니다.
UEBA(사용자 및 엔터티 동작 분석)는 사용자와 디바이스의 정상 패턴을 학습한 뒤 비정상적인 활동을 표시해 Keylogger를 찾아냅니다. 예를 들어 계정이 갑자기 이상한 시간에 중요한 데이터에 액세스하면, 일반 도구가 놓치더라도 UEBA가 경고를 보냅니다. UEBA는 알려진 사이버 위협이 아니라 동작에 집중하므로, 은밀하거나 새로운 Keylogger 공격을 잡아내는 데 특히 유용합니다.
이러한 감지 전략은 일반적으로 사이버 위협을 모니터링하고 감지하며 대응하는 전담 팀 또는 시설인 SOC(보안 운영 센터)에서 관리합니다. SOC는 SIEM(보안 정보 및 이벤트 관리)과 SOAR(보안 오케스트레이션 자동 응답) 같은 도구를 사용해 경고를 조율하고, 이상 징후를 조사하며, 대규모로 사이버 위협 대응을 자동화합니다.
Keylogger 사이버 위협에 대응
Keylogger를 다룰 때는 효과적인 위협 감지 및 대응이 중요합니다. XDR(확장된 감지 및 대응) 기능이 있는 도구는 의심스러운 활동을 찾아내고, 실시간 경고를 보내며, 영향을 받은 시스템을 격리해 Keylogger 같은 사이버 위협을 빠르게 막을 수 있습니다.
인시던트 응답은 사이버 위협 감지 및 대응의 일부입니다. 여기에는 사이버 위협을 차단하고, 팀에 알리고, 문제를 조사하고, 시스템을 정상 상태로 되돌리는 단계가 포함됩니다.
빠르게 대응하면 추가 피해를 막고 개인 또는 조직의 데이터를 보호하는 데 도움이 됩니다. 안전하게 대응하고 복구하는 단계별 가이드는 다음과 같습니다.
인터넷 연결을 끊습니다. 디바이스를 즉시 Wi-Fi에서 분리하거나 이더넷 케이블을 뽑습니다. 이렇게 하면 Keylogger가 훔친 데이터를 사이버 공격자에게 전송하는 것을 막는 데 도움이 됩니다.
전체 시스템 검사를 실행합니다. 신뢰할 수 있는 바이러스 백신 또는 맬웨어 방지 도구를 사용해 전체 시스템을 검사합니다. 소프트웨어가 찾아낸 사이버 위협은 격리하거나 제거하도록 합니다. 소프트웨어에 부팅 시 검사 또는 오프라인 검사가 있는 경우 해당 옵션을 사용해 깊숙이 숨겨진 사이버 위협을 감지합니다.
안전한 디바이스에서 암호를 변경합니다. 감염된 디바이스에서는 암호를 변경하지 않습니다. 감염되지 않은 디바이스를 사용해 전자 메일, 은행, 업무 앱 같은 주요 계정을 업데이트합니다. 가능하면 MFA를 켭니다.
승인되지 않은 활동이 있는지 확인합니다. 계정에서 의심스러운 로그인, 거래, 메시지가 있는지 검토합니다. 이상한 점이 있으면 영향을 받은 서비스 제공업체에 신고하고, 계정을 보호하기 위한 안내를 따릅니다.
IT 또는 사이버 보안 전문가에게 문의합니다. 조직에 소속되어 있는 경우 IT 또는 보안 팀에 즉시 알립니다. 개인 디바이스인 경우 다음에 어떻게 해야 할지 모르겠다면 신뢰할 수 있는 사이버 보안 지원 서비스의 도움을 받습니다.
필요한 경우 시스템을 다시 설치하거나 복원합니다. 감염이 심각하거나 완전히 제거할 수 없는 경우 운영 체제를 깨끗하게 다시 설치하는 것이 가장 안전한 방법일 수 있습니다. 중요한 파일은 먼저 백업하되 감영되지 않은 것으로 확인된 파일만 백업합니다.
필요한 경우 인시던트를 보고합니다. Keylogger가 고객, 직원 또는 금융 정보 같은 중요한 데이터를 노출했다면 다음과 같은 조치가 필요할 수 있습니다.
기업 환경에서는 이 단계가 법적 위험을 관리하고, 이해 관계자를 보호하고, 사이버 보안 모범 사례를 따르는 데 매우 중요합니다.
Microsoft Security 팔로우