“제로 데이 공격”은 충분히 나쁘지만 개발자가 취약점이 공개되기 전에 취약점을 처리할 시간이 전혀 없었기 때문에 제로 클릭 공격은 다른 방식으로 관련되어 있습니다.
제로 클릭 공격 정의
피싱과 같은 많은 일반적인 사이버 공격은 사용자가 어떤 종류의 조치를 취해야 합니다. 이러한 체계에서 이메일을 열거나 첨부 파일을 다운로드하거나 링크를 클릭하면 악성 소프트웨어가 장치에 액세스할 수 있습니다. 그러나 제로 클릭 공격이 작동하려면 사용자 상호 작용이 전혀 필요하지 않습니다.
이러한 공격은 악의적인 사용자가 악성 코드를 클릭하도록 유도하기 위해 사용하는 심리적 전술인 “사회 공학”을 사용할 필요가 없습니다. 대신, 그들은 당신의 기계에 바로 왈츠를 춥니다. 이로 인해 사이버 공격자는 추적하기가 훨씬 더 어려워지고, 실패하더라도 공격을 받고 있다는 사실을 알지 못하기 때문에 공격을 받을 때까지 계속 시도할 수 있습니다.
제로 클릭 취약점은 국가 수준까지 높이 평가됩니다. 암시장에서 취약점을 사고 파는 Zerodium과 같은 회사는 취약점을 찾을 수 있는 모든 사람에게 수백만 달러를 제공하고 있습니다.
데이터를 신뢰할 수 있는지 여부를 결정하기 위해 수신한 데이터를 구문 분석하는 모든 시스템은 제로 클릭 공격에 취약합니다. 이것이 이메일 및 메시징 앱을 매력적인 대상으로 만드는 이유입니다. 또한 Apple의 iMessage와 같은 앱에 있는 종단 간 암호화는 데이터 패킷의 내용을 보낸 사람과 받는 사람 외에는 볼 수 없기 때문에 제로 클릭 공격이 전송되고 있는지 여부를 알기 어렵게 만듭니다.
이러한 공격은 종종 흔적을 많이 남기지 않습니다. 예를 들어 제로 클릭 이메일 공격은 이메일 받은 편지함의 전체 내용을 복사한 후 자체를 삭제할 수 있습니다. 그리고 앱이 복잡할수록 제로 클릭 익스플로잇을 위한 여지가 더 많이 존재합니다.
관련된: 피싱 이메일을 받으면 어떻게 해야 합니까?
야생에서의 제로 클릭 공격
9월에 The Citizen Lab은 공격자가 코드를 자동으로 실행하도록 설계된 PDF를 사용하여 대상의 전화기에 Pegasus 악성코드를 설치할 수 있는 제로 클릭 익스플로잇을 발견했습니다. 멀웨어는 감염된 모든 스마트폰을 청취 장치로 효과적으로 전환합니다. Apple은 이후 취약점에 대한 패치를 개발했습니다.
4월에 사이버 보안 회사인 ZecOps는 Apple의 Mail 앱에서 발견된 몇 가지 제로 클릭 공격에 대한 글을 게시했습니다. 사이버 공격자는 특수하게 조작된 이메일을 Mail 사용자에게 보내 사용자 작업 없이 장치에 액세스할 수 있도록 했습니다. 그리고 ZecOps 보고서에 따르면 이러한 특정 보안 위험이 Apple 사용자에게 위협이 된다고 생각하지 않지만 이와 같은 익스플로잇은 궁극적으로 사이버 공격자가 제어할 수 있는 일련의 취약점을 만드는 데 사용될 수 있습니다.
2019년 WhatsApp의 익스플로잇은 공격자가 전화를 걸어 사람들의 전화기에 스파이웨어를 설치하는 데 사용되었습니다. 이후 페이스북은 정치적 반체제 인사와 활동가를 대상으로 스파이웨어를 사용하고 있다고 주장하며 책임이 있는 것으로 간주되는 스파이웨어 공급업체를 고소했습니다.
자신을 보호하는 방법
불행히도 이러한 공격은 탐지하기 어렵고 실행하는 데 사용자 작업이 필요하지 않기 때문에 방어하기가 어렵습니다. 그러나 좋은 디지털 위생은 여전히 당신을 목표로 삼을 수 있습니다.
사용하는 브라우저를 포함하여 기기와 앱을 자주 업데이트하십시오. 이러한 업데이트에는 종종 악의적인 사용자가 설치하지 않을 경우 악용할 수 있는 패치가 포함되어 있습니다. 예를 들어, WannaCry 랜섬웨어 공격의 많은 희생자들은 간단한 업데이트로 공격을 피할 수 있었습니다. iPhone 및 iPad 앱 업데이트, Mac 및 설치된 앱 업데이트, Android 기기 업데이트 유지에 대한 가이드가 있습니다.
좋은 안티스파이웨어 및 안티맬웨어 프로그램을 구하여 정기적으로 사용하십시오. 가능하면 공공 장소에서 VPN을 사용하고 신뢰할 수 없는 공공 연결에 은행 데이터와 같은 민감한 정보를 입력하지 마십시오.
앱 개발자는 제품을 대중에게 출시하기 전에 악용에 대해 엄격하게 테스트하여 결국 도움을 줄 수 있습니다. 전문 사이버 보안 전문가를 고용하고 버그 수정에 대한 포상금을 제공하면 상황을 더 안전하게 만들 수 있습니다.
그래서 이것 때문에 잠을 잃어야 합니까? 아마 그렇지 않을 것입니다. 제로 클릭 공격은 주로 세간의 이목을 끄는 스파이 활동 및 재정적 목표물에 대해 사용됩니다. 자신을 보호하기 위해 가능한 모든 조치를 취하는 한 괜찮습니다.
관련된: 기본 컴퓨터 보안: 바이러스, 해커 및 도둑으로부터 자신을 보호하는 방법
