FBI, 2022년 광고 차단기 사용 권고

사이버 범죄자들이 검색 엔진 광고 서비스를 사용하여 브랜드를 사칭하고 사용자들을 랜섬웨어가 포함된 악성 사이트로 유도하여 로그인 자격 증명 및 기타 금융 정보를 훔치고 있음

방법론

• 사이버 범죄자들은 실제 비즈니스나 서비스와 유사한 도메인을 사용하여 인터넷 검색 결과 내에 나타나는 광고를 구매함
• 사용자가 해당 비즈니스나 서비스를 검색하면, 이러한 광고가 검색 결과의 최상단에 광고와 실제 검색 결과 간의 최소한의 구별로 나타남
• 이러한 광고는 모방된 비즈니스의 공식 웹페이지와 동일해 보이는 웹페이지로 연결됨
• 사용자가 다운로드할 프로그램을 검색하는 경우, 사기성 웹페이지에는 실제로는 멀웨어인 소프트웨어를 다운로드하는 링크가 있음
• 다운로드 페이지는 합법적으로 보이고 다운로드 자체는 사용자가 다운로드하려던 프로그램의 이름을 따서 명명됨
• 이러한 광고는 특히 암호화폐 거래 플랫폼과 같은 금융 관련 웹사이트를 사칭하는 데에도 사용되었음
• 이러한 악성 사이트는 실제 거래 플랫폼처럼 보이며 사용자에게 로그인 자격 증명과 금융 정보를 입력하도록 유도하여 범죄자들이 자금을 훔칠 수 있는 액세스 권한을 부여함
• 검색 엔진 광고 자체는 악의적이지 않지만, 광고 링크를 통해 웹페이지에 접속할 때는 주의를 기울이는 것이 중요함

자신을 보호하는 팁

FBI는 개인이 다음과 같은 예방 조치를 취할 것을 권장함:

• 광고를 클릭하기 전에 URL을 확인하여 사이트가 진짜인지 확인할 것. 악의적인 도메인 이름은 의도된 URL과 유사하지만 오타나 잘못 배치된 문자가 있을 수 있음
• 비즈니스나 금융 기관을 검색하는 대신 비즈니스의 URL을 인터넷 브라우저의 주소 표시줄에 직접 입력하여 공식 웹사이트에 직접 액세스할 것
• 인터넷 검색 시 광고 차단 확장 프로그램을 사용할 것. 대부분의 인터넷 브라우저는 사용자가 광고를 차단하는 확장 프로그램을 포함하여 확장 프로그램을 추가할 수 있도록 함. 이러한 광고 차단기는 브라우저 내에서 켜고 끌 수 있어 특정 웹사이트에서는 광고를 허용하고 다른 웹사이트에서는 광고를 차단할 수 있음

FBI는 기업이 다음과 같은 예방 조치를 취할 것을 권장함:

• 도메인 스푸핑을 방지하기 위해 유사한 도메인이 등록될 때 기업에 알리는 도메인 보호 서비스를 사용할 것
• 스푸핑된 웹사이트와 대상 URL이 올바른지 확인하는 것의 중요성에 대해 사용자를 교육할 것
• 기업에서 제공하는 프로그램에 대한 합법적인 다운로드 위치에 대해 사용자를 교육할 것

피해자 신고

검색 엔진 광고의 브랜드 사칭으로 인한 사기 또는 멀웨어의 피해자라고 생각되는 경우, 해당 지역의 FBI 현장 사무소(www.fbi.gov/contact-us/fieldoffices)에 사기 행위를 신고할 것. FBI는 또한 피해자가 FBI 인터넷 범죄 불만 센터(www.ic3.gov)에 사기성 또는 의심스러운 활동을 신고할 것을 권장함

[ilotoki0804]

요약이 잘못되어 있는 것 같아요

[GN⁺]

Hacker News 의견들

• 광고 차단이 전혀 안 된 남의 노트북/PC를 쓰면 늘 정신 나간 경험이 됨
  POV: https://m.youtube.com/shorts/iV3js9pd5IE

  • 고백하자면 광고 차단기를 거의 안 씀. 사이트가 광고로 너무 더러워져 있으면 그냥 그 사이트를 안 씀
  • 원치 않는 방해 요소가 계속 주의를 폭격하는 환경에서는 사람들이 더 무지해지고 덜 관찰적이 되는 것도 이상하지 않음
    남의 기기를 쓸 때, 옆 광고가 계속 산만하게 해서 글에 집중하려고 창을 화면 밖으로 반쯤 밀어낸 적도 있음
  • 그냥 Firefox에서 uBlock Origin으로 가서 설치해 줌. 물어보지도 않을 테고, 나는 좋은 일 하는 것뿐임
  • 지난 1년간 Safari가 더 빨리 떠서 가끔 썼는데, 광고 차단기 설치법을 알아보기 귀찮았음. 그런데 몇 달 뒤 광고를 하나 보고 나서야 그 전까지 광고를 본 기억이 없다는 걸 깨달음
    광고가 있는 유형의 웹사이트를 너무 잘 피하게 돼서 이제 광고 차단기가 필요 없을지도 모르겠음. 광고는 SuperBowl 광고가 아닌 이상 보는 걸 극도로 싫어함
    방문하는 사이트도 많지 않음. GitHub를 쓰고, Netflix와 Amazon은 돈을 더 내고 광고를 안 봄. YouTube Red도 결제하고, Kagi도 광고를 안 보기 위해 돈을 낼 수 있는 곳임. Hacker News에서는 링크를 클릭하기 전에 도메인이 nytimes 같은 곳이 아니라 실제 개인 웹사이트처럼 보이는지 항상 조심해서 확인함
  • 집에서 Pi-Hole을 쓸 때와 밖에서 휴대폰으로 탐색할 때 차이가 너무 심하게 느껴짐
    그래서 휴대폰의 모든 DNS 요청이 어떤 네트워크에 있든 집의 Pi-Hole을 거치도록 분할 터널 VPN을 설정하게 됨

• Google은 자신들이 링크 사기를 지원하는 데 공모했다는 책임이 없다고 규제기관을 설득해 왔음. Google이 링크 사기를 가능하게 하는 역할을 다룬 글을 썼고[1], 이게 사실상 규제 포획의 한 형태임을 보여줌
  같은 FBI 권고에 대한 특히 핵심적인 비판은 이 부분임:

  FBI는 “광고를 클릭하기 전에 URL을 확인해 사이트가 진짜인지 확인하라. 악성 도메인 이름은 의도한 URL과 비슷하지만 오타나 잘못 놓인 글자가 있을 수 있다”고 제안한다 — 검증되지 않은 vanity URL 앞에서는 쓸모없는 조언이다

  1. https://eligrey.com/blog/link-fraud/
  • 광고가 Google에는 일반 URL을 보여주면서, 실제 트래픽은 언제든 vanity URL로 리다이렉트할 수 있지 않나?

• No-JS 사용자임. 지난 두 달 동안 불길한 흐름을 봤는데, 일부 금융/의료 서비스 사이트(은행/보험 등)는 NoScript를 전부 끄지 않으면 더 이상 로그인할 수 없음. 웹사이트를 선택적으로 허용해도 소용없고, 그 사이트들은 Adobe 같은 잘 알려진 위반자도 쓰고 있음
  즉 백엔드에 브라우저에서 모든 추적/잡동사니 코드가 실행됐는지 확인하고, 전부 실행시키지 않으면 로그인을 거부하는 코드가 있음. 기술적으로는 필요 없다는 게 예전 버전이나 다른 사이트에서 최상위 사이트의 JavaScript만 허용해도 동작했던 것으로 드러남
  “우리가 너를 끝까지 추적하게 두든지, 기술적으로 필요 없더라도 네게 필요한 필수 서비스 접근을 포기하든지”라는 상태임

  • uBlock Origin에는 이런 사이트를 가끔 처리할 수 있는 고급 필터 문법이 있음. JavaScript 함수, 객체, 네트워크 요청, 파싱 데이터, 쿠키 등을 가로채거나 수정하거나 대체할 수 있음
    다만 이런 사이트용 필터 작성은 거의 암흑술에 가깝고, 보통 페이지의 JavaScript를 역공학해서 실제로 무엇을 보내고 무엇을 확인해야 정상 동작하는지 이해한 뒤, JavaScript 기능을 선택적으로 바꿔 그 검사를 우회하는 방법을 찾아야 함
    이런 일 때문에 WASM 같은 것의 확산이 조금 걱정됨. JavaScript가 훌륭하진 않아도, 최종 사용자가 브라우저에서 실행되는 것을 보고 이해하고 실제로 수정할 수 있는 통제권을 꽤 많이 줌
    WASM에서는 이 모든 게 매우 비현실적이 됨. 읽고 수정할 수 있는 해석 코드와 거의 임의 지점에서 상태를 검사·수정할 수 있는 능력 대신, 사실상 아무것도 할 수 없는 불투명한 바이너리 덩어리만 받게 됨. 더 많은 사이트가 로직을 컴파일된 WASM 덩어리로 옮길수록, 최종 사용자가 웹사이트 동작을 관찰하거나 수정하기가 점점 어려워질 것임
  • 혹시 그런 위반 사이트 목록이 있음?
  • PG&E에서도 똑같이 겪고 있음. Amplitude 호출이 끝나기 전까지 페이지가 로드되지 않음
  • 차단기를 전혀 쓰지 않아도 이런 일을 봤음. PC의 어떤 브라우저에서도 전력회사 웹사이트에 로그인할 수 없고, Delta Dental도 어떤 기기에서든 마찬가지임
    지금까지는 우회할 수 있었지만, 수정하지 않은 Edge에서도 안 되고 그 상태가 몇 달씩 유지될 정도로 로그인을 망가뜨리는 게 어떻게 가능한지 이해가 안 됨

• 사회 전반이 원치 않는 광고에 덜 관대해졌으면 좋겠음
  초기 Google 사이트는 딱 적당했음. 검색 결과 화면 옆에 방해 안 되는 광고 몇 개만 조용히 배치했음
  아이러니하게도 Google이 지금은 웹 전체에 퍼진 사용자 적대적 스팸 전염병을 개척하고 결국 정상화했음. 전체적으로 보면 이걸로 얻는 경제활동보다 잃는 생산성과 집중력이 훨씬 크다고 느낌

  • 향수나 절망을 위해 Google 광고 스크린샷의 연대기 목록을 찾았음: https://scaledon.com/the-evolution-of-google-ads/

• 한편 Microsoft는 광고 차단이 좋은지 나쁜지 두고 스스로와 싸우는 중임
  https://www.microsoft.com/en-us/edge/learning-center/using-a...
  https://support.microsoft.com/en-us/office/supported-browser...

• 광고 네트워크가 자신들이 가능하게 한 사기나 악성코드에 대해 법적 책임을 지게 되면 무슨 일이 벌어질지 보고 싶음
  “고객/광고를 알 필요가 없는 멍청한 파이프일 뿐”이라는 반론은 납득하기 어려움. 광고 내용과 표시 맥락을 인지하는 것이 겉으로 보기에도 그들의 사업 모델 일부이기 때문임
  피해액 일부만 책임지라는 뜻도 아님. 물론 그것만으로도 좋은 출발이겠지만, Tillie 이모에게 “컴퓨터가 감염됐습니다, Microsoft Technican에게 연락하려면 여기를 클릭하세요” 같은 광고가 노출됐다면 회사에 부정적 후폭풍이 있어야 함. 설령 Tillie 이모가 사실 해커 BakinC00kies이고 허니팟을 띄웠더라도 마찬가지임

• 이전 글: FBI가 이제 웹 검색 시 광고 차단기 사용을 권고함
  https://news.ycombinator.com/item?id=34916239
  734점 | 2년 전 | 댓글 430개

• 최근 할머니가 공과금을 내려고 하다가, 지역 가스회사로 위장한 사기 사이트의 Google 검색 광고를 클릭해서 사기를 당함. 돈도 일부 잃었고, 당연히 개인정보도 일부 넘어갔음
  이런 상황에서는 대체로 광고 회사에 책임이 있다고 봄. 그들의 제품이니 남용을 막는 것도 그들의 책임이어야 함. 하지만 규제는 거의 없고, 광고 업계 자체도 개인정보 보호와 데이터 보호에 별 관심이 없음. 악성 광고를 사전에 효과적으로 막는 데 왜 돈을 쓰겠음?
  정부가 광고 차단기를 권고하는 건 좋음. 다만 광고 회사의 태만을 처리하는 일이 사용자와 고객 몫으로 넘어온다는 점이 거슬림

  • Google을 상대로 소송을 걸면 어떻게 될지 궁금함

• 아직 Idiocracy의 정점에는 도달하지 않았음
  YouTube/Hulu/Disney+는 아직 콘텐츠 테두리에 광고를 띄우는 대신 중간에 광고로 끊고 있음
  Carl’s Jr/Brawndo는 아직 FCC를 사지 않았음
  그래도 꽤 가까워졌음

  • 테두리 광고는 골판지로 가리기 너무 쉬움
    아직은 사람들이 광고가 좋다고 실제로 생각하게 만들어야 함
  • 솔직히 이미 거기까지 왔음. 알 수 없는 이유로 아직 뉴스가 안 됐을 뿐임

• 컴퓨터 건강을 위해 PC에는 광고 차단기가 필요하지만, 정신 건강을 위해서도 필요함. CDC는 언제쯤 사용을 권고할까?