멀버타이징이 스마트 홈 IoT 위협: 숨겨진 광고가 디바이스 손상시킬 수 있다

최근까지 멀버타이징(malvertising), 즉 악의적 광고라는 용어를 접해본 적이 없었고, 스마트 홈 IoT 디바이스를 표적으로 삼는 능력에 대해서는 더더욱 몰랐습니다. IoT 보안에 대해 글을 쓰는 사람으로서, 동유럽 범죄 조직이 멀버타이징을 이용해 홈 디바이스를 손상시켰다는 보고서가 나오자 더 조사하게 되었습니다.

내 스마트 전기 미터의 디스플레이가 표적이 될 수 있는 방법을 궁금해했습니다. 제한된 이해로는 광고를 클릭해야 한다고 생각했지만, 현실은 훨씬 더 놀랍습니다: 클릭이 필요하지 않습니다.

멀버타이징은 광고 네트워크를 통해 온라인 디스플레이 광고에 악성 코드를 주입하여 사용자 네트워크와 연결된 디바이스를 감염에 노출시킵니다. 광고 네트워크는 일반적으로 제공하는 콘텐츠를 인식하지 못합니다. 모바일 광고 사이버 보안 기업 GeoEdge는 사용자가 악성 페이지를 클릭하거나 방문하지 않아도 공격이 홈 네트워크 디바이스에 도달할 수 있음을 밝혔습니다.

GeoEdge는 홈 네트워크 IoT 디바이스를 특별히 겨냥한 글로벌 멀버타이징 캠페인을 식별했습니다. 2021년 6월 중순부터 진행 중인 연구는 공격 벡터를 슬로베니아와 우크라이나의 악의적 행위자로 추적했습니다.

이 광범위한 벡터는 Wi-Fi 연결 IoT 디바이스에 앱을 무음 설치하는 데 온라인 광고가 처음 사용된 사례입니다. 공격자는 디바이스 API 문서에 대한 기본 이해, 약간의 JavaScript 기술, 기초적인 프로그래매틱 광고 노하우만 있으면 됩니다. IoT Analytics가 2025년까지 전 세계 300억 개 이상의 디바이스 연결을 예측함에 따라 잠재적 공격 표면은 거대합니다.

결과는 심각합니다: 공격자는 디바이스를 조작하고, 사용자 동의 없이 앱을 설치하고, 개인 데이터를 훔치고, 금융 수단을 탈취하고, 스마트 잠금 장치와 카메라 같은 홈 시스템을 변조할 수 있습니다. GeoEdge는 전통적인 안티바이러스나 방화벽으로는 부족하며, 감염된 광고의 실시간 차단이 필수적이라고 강조합니다.

공격 규모에 대해 물었을 때 GeoEdge CEO Amnon Siev는 조사가 활발히 진행 중이어서 정량적 세부 사항은 없다고 말했습니다. 그는 위협이 존재하며 악성 광고가 보안된 홈 네트워크 내 디바이스에도 도달할 수 있음을 확인했습니다.

이 캠페인은 프로그래매틱 광고라는 비용 효율적이고 확장 가능한 배포 채널을 활용하는 동유럽 범죄 조직에서 시작되었습니다. GeoEdge는 광고 기술 기업 InMobi와 Verve Group과 협력하여 공격의 출처, 인프라, 글로벌 발자국을 추적하여 사용자 보호의 새로운 표준을 수립했습니다.

명확한 교훈은 다음과 같습니다: 잘 보호된 스마트 홈조차 예상치 못한 진입점에 취약할 수 있습니다. 멀버타이징은 공격자가 악용할 수 있는 수많은 공격 벡터 중 하나일 뿐입니다.

>> 이 기사는 원래 자매 사이트인 EE Times에 게시되었습니다.