[논문 리뷰] Early Phishing

Koceilah Rekouche|arXiv (Cornell University)|2011. 06. 23.

Spam and Phishing Detection인용 수 5

한 줄 요약

이 논문은 피싱의 기원을 1990년대 중반으로 거슬러 올라가며, 아메리카 온라인에서 비밀번호와 신용카드 정보를 도용하는 데 사용된 첫 번째 공개된 자동화된 도구인 AOHell의 창작을 피싱 현상의 기원으로 지목한다. 이는 초기 시스템이 어떻게 광범위한 사이버 범죄 위협으로 발전했는지 기록하며, 아마추어와 후에 전문 범죄자들이 사용한 세대를 거쳐 온 자동화된 피싱 도구의 기원을 설명한다.

ABSTRACT

The history of phishing traces back in important ways to the mid-1990s when hacking software facilitated the mass targeting of people in password stealing scams on America Online (AOL). The first of these software programs was mine, called AOHell, and it was where the word phishing was coined. The software provided an automated password and credit card-stealing mechanism starting in January 1995. Though the practice of tricking users in order to steal passwords or information possibly goes back to the earliest days of computer networking, AOHell's phishing system was the first automated tool made publicly available for this purpose. The program influenced the creation of many other automated phishing systems that were made over a number of years. These tools were available to amateurs who used them to engage in a countless number of phishing attacks. By the later part of the decade, the activity moved from AOL to other networks and eventually grew to involve professional criminals on the internet. What began as a scheme by rebellious teenagers to steal passwords evolved into one of the top computer security threats affecting people, corporations, and governments.

연구 동기 및 목표

• 1990년대 중반에 피싱이 사이버 범죄 수법으로서 역사적으로 어떻게 등장했는지 추적하는 것.
• AOHell을 비밀번호 및 금융 정보를 도용하기 위한 첫 번째 공개된 자동화된 도구로 규명하는 것.
• AOHell을 사용한 아마추어 해커들이 이후 조직적이고 전문적인 피싱 운영으로 이어진 추세를 시작한 과정을 기록하는 것.
• 초기 자동화된 피싱 도구가 현대의 사이버 위협에 끼친 장기적 영향을 분석하는 것.
• 청소년의 장난에서 시작된 행동이 개인, 기업, 정부를 대상으로 한 대규모 공격으로 진화한 과정을 부각하는 것.

제안 방법

• 아메리카 온라인에서 비밀번호와 신용카드 정보를 자동으로 수확하기 위해 설계된 맞춤형 소프트웨어 도구인 AOHell의 개발 및 배포.
• 사회공학 기법을 사용해 대량의 사용자 계정을 식별하고 악용하는 자동화된 메커니즘의 구현.
• 이러한 자동화된 자격 증명 도용 과정과 함께 '피싱(phishing)'이라는 용어를 처음으로 사용한 것.
• AOHell을 광범위한 사용자 기반에 배포하여 기술에 익숙지 않은 사람들이 피싱 공격을 수행할 수 있도록 한 것.
• 이 도구가 다양한 온라인 네트워크를 통해 후속 자동화된 피싱 도구 개발에 미친 영향을 관찰한 것.
• 기술의 확산에 따라 피싱 활동이 AOL에서 더 넓은 인터넷 플랫폼으로 이동하는 과정을 추적한 것.

실험 결과

연구 질문

• RQ1 대규모 비밀번호 및 신용카드 도용을 위해 설계된 첫 번째 자동화된 도구는 무엇이며, 언제 제작되었는가?
• RQ2 AOHell의 개발이 '피싱'이라는 용어의 공식화와 보급에 어떻게 기여했는가?
• RQ3 AOHell이 비기술적 사용자가 사이버 범죄에 참여하는 데 어떤 방식으로 기여했는가?
• RQ4 피싱 공격의 성격은 아마추어적이고 개인적인 행동에서 조직적이고 전문적인 사이버 범죄로 어떻게 진화했는가?
• RQ5 초기 도구들인 AOHell이 현대의 피싱 위협 형성에 어떤 역할을 했는가?

주요 결과

• 1995년 1월에 제작된 AOHell은 아메리카 온라인에서 비밀번호와 신용카드 정보를 도용하기 위한 첫 번째 공개된 자동화된 도구였다.
• 피싱이라는 용어는 AOHell과 연결되어 처음으로 사용되었으며, 이는 사이버보안 역사상 개념이 공식적으로 등장한 계기였다.
• 이 도구는 아마추어들이 대규모 자격 증명 도용을 수행할 수 있도록 해, 사이버 범죄에 진입하는 장벽을 크게 낮췄다.
• 피싱은 반항적인 청소년들이 사용하던 수단에서 개인, 기업, 정부를 대상으로 한 주요 위협으로 진화했다.
• AOHell의 성공과 보급은 인터넷 전반에 걸쳐 유사한 자동화된 피싱 시스템의 개발을 이끌었다.
• 1990년대 후반에 AOL에서 더 넓은 인터넷 네트워크로의 이동은 피싱이 글로벌 사이버 위협으로 확산되는 계기가 되었다.