거래 권한

마지막 업데이트: 2022년 6월 21일 | 0개 댓글
  • 네이버 블로그 공유하기
  • 네이버 밴드에 공유하기
  • 페이스북 공유하기
  • 트위터 공유하기
  • 카카오스토리 공유하기
ⓒ게티이미지뱅크

거래 권한

권한(權限, permission)은 사용자, 프로그램, 프로세스에 사용자 인증 절차를 통해 신원이 확인된 사용자에게 시스템이나 네트워크의 자원에 접근할 권리를 부여하는 것을 말한다. 시스템의 접근통제보다 우선한다.

개요 [ 편집 ]

권한은 권리와 유사하지만, 권리는 자신을 위하여 가지는 법률상의 이익인 점에 대하여 권한은 타인을 위하여 법률 효과를 발생시킬 수 있는 일정한 지위 또는 자격(資格, qualification)이라는 것과 다르다. 범위는 당사자의 의사와 법률관계의 명확성과 안정성을 도모하기 위하여 그 범위를 법률로써 정하고 있는 경우가 많다. 따라서 권한은 여러 분야에서 쓰는 용어이다. [1] 정보 보안 분야에서 권한은 데이터나 프로그램 등의 특정한 자원 또는 시분할 시스템 등의 시스템 서비스에 접근할 수 있는 권리가 주어지는 것을 말한다. [2] 예를 들어 데이터베이스에서는 보안을 유지하기 위해 계정이 발급된 사용자가 로그인에 성공했을 경우에만 데이터베이스에 접근이 가능하도록 하는 접근 제어(access control) 기능을 기본으로 제공하는 개념으로 쓰인다. [3] 또한 이 권한은 디스크 상의 파일들을 읽고, 쓰고, 지우고, 갱신하며, 수행시키는 것에 대하여 사용자에 따라서 나오는 특권을 의미한다. [4] 권한은 무분별한 권한 확대를 막기 위해 주어진다. 만약 사용자가 받지 않은 권한을 받게 되면 악의적으로 접근하는 사용자가 많아지고, 보안 영역이 취약해지는 결과가 오기 때문이다. [5]

권한 관리 기반 구조 [ 편집 ]

권한 관리 기반 구조(privilege management infrastructure , 權限管理基盤構造)는 기업 및 기관 단위에서 사용자들에게 특정 시스템 및 애플리케이션에 접근할 수 있는 권한을 차등 부여해 주는 권한 관리 체계를 뜻하며, 공개 키 기반 구조(PKI)의 사용자 신원 확인 중심의 보안 체계를 보완해 주고 인증 소유자의 특정 권한을 체계적으로 정립해 줌으로써 각 조직에서의 전산 시스템 거래 권한 확장에 따른 시스템 통합 요구에 효과적으로 PKI를 적용시킬 수 있도록 하는 것이다. [6]

부여 및 확대 [ 편집 ]

권한 확대(privilege escalation)는 보통 애플리케이션이나 사용자에 대해 보호되는 자원들에 대한 상승된 접근을 얻기 위해서 운영체제나 소프트웨어 애플리케이션에서 버그나 설계 결함, 또는 설정을 익스플로잇하는 행동을 말한다. 이것에 의한 결과는 애플리케이션이 개발자나 시스템 관리자가 의도한 것보다 높은 수준의 권한을 얻어서 비허가 행동을 할 수 있게 되는 것이다. [5] 추상 데이터형의 표현 변수에 대한 접근을 구현된 프로시저에게 허용된다. [7] 분산 권한 부여는 여러 관리자에게 권한 부여 기능이 분산되어 있는 것이다. [8] 그 중 권한 부여 행렬은 데이터 베이스의 보안을 유지하기 위해 시스템에 유지되는 테이블로서 각 사용자에 대해 이 사용자가 접근할 수 있는 객체와 이 객체에 대해 수행할 수 있는 연산 등을 나타내며 행렬의 각 행은 사용자를 나타내고, 내용은 허용되는 연산 권한을 나타낸다. [9] 권한 부여 규정은 데이터 베이스에 대한 사용자의 사용 가능 범위를 나타낸다. 또한 각 사용자가 접근할 수 있는 데이터 객체와 이에 대해 수행할 수 있는 연산의 종류를 명시한다. [10] 권한 부여 검사를 통해 사용자가 현재 요구하고 있는 트랜잭션에 대해 그 사용자가 요구할 자격을 검사할 수 있다. [11] 거래 권한

수직 권한 확대 [ 편집 ]

수직 권한 확대는 사용자나 프로세스가 시스템 개발자나 관리자가 의도한 것보다 높은 접근 수준을 가질 때 발생한다, 커널(Kernel) 수준 동작을 수행함으로써 가능해질 수 있다. 예를 들어 어떤 경우에 높은 권한의 애플리케이션은 인터페이스에 명시된 것과 일치하는 입력이 제공된다고 가정하면, 입력을 확인하지 않는다 이에 공격자는 이 가정을 익스플로잇하여 비인가된 코드를 애플리케이션의 권한으로 실행하는 것이다. [5]

수평 권한 확대 [ 편집 ]

수평 권한 확대는 애플리케이션이 공격자가 애플리케이션이나 사용자에게 보호되고 있는 자원에 접근할 수 있게 허락할 때 발생한다. 이것의 결과는 애플리케이션 개발자나 시스템 관리자가 의도한 것과 같은 역할을 가지지만 다른 보안 문맥을 수행하게 된다. 이것은 효과적으로 제한적인 권한 확대의 형태이다. [5]

권한 수준 [ 편집 ]

권한 수준(privilege level)은 프로세서에서 현재 돌아가고 있는 프로그램의 자원인 메모리 영역, 입출력 포트, 특별한 명령어 등에 대한 접근을 제어하는 것이며, 4가지 권한 수준이 존재하는 가운데 가장 높은 권한인 0부터 가장 낮은 권한인 3까지 있다. 운영체제는 커널을 위해 레벨 거래 권한 0을 사용하고 애플리케이션 프로그램을 위해 레벨 3을 사용한다. 레벨 n에서 사용할 수 있는 어느 자원도 레벨 n 이상부터 레벨 0까지에서도 사용할 수 있으며, 그래서 권한 수준들을 보호 링이라고 한다. 낮은 권한의 프로세스가 높은 권한의 프로세스에 접근하려고 할 때 일반 보호 장애(GPF : General Protection Fault)가 운영체제에 의해 발생하게 된다. [12]

권한 설정 [ 편집 ]

권한 설정(provisioning , 權限設定)은 이용자에게 계정, 계정 접근 권한, 계정 관련 권한, 계정 관리에 필요한 제반 자원을 제공하는 서비스 설정 과정이다. 이용자 측면에서 볼 때 하나의 서비스 형태로서, 통신 사업자가 이용자 회선을 적절한 네트워크에 연결하기 위해 프로그램에 의해 자동 설정하는 것과, 이용자가 웹 기반 인터페이스나 다른 클라이언트 인터페이스로부터 자기가 원하는 서비스를 설정하는 것들이 있다. [13]

활용 [ 편집 ]

운영체제 [ 편집 ]

윈도우 [ 편집 ]

NTFS에서 그룹 또는 개별 사용자에 대해 설정할 수 있는 권한은 6가지이다.

  • 모든 권한 : 디렉터리에 대한 접근 권한과 소유권을 변경이 가능하고, 하위에 있는 디렉터리와 파일을 삭제 가능한 것이다.
  • 수정 : 디렉터리를 삭제할 수 있고 읽기 및 실행과 쓰기 권한이 주어진 것과 같은 효과를 주는 것이다.
  • 읽기 및 실행 : 읽기를 수행할 수 있고 디렉터리나 파일을 옮길 수 있는 것이다.
  • 디렉터리 내용 보기 : 디렉터리 내의 파일과 디렉터리의 이름을 조회할 수 있는 것이다.
  • 읽기 : 디렉터리의 내용을 읽기만 가능한 것이다.
  • 쓰기 : 해당 디렉터리에 하위 디렉터리, 파일을 생성할 수 있고 소유권과 접근 권한의 설정 내용을 확인할 수 있는 것이다.
  • 접근 권한은 누적된다.
  • 파일에 대한 접근 권한이 디렉터리에 대한 접근 권한보다 우선적으로 한다.
  • '허용'보다 '거부'를 먼저 우선한다. [14]

유닉스 [ 편집 ]

유닉스에서는 파일, 디렉터리의 소유자, 그룹, 사용자에 대한 권한으로 구분해서 부여할 수 있다. 그리고 읽기(r: read), 쓰기(w: write), 실행(x: execute)과 같은 세 가지 권한을 부여하는 것이다. 권한은 숫자로 표기 가능하다. 다음의 식과 같이 네 부분으로 세분화할 수 있다.

  1. a. - 표시는 일반 파일, d 표시는 디렉터리, l 표시는 링크(Link)
  2. b. 파일 및 디렉터리 소유자의 권한을 나타낸다.
  3. c. 파일 및 디렉터리 그룹의 권한을 나타낸다.
  4. d. 해당 파일 및 디렉터리의 소유자도 그룹도 아닌 제 3의 사용자에 대한 권한을 나타낸다. [14]

응용 프로그램 [ 편집 ]

응용 프로그램의 경우 응용 프로그램 내의 권한도 중요하지만, 응용 프로그램 자체의 실행 권한이 더 중요하다. 모든 응용 프로그램은 운영체제에 존재하는 어떤 한 계정에 의해 실행되는데, 응용 프로그램은 자신을 실행한 계정의 권한을 물려받게 되므로 응용 프로그램이 보안상에 문제가 있는 취약한 프로그램일 때 해당 프로그램을 실행한 계정의 권한이 악용되는 문제가 발생할 수가 있다. 응용 프로그램에 보안상 취약점이 있을 경우 공격자는 이 취약점을 통해 해당 프로세스의 권한을 얻을 수 있기 때문이다. 예를 들어 아파치 웹서버(Apache Web Server) 서비스가 거래 권한 root 권한으로 실행되는 경우, 혹은 웹 취약점에 의해 공격자가 root의 권한을 획득하는 경우가 있다. 따라서 윈도우 IIS에서는 그 실행 프로세스 권한을 별도로 만들어 사용하도록 하며, 유닉스에서는 nobody와 같이 제한된 계정 권한을 사용하도록 하고 있는 것이다. [15]

사용자 인터페이스 권한 격리 [ 편집 ]

사용자 인터페이스 권한 격리(User Interface Privilege Isolation; UIPI)는 코드 주입 보안 결함에 대응하기 위해 거래 권한 윈도우 비스타(Windows Vista)에 도입된 기능이며 신뢰 등급(MIC: Mandatory Integrity Control)을 확인하여 상대적으로 낮은 신뢰 등급을 가진 프로세스가 높은 신뢰 등급을 가진 프로세스에 메시지를 보내는 것을 제한한다. 사용자 인터페이스 메시지 중 매우 한정된 것은 가능하다. 윈도 메시지는 사용자의 행동과 프로세스가 통신하기 위한 목적으로 설계되었다. 하지만 수신 프로세스가 자신의 임의의 코드를 수행함으로써 악의적으로 결함을 일으키는 데에 이용될 수 있으므로 만약 낮은 신뢰 등급을 가진 프로세스가 높은 신뢰 등급을 가진 프로세스의 코드를 실행할 수 있다면 이를 통해 허가받지 않은 등급 상승이 가능하여 보안 제한을 회피하는 공격을 할 수 있는 기능이 있다. 사용자 인터페이스 권한 격리는 결함을 유발하기 위한 특정 영역 접근에 제한을 둠으로써 그러한 종류의 보안 회피 공격을 줄일 수 있다. 사용자 인터페이스 권한 격리는 보안 경계가 아니며, 모든 종류의 보안 회피 공격을 방어하지 못한다. 사용자 인터페이스 접근성 응용 프로그램은 자신의 매니페스트 파일에 포함된 'uiAccess'의 값을 'TRUE'로 함으로써 사용자 인터페이스 권한 격리를 우회할 수 있다. 이를 위해서는 응용 프로그램이 'Program Files'나 'Windows 디렉터리'에 존재해야 하고, 또한 인증된 코드 사인 기관에서 발행한 사인이 되어 있어야 하지만, 이러한 요구 사항이 악성 코드가 관여하는 것을 필연적으로 방지하지는 못한다. 또한, WM_KEYDOWN과 같은 몇몇 메시지는 여전히 허용되는데, 이 메시지는 낮은 신뢰 등급 프로세스가 입력을 권한이 상승된 명령 프롬프트로 전달하는 데에 필요하다. 마지막으로 ChangeWindowMessageFilter 명령어를 통해 거래 권한 높은 신뢰 등급 프로세스가 상대적으로 낮은 신뢰 등급 프로세스가 생성한 메시지를 받을 수 있도록 중간 신뢰 등급 프로세스(인터넷 익스플로러 보호 모드를 제외한 모든 비상승 프로세스)의 메시지를 변환할 수 있다. 이로써 인터넷 익스플로러 또는 그 자식 프로세스가 아닌 한 UIPI를 효과적으로 우회할 수 있는 것이다. [16]

관련 용어 [ 편집 ]

  • 정보 권한 관리(Information Rights Management) : 정보 문서 또는 전자 메일 메시지에 액세스하고 이용할 수 있는 사람을 지정하고, 인증받지 않은 사용자가 이런 디지털 지적 자산을 인쇄, 전달, 복사하는 것을 차단하여, 디지털 지적 자산 이 무단으로 이용되지 않도록 관리해 주는 것이다. [17]
  • 데이터베이스 권한(database) : 사용자가 특정 테이블에 접근할 수 있도록 하거나 해당 테이블에 에스큐엘(SQL), 데이터 정의어(DDL), 데이터 조작어(DML),데이터 제어어(DCL)를 사용할 수 있도록 제한을 두는 것이다. [18]
  • 권한 관리 정보(Right Management Information) : 저작권 분야에 널리 사용되는 정보이며 저작물 식별을 위한 정보, 저작권자 등의 권리 관계자 또는 저작물 등의 이용 방법과 조건에 관한 정보 등의 권리관계를 표현한 메타데이터이다. [19]
  • 최소 권한 : 사용자 또는 프로세서는 특정 임무를 수행하는 데 필요한 최소한의 제한적인 권한만을 할당받아야 하고, 이들 권한은 특정 임무를 수행하는 동안에만 할당되어야 한다는 정보 보호 원칙을 따른다. 이러한 최소 권한 법칙은 시스템 공격이나 사고에 의한 시스템의 위협으로부터 피해를 감소할 수 있도록 하는 조치이다. [20]
  • 접근 권한(access right) : 특정 이용자, 프로그램, 프로세스 또는 컴퓨터 네트워크 안의 컴퓨터 시스템에만 허용된 접근할 수 있는 권한을 말한다. 즉, 어떤 데이터 또는 프로그램을 참조하고, 그것을 특정 형태로 이용하는 것을 이용자에게 인정한 권한이다. 접근 권한의 내용은 데이터 항목(파일이나 레코드), 특정란의 판독(read), 새로운 항목의 추가(append)나 현 항목의 변경(modify) 등에 의한 기록(write), 항목의 삭제(delete) 등의 조작을 총칭하는 개념이다. [21]
  • 접속 권한(access privileges) : 어느 사이트 또는 컴퓨터의 접근 및 접속에 대한 권한을 나타내는 용어이다. [22]
  • 데이터베이스 관리자 권한 : 권한을 가진 자가 다른 사용자에게 연산을 포함하여 특권에 속하는 데이터베이스 관리자(DBA) 권한 자체까지도 허가하는 시스템에서 어떤 유효한 연산도 수행할 수 있도록 허용하는 것이다. [23]
  • 권한 부여 그래프(authorization graph) : 한 사용자로부터 다른 사용자에게로 권한이 양도되는 것을 나타내는 그래프이다. 사용자를 노드(node)로 나타내며, 한 사용자 A가 다른 사용자 B에게 권한을 주었을 때 A에서 B로 연결선을 긋는 것을 나타낸다. [24]
  • 거래 권한 생성 언어(Transaction Authority Markup Language) : XML웹 서비스상에서 온라인 거래의 협력과 처리를 가능하게 하는 산업체 개방 표준. 비즈니스 레벨의 거래에 사용되는 메시지 형식과 거래 모델을 정의하며 다중 거래 참여가 가능하고, 웹 상에서 프로세스를 공유함으로써 상호 운용성을 발휘하여 새로운 영역의 비즈니스 접속을 가능하게 권한을 주도록 하는 언어이다. [25]

각주 [ 편집 ]

  1. ↑ 〈권한〉, 《네이버 지식백과》
  2. ↑ 〈권한 부여〉, 《네이버 지식백과》
  3. ↑ 〈권한 관리의 개념〉, 《네이버 지식백과》
  4. ↑ 〈Privilege〉, 《네이버 지식백과》
  5. ↑ 5.05.15.25.3 〈권한 확대〉, 《위키백과》
  6. ↑ 〈권한 관리 기반 구조〉, 《네이버 지식백과》
  7. ↑ 〈권한 확대〉, 《네이버 지식백과》
  8. ↑ 〈분산 권한 부여〉, 《네이버 지식백과》
  9. ↑ 〈권한 부여 행렬〉, 《네이버 지식백과》
  10. ↑ 〈권한 부여 규정〉, 《네이버 지식백과》
  11. ↑ 〈권한 부여 검사〉, 《네이버 지식백과》
  12. ↑ 〈권한 수준〉, 《위키백과》
  13. ↑ 〈권한 설정〉, 《네이버 지식백과》
  14. ↑ 14.014.1 〈운영체제의 권한 관리〉, 《네이버 지식백과》
  15. ↑ 〈응용 프로그램의 권한 관리〉, 《네이버 지식백과》
  16. ↑ 〈사용자 인터페이스 권한 격리〉, 《위키백과》
  17. ↑ 〈정보 권한 관리〉, 《네이버 지식백과》
  18. ↑ 〈데이터베이스의 권한 관리〉, 《네이버 지식백과》
  19. ↑ 〈권한관리정보〉, 《네이버 지식백과》
  20. ↑ 〈최소 권한〉, 《네이버 지식백과》
  21. ↑ 〈접근 권한〉,《네이버 지식백과》
  22. ↑ 〈접속 권한〉,《네이버 지식백과》
  23. ↑ 〈DBA 권한〉, 《네이버 지식백과》
  24. ↑ 〈권한 부여 그래프〉, 《네이버 지식백과》
  25. ↑ 〈거래 권한 생성 언어〉, 《네이버 지식백과》

참고자료 [ 편집 ]

  • 〈권한〉, 《네이버 지식백과》
  • 〈권한 부여 규정〉, 《네이버 지식백과》
  • 〈권한 부여〉, 《네이버 지식백과》
  • 〈분산 권한 부여〉, 《네이버 지식백과》
  • 〈권한 부여 행렬〉, 《네이버 지식백과》
  • 〈권한 부여 검사〉, 《네이버 지식백과》
  • 〈권한 확대〉, 《네이버 지식백과》
  • 〈권한 관리의 개념〉, 《네이버 지식백과》
  • 〈데이터베이스의 권한 관리〉, 《네이버 지식백과》
  • 〈접근 권한〉, 《네이버 지식백과》
  • 〈접속 권한〉, 《네이버 지식백과》
  • 〈DBA 권한〉, 《네이버 지식백과》
  • 〈권한 부여 그래프〉, 《네이버 지식백과》
  • 〈권한 수준〉, 《위키백과》
  • 〈응용 프로그램의 권한 관리〉, 《네이버 지식백과》
  • 〈거래 권한 생성 언어〉, 《네이버 지식백과》
  • 〈권한 관리 기반 구조〉, 《네이버 지식백과》
  • 〈정보 권한 관리〉, 《네이버 지식백과》
  • 〈Privilege〉, 《네이버 지식백과》
  • 〈권한 설정〉, 《네이버 지식백과》
  • 〈최소 권한〉, 《네이버 지식백과》
  • 〈운영체제의 권한 관리〉, 《네이버 지식백과》
  • 〈사용자 인터페이스 권한 격리〉, 《위키백과》
  • 〈권한관리정보〉, 《네이버 지식백과》
  • 〈권한 확대〉, 《위키백과》

같이 보기 [ 편집 ]

이 권한 문서는 보안에 관한 글로서 검토가 필요합니다. 위키 문서는 누구든지 자유롭게 편집할 수 있습니다. [편집]을 눌러 문서 내용을 검토·수정해 주세요.

거래 권한

이 지침은 금융회사가 비대면 방식으로 수시입출금 계좌, 예·적금 계좌, CMA계좌, 증권계좌, 파생상품계좌, 수익증권계좌 등 금융거래 계좌의 개설 등을 함에 있어 상대방의 권한 확인이 필요한 경우에 적용한다.

제4조(법인의 대표자와의 거래)
1. (법인의 실명확인증표) 「국세청민원사무처리규정」이 정한 사업자등록증명 및 「상업등기규칙」에 따라 발급된 등기사항전부증명서
2. (대표자의 실명확인증표) 주민등록증, 운전면허증, 여권, 외국인등록증 등 중 하나
제5조(법인의 대리인과의 거래)
1. (법인의 실명확인증표) 「국세청민원사무처리규정」이 정한 사업자등록증명 및 「상업등기규칙」에 따라 발급된 등기사항전부증명서
2. (대리인의 실명확인증표) 주민등록증, 운전면허증, 여권, 외국인등록증 등 중 하나
3. (대리관계 확인서류) 위임장, 본인의 인감증명서·본인서명사실확인서·기타 이에 준하여 위임장의 진정 성립을 확인할 수 있는 증표·서류 등
제6조(권한확인을 위한 증표·서류 등 징구)
제7조(추가 조치)

금융회사는 제4조 및 제5조에 따른 권한확인을 마친 경우에도 금융사고 예방을 위해 다음 각 호의 조치를 취할 수 있으며, 필요시 이 지침에서 정하지 않은 추가 조치를 취하는 것도 가능하다.

거래 권한

잠깐! 현재 Internet Explorer 8이하 버전을 이용중이십니다. 최신 브라우저(Browser) 사용을 권장드립니다!

  • 기사공유하기
  • 프린트
  • 메일보내기
  • 글씨키우기
    • 가나다라마바사
    • 가나다라마바사
    • 가나다라마바사
    • 가나다라마바사
    • 가나다라마바사
    • 가나다라마바사
    • 이주영
    • 승인 2022.05.10 12:27
    • 댓글 0
    • 기사공유하기
    • 프린트
    • 메일보내기
    • 글씨키우기
        거래 권한
      • 가나다라마바사
      • 가나다라마바사
      • 가나다라마바사
      • 가나다라마바사
      • 가나다라마바사
      • 가나다라마바사

      ⓒ게티이미지뱅크

      ⓒ게티이미지뱅크

      Q. 게임 앱을 실행할 시 금융거래 앱 접근권한이 필요하다고 하는데 반드시 동의해야 하나요?

      A. 아니요, 게임 앱을 이용하는데 반드시 접근권한이 필요한 정보 및 기능이 아닌 경우에는 동의하지 않아도 됩니다.

      정보통신서비스 제공자는 해당 서비스를 제공하기 위해 이용자의 이동통신단말장치 내에 저장되어 있는 정보 및 기능에 대해 접근권한이 필요한 경우 다음의 사항을 이용자가 명확하게 인지할 수 있도록 알리고 이용자의 동의를 받아야 합니다.

      - 접근권한이 필요한 정보 및 기능의 항목
      - 접근권한이 필요한 이유
      - 접근권한 허용에 대해 동의하지 않을 수 있다는 사실
      (※ 서비스를 제공하기 위해 반드시 필요한 접근권한이 아닌 경우에만 해당)

      정보통신서비스 제공자는 해당 서비스를 제공하기 위해 반드시 필요하지 않은 접근권한을 설정하는데 이용자가 동의하지 않았다는 이유로 이용자에게 해당 서비스의 제공을 거부해서는 안 됩니다.

      미 재무부 “모든 권한 동원해 북한 사이버 공격 막을 것…북한과 거래하면 2차 제재 부과”

      미국 워싱턴의 재무부 건물.

      재무부 대변인실 관계자는 15일 북한의 해킹조직인 라자루스가 사이버 범죄를 이용해 거액을 탈취한 사건이 최근 발생한 것과 관련한 VOA의 질문에 “미국은 북한이 대량살상무기와 탄도미사일 프로그램을 위한 수익 창출을 목적으로 미국과 유엔의 강력한 제재를 회피하려고 시도하면서 사이버 범죄를 포함한 불법 활동에 점점 더 의존하고 있다는 사실을 알고 있다”고 밝혔습니다.

      [대변인실 관계자] “The United States is aware that the DPRK has increasingly relied on illicit activities – including cybercrime – to generate revenue for its weapons of mass destruction and ballistic missile programs as it tries to evade robust U.S. and UN sanctions. As part of the USG’s effort to pursue this activity aggressively, the US Treasury is updating the SDN list entry for Lazarus Group today to include a virtual currency wallet address associated with a recent theft of approximately $620 million in virtual currency at first reporting of the theft—one of the largest such thefts ever.”

      이어 “이러한 활동을 공격적으로 추적하려는 미국 정부 노력의 일환으로 재무부는 (라자루스 소유의) 가상화폐 지갑의 주소를 추가하기 위해 라자루스 그룹의 특별지정제재대상(SDN) 목록을 갱신하고 있다”고 말했습니다.

      그러면서 해당 가상화폐 지갑의 주소는 약 6억2천만 달러의 가상화폐에 대한 최근 도난과 연관된 것으로 “이는 역대 최대 규모”라고 덧붙였습니다.

      대변인실 관계자는 “재무부는 라자루스, ‘APT 38’을 통한 북한의 위협을 계속 조사 중인 미국 연방수사국(FBI)과 협력했다”면서 “조사를 통해 FBI는 해커가 통제하는 이더리움의 해당 가상화폐 지갑을 찾을 수 있었다”고 설명했습니다.

      [대변인실 관계자] “Treasury has worked in coordination with the FBI, who continues to investigate the threat DPRK poses through Lazarus Group and Advance Persistent Threat 38 (APT 38). Through its investigation, the FBI was able to find the hacker-controlled Ethereum wallet listed today.”

      미국 수도 워싱턴의 연방수사국(FBI) 본부.

      미 FBI, 6억 달러 암호화폐 해킹에 북한 ‘라자루스’ 지목

      이어 해당 가상화폐 지갑의 소유주를 밝혀낸 건 “다른 가상화폐 관련 행위자들에게 이 계좌와의 거래가 미국의 제재에 노출될 위험이 있다는 점을 분명히 할 것”이라며 “이는 가용한 모든 권한을 동원해 악의적 사이버 행위자를 거래 권한 막고 부정한 범죄 수익을 차단하겠다는 재무부의 의지를 보여준다”고 강조했습니다.

      [재무부 관계자] “Identification of the wallet will make clear to other VC actors, that by transacting with it, they risk exposure to US sanctions. This demonstrates Treasury’s commitment to use all available authorities to disrupt malicious cyber actors and block ill-gotten criminal proceeds. There may be mandatory secondary 거래 권한 sanctions requirements on persons who knowingly, directly or indirectly, engage in money laundering, the counterfeiting of goods or currency, bulk cash smuggling, or narcotics trafficking that supports the Government of North Korea or any senior official or person acting for or on behalf of that Government.”

      아울러 “북한 정부나 고위 관리, 북한 정부 대리인을 지원하는 돈세탁, 상품이나 화폐 위조, 대량 현금의 밀반입, 혹은 마약 거래에 고의로 또는 직간접적으로 연루된 자에게는 2차 제재가 필수 요건이 될 것”이라고 경고했습니다.

      이어 “사이버 범죄자들은 착복 자금을 세탁해야 하는 만큼 ‘자금세탁·테러자금조달방지’ 체제는 이런 범죄 활동에 대응하고 이를 저지하는 데 있어 중요한 관문”이라면서 “제재 대상 개인과 다른 불법 행위자들이 미국의 외교 정책과 국가안보 이익을 훼손하려고 가상화폐를 악용하는 것을 막기 위해 가상화폐 업계는 적절한 ‘자금세탁·테러자금조달방지’와 제재 통제를 이행하는 데 중요한 역할을 한다”고 설명했습니다.

      [대변인실 관계자] “Because cybercriminals must launder these misappropriated funds, AML/CFT regimes are a critical chokepoint in countering and deterring this criminal activity. Those in the virtual currency industry play a critical role in implementing appropriate AML/CFT and sanctions controls to prevent sanctioned persons and other illicit actors from exploiting virtual currencies to undermine U.S foreign policy and national security interests. The USG will continue to take disruptive action against entities facilitating the movement of the 거래 권한 stolen virtual currency. We call on the crypto community to lock its digital doors and will look to publish crypto cybersecurity guidelines to aid in that effort.”

      이 관계자는 “미국 정부는 도난당한 가상화폐의 이동을 촉진하는 주체에 대한 와해 조치를 계속 취할 것”이라며 “우리는 가상화폐 업계가 ‘디지털 문’을 잠글 것을 촉구한다”고 말했습니다.

      그러면서 “우리는 그런 노력을 돕기 위해 가상화폐와 관련한 사이버 보안 지침 발행을 검토할 것”이라고 덧붙였습니다.

      앞서 재무부 해외자산통제실(OFAC)은 14일 미국의 특별지정 제재 대상인 라자루스의 정보 페이지에 가상화폐 이더리움용 계좌 주소를 추가한 바 있습니다.

      지난해 미 재무부 등 관계 부처가 공동 발표한 북한 사이버 주의보에서 북한이 전년도에 가상화폐 해킹 공격 대상으로 삼은 국가가 30개 이상이라고 밝혔다. (자료 이미지)

      미 재무부, 북한 해킹그룹 '라자루스' 가상화폐 계좌 정보 공개

      미국 언론은 블록체인 비디오 게임인 ‘액시 인피니티’가 6억 달러가 넘는 가상화폐에 대한 해킹 피해를 입었으며, 배후에 라자루스가 있었다고 보도하기도 했습니다.


0 개 댓글

답장을 남겨주세요