구글 클라우드 자료
새로운 금전 목적 해킹 그룹 ‘블랙파일(BlackFile)’이 올해 초부터 유통·호텔·숙박 업계를 중심으로 데이터 탈취와 갈취 공격을 벌인 정황이 확인됐다.
이 조직은 기업의 IT 지원 직원을 사칭해 임직원에게 전화를 걸고, 가짜 로그인 페이지로 유도해 계정 정보와 일회용 인증번호를 훔치는 방식으로 내부 시스템에 침투했다. 블랙파일은 보안기업에서 CL-CRI-1116, UNC6671, 코디얼 스파이더(Cordial Spider) 등으로도 추적되고 있다.
공격은 복잡한 악성코드보다 사회공학 기법에 가까웠다. 공격자는 위조된 인터넷전화(VoIP) 번호나 허위 발신자 이름을 사용해 직원에게 전화를 걸었다.
이후 “다단계 인증 설정을 갱신해야 한다”거나 “회사 로그인 절차 확인이 필요하다”는 식으로 속여, 실제 기업 로그인 화면처럼 꾸민 피싱 사이트에 접속하게 했다. 피해자가 싱글사인온(SSO) 계정과 일회용 인증번호를 입력하면 공격자는 이를 이용해 정상 사용자처럼 기업 시스템에 접속했다.
침투 이후에는 공격자 소유 기기를 다단계 인증(MFA) 장치로 등록해 추가 접속 통로를 만들었다. 일반 직원 계정으로 들어간 뒤 내부 직원 명부를 훑어 임원과 관리자 계정을 파악했고, 다시 사회공학 공격을 이어가 권한이 높은 계정까지 노렸다. 이렇게 확보한 접근 권한은 정상적인 임직원 접속처럼 보이기 때문에 단순한 사용자 에이전트나 접속 위치 기반 탐지만으로는 식별이 어려웠다.
블랙파일은 침투한 뒤 세일즈포스, 쉐어포인트 등 기업의 클라우드 업무 시스템에서 데이터를 찾았다. 특히 ‘기밀’, ‘SSN’, ‘내부’, ‘제안서’, ‘가상사설망’ 등 민감한 자료와 관련된 단어를 검색해 문서와 보고서를 선별한 것으로 파악됐다. 또 마이크로소프트 그래프 API 권한과 쉐어포인트 다운로드 기능, 세일즈포스 내부 검색 기능 등 정상 기능을 악용해 데이터를 외부 서버로 옮겼다.
탈취 대상에는 직원 전화번호가 담긴 CSV 파일, 내부 사업 보고서, 고객·임직원 개인정보가 포함될 수 있었다. 공격자는 훔친 자료를 자신들이 운영하는 다크웹 유출 사이트에 일부 공개한 뒤 피해 기업에 연락해 금전을 요구했다.
협박 연락은 탈취한 임직원 이메일 계정이나 무작위로 만든 지메일 계정을 통해 이뤄진 것으로 전해졌다. 일부 사건에서는 피해 기업 임직원과 고위 임원을 상대로 허위 긴급 신고를 하는 이른바 ‘스와팅(swatting)’ 시도까지 확인됐다. 이는 피해자를 압박해 협상에 응하게 만들려는 수법으로 해석된다.
이번 공격은 지난해부터 이어진 세일즈포스와 서비스형 소프트웨어 대상 데이터 탈취와 연결돼 있다. 보안 기업들은 샤이니헌터스(ShinyHunters) 계열 또는 유사 전술을 쓰는 여러 위협 클러스터가 음성 피싱과 가짜 로그인 사이트를 결합해 기업 계정과 MFA 코드를 빼내고, 이후 클라우드 업무 시스템에서 데이터를 유출하는 사례가 늘고 있다고 분석했다.
이 활동은 특정 벤더 제품의 보안 취약점 때문이라기보다, 사람을 속여 정상 인증 절차를 통과하게 만드는 방식에 가깝다.
블랙파일은 악성코드를 심거나 고도화된 해킹 도구를 먼저 쓰는 방식이 아니라, 기업 내부의 정상 기능을 악용했다는 점에서 탐지가 더 어렵다.
기업이 가장 먼저 점검해야 할 부분은 전화 기반 인증 절차다. IT 헬프데스크나 보안팀을 사칭한 전화 요청에 대해 직원이 즉시 비밀번호, MFA 코드, 인증 링크를 제공하지 않도록 절차를 명확히 해야 한다. 전화를 건 사람이 내부 직원이라고 주장하더라도 별도 확인 채널을 통해 신원을 검증해야 한다. 특히 콜센터, 매장, 프런트데스크, 고객지원 부서처럼 외부 전화를 많이 받는 조직은 실제 상황을 가정한 사회공학 훈련이 필요하다.
댓글
0