구글의 신규 보고서에 따르면, 사모펀드 운용사가 음성 피싱으로 회사 직원을 속여 랜섬을 요구하는 해커들의 최신 표적이 되었습니다.
보고서는 표적이 된 운용사들의 이름을 공개하지 않았습니다. 로이터는 구글이 공개한 72개 웹주소를 도메인트룰즈(DomainTools) 및 urlscan과 같은 도구에 입력하여 각 운용사에 매칭되는 서브도메인을 찾아냈습니다.
후원
후원
비싱 캠페인 내부
구글 위협 인텔리전스 그룹(GTIG)은 최신 보고서에서 UNC6671로 알려진 해킹 그룹을 지속적으로 추적 중이라고 밝혔습니다. 이들은 음성 피싱(비싱)을 활용하며, IT 헬프데스크 직원으로 가장해 긴급 보안 업데이트를 권고합니다.
이들은 종종 직원의 개인 휴대전화로 연락합니다. 전화에서는 피해자를 위조된 로그인 포털로 유도합니다.
그곳에서 공격자-중간자(AiTM) 시스템이 인증정보와 다중 인증(MFA) 토큰을 가로챕니다. 내부에 진입한 해커들은 마이크로소프트 365, 옥타와 같은 클라우드 서비스에서 데이터를 자동스크립트로 추출합니다.
“이러한 공격들은 맞춤형 IT 헬프데스크 음성 피싱(비싱), AiTM 인증정보 탈취 패널, 그리고 SaaS 애플리케이션에서의 데이터 절도를 모두 일관되게 활용합니다.” – 보고서.
X에서 최신 소식을 가장 빠르게 만나보십시오
후원
후원
고가치 표적으로의 이동
피해자 선정 경향은 여름 동안 변했습니다. 6월까지는 이 그룹이 기술, 운송, 숙박 부문의 이름을 표적으로 삼아 영업비밀, 코드, 고객 데이터를 노렸습니다.
그 다음 달에는 금융과 법률 분야로 방향을 틀었습니다. 구글은 이 그룹의 공격 인프라가 사모펀드 운용사, 로펌, 신용평가기관을 겨냥했다는 점을 확인했습니다.
로이터에 따르면, 해커들은 여러 운용사 직원의 비밀번호를 탈취하기 위해 가짜 사이트를 만들었습니다. 로이터는 블랙스톤, 브릿지워터 어소시에이츠, 아폴로 글로벌 매니지먼트, 베인 캐피털, KKR, TPG, CME 그룹, 클리어레이크 캐피털, 무디스 등 다수의 기업을 해당 명단에 올렸습니다.
구글은 일부 운용사가 금액을 지불했다고 밝혔으나, 구체적으로 어떤 기업인지 언급하지 않았습니다. 로이터도 실제 침해된 표적을 특정하지 못했습니다.
이번 캠페인은 고전적 수법이 여전히 첨단 보안 시스템보다 효과적임을 보여줍니다. 기업들은 보안 소프트웨어에 많은 비용을 쓰지만, 한 통의 전화 한 번이 모든 방어책을 무력화할 수 있습니다.