공격자가 마이크로소프트 팀즈 내에서 헬프 데스크 직원을 사칭하고 있다

사이버보안 다이브가 인용한 연구진에 따르면, 금전적 이득을 노린 해킹 그룹이 마이크로소프트 팀즈를 악용하여 기업 네트워크에 침투하고 있다. 이 캠페인은 미국과 캐나다 전역의 수십 곳의 기업을 공격했으며, 가짜 IT 지원 담당자를 사칭해 직원들이 자신의 컴퓨터에 원격 접근 권한을 넘겨주도록 속였다. 일단 내부에 침투하면 공격자는 랜섬웨어를 배포해 파일을 암호화하고 금전을 요구한다.

연구진은 이 작전이 국가 차원의 스파이 활동과 연관된 유명 침해 사건과는 달리 순전히 금전적 목적으로 보인다고 말한다. 공격자들은 정보나 장기 감시 접근권을 노리는 것이 아니다. 그들은 대가를 원하며, 마이크로소프트 팀즈는 이를 얻기 위한 편리한 도구가 되었다.

사기 수법의 작동 방식

이 수법은 소프트웨어 취약점보다 사회공학적 기법에 의존한다. 공격자는 마이크로소프트 팀즈를 통해 직원에게 연락해 내부 IT 지원 담당자를 사칭한다. 팀즈는 대부분 조직에서 일상적으로 사용하는 신뢰받는 소통 도구이기 때문에, 직원들은 모르는 번호로 걸려온 전화나 원치 않는 이메일을 받았을 때보다 훨씬 더 방심하기 쉽다.

직원이 합법적인 IT 지원 직원과 대화하고 있다고 확신하면, 공격자는 보통 기술 문제를 해결해준다는 명목으로 컴퓨터에 대한 원격 접근 권한을 부여하도록 설득한다. 그런 다음 침입자는 네트워크 내에서 수평 이동하며 자격 증명을 수집하고, 궁극적으로는 공유 시스템과 서버 전체에 랜섬웨어를 배포할 수 있다.

이러한 접근 방식은 사이버 범죄의 광범위한 추세를 반영한다. 공격자는 점점 더 기술적 공격보다 사칭과 신뢰 악용을 선호하는데, 방화벽을 무너뜨리는 것보다 사람을 설득해 문을 열게 하는 편이 종종 더 쉽기 때문이다.

랜섬웨어 침해로 인한 개인정보 여파

랜섬웨어는 일반적으로 비즈니스 연속성 문제로 간주되지만, 암호화된 파일과 잠긴 시스템은 이야기의 일부일 뿐이다. 이런 캠페인에는 종종 암호화가 시작되기도 전에 데이터 유출이 수반되며, 이는 몸값 요구서가 나타날 때쯤이면 이미 직원 기록, 고객 정보, 내부 소통 자료 등이 공격자의 손에 들어갔을 수 있다는 뜻이다.

몸값을 지불하거나 시스템을 복구해도 그 데이터가 반드시 사라지는 것은 아니다. 데이터는 팔리거나 유출되거나 향후 갈취를 위해 보관될 수 있다. 그 결과는 침해된 기업을 훨씬 넘어선다. 자격 증명이 수집된 직원, 침해된 서버에 기록이 저장된 고객, 민감한 파일을 주고받은 파트너까지 모두 노출될 수 있다.

이런 캠페인 뒤에는 종종 눈감아 주는 호스팅 제공업체에 의존하는 인프라가 있다. 법 집행 기관은 다른 곳에서도 이 문제를 인지하고 있다. 네덜란드 당국은 최근 사이버 범죄 활동을 지원해 온 불릿프루프 호스팅 작전과 관련해 서버 800대를 압수하고 2명을 체포했는데, 이는 랜섬웨어 캠페인이 단독으로 작동하는 경우가 거의 없다는 점을 상기시킨다. 이들은 국경을 초월한 호스팅, 자금 세탁, 유통 서비스라는 더 넓은 생태계에 의존한다.

이것이 당신에게 의미하는 바

귀사가 마이크로소프트 팀즈를 사용하고 있다면, 대부분 그렇듯이, 이 캠페인은 내부 채팅 플랫폼도 이제는 이메일 수신함뿐만 아니라 유효한 공격 경로가 되었다는 직접적인 경고이다. IT 부서는 '지원' 담당자로부터 온 원치 않는 팀즈 메시지를 일반적으로 피싱 이메일에 준하는 의심 수준으로 다루어야 한다.

개별 직원에게 주는 교훈은 간단하다. 합법적인 IT 지원 부서가 이런 식으로 연락을 취하는 경우는 거의 없으며, 알려진 티켓 시스템이나 내부 채널을 통한 사전 확인 없이 그 자리에서 원격 접근 권한을 요구하는 경우는 거의 전무하다. 무언가 서두르거나 비정상적으로 급박하다고 느껴진다면, 바로 그 긴박함이 흔히 단서가 된다.

고객이나 직원 데이터를 다루는 기업에게 이 캠페인은 데이터 최소화와 네트워크 세분화가 왜 중요한지도 강조한다. 단일 접근 시스템에 존재하는 민감 정보의 양을 제한하면 공격자가 첫 번째 방어선을 뚫더라도 빼낼 수 있는 데이터가 줄어든다.

위험을 줄이기 위한 실질적인 조치

  • 기기에 원격 접근 권한을 부여하기 전에 공식 티켓팅 시스템이나 알려진 내부 전화선을 통해 IT 지원 연락처를 확인하세요.
  • 팀즈, 이메일, 원격 접근 도구 전반에 다중 인증을 활성화하여 하나의 자격 증명이 유출되더라도 수평 이동이 불가능하게 만드세요.
  • 이메일 피싱뿐만 아니라 팀즈 기반 사칭 수법에 대해서도 직원들을 구체적으로 교육하세요. 공격자들이 진입로를 분명히 다변화하고 있기 때문입니다.
  • 민감 데이터를 분리하고 관리자 권한을 제한하여 하나의 계정이 침해되더라도 전체 네트워크에 접근하지 못하게 하세요.
  • 오프라인 백업을 유지하고 테스트하여 랜섬웨어 요구가 무용지물이 되게 하세요.

이 마이크로소프트 팀즈 랜섬웨어 캠페인은 공격자가 이미 신뢰가 형성된 곳으로 간다는 점을 상기시킨다. 조직이 일상적인 운영을 위해 협업 플랫폼에 더 의존할수록, 이러한 도구들은 사칭의 매력적인 표적이 된다. 예상치 못한 '지원' 요청에 주의하고, 별도의 채널을 통해 신원을 확인하며, 보안 교육을 최신 상태로 유지하는 것은 한 발 앞서 나가기 위한 간단하지만 효과적인 방법이다.