정보 탈취 로그, 피싱을 제치고 침해 사고의 주요 원인으로 부상

정보 탈취 로그가 침해 사고의 판도를 바꾸고 있다

수년간 피싱 이메일과 소프트웨어 취약점 공격은 공격자가 기업 네트워크에 침입하는 주요 진입로였다. 이런 양상이 바뀌고 있다. 보안 연구자들은 이제 정보 탈취 악성코드와 그로 인해 생성된 자격 증명 로그가 기업 침해 사고와 랜섬웨어 공격의 주요 선행 지표로 자리 잡고 있다고 지적한다. 설득력 있는 피싱 미끼를 만들거나 패치되지 않은 취약점을 찾기보다, 범죄 조직은 정보 탈취 악성코드가 이미 감염된 기기에서 수집한 도난 로그인 자격 증명을 구매하거나 거래하는 방식을 점점 더 선호하고 있다.

이러한 변화가 중요한 이유는 실제 취약점이 존재하는 곳이 달라지기 때문이다. 더 이상 기업의 방화벽이나 이메일 필터가 악성 링크를 차단했는지 여부만의 문제가 아니다. 직원의 개인 노트북, 계약업체 직원의 가정용 컴퓨터, 혹은 공급망 어딘가에 있는 공유 기기가 몇 달 또는 몇 년 전이라도 자격 증명 탈취 악성코드에 감염된 적이 있는지가 문제다.

정보 탈취 로그가 클라우드 데이터 유출로 이어지는 방식

정보 탈취 악성코드는 감염된 기기에서 사용자 이름, 비밀번호, 브라우저 쿠키, 세션 토큰, 자동 완성 데이터를 조용히 빼내 공격자에게 전송하는 단일 목적의 악성코드다. 그 결과물은 사이버 범죄 암시장에서 흔히 ‘로그’라고 부르는 형태로 패키징되는데, 사실상 감염된 기기 하나에서 추출된 모든 자격 증명과 세션 아티팩트를 묶은 것이다.

이 로그는 대량 생산되는 특성상 범죄 시장에서 낮은 가격에 거래되고 판매된다. 조직에 특히 위험한 이유는 클라우드 서비스, VPN, 기업 포털 등에 대한 유효한 세션 쿠키와 인증 토큰을 자주 포함하고 있기 때문이다. 즉 공격자는 비밀번호를 추측하거나 누군가를 속여 입력하게 할 필요가 없다. 이미 인증된 세션을 재사용하면 로그인 화면을 비롯해 다중 인증마저 우회할 수 있는데, 악성코드가 세션을 탈취했을 당시에는 이미 인증이 완료된 상태였기 때문이다.

일단 내부에 침투하면, 단 한 개의 탈취된 로그가 더 큰 침해의 시발점이 될 수 있다. 클라우드 환경 내에서의 수평 이동, 공유 드라이브 및 내부 도구 접근, 결국에는 언론의 헤드라인을 장식하는 대규모 데이터 노출이나 랜섬웨어 배포로 이어지는 것이다. 악성코드 감염 자체는 회사 네트워크에 직접 연결된 적 없는 개인 기기에서 일어날 수 있기에, 보안팀이 이 공격 경로를 예측하기 어려운 이유 중 하나다.

기업들이 대응에 어려움을 겪는 이유

전통적인 보안 방어 체계는 주요 위험이 외부로부터의 침입 시도, 악성 첨부파일, 무차별 대입 로그인 시도, 패치되지 않은 소프트웨어 결함 등에서 발생한다는 가정 위에 구축되어 있다. 정보 탈취 악성코드를 통한 침해는 이 모든 것을 우회한다. 침해는 종종 기업 영역 밖에 있는, 보안팀이 전혀 가시성을 확보하지 못한 기기에서 시작되며, 결과로 얻은 자격 증명은 실제 침해를 수행하는 제2의 범죄 집단이 단순히 구매하거나 획득해 사용한다.

감염 및 로그 수확에 특화된 집단과 접근 권한을 현금화하는 데 특화된 집단으로의 이러한 분업은 사이버 범죄 경제를 더 효율적이고 교란시키기 어렵게 만들었다. 또한, 알려진 소프트웨어 취약점을 패치하는 일이 여전히 필수적이기는 하지만, 문제의 일부만 해결할 뿐임을 의미한다. FortiClient EMS 정보 탈취 캠페인에 대한 보도는 공격자들이 특정 기술적 취약점과 자격 증명 탈취 악성코드를 결합해 기업 관리 시스템 내부에 거점을 확보하는 방식을 보여주며, 정보 탈취 전술과 전통적 취약점 공격이 별개의 전략이 아니라 점점 더 함께 사용되고 있음을 보여준다.

이것이 여러분에게 의미하는 바

클라우드 서비스에 의존하는 회사에서 일한다면(현재 거의 모든 조직이 그렇듯), 개인 기기의 보안이 예상보다 훨씬 더 고용주의 위험과 긴밀히 연결되어 있다. 업무 이메일을 확인하거나 회사 포털에 로그인하는 데 사용하는 집 컴퓨터가 단 한 번 정보 탈취 악성코드에 감염되는 것만으로도, 훗날 훨씬 더 큰 침해 사고의 도화선이 될 자격 증명 로그가 생성될 수 있다.

개인 사용자에게는 익숙하지만 점점 더 시급한 몇 가지 습관을 다시금 강조한다. 기기를 최신 상태로 유지하고, 크랙 소프트웨어나 비공식 다운로드(일반적인 정보 탈취 악성코드 유포 경로)를 피하고, 브라우저에 저장된 비밀번호 대신 비밀번호 관리자를 사용하며, 제공되는 모든 곳에서 다중 인증을 활성화하는 것이다. 이 중 어느 것도 세션 토큰 탈취에 대한 완벽한 해결책은 아니지만, 공격자에게 필요한 비용과 어려움을 의미 있게 높여준다.