사일런트 랜섬 그룹(Silent Ransom Group)이라는 갈취 조직의 내부 채팅 유출로 방어자들은 IT 사칭 헬프데스크 사기가 배후에서 어떻게 조직되는지 보기 드문 기회를 얻었다. GuidePoint Security의 연구팀 GRIT의 분석에 따르면, 이 채팅들은 IT 사칭 전술, 대면 요원의 활용, 그리고 총 2억 695만 달러(206.95M)에 달하는 결제 장부를 드러낸다.
공개된 요약은 간략하므로, 이 글은 요약에서 언급된 내용에만 충실하고 독자들이 이를 어떻게 활용할 수 있는지에 초점을 맞춘다.
사일런트 랜섬 그룹 유출이 밝혀낸 것
이 유출은 공격자들 자신으로부터 나왔다는 점에서 주목할 만하다. 피해자 보고를 통해 캠페인을 재구성하는 대신, 연구자들은 그룹 자체의 대화에 접근할 수 있었다. 요약된 GRIT의 분석은 세 가지를 강조한다:
- IT 사칭 전술: 이 그룹은 기술 지원을 사칭하는 것을 중심으로 접근 방식을 구축한다.
- 대면 요원: 이 작전은 순전히 원격으로만 이루어지지 않는다.
- 2억 695만 달러의 결제 장부: 작전의 규모를 보여주는 결제 기록이다.
우리는 채팅이나 장부를 독립적으로 검증하지 않았으며, 요약에는 해당 수치가 어떻게 계산되었는지에 대한 설명이 없다. 이는 정확히 감사된 총액이 아니라, 이러한 유형의 공격이 얼마나 수익성이 높은 것으로 보이는지를 보여주는 신호로 읽는 것이 가장 적절하다.
헬프데스크 사칭이 작동하는 방식
모든 헬프데스크 사칭의 핵심 아이디어는 간단하다: 공격자는 직원들이 문제를 해결해 주는 사람으로 이미 신뢰하는 사람을 사칭한다. 우리 대부분은 IT에 협조하도록 길들여져 있다. 누군가가 지원팀에서 왔다며 잠시 시간을 내달라고 하면, 기본 반응은 도와주는 것이다.
바로 그 신뢰가 악용되는 약점이다. 공격자는 소프트웨어 결함을 찾는 대신 인간의 결정을 노린다: 요청을 승인하거나, 코드를 공유하거나, 누군가를 들여보내는 것이다. 이 공격은 설득에 의존하기 때문에 보안 도구가 잘 구성되어 있더라도 작동할 수 있다.
같은 패턴은 다른 최근 캠페인에서도 나타난다. 한 해킹 그룹이 마이크로소프트 팀즈(Microsoft Teams)를 악용해 기업 네트워크에 침입한 것으로 보고되었으며, 이는 마이크로소프트 팀즈의 가짜 IT 지원이 랜섬웨어 급증을 부추기다라는 글에서 다루었다. 2026년 초에 드러난 또 다른 작전은 암호화를 완전히 생략했으며, 이는 블랙파일 블랙파일 비싱 갈취와 멀웨어 없는 데이터 탈취에서 설명했다. 채널은 변하지만(채팅, 전화, 이메일), "우리는 IT이고 당신이 뭔가를 해주어야 합니다"라는 구실은 동일하게 유지된다.
대면 요원과 2억 695만 달러 장부가 중요한 이유
유출에서 두 가지 세부 사항이 눈에 띈다.
첫째, 대면 요원이다. 많은 보안 인식 교육은 사칭이 화면이나 전화선을 통해 이루어진다고 가정한다. 현장에 사람을 두는 작전은 발신자의 주장, 명찰, 또는 자신감 있는 태도가 신원 증명으로 취급되어서는 안 된다는 것을 시사한다. 검증은 이메일과 전화뿐만 아니라 모든 채널에 적용되어야 한다.
둘째, 장부다. 2억 695만 달러의 결제 기록은 신중하게 받아들인다 해도, 사회공학에 기반한 갈취가 기회주의적이지 않고 조직적이며 반복 가능할 수 있음을 시사한다. 이는 특히 소규모 조직에 중요하다. 범죄자들이 대기업만 노린다고 가정하기 쉽지만, 프로세스 중심의 조직은 전화를 받는 누구에게나 동일한 플레이북을 실행할 충분한 동기를 가지고 있다.
이는 또한 이러한 수법이 얼마나 오래 지속되어 왔는지를 보여준다. 스캐터드 스파이더가 오래된 사회공학 수법으로 새 피해자를 주장하다라는 보도에서도 비슷한 점을 지적했다: 검증된 설득 수법은 코드가 아닌 사람을 대상으로 하기 때문에 계속 효과가 있다.
이것이 당신에게 의미하는 것
개인이라면, 교훈은 요청하지 않은 그럴듯하게 들리는 "IT" 연락은 아무리 전문적으로 들리더라도 의심할 가치가 있다는 것이다. 소규모 사업체를 운영한다면 전담 보안팀이 없을 가능성이 높으며, 이는 어떤 도구보다 명확하고 간단한 프로세스가 더 가치 있게 만든다.
실질적인 목표는 누가 당신에게 연락하는지와 누구를 신뢰하는지를 분리하는 것이다. 발신자는 누구든 사칭할 수 있다. 직접 찾은 전화번호나 이미 사용 중인 티켓팅 시스템은 낯선 사람의 대본으로 위조할 수 없다.
예상치 못한 IT 지원 연락을 검증하는 방법
이 단계들은 연락이 전화, 채팅, 이메일, 또는 대면으로 오더라도 적용된다:
- 요청하지 않은 연락이면 멈추라. 티켓을 열지 않았거나 도움을 요청하지 않았다면, 해당 연락은 기본적으로 미검증으로 취급하라.
- 콜백 습관을 들이라. 전화를 끊거나 채팅을 종료한 후, 연락한 사람이 제공한 번호가 아닌 공식 회사 자료에서 이미 알고 있는 번호나 채널을 통해 IT에 연락하라.
- 요청에 따라 코드를 공유하거나 프롬프트를 승인하지 말라. 다중 인증 코드와 로그인 승인은 본인의 로그인을 위한 것이지, 도우미가 사용하기 위한 것이 아니다.
- 원격 접속 요청을 경계하라. 예상치 못한 연락에 기반하여 도구를 설치하거나 화면 제어를 허용하지 말라.
- 방문자를 검증하라. 누군가 IT라고 주장하며 나타나면, 기기나 방에 대한 접근을 허용하기 전에 실제 IT 제공업체나 관리자에게 확인하라.
- 사전에 프로세스를 합의하라. 소규모 팀은 정당한 IT 요청이 어떻게 이루어질지 미리 결정하여 직원들이 진짜 요청이 어떤 것인지 알 수 있도록 해야 한다.
- 신고하라. 의심스러운 시도에 대해 IT 담당자나 관리자에게 알려라, 속지 않았더라도 마찬가지다. 다른 사람이 다음 표적이 될 수 있다.
핵심 요점
유출된 사일런트 랜섬 그룹 채팅은 IT 사칭 헬프데스크 사기가 운영자들에게는 일회성 속임수가 아닌 비즈니스 프로세스임을 강조한다. 방어도 역시 프로세스다: 속도를 늦추고, 전화를 끊고, 신뢰하는 채널을 통해 다시 전화하라. 모든 요청하지 않은 IT 연락에 대해 콜백 검증을 습관으로 만들고, 팀이나 가족과 공유하라. 같은 전술의 더 많은 사례는 마이크로소프트 팀즈의 가짜 IT 지원과 비싱 기반 갈취 보도를 참고하라.
