루나 모스 갈취 그룹과 관련된 유출 문서를 통해 방어자들은 이 작전이 어떻게 조직되는지 보기 드문 기회를 얻고 있다. 인포시큐리티 매거진에 따르면, 이 자료는 사회공학 전문가와 보다 기술적인 공격자들이 협력하여 단일 표적을 조작하는 다각적 시도를 시사한다. 루나 모스 사회공학 플레이북을 이해하려는 사람에게 이 역할 분담은 핵심적인 세부 사항인데, 이는 설득력 있는 전화 한 통이 어떻게 훨씬 더 큰 침해로 이어질 수 있는지를 설명해 주기 때문이다.

루나 모스 사회공학 플레이북 유출이 드러내는 것

이 그룹은 사일런트 랜섬 그룹, 채티 스파이더, UNC3753으로도 알려져 있다. FBI와 IC3의 검색 결과에서 언급된 것을 포함한 공개 권고문은 이 그룹이 IT 담당자를 사칭하는 등의 사회공학 기법으로 법률 사무소를 표적으로 삼는다고 설명한다. 별도의 위협 연구는 데이터 갈취 캠페인의 일부로 콜백 피싱을 사용한다고 기술한다.

보도에 따르면, 새로운 유출 자료가 더하는 것은 내부에서 본 시각이다. 모든 일을 혼자 하는 단독 공격자가 아니라, 문서는 한 번에 한 피해자를 겨냥한 조직적 협력 노력을 가리킨다. vpn.social의 이전 보도에서는 루나 모스 파일이 법률 사무소 갈취 플레이북을 폭로한 방법과 별도의 유출로 드러난 혐의 결제 내역을 다루었다. 종합하면, 이러한 유출은 기회주의자들의 느슨한 집합체가 아닌 구조화된 사업체를 시사한다.

여기서는 주의할 필요가 있다. 원문 기사는 짧은 요약이며, 유출 문서 자체는 모두 독립적으로 검증되지 않은 주장이다. 그러나 문서가 설명하는 패턴은 공개 권고문이 이미 경고해 온 것과 일치한다.

콜센터 요원과 기술 침입자가 작업을 나누는 방식

보고된 구조에서 얻을 수 있는 실질적인 교훈은 공격이 릴레이 방식이라는 점이다. 한 집단은 인간적인 측면을 담당한다. 믿을 만한 구실을 만들고, 표적이 관여하도록 유도하며, 특정 행동을 하도록 설득하는 것이다. 다른 집단은 기술적인 측면을 담당한다. 그 대화가 만들어낸 접근 권한을 활용해 시스템을 이동하고 데이터를 탈취하는 것이다.

이 분업이 중요한 이유는 두 가지다.

첫째, 전화를 거는 사람은 기술적으로 정교할 필요가 없다. 그들의 임무는 설득이다. 표적이 자격 증명을 넘겨주거나, 프롬프트를 승인하거나, 문을 열어주기만 하면 기술 운영자가 나머지를 처리한다.

둘째, 기술 운영자는 소프트웨어 결함을 찾을 필요가 없다. 정당한 로그인이나 신뢰받는 원격 세션이 그들에게 넘겨지면, 그들의 작업 상당 부분은 정상적인 활동처럼 보인다. 이것이 이러한 유형의 공격을 경계 도구만으로 잡아내기 어려운 이유다.

그 결과는 법조계에서 가시화되었다. 앞서 다룬 보도에 따르면 존스 데이와 메이어 브라운은 민감한 파일이 도난당했음을 확인했으며, 최소 한 건의 경우 갈취 요구가 지불되지 않은 후 온라인에 공개되었다. 증가하는 법률 사무소 공격과 비싱 사기에 관한 관련 보도는 같은 주제를 보여준다. 진입점은 종종 악성코드가 아니라 사람이다.

행동하기 전에 피싱 및 비싱 구실을 식별하는 방법

첫 단계가 대화이기 때문에, 최선의 조기 방어는 도구가 아닌 습관이다. IT 지원을 사칭하는 구실은 몇 가지 공통된 특징을 보이는 경향이 있다.

  • 긴급성. 전화나 이메일은 무언가 고장 났거나, 만료되었거나, 침해되었으니 지금 당장 조치가 필요하다고 말한다.
  • 요청하지 않은 연락. 당신은 티켓을 열지 않았는데, 누군가 티켓을 돕고 있다고 주장한다.
  • 접근 요청. 코드를 읽어달라거나, 로그인 프롬프트를 승인하라거나, 소프트웨어를 설치하라거나, 원격 세션을 시작하라는 요청을 받는다.
  • 발신자가 제공한 콜백 번호. 콜백 피싱은 공격자가 통제하는 번호로 당신이 전화를 걸도록 의존한다.

대응은 순간적으로 어색하더라도 간단하다. 전화를 끊거나 답장을 멈춰라. 그런 다음 내부 디렉터리나 공식 회사 웹사이트 등 이미 진짜임을 알고 있는 번호나 채널을 사용해 IT 팀이나 공급업체에 연락하라. 메시지 자체의 연락처 정보를 사용하지 마라. 정당한 지원 직원은 검증받는 것을 개의치 않을 것이다.

소규모 조직은 사전에 규칙에 합의해야 한다. 인바운드 전화 때문에 로그인을 승인하거나 원격 접속 소프트웨어를 설치하라는 요청을 받는 사람은 결코 없어야 한다. 서면 규칙은 개별 직원의 부담을 덜어준다.

자격 증명이 도난당한 후 피해 제한하기

결국 누군가는 속을 것이라고 가정하라. 그때 목표는 도난당한 자격 증명을 덜 유용하게 만드는 것이다.

피싱 저항성 MFA를 사용하라. 문자 메시지나 앱 프롬프트로 전송되는 코드는 통화 중 피해자로부터 말로 빼낼 수 있다. 하드웨어 보안 키와 패스키는 진짜 사이트에서만 작동하도록 설계되어, 발신자가 요청할 수 있는 가장 흔한 것을 제거한다.

하나의 계정이 접근할 수 있는 범위를 제한하라. 단일 로그인으로 모든 파일 공유를 열 수 있다면, 전화 한 통으로 모든 것이 노출될 수 있다. 역할별로 접근을 분리하고 오래된 권한을 제거하라.

비정상적인 원격 도구와 대규모 전송을 주시하라. 새로운 원격 접속 소프트웨어나 정상 시간 외의 대량 데이터 이동은 검토를 촉발해야 한다.

대응 계획을 마련하라. 누구에게 연락할지, 계정을 얼마나 빨리 비활성화할지, 증거를 어떻게 보존할지 알아야 한다. 갈취 그룹은 혼란과 지연에 의존한다.

이것이 당신에게 의미하는 것

이런 스타일의 공격 표적이 되기 위해 법률 사무소일 필요는 없다. 같은 구실은 도난당할 가치가 있는 접근 권한을 가진 어떤 직원이나 개인에게도 통한다. 유출 자료는 가장 약한 지점이 종종 누군가가 목소리를 신뢰할지 결정하는 순간이라는 점을 강화한다. 민감한 고객 또는 소비자 데이터를 다루는 경우, 유출에서 설명된 구조가 우선순위를 형성해야 한다. 먼저 검증하고, 더 강력한 인증으로 계정을 보호하며, 단일 계정이 접근할 수 있는 범위를 줄여라.

실행 가능한 시사점

  • "IT 지원"으로부터의 예상치 못한 전화는 알려진 채널을 통해 확인할 때까지 미검증으로 취급하라.
  • 인바운드 발신자의 요청에 따라 코드를 읽어주거나, 프롬프트를 승인하거나, 원격 도구를 설치하지 마라.
  • 중요 계정을 보안 키나 패스키 같은 피싱 저항성 MFA로 전환하라.
  • 하나의 도난당한 로그인으로 모든 것이 노출되지 않도록 계정 권한을 축소하라.
  • 필요하기 전에 검증 규칙과 사고 연락처 목록을 문서화하라.

루나 모스 사회공학 플레이북이 통하는 이유는 설득력 있는 인간의 목소리와 인내심 있는 기술적 후속 조치를 결합하기 때문이다. 이번 주에 가짜 IT 지원 전화에 대한 자신의 노출을 검토하고, 가능한 곳에서는 피싱 저항성 MFA로 전환하며, 이러한 공격이 실제로 어떻게 전개되는지 보려면 루나 모스 유출과 비싱 기반 갈취에 관한 관련 보도를 읽어라.