메이어 브라운, 루나 모스 사칭 사기로 데이터 유출

메이어 브라운 데이터 유출 사건에서 일어난 일

법무법인 메이어 브라운은 내부 문서가 갈취 그룹 루나 모스가 운영하는 유출 사이트에 게시되었다고 확인했지만, 자사 시스템은 실제로 침해된 적이 없다고 밝혔습니다. 메이어 브라운에 따르면, 직원 한 명이 자신의 신원을 속인 제3자에게 실수로 문서를 보냈다는 것입니다. 다시 말해, 이번 사건은 소프트웨어 취약점을 악용하거나 자격 증명을 탈취하는 전통적인 해킹이 아니었습니다. 신뢰할 수 있는 대상으로 위장한 표적형 기만 공격이 직원으로 하여금 민감한 파일을 자발적으로 건네도록 만든 것입니다.

루나 모스는 그렇게 입수한 문서를 자신들의 갈취 유출 사이트에 게시했는데, 이는 이 그룹이 탈취한 데이터를 공개하겠다고 압박하며 피해자로부터 돈을 뜯어내기 위해 흔히 사용하는 전술입니다. 메이어 브라운이 자사 시스템에는 접근이 없었다고 밝힌 점은 중요합니다. 이는 일반적으로 훨씬 대규모의 기술적 대응을 촉발하는 네트워크 침입과, 기술적 결함이 아닌 인간의 신뢰를 악용한 표적형 사회공학적 사건을 명확히 구분 짓기 때문입니다.

루나 모스의 사칭 전술이 기술적 방어를 우회한 방법

사일런트 랜섬 그룹(Silent Ransom Group), 채티 스파이더(Chatty Spider), UNC3753 등의 이름으로도 추적되는 루나 모스는 특히 로펌을 노리는 것으로 악명이 높습니다. 법률 문서는 본질적으로 민감하고 기밀성이 높으며 갈취에 유리한 지렛대가 되기 때문입니다. 이 그룹은 네트워크에 침투하기 위해 멀웨어나 랜섬웨어를 배포하는 대신, 신뢰할 수 있는 공급업체나 IT 지원 담당자 등 정당한 상대방을 사칭해 직원이 자발적으로 파일을 전송하거나 접근 권한을 부여하도록 유도하는 방식에 점점 더 의존하고 있습니다.

이러한 접근법이 효과적인 이유는 조직이 가장 많은 비용을 투자하는 방어 체계를 정확히 비껴가기 때문입니다. 방화벽, 엔드포인트 탐지, 네트워크 모니터링 도구는 무단 접근 시도를 포착하도록 설계되어 있습니다. 정당한 직원이 선의로 행동하며 권한이 있다고 믿는 상대에게 문서를 전송할 때는 이러한 도구의 효용이 훨씬 떨어집니다. 메이어 브라운 사건은 바로 이 패턴에 들어맞습니다. 루나 모스가 경계를 뚫을 필요가 없었던 이유는, 애초에 경계 자체가 공격 대상이 아니었기 때문입니다. 직원이 표적이었습니다.

사회공학적 공격이 여전히 가장 취약한 고리인 이유

탄탄한 보안 프로그램을 갖춘 자원이 풍부한 조직조차도 이러한 유형의 공격에 취약한 까닭은, 공격이 인프라가 아닌 판단력을 겨냥하기 때문입니다. 암호화, 접근 제어, 침입 탐지에 막대한 투자를 했더라도, 누군가가 알려진 연락처나 고객, 내부 동료를 설득력 있게 사칭한다면 여전히 위험에 노출될 수 있습니다. 이는 기술의 실패라기보다는, 집요한 공격자가 항상 저항이 가장 적은 경로를 찾으며, 그 경로가 점점 코드가 아닌 사람을 향하고 있다는 사실을 보여줍니다.

루나 모스가 로펌을 상대로 벌이는 광범위한 캠페인은 이러한 현실을 강조합니다. 이런 그룹은 운영 규모를 바탕으로 번성하며, 이들을 지속 가능하게 만드는 요인 중 하나는 유출 사이트와 갈취 작전을 계속 가동시키는 호스팅 서비스를 비롯한 배후 인프라입니다. 법 집행 기관 역시 이 인프라 계층에 주목하고 있습니다. 네덜란드 당국의 방탄 호스팅 운영과 관련된 800대 서버 압수 사례는 갈취 그룹을 보호하는 호스팅 제공업체를 무력화하는 일이 개별 직원의 인식 제고 못지않게 중요할 수 있음을 보여줍니다. 메이어 브라운과 같은 사건이 줄어들려면 기술적 집행과 인간의 경계라는 두 전선 모두에 주의를 기울여야 합니다.

이것이 여러분께 의미하는 바

로펌, 금융 서비스 회사 또는 민감한 고객 문서를 취급하는 모든 조직에서 일하고 있다면, 이번 사건은 가장 큰 위험이 정교한 해킹 도구가 아닐 수 있음을 상기시킵니다. 겉보기에 정당해 보이는 잘 짜인 이메일이나 전화 한 통이 진짜 위협일 수 있습니다. 특정 직원, 협력업체와의 관계, 진행 중인 소송을 사전에 조사한 공격자는 주의 깊은 직원조차 속일 만큼 설득력 있게 사칭을 맞춤 구성할 수 있습니다.

정보가 로펌이나 전문 서비스 제공업체를 통해 오가는 고객과 개인이라면, "유출"이라는 말이 곧 회사 서버가 침해되었다는 의미는 아니라는 점을 이해할 필요가 있습니다. 때로는 한 건의 표적화된 기만이 성공했다는 의미일 뿐입니다. 이러한 구분은 조직의 대응 방식과, "시스템은 안전하다"는 일반적인 안심 문구에 대중이 어느 정도 신뢰를 둬야 하는지에 있어서도 중요한 차이를 만듭니다.

실천 가능한 교훈

• 민감한 문서를 보내기 전에 반드시 제2의 채널을 통해 신원을 확인하십시오. 특히 요청이 긴박하거나 이례적으로 느껴질 때 더욱 그러합니다.
• 직원들에게 명백한 위험 신호가 있는 피싱 이메일뿐 아니라 사칭 전술 자체를 구체적으로 인지하도록 교육하십시오.
• 문서 전송을 동반하는 공급업체, IT, 고객 요청을 확인하기 위한 명확한 내부 절차를 수립하십시오.
• 네트워크 침해가 없는 데이터 유출도 실질적인 결과를 초래하며, 진지한 대응이 필요함을 이해하십시오.

메이어 브라운 사건은 루나 모스의 사회공학적 데이터 유출 전술이 방화벽을 뚫지 않고도 성공할 수 있으며, 단 한 사람이 설득력 있는 거짓말에 넘어가는 것으로 충분하다는 점을 보여줍니다. 로펌 및 기타 고가치 표적들이 이러한 압박에 계속 직면하는 지금, 인간의 간극을 좁히는 일은 네트워크 보완만큼이나 시급합니다.