러시아 지원 위협 행위자가 전 세계 정부 기관과 기업들이 사용하는 이메일 및 협업 플랫폼인 Zimbra의 이전에 알려지지 않은 취약점을 악용하여 서방 조직들의 수개월 분량 이메일과 기타 민감 정보를 조용히 빼돌린 사실이 적발되었다. Cybersecurity Dive가 상세히 보도한 이번 캠페인은 피싱과 제로데이 취약점(공격자들이 사용하기 시작할 당시 Zimbra에 알려지지 않아 패치되지 않은 취약점)을 결합해 이루어졌다.

전체 피해 규모는 공개되지 않았지만, 이번 캠페인은 국가 지원 행위자들이 단순히 격리된 엔드포인트나 네트워크가 아닌 조직들이 매일 의존하는 이메일 인프라를 점점 더 표적으로 삼고 있다는 지속적이고 커져가는 위험을 분명히 보여준다. 공격자가 이메일 서버에 접근하면 메시지를 읽는 데 그치지 않는다. 내부 커뮤니케이션, 자격 증명, 첨부 파일, 그리고 향후 공격에 악용될 수 있는 관계망을 들여다볼 수 있는 창을 얻게 된다.

이번 Zimbra 공격에서 발생한 일

보도에 따르면, 위협 행위자는 피싱 캠페인과 패치되지 않은 Zimbra 취약점을 결합하여 서방 조직들의 이메일 계정에 무단 접근했다. 이 취약점은 제로데이였기 때문에, 즉 Zimbra가 아직 파악하거나 패치하지 않은 상태였기 때문에 공격자들은 오랜 기간 탐지되지 않은 채 활동하며 침해 사실이 드러나기 전까지 수개월 분량의 이메일과 기타 민감 데이터를 빼낼 수 있었다.

피싱과 기술적 익스플로잇을 결합하는 이 패턴은 국가 연계 정교한 그룹들이 흔히 사용하는 원투 펀치다. 피싱은 사용자가 악성 링크를 클릭하거나 가짜 로그인 페이지에 자격 증명을 입력하도록 속여 공격자의 발을 들여놓게 한다. 이후 제로데이 취약점은 단일 계정 침해만으로는 얻을 수 없는 더 깊은 접근을 허용하여 공격자가 조직 시스템 내부로 더 깊이 이동하거나 대규모로 데이터를 빼낼 수 있게 한다.

이메일 침해가 유난히 큰 피해를 초래하는 이유

이메일은 종종 조직 디지털 생활의 현관문으로 표현되는데, 그럴 만한 이유가 있다. 침해된 받은 편지함은 비밀번호 재설정 링크, 금융 기록, 법률 서신, 내부 전략 문서, 그리고 향후 사기에서 신뢰할 수 있는 동료로 가장하는 데 사용될 수 있는 연락처 목록을 노출시킬 수 있다. 이것이 피싱이 대규모 침해의 가장 흔한 진입점 중 하나로 남아 있는 이유다. 최근 ShinyHunters 피싱 공격으로 600만 카니발 고객 정보 노출 사건은 피싱에 의한 침해가 국가 주도 행위자들에게만 국한되지 않음을 상기시킨다. 범죄 조직들도 동일한 전술을 사용하며, 종종 개인 데이터가 노출된 소비자들에게 치명적인 결과를 안긴다.

이번과 같은 국가 지원 캠페인은 그 목표가 금전적 이득을 넘어서는 경우가 많기 때문에 우려를 더한다. 이메일 시스템에 장기간 접근하면 첩보 활동, 정보 수집, 그리고 다른 중요 시스템으로의 측면 이동을 지원할 수 있다. 내부에 들어가면 공격자는 추가 계정을 푸는 데 필요한 자격 증명을 수집하거나, 침해된 이메일 스레드를 이용해 파트너, 공급업체 또는 정부 기관을 상대로 설득력 있는 후속 공격을 감행할 수 있다. 중요 인프라 운영자도 예외가 아니다. 단 이틀 만에 30개 이상 시스템을 강타한 미네소타 상수도 사이버 공격은 공격자가 일단 발판을 마련하면 초기 진입점과 관계없이 협조된 침입이 얼마나 빠르게 확산될 수 있는지 보여준다.

제로데이 피싱에 대한 방어

제로데이 취약점은 공급업체가 결함을 파악해 수정하기 전까지는 패치가 존재하지 않기 때문에 정의상 직접 방어하기 어렵다. 하지만 조직과 개인은 무력하지 않다. 몇 가지 실질적인 조치가 위험을 의미 있게 줄여준다.

모든 이메일 및 협업 계정에 다중 인증(2FA)을 활성화하라. 자격 증명이 피싱되더라도 2FA는 공격자의 로그인 완료를 막을 수 있다.

공급업체가 수정 사항을 출시하면 신속하게 패치를 적용하라. 패치가 제공되는 순간 제로데이의 위험은 크게 줄어들지만, 조직이 신속히 적용해야만 효과가 있다.

예상치 못한 로그인 프롬프트, 긴급한 요청, 익숙하지 않은 발신자 도메인 등 피싱 시도를 인식하도록 직원을 교육하라. 인간의 경계심은 초기 피싱 미끼에 대항하는 가장 효과적인 방어 수단 중 하나이다.

원격으로, 특히 공공장소나 보안이 취약한 네트워크에서 이메일이나 내부 시스템에 접근할 때는 VPN을 사용하여 전송 중 자격 증명 가로채기 위험을 줄이자.

익숙하지 않은 위치에서의 로그인이나 대량의 발신 이메일 트래픽과 같은 비정상적인 계정 활동을 모니터링하라. 이는 침해의 초기 징후일 수 있다.

이러한 조치를 무시할 때의 재정적 타격은 가파를 수 있다. 랜섬웨어나 침입 사고가 성공했을 때 복구 비용은 상당할 수 있으며, 사이버 공격 후 머레이 카운티가 비상 예비비에서 20만 달러의 몸값을 지급한 사례에서 보듯 막대한 비용이 발생할 수 있다.

이것이 당신에게 의미하는 것

귀하의 조직이 Zimbra 또는 유사한 이메일 플랫폼을 사용 중이라면, 이번 사건은 보안 패치가 제공되는 즉시 확인하고 적용하며 모든 계정에 다중 인증이 활성화되어 있는지 점검해야 한다는 사실을 상기시켜 준다. 개인 사용자에게 주는 교훈은 더 넓다. 이메일 계정은 가치가 높은 표적이며, 대규모 조직을 겨냥하는 것과 똑같은 피싱 전술이 일상의 소비자에게도 사용된다. 예상치 못한 링크에 주의하고, 발신자 신원을 확인하며, 강력하고 고유한 비밀번호를 2FA와 함께 사용하는 것은 개인 위험을 줄이는 데 큰 도움이 된다.

이메일 기반 위협 앞서 나가기

이번 Zimbra 제로데이 캠페인은 국가 지원 행위자들이 계속해서 이메일 시스템을 주요 표적으로 간주하며, 자원이 풍부한 조직조차도 이전에 알려지지 않은 취약점에 허를 찔릴 수 있다는 분명한 신호다. 가장 효과적인 대응은 공포가 아니라 준비다. 즉, 시기적절한 패치, 다층 인증, 지속적인 피싱 인식 교육, 그리고 신뢰할 수 없는 네트워크에서의 VPN 사용과 같은 안전한 원격 접근 관행이 필요하다. 이들 캠페인이 보여주듯, 이메일 인프라 보호는 단순한 IT 문제가 아니라 첩보 활동, 데이터 도용, 그리고 파트너와 고객을 향한 연쇄 공격에 맞서는 최전선 방어다. 이번 사건과 같은 사고에 대한 정보를 숙지하는 것이 보호받기 위한 첫걸음이다.