ShinyHunters가 Ernst & Young에 대해 주장하는 내용

갈취 그룹 ShinyHunters가 세계 최대 전문 서비스 회사 중 하나인 Ernst & Young을 피해 주장 목록에 추가했습니다. 이 주장에 따르면, 해당 그룹은 제3자 IT 지원 플랫폼과 관련된 공급망 침해를 통해 접근 권한을 얻었으며, 탈취한 자격 증명으로 Jira 인스턴스를 포함한 내부 시스템에 도달해 세금 신고 데이터를 빼냈다고 말합니다. ShinyHunters는 EY가 응답해야 할 기한을 7월 31일로 설정했으며, 연락이 없으면 훔친 자료를 공개하겠다고 위협한 것으로 알려졌습니다.

현재까지 이것은 확인된 침해 사고가 아닌, Ernst & Young에 대한 ShinyHunters의 랜섬웨어 주장입니다. 샘플 파일, 유출된 데이터베이스, 도난당한 세금 기록에 대한 독립적으로 검증된 증거는 공개되지 않았습니다. 이 주장은 전적으로 ShinyHunters가 자체 유출 사이트에 게시하고 보안 연구원 채널과 소셜 미디어를 통해 유포한 진술에만 의존하고 있습니다.

아직 유출에 대한 검증된 증거가 없는 이유

랜섬웨어 및 갈취 그룹은 종종 사용 가능한 증거를 제시하기 훨씬 전에, 때로는 전혀 제시하지 않고 주장을 게시합니다. 유출 사이트에 게재된 목록이 확인된 데이터 침해와 동일한 것은 아닙니다. 검증은 일반적으로 회사가 사고를 인정하거나, 보안 연구원이 유출된 샘플을 실제 기록과 대조하거나, 공격자가 도난을 입증할 만큼 충분한 데이터를 공개해야 이루어집니다.

Ernst & Young의 사례에서 유포되고 있는 세부 사항, 즉 IT 지원 업체를 통한 공급망 경로, 자격 증명 탈취, Jira 접근은 ShinyHunters가 이전에 사용한 전술과 일치합니다. 그러나 과거 행동과의 일관성이 확증은 아닙니다. EY가 공식 성명을 발표하거나 검증 가능한 데이터가 나타나기 전까지는 이 주장을 입증되지 않은 것으로 취급해야 합니다. 이러한 구분은 중요합니다. 어느 쪽이든 영향을 받을 수 있는 고객과 직원에게 성급한 공포나 성급한 무시 모두 위험을 수반하기 때문입니다.

랜섬웨어 그룹이 미확인 주장을 지렛대로 활용하는 방법

바로 이 지점에서 Ernst & Young 상황은 더 광범위하고 점점 더 익숙해지는 전략과 맞물립니다. ShinyHunters는 규모가 크고 인지도 높은 조직을 지목한 다음, 그 이름이 가진 평판의 무게를 이용해 응답을 압박하는 패턴을 구축해 왔습니다. 기저의 침해가 완전히 입증되는지 여부와는 무관하게 말입니다. EY와 같은 규모의 회사는 유출 사이트에 이름이 오르는 순간, 그 이면의 기술적 주장이 검증되지 않았더라도 즉각적인 조사에 직면합니다.

이 그룹은 다른 표적에도 유사한 접근 방식을 취했습니다. 대장암 검사 키트인 Cologuard로 유명한 진단 기업 Exact Sciences의 침해를 주장하며 민감한 건강 데이터를 갈취 시도의 중심에 놓았습니다. 또한 주요 HVAC 및 냉동 유통업체인 Baker Distributing의 침해에 대한 책임을 주장했으며, 콜롬비아 금융 서비스 회사인 Addi.com과 관련된 금융 기록 탈취를 주장했습니다. 각각의 경우, 반드시 확실한 증거가 아닌 발표 자체가 대부분의 압박 역할을 수행했습니다. Cushman & Wakefield와 관련된 별개의 사건은 여러 갈취 그룹이 어떻게 피해자를 중복 주장하여 실제로 무슨 일이 있었는지 평가하려는 사람들에게 혼란을 가중시킬 수 있는지 보여줍니다.

전략은 간단합니다. 신뢰받는 유명 브랜드를 지목하면 미디어 보도와 고객 불안이 빠르게 생성되며, 이는 대개 조사 대상이 된 회사가 조사하고 대응할 수 있는 속도보다 더 빠릅니다. 그 비대칭성이 바로 지렛대입니다.

이것이 귀하에게 의미하는 바

현재 Ernst & Young의 고객, 공급업체 또는 직원이라면, 지금 당장의 책임 있는 조치는 확정을 기다리는 것이 아니라 주의를 기울이는 것입니다. 랜섬웨어 그룹은 사람들이 소식이 없다는 것을 위험이 없다는 의미로 받아들일 때 이득을 봅니다. 주장의 성격, 즉 공급망 경로를 통해 빼낸 것으로 추정되는 세금 신고 데이터를 고려할 때, EY와 재정적 또는 업무적 관계가 있는 사람이라면 회사가 상황을 명확히 밝힐 때까지 어느 정도의 노출 가능성이 있다고 가정해야 합니다.

이 특정 ShinyHunters의 Ernst & Young 랜섬웨어 주장이 어떻게 결론 나든 상관없이 실용적인 조치는 타당합니다. 공격자들은 주장된 침해를 둘러싼 홍보를 이용해 설득력 있는 후속 사기 수법을 만들기 때문에, EY, 세금 신고 또는 감사 관계를 언급하는 피싱 시도를 주시하십시오. 민감한 재정 또는 세금 문서를 EY와 공유한 적이 있다면, 앞으로 몇 주 동안 계좌 및 신용 활동을 더 면밀히 모니터링하는 방안을 고려하십시오. 침해 경로로 제3자 IT 지원 플랫폼이 지목되었기 때문에, 직원들은 비정상적인 로그인 메시지나 자격 증명 재설정 요청에 주의해야 하며, 이는 공급망 접근이 공격자들이 방어 수준이 높은 조직에 도달하는 가장 흔한 방법 중 하나로 남아 있음을 상기시킵니다.

결론

ShinyHunters의 Ernst & Young에 대한 주장은 진지하게 받아들일 만큼 심각하지만, 아직 확인된 침해는 아닙니다. 건강 진단에서 유통 및 금융 서비스 회사에 이르기까지 다른 표적을 대상으로 한 패턴은 데이터 자체만큼이나 주장 자체에 의존하는 그룹을 보여줍니다. 이 그룹의 일정에 따라 올지 안 올지 모르는 확정을 기다리기보다, 지금 이 기회에 자신의 노출을 검토하고 기본적인 보안 습관을 강화하는 계기로 삼으십시오. 정보를 지속적으로 확인하고, EY의 공식 커뮤니케이션을 주시하며, 이 사건을 언급하는 원치 않는 메시지에 회의적인 태도를 유지하는 것이 상황이 전개되는 동안 취할 수 있는 가장 실용적인 조치입니다.