암 진단 대기업, ShinyHunters의 최신 표적이 되다

갈취 그룹 ShinyHunters가 대형 암 진단 기업에서 훔친 약 1,090만 개의 이메일 주소가 포함된 데이터셋을 공개했다. 해당 의료 회사가 몸값 지불을 거부한 것으로 알려진 후의 일이다. 유출된 데이터에는 환자, 고객 및 그들이 이용한 의료 서비스와 연결된 개인 정보가 포함되어 있어, 민감한 의료 세부 정보가 어떻게 범죄 포럼에 유통되는지에 대한 새로운 우려를 불러일으켰다. 보안 연구원들은 이 침해 사건을 암 진단 서비스 제공업체인 Exact Sciences와 연관지었지만, 영향을 받은 개인의 정확한 범위는 아직 평가 중에 있다.

이 사건이 주목할 만한 점은 단순히 유출 규모 때문만이 아니다. ShinyHunters가 처음 내부에 접근하기 위해 사용한 방법 자체에 있다. 그들은 소프트웨어 취약점을 악용하거나 방화벽을 뚫은 것이 아니었다. 그들은 전화기를 들었다.

비싱(Vishing)이 어떻게 직원들을 자신도 모르는 공범으로 만들었나

보도에 따르면, ShinyHunters는 진단 회사의 직원들에게 전화를 걸어 사회공학적 기법, 흔히 비싱(음성 피싱)으로 알려진 방법을 사용하여 직원들이 접근 자격 증명을 넘겨주거나 계정 변경을 승인하도록 설득했다. 내부에 침투한 공격자들은 회사나 보안 팀이 침입을 차단하기 전에 대량의 데이터를 빼낼 수 있었다.

이는 이 그룹의 일회성 전술이 아니다. ShinyHunters는 다른 대규모 조직을 상대로도 동일한 수법을 사용했다. ADT 데이터 침해 사건에서는 공격자들이 거의 동일한 사회공학적 방법으로 직원을 속여 접근 권한을 얻은 후 약 1,000만 건의 기록이 노출되었고, Charter Communications 침해 사건에서도 동일한 방법으로 490만 건의 기록이 영향을 받았다. 두 사건 모두 취약점은 기술적인 결함이 아니라 인간적인 것이었다. 즉, 합법적인 상대와 통화하고 있다고 믿은 전화기 너머의 직원이었다.

이러한 패턴은 조직이 방어에 대해 어떻게 생각해야 하는지에 중요한 시사점을 준다. 비싱 공격은 코드가 아닌 신뢰와 긴박감을 표적으로 삼기 때문에 성공한다. IT 지원팀, 벤더, 혹은 관리자라고 주장하는 설득력 있는 발신자는 종종 정교한 익스플로잇보다 더 깊이 침투할 수 있으며, 특히 직원들이 이례적인 요청을 제2의 채널을 통해 확인하도록 훈련받지 않았을 때 더욱 그렇다.

무엇이 노출되었고, 왜 갈취 각도가 중요한가

유출된 데이터셋에는 약 1,090만 개의 고유 이메일 주소와 함께 진단 사업의 환자 및 고객과 연결된 기타 개인 및 건강 관련 정보가 포함된 것으로 알려졌다. 회사가 지불을 거부한 것으로 보이기 때문에, ShinyHunters는 조용히 처리하는 대신 데이터를 공개했으며, 이는 그룹이 "몸값을 지불했어야 했다"고 말하며 처벌로 규정한 행보다.

이러한 갈취 후 유출 모델은 ShinyHunters의 시그니처가 되었다. 이는 Zara 데이터 침해 사건 이후 일어난 일과 유사하며, 이때 도난당한 고객 데이터는 제3자 벤더 침해를 통해 운영된 동일한 그룹으로 거슬러 올라갔다. 이러한 사건들을 관통하는 공통점은 공격자들이 회사의 핵심 시스템에 직접 침입할 필요가 거의 없다는 것이다. 그들은 벤더, 콜센터 직원, 지원 데스크 등 더 쉬운 진입점을 찾아 교두보로 삼는다.

특히 의료 관련 침해의 경우, 일반적인 소매업 유출보다 위험 부담이 훨씬 크다. 진단이나 치료 정보와 결합된 이메일 주소는 표적 피싱, 보험 사기, 혹은 공개될 것이라고 예상하지 못했던 민감한 의료 이력의 단순한 노출에 악용될 수 있다.

이것이 당신에게 의미하는 것

만약 암 진단 제공업체, 특히 이번 사건과 연관된 곳의 서비스를 이용한 적이 있다면, 자신의 이메일 주소가 침해 알림 서비스에 나타나는지 확인하고 비정상적인 계정 활동에 주의를 기울일 필요가 있다. 비록 구체적인 건강 기록이 유출된 데이터셋에 포함되지 않았더라도, 의료 제공업체 이름과 함께 이메일이 노출되면 공식 의료 커뮤니케이션처럼 가장한 피싱 이메일의 표적이 될 수 있기 때문이다.

더 넓게 보면, 이번 침해 사건은 데이터 보호가 방화벽과 암호화에만 달려 있지 않다는 사실을 상기시킨다. 또한 조직이 사회공학적 공격을 인지하도록 직원을 얼마나 잘 훈련시키느냐의 문제이기도 하다. 민감한 건강 데이터를 다루는 회사는 그 정보가 장기적인 가치를 지니고, 단 한 번의 성공적인 전화 통화로 수년간 구축해 온 보안을 뚫을 수 있는 접근 권한을 해제할 수 있기 때문에 특히 매력적인 표적이 된다.

실천 가능한 핵심 조치

  • 신뢰할 수 있는 침해 확인 서비스를 이용해 자신의 이메일 주소가 이번 또는 관련 침해 사건에 등장했는지 확인하고, 해당 주소에 연결된 모든 계정의 비밀번호를 변경하십시오.
  • 의료 예약, 검사 결과, 청구 세부 정보를 언급하는 원치 않은 이메일이나 전화, 특히 링크 클릭이나 개인 정보 확인을 요구하는 경우 의심스럽게 여기십시오.
  • 사용 중인 의료 포털이나 환자 계정에 다중 인증을 활성화하십시오. 이렇게 하면 자격 증명이 유출되더라도 피해를 줄일 수 있습니다.
  • 민감한 데이터를 다루는 조직과 상호 작용할 경우, 전화를 통해 계정 접근을 승인하기 전에 내부적으로 어떤 확인 절차를 거치는지 물어보십시오. 비싱 저항은 종종 기술보다 정책에 달려 있기 때문입니다.

ShinyHunters의 패턴이 보여주듯, ShinyHunters 암 진단 기업 침해 사건은 단일 회사의 실패에 관한 이야기가 아니다. 이는 사회공학적 공격이 여전히 해커의 무기고에서 가장 효과적인 도구 중 하나이며, 조직과 개인 모두의 경계심이 여전히 이용 가능한 최선의 방어책이라는 신호다.