UNC6671, 음성 피싱 전화로 마이크로소프트 365 탈취 자동화

오래된 수법의 새로운 변형: 음성 피싱과 자동화의 만남

UNC6671로 추적되는 위협 그룹이 오래된 사회 공학 기법과 현대식 자동화를 결합하는 방법을 찾아냈으며, 그 결과 피해 조직들은 막대한 대가를 치르고 있습니다. 이 그룹의 활동에 관한 보고에 따르면, UNC6671은 내부 IT 헬프데스크 직원을 사칭한 전화로 직원들을 속여 마이크로소프트 365와 Okta 계정에 대한 접근 권한을 넘겨받습니다. 일단 내부에 침투하면 활성 세션 토큰을 훔쳐 공격자가 비밀번호와 다중 인증을 완전히 우회할 수 있게 한 다음, 기업 데이터 탈취를 자동화해 갈취 목적으로 활용합니다.

이 캠페인이 눈에 띄는 이유는 최초 접촉 방식 자체가 아닙니다. ‘비싱(vishing)’이라 불리는 음성 피싱은 수년간 알려진 수법입니다. 주목할 점은 단 한 번의 성공적인 통화를 확장 가능한 데이터 탈취 작전으로 바꿔놓는 자동화 계층입니다. 이 자동화는 누군가 눈치채기 전에 마이크로소프트 365 환경 전체에서 파일과 통신 내용을 조용히 수집할 수 있습니다.

공격의 실제 작동 방식

공격은 일반적으로 전화 한 통으로 시작됩니다. 직원이 회사 IT 지원 팀에서 온 일상적인 전화로 보이는 연락을 받는데, 로그인 문제나 계정 잠금 같은 그럴듯한 기술적 문제를 언급하는 경우가 많습니다. 발신자는 피해자에게 지시를 내려 궁극적으로 마이크로소프트 365나 Okta에 연결된 활성 세션 토큰 또는 자격 증명을 넘기도록 유도합니다. Okta는 많은 조직이 클라우드 도구 전반에서 싱글 사인온 접근을 관리하는 데 사용하는 ID 플랫폼입니다.

세션 토큰은 이미 인증된 세션을 나타내기 때문에 공격자에게 특히 가치가 높습니다. 비밀번호를 알아내거나 다중 인증을 무력화하는 대신, 공격자는 토큰을 재사용해 합법적인 사용자를 가장하게 되며, 의심스러운 새로운 로그인 시 발생할 수 있는 경고를 유발하지 않는 경우가 많습니다.

접근 권한을 확보하면 UNC6671은 감염된 마이크로소프트 365 환경에서 데이터를 추출하는 과정을 자동화했다고 알려집니다. 사람이 직접 사서함과 공유 드라이브를 뒤지는 대신, 스크립트화된 도구가 대량의 이메일, 파일, 기타 민감 자료를 수집하는 힘든 작업을 수행합니다. 그렇게 훔친 데이터는 갈취 계획의 지렛대가 되어, 돈을 지불하지 않으면 정보를 유출하거나 판매하겠다고 위협합니다.

이 패턴은 연구자들이 동일한 갈취 그룹과 연계된 헤지펀드 대상 공격에서 문서화한 내용을 반영합니다. 당시 금융 회사들은 유사한 사회 공학 기법과 데이터 갈취 전술을 이용해 표적이 되었습니다. 금융 서비스 조직은 대량의 민감한 고객 데이터를 보유하고 있고, 사건을 신속하고 조용히 해결해야 한다는 압박을 느끼는 경우가 많아 매력적인 표적이 되곤 합니다.

침해 소식 그 너머에 주목해야 하는 이유

이 사건을 단순한 기업 침해 사례로 치부하기 쉽지만, 개인정보 보호 측면의 파장은 더 넓게 퍼집니다. 위협 그룹이 직원의 마이크로소프트 365 세션을 탈취하면 단순히 회사 내부 파일에만 접근하는 것이 아닙니다. 고객 기록, 고객사나 협력사에 속한 개인 데이터, 조직 외부로 유출될 의도가 전혀 없었던 내부 커뮤니케이션까지 잠재적으로 들여다볼 수 있게 됩니다.

초기 접근이 기술적 취약점 공격이 아닌 사회 공학에 의존하기 때문에, 패치 적용이나 엔드포인트 탐지 같은 전통적인 보안 도구는 공격을 근원에서 막을 수 없습니다. 공격자는 인간의 신뢰, 구체적으로는 IT 지원팀이라고 주장하는 전화가 실제로 IT 지원팀에서 온 것이라는 직원의 당연한 가정을 파고듭니다. 이러한 유형의 공격은 기술만으로 완전히 제거하기 어렵고, 조직 차원의 훈련과 확인 절차의 중요성을 더욱 부각시킵니다.

자동화 측면도 중요합니다. 세션 토큰이 탈취되면 데이터 유출이 빠르고 대규모로 이루어지기 때문에, 보안 팀이 탐지하고 대응할 수 있는 시간이 점점 줄어들어 상당한 양의 민감 정보가 이미 빠져나간 뒤가 됩니다.

이것이 여러분에게 의미하는 바

대다수 대기업이 사용하는 마이크로소프트 365나 Okta를 사용하는 조직에서 근무한다면, 이번 캠페인은 평범해 보이는 IT 전화 한 통에도 경계심이 얼마나 중요한지를 일깨워 줍니다. 합법적인 IT 부서가 갑작스럽게 걸려온 전화로 일회용 코드를 불러주거나, 예상치 못한 로그인 프롬프트를 승인하거나, 낯선 초기화 페이지로 이동하라고 직원에게 요청하는 경우는 거의 없습니다.

개인에게 중요한 점은 새로운 소프트웨어를 설치하는 것보다 습관에 더 가깝습니다. 발신자가 회사 내부 시스템에 정통한 것처럼 들리더라도, 계정 접근을 요구하는 원치 않은 전화는 의심해야 합니다. 발신자가 알려준 번호가 아닌, 사내 디렉터리에 있는 번호로 IT 부서에 다시 전화하는 등 분리된 확인 경로를 통해 요청을 검증하십시오.

실천 가능한 조치

몇 가지 현실적인 단계만 지켜도 이러한 유형의 공격에 노출될 위험을 줄일 수 있습니다.

• 특히 로그인 코드, 세션 승인, 비밀번호 재설정을 요청하는 원치 않은 IT 지원 전화는 주의해서 다루세요.
• 의심스러운 통화 중에 받은 회신 번호가 아닌, 독립적으로 확인한 전화번호나 내부 채팅 시스템을 통해 모든 IT 요청을 확인하세요.
• 정보를 전혀 제공하지 않았더라도, 비정상적인 헬프데스크 전화를 보안 팀에 즉시 보고하세요. 조직이 표적이 되고 있다는 신호일 수 있기 때문입니다.
• 세션이 침해되었다고 의심된다면 IT 부서에 요청해 활성 토큰을 취소하고 다중 인증을 통한 새로운 로그인을 강제하세요.

UNC6671의 캠페인은 조직이 기술적 방어를 강화할수록 공격자들이 점점 더 인간 계층을 겨냥한다는 사실을 보여줍니다. 사회 공학 시도에 대한 경계를 늦추지 않는 것이 일반 직원이 활용할 수 있는 가장 효과적이고 비용 부담이 낮은 방어 수단 중 하나로 남아 있습니다.