어제 EY(언스트앤영) 해킹 소식을 다뤘는데, 하루 만에 같은 조직이 또 다른 유명 브랜드를 겨냥했다는 소식이 들어왔다. 이번 타깃은 미국 최대 홈보안업체 중 하나인 브링크스 홈(Brinks Home), 유출이 주장되는 규모는 세일즈포스(Salesforce)에 저장돼 있던 고객·상담 데이터 490만여 건이다. 그런데 공격의 시작점이 랜섬웨어도, 악성 첨부파일도 아니라 전화 한 통이었다는 점이 눈에 띈다.
무슨 일이 있었나
브링크스 홈은 미국·캐나다·푸에르토리코에서 100만 명 넘는 고객에게 센서·카메라·스마트 도어락 같은 홈보안 서비스를 제공하는 회사다. 연 매출은 약 8억3000만 달러(약 1조1000억원), 직원 규모는 1500명 정도다. 회사는 지난 20일 시스템 침해 정황을 포착하고 곧바로 사고 대응 절차에 들어갔다고 공식 발표했다. 윌리엄 나일스 브링크스 홈 최고경영자는 “포렌식 전문가들과 함께 이 문제를 해결하는 데 매달리고 있다”고 밝혔다. 다행히 이번 침해로 경보 모니터링이나 보안 시스템 작동 자체에는 영향이 없었다고 한다.
시작은 전화 한 통이었다
공격을 주장하는 쪽은 랜섬웨어·데이터 갈취 전문 조직 샤이니헌터스(ShinyHunters)다. 이 조직은 지난 13일 마이크로소프트 엔트라(Entra) 계정을 겨냥한 보이스피싱, 이른바 ‘비싱(vishing)’ 공격으로 침투에 성공했다고 주장했다. 방식은 의외로 단순했다. 직원에게 전화를 걸어 IT지원팀을 사칭한 뒤, 마이크로소프트 엔트라 인증이나 등록 절차를 대신 진행해달라고 유도한 것이다. 직원이 그대로 따르자 공격자에게 계정 접근 권한이 그대로 넘어갔다. 별다른 악성코드도, 정교한 해킹 도구도 필요 없었다. 이 수법이 계속 반복되는 이유다.
새어나갔다는 정보, 뭐가 있나
샤이니헌터스가 주장하는 유출 데이터 내역은 아래와 같다.
- 세일즈포스 ‘연락처(Contacts)’ 항목에서 고객 데이터 110만여 건
- 브링크스 케어 크레스타(Cresta) 시스템의 고객 상담 채팅 로그 380만여 건
- 직원 개인정보(이름·이메일·직함·전화번호) 4000여 건
브링크스 홈 측은 공격자가 탈취했다고 주장하는 자료를 공개하겠다고 위협한 사실은 인정했다. 다만 “어떤 정보가 정확히 영향을 받았는지, 누구의 정보인지는 아직 확인되지 않았다”고 선을 그었다. 확인이 끝나는 대로 영향을 받은 고객에게 개별 통보하겠다는 입장이다. 참고로 이 수치는 아직 샤이니헌터스 측 주장일 뿐, 외부에서 실제 유출 파일을 확인한 언론은 없다.
왜 눈여겨봐야 하나
이번 사고가 눈에 띄는 이유는 두 가지다. 하나는 어제 다룬 EY 사고와 마찬가지로, 샤이니헌터스가 짧은 기간에 여러 유명 브랜드를 연달아 겨냥하고 있다는 점이다. 이 조직은 같은 시기 통신 서비스 업체 링센트럴(RingCentral)도 다크웹 유출 사이트에 올리며 협상 시한을 걸었다. 하나의 조직이 여러 기업을 동시에 압박하는 방식은, 피해 기업 입장에서 어디부터 대응해야 할지 우선순위 자체를 흔들어놓기 쉽다.
다른 하나는 공격 수단이다. 비싱은 시스템의 기술적 결함이 아니라 사람의 신뢰를 파고든다. 방화벽을 아무리 잘 세워도 직원 한 명이 전화 한 통에 인증 절차를 대신 밟아주면 그걸로 끝이다. 국내 기업들 사이에서도 IT지원팀이나 임원을 사칭한 전화·문자로 인증 정보를 유도하는 사례가 꾸준히 보고되는 걸 보면, 남의 나라 이야기로만 넘기기는 어려워 보인다.
이런 전화를 받았다면
- 회사 IT팀이나 상급자를 사칭해 전화·문자로 인증 코드나 비밀번호를 요구하면 그 자리에서 절대 알려주지 않는다.
- 먼저 걸려 온 전화라면 일단 끊고, 사내 공식 번호나 채널로 직접 다시 확인한다.
- 브링크스 홈 고객이라면 회사가 공식적으로 안내하는 공지·이메일만 신뢰하고, 이번 사고를 빌미로 온 낯선 링크나 전화에는 응대하지 않는다.
- 브링크스 홈도 이번 사고를 악용한 사칭 메시지가 돌 수 있다고 직접 경고한 상태다.
자주 궁금해할 만한 것들
비싱(vishing)이 피싱과 뭐가 다른가? 피싱이 이메일이나 문자로 가짜 링크를 클릭하게 유도한다면, 비싱은 실제 전화 통화로 상대를 속인다. 목소리로 신뢰를 얻어내는 방식이라 방어하기가 더 까다롭다는 평가를 받는다.
브링크스 홈 고객이 아니면 상관없나? 이번 유출 데이터에는 일반 고객 연락처뿐 아니라 상담 채팅 기록, 직원 정보도 포함돼 있다고 알려졌다. 브링크스 홈과 전화·채팅으로 상담을 주고받은 적이 있다면 완전히 무관하다고 보기는 어렵다.
출처
함께 보면 좋은 글
국내 기업 금융 보안 조직 8년차. 취약점 진단과 보안 기획 업무를 하며, 업계 밖에서는 잘 안 보이는 보안 이야기를 정리하고 있습니다. 개인 자격으로 쓰며 소속 조직과 무관합니다.