UNC6040 비싱 그룹
사이버 보안 연구원들은 보이스 피싱(비싱) 공격에서 틈새 시장을 개척한 UNC6040이라는 금전적 동기를 가진 위협 그룹을 적발했습니다. 이러한 공격은 Salesforce 환경에 침투하여 대규모로 민감한 데이터를 훔치고, 훔친 정보를 이용하여 금품을 갈취하도록 특별히 설계되었습니다.
목차
친숙한 얼굴: 'The Com' 사이버범죄 단체 링크
UNC6040의 전술과 행동은 온라인 사이버 범죄 조직인 The Com과 연계되어 있음을 시사합니다. 이 조직은 IT 지원 사칭 및 신원 정보 노리는 것으로 악명 높은 Scattered Spider와 운영 측면에서 유사점을 공유합니다. 그러나 Scattered Spider는 더 광범위한 접근을 목표로 하는 반면, UNC6040은 Salesforce 데이터 유출을 목표로 한다는 점에서 두 조직의 최종 목표는 서로 다릅니다.
실제 사칭: 비싱의 행동 방식
이 조직의 성공은 매우 설득력 있는 전화 기반 소셜 엔지니어링 기법 활용에 기인합니다. UNC6040 운영자들은 IT 지원 담당자, 특히 영어가 유창한 직원을 사칭하여 직원들을 조종하여 자격 증명을 제공하거나 기업 시스템에 대한 무단 접근을 용이하게 하는 행위를 할 수 있습니다.
신뢰 악용: 수정된 Salesforce 데이터 로더 계획
가장 눈에 띄는 전술은 피해자가 '내 티켓 포털'과 같은 오해의 소지가 있는 이름으로 위장한 Salesforce 데이터 로더의 수정된 버전을 승인하도록 유도하는 것입니다. 이를 통해 공격자는 Salesforce의 연결된 앱 인터페이스에 접근하여 플랫폼 내에서 방대한 양의 고객 데이터를 훔칠 수 있습니다.
Salesforce를 넘어: 측면 이동 및 더 광범위한 활용
일단 침투한 UNC6040은 Salesforce에서만 멈추지 않습니다. 공격자는 네트워크 전반을 횡적으로 공격하여 Okta, Workplace, Microsoft 365와 같은 다른 클라우드 플랫폼에서 데이터를 수집합니다. 이를 통해 더 광범위한 침해가 가능해지고 유출된 정보의 가치가 증가합니다.
지연된 보상: 전략적 강탈 전술
흥미롭게도, 협박 시도는 초기 침해 이후 수개월이 지나서야 발생하는 경우가 많았는데, 이는 의도적이고 전략적인 지연을 시사합니다. 이러한 요구는 악명 높은 해킹 그룹인 샤이니헌터스(ShinyHunters)와의 연계 주장과 함께 제기되는 경우가 있는데, 이는 피해자들에게 심리적 압박을 가중시키려는 의도로 보입니다.
Recon First: 자동 전화 감시로 지원되는 비싱
UNC6040은 또한 녹음된 메시지와 메뉴 옵션을 갖춘 자동 전화 시스템을 활용하여 정찰 정보를 수집합니다. 이러한 시스템은 내부 지원 전화번호, 일반적인 직원 문제, 애플리케이션 이름, 시스템 알림 등을 제공하며, 이는 설득력 있는 비싱 시나리오를 구성하는 데 중요한 정보입니다.
원격 근무 시대의 사회 공학
이 그룹은 원격 IT 지원으로 전환하면서 이점을 얻고 있습니다. 원격 IT 지원으로 전환하면 직원들이 낯선 지원 인력과 소통하는 데 익숙해지기 때문입니다. 이러한 환경은 사기성 소셜 엔지니어링, 특히 광범위한 정찰 활동과 결합될 경우 공격에 매우 유리한 조건을 조성합니다.
Salesforce의 대응 및 고객 경고
Salesforce는 2025년 3월 해당 공격을 인지하고 고객들에게 IT 직원을 사칭하는 소셜 엔지니어링 캠페인에 대해 경고했습니다. 공격자들은 사용자를 피싱 페이지로 유인하거나 login.salesforce[.]com/setup/connect로 유도하여 악성 연결 앱을 승인하도록 유도해 왔습니다. 이러한 앱은 일반적으로 기만적인 브랜딩 하에 Data Loader를 수정한 버전입니다.
시스템 취약점 없음: 인간의 약점 악용
Salesforce는 이러한 사고가 자사 시스템의 기술적 취약점이 아닌 사용자 조작에서 비롯되었다고 강조했습니다. 이러한 공격은 개인의 보안 인식과 사이버 보안 위생이 특히 보이스피싱 사기에 대한 중요한 방어선임을 보여줍니다.
지속적인 위협: 미래에 대한 경고
UNC6040에서 사용된 전술은 비싱이 기업 방어 체계를 뚫는 데 여전히 매우 효과적인 방법임을 보여줍니다. 초기 접근과 금품 갈취 사이에 시간이 소요되는 점을 고려할 때, 앞으로 몇 주 또는 몇 달 안에 더 많은 조직이 위험에 처할 수 있습니다. 경계와 강력한 내부 통제는 이처럼 진화하는 위협을 완화하는 데 핵심적인 역할을 할 것입니다.
