화상면접에 전화·사무실 방문까지…대담해진 해커들

AI 딥페이크로 사칭 위협 더 커져

세계 최대 가상자산 거래소 바이낸스의 대규모 해킹에 가짜 화상면접이 동원된 것으로 알려졌다. 북한 해킹 조직 소속으로 추정되는 공격자는 외부 기업의 채용 담당자로 위장해 바이낸스 개발자와 직접 면접을 진행했고, 가짜 최고경영자(CEO)까지 내세워 악성코드가 담긴 코딩 과제를 실행하도록 유도했다. 해커가 피해자와 직접 대화하며 면접관 역할까지 수행한 것이다.

9일 보안 업계에 따르면 최근 해커들은 컴퓨터 앞에서 시스템의 취약점만 공략하는 데 그치지 않고 피해자에게 직접 전화하거나 사무실을 방문하는 등 대담한 수법을 동원하고 있다.

해커들이 가짜 화상면접, IT 지원팀 사칭 전화, 기술자로 위장한 사무실 방문 등 다양한 수법으로 기업 내부 시스템에 접근하는 모습을 표현한 이미지. / 챗GPT 생성

지난해 고객관계관리(CRM) 플랫폼 세일즈포스 이용 기업들을 겨냥한 공격에서는 해커가 IT 지원 담당자를 사칭해 직원에게 전화를 걸었다. 구글 위협 인텔리전스 그룹(GTIG)이 추적한 공격 조직 'UNC6040'의 사례다. 이들은 전화로 직원들을 설득해 데이터 관리용 애플리케이션에 접근권한을 부여하도록 유도했다. 이후 확보한 권한으로 고객 데이터를 탈취했다. 구글도 유사한 공격으로 자사 세일즈포스 환경에 저장된 일부 기업 연락처 정보가 유출되는 피해를 봤다.

심지어 사무실에 직접 찾아가는 사례도 확인됐다. 올해 5월 미국 연방수사국(FBI)은 해킹 조직 '사일런트 랜섬 그룹(SRG)'이 미국 로펌을 대상으로 이러한 공격을 벌이고 있다고 경고했다. 공격자들은 IT 지원 담당자로 위장해 전화로 원격접속을 요청하고, 요청이 받아들여지지 않으면 가짜 기술자를 사무실에 보냈다. 방문자는 보안 문제 해결이나 자료 백업을 명목으로 컴퓨터에 접근한 뒤 USB 저장장치나 외장 하드디스크를 연결해 데이터를 빼냈다.

사람을 속이는 '사회공학 공격' 자체가 새로운 수법은 아니다. 2022년 약 6억달러(약 8100억원) 규모의 가상자산이 탈취된 블록체인 게임 엑시 인피니티(Axie Infinity)의 크로스체인 브리지 '로닌 브리지(Ronin Bridge)' 해킹도 가짜 채용 제안에서 시작됐다. 당시 공격자는 링크드인으로 개발자에게 접근해 여러 차례 면접을 진행한 뒤 악성코드가 담긴 입사 제안서 PDF를 전달했다.

한 보안업계 전문가는 "전화나 대면으로 사람을 속이는 공격은 오래된 수법"이라면서도 "이번 바이낸스 사건에서는 인사 담당자의 소셜미디어 계정과 가짜 CEO까지 준비했는데, 이는 개발자가 이상하다고 느낄 만한 대목을 하나씩 지워나간 것"이라고 분석했다.

인공지능(AI) 딥페이크 기술의 발전도 이러한 사칭 공격의 위험을 키우는 요인으로 꼽힌다. 얼굴과 목소리를 실제 인물처럼 합성할 수 있어 전화나 화상회의에서 상대방을 속이는 데 악용될 수 있기 때문이다. 구글 맨디언트가 올해 2월 공개한 북한 연계 해킹 조직 'UNC1069'의 공격에서는 탈취한 텔레그램 계정으로 피해자를 가짜 줌(Zoom) 회의에 초대한 사례가 확인됐다. 피해자는 회의에서 다른 기업 CEO로 위장한 딥페이크 영상을 봤다고 진술했다. 공격자는 회의 중 음성 문제가 발생한 것처럼 꾸미고 해결용 명령어를 실행하도록 유도해 악성코드를 설치했다.

딥페이크를 활용한 공격은 현재 다수 기업들이 실제 경험하는 위협이다. 시장조사업체 가트너가 올해 3~5월 기업 보안 책임자 297명을 조사한 결과, 41%가 최근 12개월 동안 딥페이크 음성통화를 이용한 사회공학 공격을 경험했다고 답했다. 딥페이크 화상통화를 이용한 공격을 경험한 비율도 36%에 달했다. 크레이그 포터 가트너 디렉터(Craig Porter) 애널리스트는 "공격자들은 피싱과 기업 이메일 사기(BEC), 합성 미디어(Synthetic Media), 수집한 개인 정보 등을 여러 채널에서 결합할 수 있다"고 지적했다.

전문가들은 해커들의 접근 방식이 과감하고 치밀해지면서 직원 개인의 주의력에 의존하는 방어에는 한계가 있다고 지적한다. 이에 외부에서 받은 파일 실행이나 원격접속 허용, 앱 권한 승인처럼 내부 시스템에 영향을 주는 작업에는 별도의 확인 절차를 마련하고 이를 의무화할 필요가 있다. 직원 컴퓨터가 감염되더라도 공격자가 핵심 시스템까지 접근하지 못하도록 권한을 제한하는 것도 중요하다.

한 보안업계 전문가는 "의심이 들 때만 확인해서는 대응에 실패한다"며 "외부에서 받은 파일 실행, 원격접속 허용, 앱 권한 승인 같은 요청은 상대가 누구든 회사에 등록된 번호나 정해진 절차로 한 번 더 확인하도록 규칙으로 정해둬야 한다"고 말했다. 이어 "개발자 PC 한 대가 감염되더라도 핵심 시스템까지 이어지지 않도록, 지금 누구에게 어떤 권한이 열려 있는지부터 점검할 필요가 있다"고 덧붙였다.

정종길 기자
jk2@chosunbiz.com