사이버 보안 기업 ReliaQuest는 공격자들이 보안팀 구성원을 사칭한 사회공학 공격으로 직원 한 명을 표적으로 삼았다고 확인했지만, 회사 시스템과 데이터에 접근하려는 시도는 성공하지 못했다고 밝혔다. 회사에 따르면 공격자들은 여러 직원에게 전화를 걸어 콘텐츠 전송 네트워크 뒤에 호스팅된 가짜 SSO(싱글 사인온) 로그인 페이지로 유도하려 했다.
이 사건은 ReliaQuest의 위협 연구 부서가 협박 그룹 ShinyHunters의 소행으로 지목한 캠페인에 대해 경고한 뒤 시작됐다. 이 캠페인은 .claims 최상위 도메인 아래에 도메인을 등록하고, 표적 조직의 헬프데스크 및 IT팀 도메인과 유사한 주소를 만드는 방식을 사용한다. 회사는 해당 도메인들이 확장자 앞에 조직명 또는 약어를 포함하는 패턴을 따른다고 설명했으며, BleepingComputer의 소식통은 이번 사건에 사용된 도메인이 reliaquest.claims라고 밝혔다.
애플리케이션으로 확장되지 않은 일시적 접근
표적이 된 직원 중 한 명은 가짜 SSO 페이지에 인증 정보를 입력했고, 전화로 다중 인증 알림에도 승인했다. 그 결과 공격자는 ReliaQuest의 신원 관리 대시보드에 일시적으로 읽기 전용으로 접근할 수 있었던 것으로 보이며, 공격자는 음성 피싱 통화 중 보안팀의 실제 직원 이름을 사용한 것으로 보인다.
그러나 이 접근은 더 광범위한 침해로 이어지지 않았다. 회사는 기기 신뢰 제어가 신원 관리 대시보드를 통한 이후 애플리케이션 접근 시도를 차단했으며, 공격자가 해당 애플리케이션을 사용하려 할 때 계속 거부되었다고 밝혔다. ReliaQuest에 따르면 애플리케이션이나 시스템에는 접근이 이루어지지 않았고 고객 데이터도 영향을 받지 않았다.
회사는 공격자의 세션을 종료하고 노출된 비밀번호를 폐기했으며 모든 인증 토큰을 재설정했다. 또한 8월 21일 이후 적용된 접근 제어, 기기 신뢰 및 네트워크 내부 접근의 정확성을 검토했다. 조사 결과 다른 계정이나 애플리케이션, 데이터에 접근했다는 증거 또는 공격자가 시스템 내부에 지속성을 확보하기 위한 수단을 만들었다는 증거는 발견되지 않았다고 밝혔다.
이 사건이 실무적으로 보여주는 점은 무엇인가?
이번 사건은 피싱과 인증 정보 탈취, MFA 요청 승인이 성공했다고 해서 공격자가 조직의 리소스에 자동으로 접근할 수 있는 것은 아니라는 점을 보여준다. 이 사례에서는 신뢰 요건을 충족하지 못한 기기 또는 상황에서 발생한 시도를 이후 단계의 제어 계층이 차단했다. 이는 ReliaQuest가 설명한 사건의 진행 순서에 근거한 해석이며, 다중 인증만으로 침해가 차단되었다는 증거는 아니다.
ShinyHunters는 ReliaQuest 직원의 Okta SSO 계정이 침해되었음을 입증한다고 주장하는 스크린샷을 게시한 뒤 이를 자체 데이터 유출 사이트에 올렸다. 이 그룹은 게시물에서 ReliaQuest가 과거에 자신들에 대해 발표한 보고서를 언급했으며, BleepingComputer에는 자신들의 접근이 읽기 전용이었고 애플리케이션이나 시스템, 고객 데이터에는 접근하지 못했다고 밝혔다. 그러나 ReliaQuest는 공격을 수행한 주체가 ShinyHunters라는 점을 추가로 확인하지 않았으므로, 현재 공개된 정보에서 사건을 해당 그룹의 소행으로 보는 주장은 아직 확정되지 않았다.