사이버 보안 기업 Push Security의 최근 보고서에 따르면, 기업 및 기관 계정을 겨냥한 대규모 피싱 공격 캠페인이 포착되었습니다. 이 캠페인은 OpenAI, SpaceX, Anthropic과 같은 유명 브랜드를 내세운 기술 행사 참석을 위한 가짜 초청장을 발송하며, 마이크로소프트 및 구글 계정의 자격 증명과 인증 토큰을 탈취하기 위해 정교하게 제작된 가짜 등록 페이지를 사용합니다.
연구원들은 공격자들이 다단계 인증 공격을 수행하기 위해 Kali365 및 VoidProxy와 같이 고도화되고 통합된 '피싱 서비스(Phishing-as-a-Service)' 플랫폼을 사용한다고 지적했습니다. Kali365 플랫폼은 디바이스 코드 공격을 통해 마이크로소프트 계정을 타겟팅하는 데 특화되어 있으며, VoidProxy 플랫폼은 구글 로그인을 가로채고 세션 쿠키를 탈취하는 공격 중개자 역할을 합니다.
공격 메커니즘 및 유명 브랜드 악용
이 캠페인은 구글 URL 단축 서비스 및 Zapier와 같은 신뢰할 수 있는 서비스의 리디렉션 링크를 통해 피해자를 유인하며, 이전 단계에서는 GoTo Webinar 및 Zoom과 같은 합법적인 플랫폼의 인프라를 악용하기도 합니다. 가짜 등록 페이지는 특정 행사에 참석하는 대가로 ChatGPT Pro 3개월 이용권 또는 SpaceX의 가짜 주식 지분과 같은 매력적인 경품을 제공합니다.
등록 페이지를 표시하기 전, 악성 사이트는 방문자의 신원을 확인하고 자동화된 보안 플랫폼의 사이트 검사를 방지하기 위해 Cloudflare CAPTCHA 보호 기능을 사용합니다. 피해자가 자신의 마이크로소프트 계정으로 등록을 시도하면, 페이지는 Kali365 플랫폼과 통신하여 디바이스 인증 코드를 생성합니다. 이를 통해 공격자는 비밀번호를 직접 요구하지 않고도 Microsoft 365, Salesforce, Google Workspace와 같은 서비스에 연결된 앱에 접근할 수 있습니다.
이 공격이 실질적으로 변화시키는 점은 무엇인가?
이 캠페인의 위험성은 이미 활성화된 인증 세션을 캡처하거나 OAuth 2.0 디바이스 인증 흐름을 악용함으로써 기존의 2단계 인증(2FA)을 완전히 우회할 수 있다는 점에 있습니다. 구글 옵션을 선택하면 VoidProxy 플랫폼을 통해 팝업 창이 열리며, 이 창은 중개자 역할을 하여 자격 증명, 인증 응답 및 세션 쿠키를 가로챕니다.
이러한 위협으로부터 보호하기 위해 보안 전문가들은 보상을 대가로 업무용 계정 로그인을 요구하는 행사 초청에 대해 각별한 주의를 기울일 것을 권고합니다. 또한 생소한 사이트에서 제공하는 디바이스 인증 코드를 입력하지 않도록 주의하고, 디바이스 코드 인증이 필요하지 않은 환경에서는 이를 제한하며, 피싱에 강한 FIDO2 보안 키를 채택할 것을 권장합니다.