美월가 대형 사모펀드 무더기 해킹 표적…전화로 IT직원 사칭

(서울=뉴스1) 장용석 기자 = 블랙스톤과 아폴로글로벌매니지먼트 등 미국의 대형 사모펀드와 금융회사들이 회사 정보기술(IT) 지원팀을 사칭한 해커들의 집중 공격을 받은 것으로 파악됐다.

6일(현지시간) 로이터통신 등에 따르면 해커들은 최근 한 달간 미국의 유명 금융기관과 기업 임직원들에게 전화를 걸어 계정 정보를 빼내려 했다. 공격 대상엔 블랙스톤과 아폴로, KKR, 베인캐피털, 브리지워터어소시에이츠, TPG 등 세계적인 사모펀드·자산운용사를 비롯해 시카고상품거래소(CME)와 국제신용평가사 무디스 등이 포함됐다.

다만 이들 기업이 실제 해킹당했거나 자료를 탈취당했다는 사실이 확인된 것은 아니다. 구글 위협정보그룹(GTIG)은 해당 사이트들이 침입 시도에 사용됐을 가능성이 크다면서도 "모든 공격이 성공한 것은 아니다"고 설명했다.

해커들은 표적이 된 직원의 개인 휴대전화로 연락해 회사 IT 지원팀 직원을 사칭했다. 발신 번호를 조작해 실제 사내 지원팀 번호가 전화기에 표시되도록 한 사례도 있었다.

이들은 패스키나 다중 인증(MFA) 방식을 긴급히 갱신해야 한다고 속여 직원을 회사 로그인 화면과 비슷하게 만든 '패스키헬프데스크'(passkeyhelpdesk), '시큐어 패스키'(secure-passkey) 등의 가짜 사이트로 유도했다.

직원이 아이디와 비밀번호를 입력하면 해커들은 이를 실시간으로 정상 로그인 사이트에 입력했다. 이어 이들은 문자메시지나 인증 앱으로 전송된 1회용 인증 번호까지 전화로 넘겨받아 통화가 끝나기 전에 계정을 탈취했다.

계정에 침입한 해커들은 자신들이 관리하는 기기를 새 인증 수단으로 등록한 뒤 마이크로소프트 365와 옥타 등 클라우드 환경에 접근했고, 셰어포인트와 원드라이브, 세일즈포스 등에서 기밀 자료를 찾아 자동화 프로그램으로 빼냈다.

구글 측은 "공격자들이 최근 사모펀드와 법률회사, 신용평가사 등으로 표적을 옮기고 있다"고 분석했다. 민감한 자료를 보유해 정보 공개를 막기 위한 몸값을 지불할 가능성이 큰 기업을 노렸다는 것이다. 실제 일부 기업은 자료 공개를 막기 위해 해커들에게 돈을 지급한 것으로 알려졌다.

구글 측은 이번 공격 수법에 대해 "정교하다는 표현은 맞지 않지만, 매우 효과적"이라고 평가했다.

ys4174@news1.kr