“해커계의 어벤져스?” Scattered Spider와 Lapsus$의 기괴한 결합, 한국 기업의 ‘심리’를 노린다
)
- Scattered Spider, Lapsus$, ShinyHunters 등 악명 높은 해커 그룹들이 기술과 인력을 공유하며 ‘거대 위협 생태계’로 진화하고 있습니다.
- 이들은 기술적 취약점보다 ‘사람의 심리’를 공략하는 사회 공학적 기법과 SIM 스와핑을 통해 기업의 클라우드(SaaS) 환경을 탈취합니다.
- 협상금을 지불하는 행위는 이 ‘괴물’들에게 먹이를 주어 더 강력한 범죄를 저지르게 만드는 악순환의 핵심 동력이 되고 있습니다.
💡 인사이트: “해킹은 이제 코드의 전쟁이 아니라, 관리자의 스마트폰과 심리를 장악하는 ‘멘탈 게임’입니다. 이것은 보안의 패러다임이 무너지는 대변혁입니다.”
융합하는 악마들: ‘Scattered Lapsus’라는 새로운 위협
과거의 해커들이 고독한 천재였다면, 오늘날의 위협은 ‘기업형 연합체’의 모습을 띠고 있습니다. 최근 브라이언 크렙스(Brian Krebs)가 경고한 바에 따르면, Scattered Spider(UNC3944), Lapsus$, 그리고 ShinyHunters는 더 이상 개별적인 조직이 아닙니다. 이들은 텔레그램 채널을 통해 기술을 거래하고, 성공적인 공격 시나리오를 공유하며, 심지어 핵심 인력을 ‘파견’하기도 합니다.
제가 보안 현장에서 목격한 가장 소름 돋는 점은 이들의 ‘무모함’입니다. 10대와 20대 초반으로 구성된 이들은 전통적인 해커들이 꺼리던 대담한 수법을 사용합니다. 예를 들어, IT 지원팀에 전화를 걸어 직원을 사칭하고 비밀번호를 재설정하게 만드는 ‘비싱(Vishing)’ 수법은 알고리즘 보안이 아무리 철저해도 인간의 친절함과 허점을 파고듭니다.
이들이 사용하는 3대 핵심 전술
- SIM 스와핑(SIM Swapping): 타겟의 휴대전화 번호를 가로채 다요소 인증(MFA)을 무력화합니다.
- SaaS 플랫폼 집중 공략: Snowflake, Okta, Salesforce 등 기업 데이터가 밀집된 클라우드 서비스를 직접 타격하여 한 번에 수조 원 가치의 데이터를 유출합니다.
- 데이터 유출 기반 협박: 파일을 암호화하는 랜섬웨어를 넘어, “돈을 안 주면 고객 정보를 다 뿌리겠다”는 극도의 심리적 압박을 가합니다.
“제발 괴물에게 먹이를 주지 마십시오”
보안 업계의 오랜 격언 중 하나는 “협상하지 말라”는 것입니다. 하지만 수천 명의 고객 정보가 유출될 위기에 처한 기업 입장에서 이는 지키기 어려운 원칙입니다. 그러나 크렙스는 단호하게 말합니다. 협상금을 지불하는 순간, 당신은 다음 공격의 자본금을 대주는 후원자가 되는 것입니다.
이들은 받은 돈으로 더 정교한 해킹 도구를 사고, 더 비싼 변호사를 고용하며, 사법망을 피하기 위한 인프라를 구축합니다. 결국 “먹이를 주는 행위”가 전 세계 보안 비용을 기하급수적으로 높이는 결과를 초래하고 있습니다.
한국은 세계에서 가장 빠른 IT 인프라를 보유하고 있지만, 그만큼 ‘심리적 보안’에는 취약합니다. 특히 국내 대기업들이 글로벌 지사를 확장하면서 해외 콜센터나 협력사 IT 지원팀을 운영하는 경우가 많은데, 이것이 Scattered Spider의 주 타겟이 될 수 있습니다.
- 콜센터 보안 재정의: 한국 특유의 ‘친절한 고객 응대’ 문화가 해커의 사회 공학적 공격에 악용될 수 있습니다. 신원 확인 절차를 단순 음성 통화가 아닌 강력한 생체 인증으로 대체해야 합니다.
- SaaS 보안 설정 전수 조사: 최근 국내 스타트업과 대기업이 대거 채택한 클라우드 데이터 웨어하우스(Snowflake 등)의 MFA 설정이 ‘권장’이 아닌 ‘강제’인지 확인해야 합니다.
- SIM 스와핑 방지책: 국내 이동통신사와 협력하여, 고위 임원 및 시스템 관리자의 번호에 대해서는 오프라인 방문 없이는 SIM 변경이 불가능하도록 ‘잠금 장치’를 걸어야 합니다.
이것은 단순한 기술 업데이트의 문제가 아닙니다. 기업 내부의 신뢰 프로세스 전체를 재설계해야 하는 생존의 문제입니다.
원문 출처: Krebs on Security – Please Don’t Feed the Scattered Lapsus ShinyHunters