Offcanvas

CSO / 랜섬웨어 / 악성코드

강은성의 보안 아키텍트ㅣ2단계 인증(2FA)을 통과하는 사회공학

2022.10.12 강은성  |  CIO KR
지난 8월 10일 세계적인 네트워크 장비 기업이자 보안 전문 기업인 시스코(Cisco)는 올해 5월 24일 회사의 IT 인프라를 표적으로 한 공격이 발생했음을 발견하고 즉각 대응하여 제거했다고 밝힌 바 있다.

시스코에 따르면 공격자는 시스코 직원의 개인 구글 계정을 장악하여 직원의 크롬 브라우저에 저장되어 동기화된 회사의 자격증명을 확보했다. 그 뒤 공격자는 직원에게 다단계 인증 푸시 알림을 수락하도록 며칠 동안 이 직원이 신뢰할 만한 조직을 사칭하여 국제 억양과 사투리로 직원에게 전화를 걸었고, 결국 성공하여 CiscoVPN을 통해 내부에 침입하였다.
 
그림 1. 보이스 피싱을 통한 2단계 인증 통과 ⓒhttps://purplesec.us/security-insights/cisco-cyber-attack/

기술적으로 뚫리기 쉽지 않은 2단계 인증이 보이스 피싱으로 뚫린 것은 다소 허망한 면이 없지 않다. 하지만 시스코의 보고서에 나오는 대로 ‘신뢰할 만’하게 보이는 국제단체인 것처럼 위장하고 계속 전화를 걸면 귀찮아서든 실수로든 푸시 알림을 한 번쯤 누를 수도 있을 법하다(필자는 Google Authenticator를 테스트해 보기 위해 푸시 알림에 ‘아니오’를 눌렀다가 고생한 경험이 있다).

지난 9월 5일 세계 굴지의 호텔그룹 인터컨티넨티탈호텔그룹(IHG)의 자회사 홀리데이인호텔이 사이버 공격을 받아 2주일 정도 예약시스템 등 주요 IT시스템이 중단됐다. 자신을 TeaPea라고 지칭한 범인은 9월 17일 텔레그램을 통해 BBC와 연결됐을 때, 피싱 메일에 악성코드를 첨부하여 회사 내부에 침입하였으며, 2단계 인증 코드(2FA)를 캡처하여 2FA를 우회했고, IHG의 가장 민감한 컴퓨터시스템은 패스워드 ‘Qwerty1234’(!)로 접속하였다고 주장했다. 

기사만으로는 IHG에서 2단계 인증이 우회된 경위가 분명해 보이지는 않으나, 이와 비슷한 내용을 한국인터넷진흥원(KISA)에서 제시한 적이 있다. 
 
그림 2. 피싱 메일 및 피싱 페이지를 통한 2단계 인증 우회 ⓒ한국인터넷진흥원, 「TTPs#4. 피싱 타깃 정찰과 공격 자원 분석」, 2020.12.

위 시퀀스 다이어그램을 보면, 피싱 메일을 받은 직원은 메일 본문에 있는 로그인 피싱 페이지에 접속하여 ID와 비밀번호를 입력하고, OTP(One Time Password)까지 입력한다. 공격자는 이를 사용하여 회사의 2단계 인증을 통과한다. 

마이크로소프트, 엔비디아(Nvidia), 옥타(Okta) 등 세계 유명 기업을 해킹한 랩서스(Lapsus$)는 기술적인 공격 방법보다 오히려 사회공학을 적극적으로 활용했다. 이들은 침입하기 전에 자신들이 운영하는 채널에서 목표로 삼은 기업의 직원이나 내부자를 채용하거나 자격증명, 다중 인증 우회에 필요한 정보를 구매하기도 하였다. 
 
그림 3. 공격 대상 회사의 접근 권한을 제공할 인력을 구하는 랩서스의 광고 ⓒ마이크로소프트

마이크로소프트에 따르면, 랩서스는 기업에 침입한 뒤 권한 상승을 하는 데에도 사회공학을 이용했다. 예를 들어 헬프데스크 직원에게 전화해서 특수권한자의 자격증명을 리셋해 달라고 시도했는데, 특히 헬프데스크 직원은 주로 외주 인력이어서 정규 직원의 요구를 거절하기가 쉽지 않을 수도 있다. 헬프데스크에 보안 관련 기능을 갖고 있다면, 기업 보안의 약한 고리가 될 수 있는 것이다.

그 밖에도 로그인에 OTP를 적용했으나, 이를 우회하는 로그인 경로가 존재하여 OTP 자체가 무의미해진 경우도 있다. 9월 말 국내 게임 서비스에서 OTP를 설정한 게임 이용자들이 아이템을 탈취당한 사건이 그 사례다. 

기술적으로 볼 때 이메일은 OTP를 전달하기에는 적합하지 않고, 문자메시지 역시 보안 수준이 높다고 보기 어렵다. 구글 OTP에서 백업 코드를 사용한다면, 그것을 탈취당하지 않도록 안전하게 보관해야 OTP의 보안 수준을 유지할 수 있다.

모바일 OTP 앱을 사용한다면 스마트폰에 대한 관리 역시 기업 보안의 범위로 포함할 필요가 있다. 간단한 생체인증으로 보안성과 사용의 편리성을 추구한 FIDO(Fast IDentity Online) 기반의 ‘간편 인증’ 역시 추가 인증수단으로 검토해 볼 만하다.

외부의 공격으로부터 개인정보, 산업기밀, 금융정보 등 기업의 중요 정보를 보호하기 위한 핵심 대책으로 2단계 인증은 여전히 가성비 좋은 보안 대책이다. 다만 사회공학의 종류와 신고 및 대응 방안에 대한 임직원 교육, 업무 매뉴얼 반영을 통해 사회공학에 대비하고, 사용자 인증 체계를 종합적으로 살펴 약한 고리를 제거해야 2단계 인증의 효과를 누릴 수 있다. 

* 강은성 교수는 국내 최대 보안기업의 연구소장과 인터넷 포털회사의 최고보안책임자(CSO)를 역임한 정보보호 및 개인정보보호 전문가다. 현재는 이화여자대학교 사이버보안학과 산학협력중점교수로 있다. 저서로 「IT시큐리티」(한울, 2009)와 「팀장부터 CEO까지 알아야 할 기업 정보보안 가이드」(한빛미디어, 2022) 등이 있다. ciokr@idg.co.kr
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.