2026.08.07 02:18 AM
By 이재경
IT전문매체인 테크크런치(TechCrunch)는 6일(목) 구글(Google) 보안 연구팀의 보고서를 인용해, 신원이 확인되지 않은 해커 조직들이 미국 대형 금융·투자회사 직원들을 전화로 속여 침투한 뒤 훔친 민감 정보를 공개하겠다고 위협하며 금품을 갈취하고 있다고 보도했다.
AI 기반 자동화 해킹이 확산하는 시대에도, 피해자를 속여 스스로 정보를 내주게 만드는 구식 사회공학적 기법이 여전히 큰 성과를 내고 있다는 것이다.
구글은 보고서에서 피해 기업의 이름을 밝히지 않았지만, 로이터(Reuters) 보도에 따르면 피해 기업 목록에는 아폴로 글로벌 매니지먼트(Apollo Global Management), 베인 캐피털(Bain Capital), 블랙스톤(Blackstone), 브리지워터 어소시에이츠(Bridgewater Associates), CME 그룹(CME Group), KKR, 무디스(Moody's), TPG 등 유수의 사모펀드 및 투자회사들이 포함된 것으로 전해졌다.
구글은 이번 공격에 관여한 해킹 조직들에 팰컨(Falcon), 헬릭스(Helix), 핑크(Pink), 리댁트(Redact)라는 이름을 붙였다. 이들은 직원 개인 휴대전화로 전화를 걸어 동료나 IT 헬프데스크 직원을 사칭한 뒤, 피해자가 가짜로 만든 웹사이트에 로그인 정보와 다중인증(MFA) 코드를 입력하도록 유도하는 방식을 쓴다고 구글은 설명했다. 이런 수법은 보안업계에서 '보이스 피싱(vishing, voice phishing)'으로 불린다.
구글이 확인한 조직 중 일부는 자체 웹사이트를 운영하며 해킹 사실을 공개하고, 훔친 데이터를 유출하겠다고 위협해 몸값을 받아내는 전형적인 갈취 전략을 구사하고 있는 것으로 나타났다. 해당 웹사이트 중 한 곳에는 "우리는 모든 협상을 전문적인 방식으로 진행한다. 데이터 공개는 우리가 원하는 결과가 아니라, 협조를 거부하거나 시간을 끌거나 합의를 지키지 않았을 때 나타나는 결과다"라며 "신속하고 성실하게 응답하면 추가적인 사고 없이 문제를 해결할 수 있다"는 협박 문구가 게재됐다.
구글 연구팀은 이들 조직이 모두 자사가 'UNC6671'로 추적하고 있는 더 큰 상위 조직의 일부일 가능성이 있다고 밝혔다. 다만 이들이 하위 계열사인지, 갈라져 나온 분파인지, 아니면 동일한 피싱 서비스형 인프라(Phishing-as-a-Service)를 함께 쓰는 관계인지는 아직 명확하지 않다고 덧붙였다. 보고서는 "여러 공개 갈취 브랜드를 동시에 운영하는 조율된 위협 행위자 집단일 가능성이 가장 높으며, 이는 작전을 분리하고 전체 침해 규모를 숨기며 협상 실패에 따른 여파를 국한하려는 목적일 수 있다"고 분석했다.
구글에 따르면 이들 조직은 이전에도 제조, 부동산, 헬스케어, 보험 업계와 기술, 운송, 숙박업 대기업들을 겨냥해 "가치 있는 지식재산권, 소프트웨어 소스코드, 민감한 VIP 고객 데이터"를 노려온 전력이 있다. 최근에는 사모펀드 등 법률·금융 조직으로 표적을 옮겼다. 구글 연구팀은 "인수합병, 자본 배치, 소송에 관여하는 조직에 집중하는 것은 고부가가치 기업 정보와 기밀 데이터를 표적으로 삼아 갈취 요구의 지렛대를 최대화하려는 전략을 반영하는 것으로 보인다"고 밝혔다.
구글은 이들 조직 중 한 곳과 연관된 암호화폐 지갑이 올해 초 몇 달 동안 약 1000만 달러 상당의 비트코인을 받았다고 밝혔다. 해커들은 통상 피해자에게 75만 달러에서 300만 달러 사이의 금액을 요구하는 것으로 전해졌다.