요약:
FBI는 북한 정부의 지원을 받는 해커 그룹이 'FaceStealer'라고 불리는 정교한 사회 공학 공격을 통해 지난 18개월 동안 4억 달러 상당의 암호화폐를 훔쳤다고 밝혔습니다. 이러한 공격자는 피해자의 친숙한 인물을 사용하여 화상 회의를 위장하고 대상이 악성 코드를 설치하도록 속인 다음 손상된 장치와 소셜 네트워크를 통해 공격 범위를 확장합니다.
2026년 11월 12일 로이터 보고서에 따르면 FBI는 이 공격 시스템이 단순히 피싱 이메일이나 악성 웹사이트를 통해 비밀번호를 훔치는 것이 아니라, 실제 사람의 소셜 계정, 비밀리에 녹화된 영상, 인공지능이 생성한 딥 페이크 이미지를 결합해 피해자들이 신뢰할 수 있는 동료, 친구, 업계 관계자와 정상적으로 소통하고 있다고 착각하게 만든다고 밝혔다.
공격은 믿을 수 없을 것 같은 화상 회의 초대로 시작되는 경우가 많습니다. 해커는 먼저 대상의 소셜 미디어나 인스턴트 메시징 계정에 침입하여 연락처 정보와 과거 통신 기록을 얻은 다음 훔친 계정을 사용하여 피해자에게 회의 초대장을 보냅니다. 초대는 실제 접촉을 통해 이루어지고 메시지 내용이 양측의 과거 의사소통 습관과 일치하기 때문에 대상은 종종 큰 의심을 불러일으키지 않습니다.
링크를 클릭하면 피해자는 Zoom, Microsoft Teams 또는 Google Meet과 같은 주류 화상 회의 소프트웨어를 모방하는 웹사이트에 들어가게 됩니다. 피해자와 아는 사람이 회의장에 등장할 수도 있지만 실제로는 가해자가 미리 녹화한 영상이다. 해커는 전체 회의의 신뢰성을 높이기 위해 실제처럼 보이는 여러 명의 참석자를 준비할 수도 있습니다.
회의 중에 공격자는 의도적으로 피해자의 목소리가 들리지 않는다고 주장하는 등 기술적인 결함을 일으킨 후 상대방에게 오디오 문제를 해결하기 위해 링크를 클릭하거나 특정 작업을 수행하도록 유도합니다. 소위 수정이라고 불리는 것이 실제로는 악성 코드이며, 피해자가 지시 사항을 따르기만 하면 악성 코드가 컴퓨터에 설치됩니다.
기기가 손상되면 해커는 비밀번호를 도용하거나, 소셜 미디어 계정을 제어하거나, 피해자가 액세스할 수 있는 다른 컴퓨터 시스템에 액세스할 수 있습니다. 공격자는 피해자의 연락처, 소셜 미디어 정보 및 통신 기록을 추가로 수집한 다음 이 정보를 사용하여 친척, 친구, 동료 및 비즈니스 파트너에 대한 새로운 공격을 시작합니다.
이는 모든 피해자가 다음 공격의 진입점이 될 수 있음을 의미합니다. 해커는 초기 침해에서 얻은 계정과 정보를 활용할 수 있을 뿐만 아니라 피해자의 실제 신원을 사용하여 새로운 신뢰를 구축함으로써 후속 공격을 식별하기 더 어렵게 만들 수도 있습니다.
FBI는 공격자들이 인공 지능을 사용하여 암호화폐 업계의 유명 인사와 주요 인물에 대한 딥페이크 동영상을 제작하기 시작했다고 밝혔습니다. 이러한 가짜 이미지는 화상회의에서 기만 효과를 더욱 높이기 위해 사용됩니다. FBI는 이번에 피해자들의 웹캠 영상 900여 개를 압수해 공격자들이 사전 녹화된 이미지를 사용해 타인을 사칭하는 것뿐만 아니라 후속 공격에 자료를 제공하기 위해 새로운 피해자들의 영상 자료를 계속해서 수집하고 있음을 보여줬다.
미국 법무부는 이번 작전을 북한 해커 집단의 사회공학적 공격 작전인 '페이스스틸러(FaceStealer)'라고 명명하고, 해당 해커들이 사용하는 클라우드 인프라를 탈취하기 위한 조치를 취했다고 11월 12일 밝혔다. 미국은 이러한 조치로 인해 지난 18개월 동안 4억 달러 이상의 암호화폐 손실이 발생했으며 오픈 소스 소프트웨어 공급망의 보안도 위협받았다고 주장합니다.
FBI는 이 활동이 UNC1069라고도 알려진 북한 해커 그룹 사파이어 슬릿의 소행이라고 밝혔습니다. 이 조직은 또한 Dangerous Password, CryptoCore 및 BlueNoroff와 같은 이름을 사용하여 보안 연구 기관에 의해 추적되었습니다. 미국은 이러한 공격자들이 암호화폐 보유자부터 오픈소스 소프트웨어 개발자 및 유지관리자까지 목표를 점차 확대하고 개인 장치와 소프트웨어 창고 계정을 침입하려고 시도하고 있다고 지적했습니다.
이러한 변화는 특히 주목할 만합니다. 오픈 소스 소프트웨어는 많은 기업과 개발자가 자체 애플리케이션을 구축하는 데 사용되는 경우가 많습니다. 공격자가 중요한 프로젝트의 관리자 계정을 제어할 수 있는 경우 소프트웨어 업데이트나 코드 제출에 악성 콘텐츠를 삽입하여 하위 사용자에게 영향을 미칠 수 있습니다. FBI는 오픈 소스 소프트웨어 공급망에 대한 공격이 이 작전의 중요한 새로운 방향이 될 수 있다고 믿습니다.
미국 법무부가 발표한 사례에 따르면 올해 초 JavaScript 소프트웨어 라이브러리 유지 관리를 담당하는 개발자가 가짜 Teams 회의에 참여했습니다. 회의에 개발자와 아는 사람이 나타나 오디오 결함으로 인해 수리 작업을 요청했고 결국 개발자의 컴퓨터가 감염되었습니다. 공격자는 자신이 관리하는 소프트웨어 웨어하우스 계정에 접근하여 추가적인 공급망 위험을 조성하려고 시도합니다. 관련 공격은 결국 광범위한 확산 없이 발견되어 차단되었습니다.
미국 법무부도 이번 페이스스틸러 작전은 최근 암호화폐 거래소 바이낸스(Binance)를 상대로 발생한 대규모 도난 사건과는 다른 해킹 작전임을 강조했다. 후자는 미국에 Trader Traitor로 알려진 북한 해킹 그룹과 관련이 있습니다. FBI는 이전에 Binance 절도를 이 조직에 기인한 반면 FaceStealer는 주로 Sapphire Sleet와 같은 해커 활동 클러스터에 의해 구현되었습니다. 이 둘을 혼동해서는 안 됩니다.
북한은 정부 활동과 승인된 무기 프로그램에 자금을 지원하기 위해 암호화폐 절도를 오랫동안 사용해 왔다고 미국 법무부가 밝혔습니다. 이번 압수는 FaceStealer의 기술 인프라를 혼란에 빠뜨리고 암호화폐 및 오픈 소스 소프트웨어 업계에 더욱 주의를 환기시키기 위한 것이었습니다.
이번 사건은 또한 인공지능과 딥페이크 기술이 사이버 범죄의 공격 방식을 변화시키고 있음을 보여줍니다. 과거에는 화상회의에서 지인의 이미지가 신원 확인의 중요한 근거가 되는 경우가 많았지만, 이제는 해커들이 실제 계정을 탈취하고, 실제 인물의 이미지를 녹화하고, AI 딥페이크 영상을 생성하는 등 극도로 혼란스러운 허위 장면을 만들어 낼 수 있다. 기업과 개발자의 경우 영상이나 친숙한 아바타, 지인 계정의 미팅 초대에만 의존하여 상대방의 신원을 확인하는 것은 더 이상 충분하지 않습니다.
댓글