아이클라우드 사칭 사이트만 1500개…고전적 피싱에 무너진 보안

고전적인 피싱 수법을 사용한 대규모 해킹 캠페인이 드러났다. [사진: 셔터스톡]

[디지털투데이 AI리포터] 민간 해킹 업체들이 정부 기관의 의뢰를 받아 언론인과 활동가 등을 대상으로 고전적인 피싱 수법을 동원한 대규모 해킹 캠페인을 수년간 전개해 온 정황이 드러났다.

13일(현지시간) IT 매체 나인투파이브맥에 따르면, 사이버 보안 연구 기관인 엑세스 나우(Access Now), 룩아웃(Lookout), SMEX가 중동과 북아프리카 지역을 중심으로 발생한 금전적 목적의 해킹(Hack-for-hire) 캠페인을 공동 조사한 보고서를 발표했다.

보고서에 따르면, 이번 공격은 해당 지역 외에도 영국과 미국 내 주요 대학 동문 등을 표적으로 삼았으며, 인도 해킹 스타트업 아핀(Appin)의 파생 조직인 비터APT(BITTER APT)가 주도한 것으로 분석되었다.

이번 캠페인의 특징은 최근 화제가 된 정교한 취약점 공격 방식 대신, 아이클라우드나 페이스타임 등 유명 서비스를 사칭한 피싱 웹사이트를 활용하는 고전적 방식을 사용했다는 점이다. 룩아웃의 보고서에는 합법적인 서비스로 위장한 약 1500개의 악성 웹 주소가 포함되었으며, 여기에는 애플 아이디 로그인 페이지나 서비스 안내 페이지를 정교하게 흉내 낸 도메인들이 다수 발견되었다.

공격 대상은 애플 사용자뿐만 아니라 구글, 마이크로소프트, 시그널, 왓츠앱, 야후 등 광범위한 플랫폼 사용자를 포함했다. 해커들은 각 플랫폼의 특성에 맞춘 다양한 피싱 기술을 동원해 사용자의 계정 정보를 탈취했으며, 이는 복잡한 기술적 취약점 없이도 사용자의 부주의를 이용해 아이폰과 안드로이드 기기 모두를 성공적으로 침해할 수 있음을 보여주었다.

조사 기관들은 이번 사건이 정부 기관들이 직접 해킹 업무를 수행하는 대신 민간 해킹 업체에 외주를 주는 추세가 전 세계적으로 확산하고 있음을 시사한다고 경고했다. 국가적 차원의 감시가 민간 비즈니스 모델과 결합하면서 시민 사회와 정부 관리들에 대한 사이버 위협이 더욱 일상화되고 고도화되고 있다는 분석이다.