해커조직, 760개 기업 및 기관 정보를 17일(현지시간)에 유출 사이트에 게시하겠다고 위협
크라우드 소싱 이용해 대중을 협박 도구로 삼는 새로운 압박 전술 구사

[보안뉴스 김형근 기자] 세일즈포스 고객사 사이에서 내부 정보 유출 사고가 잇달아 일어난 가운데, 세일즈포스는 자사 정보를 대규모 탈취했다고 주장하는 해커 그룹과 협상하지 않겠다는 입장을 밝혔다.

이 사이버 범죄 조직은 스캐터드스파이더(Scattered Spider)나 랩서스$(Lapsus$), 샤이니헌터(ShinyHunters) 등의 해커 그룹과 연계돼 있다 주장하며, 39개 주요 글로벌 기업 데이터를 확보했다고 유출 사이트를 통해 협박해 왔다.


[자료: 연합]

이들은 10억 건 이상의 개인 식별 정보(PII)를 확보했다고 주장하고 있다. 신용카드나 기타 금융 정보 같은 민감 데이터 포함 여부는 아직 불분명하다.

세일즈포스 홍보 담당자는 “(해커 집단의) 갈취 요구와 관련, 대화하거나 협상하거나 몸값을 지불하는 일은 없을 것”이라고 해외 정보보안 매체 ‘시큐리티다이브’(Security Dive)에 최근 밝혔다. 이 회사는 고객사들에도 이 같은 방침을 알렸다.

세일즈포스는 현재 해당 사고에 대해 조사 중이다. 이 공격은 세일즈포스 시스템 취약점 때문에 발생한 것이 아니며, 자사 시스템도 침해되지 않았다는 입장이다.

보안기업 소포스 분석에 따르면, 데이터 탈취는 두 건의 별개 해킹 캠페인을 통해 이뤄졌다.

하나는 IT 지원 직원을 사칭한 보이스피싱 수법을 사용했다. 유출 사이트에 처음 언급된 39개 기업을 대상으로 한 공격이다. 이들은 직원들을 속여 악성 버전의 세일즈포스 데이터 로더(Data Loader) 설치를 유도해 데이터를 빼돌렸다.

또 다른 공격은 세일즈포스와 연계해 사용하는 업무용 AI 챗봇 서비스를 이용해 이뤄졌다. 세일즈로프트가 제공하는 드리프트 챗봇의 취약점을 이용해 오스(OAuth) 토큰을 탈취해 세일즈포스 고객 계정에서 자격 증명을 추가 탈취했다.

760개 기업 및 기관이 피해를 입은 것으로 추산된다. 해커들은 이 760개 조직의 정보를 17일(현지시간) 유출 사이트에 게시하겠다고 위협했다.

소포스는 이들 해커 그룹이 새로운 형태의 심리적 압박 전술을 구사한 점에도 주목했다. 이들은 자신들의 텔레그램 채널 구독자들에게 $10 상당의 비트코인(BTC)을 지급하겠다고 제안하며, 이들을 심리전 도구로 활용했다. 구독자들이 유출 목록에 있는 기업 고위 경영진에게 직접 이메일을 보내 몸값을 지불하라고 요구하도록 부추겼다.

크라우드 소싱을 이용해 대중을 협박 도구로 삼는 셈이다. 기업의 압박 강도를 극도로 높이려는 시도라고 소포스 연구진은 설명했다.

[김형근 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>