기존 유출된 데이터 악용... “유포 막으려면 2000달러 비트코인 입금” 협박

[보안뉴스=김형근 기자] 해킹 조직 ‘샤이니헌터스’(ShinyHunters)가 과거 탈취한 기업 데이터베이스 내 이메일 정보를 악용한 성착취 공갈(Sextortion) 캠페인이 확산되고 있다고 해외 정보보호 매체 블리핑컴퓨터가 보도했다. .

공격자들은 피해자 기기를 해킹해 통제권을 장악했다며 “48시간 이내에 2000달러 상당의 비트코인을 송금하지 않으면 성인 사이트 방문 모습이 담긴 민감한 영상을 지인과 동료들에게 유포하겠다”고 협박하는 이메일을 발송하고 있다.


[출처: gettyimagesbank]

이 캠페인은 샤이니헌터스가 직접 주도한 것이 아니라, 제3의 위협 주체가 이미 공개된 유출 데이터를 확보해 감행한 2차 공격이다. 샤이니헌터스는 이번 성착취 공갈 캠페인과 관련성을 전면 부인했다.

이번 피싱에 악용된 데이터는 암트랙(Amtrak), 홀마크(Hallmark), 서브스택(Substack), 베터먼트(Betterment), 카구루(CarGurus), ADT, 파네라브레드(Panera Bread), 맥그로힐(McGraw Hil)l 등 다수 유명 기업에서 유출 정보인 것으로 나타났다. 공격자들은 메일의 신뢰도를 높이기 위해 유출된 실제 이메일 주소와 서비스명을 본문에 명시해 마치 기기가 정밀 맞춤형 해킹을 당한 것처럼 위장했다.

그러나 이는 전형적 사회공학 공갈 수법으로, 공격자가 피해자 기기를 침해하거나 카메라 권한을 탈취해 실제 영상을 촬영한 정황은 발견되지 않았다.

피해 플랫폼 중 하나인 핀테크 기업 베터먼트는 “단순히 이메일 주소를 아는 것만으로는 기기에 악성코드를 설치하거나 장치에 접근하는 것이 불가능하다”며 “이러한 메시지는 수신자를 위협하기 위한 흔한 공갈 사기 수법”이라고 밝혔다. 보안 전문가들은 이런 협박 메일을 수신할 경우 △비트코인 송금 금지 △답장 금지 △본문 내 링크 및 첨부파일 클릭 금지 등 수칙을 준수하고, 메일을 즉시 삭제하라고 권고했다.

[김형근 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>