캐나다 법무부, 스노우플레이크 해킹 배후 알렉산더 ‘코너’ 무카 체포

캐나다 법무부, 스노우플레이크 고객 165개 조직 해킹 사건 배후로 알렉산더 ‘코너’ 무카 체포
도난당한 자격증명 활용해 전 세계 조직에서 잘못 구성된 SaaS 인스턴스 침해
올해 초 무카의 공모자인 존 빈스, 터키 당국에 체포되면서 캠페인 주도한 두 공격자 모두 구금

[보안뉴스 김경애 기자] 캐나다 법무부가 올초, 스노우플레이크(Snowflake) 고객인 165개 조직의 해킹 사건에 배후로 의심되는 알렉산더 ‘코너’ 무카(Alexander ‘Connor’ Moucka)를 체포했다.

알렉산더 ‘코너’ 무카는 도난당한 자격증명을 활용해 전 세계 조직에서 잘못 구성된 SaaS 인스턴스를 침해한 것으로 알려졌다.

올해 초 무카의 공모자인 존 빈스(John Binns)가 터키 당국에 체포되면서 이 캠페인을 주도한 두 공격자가 모두 구금됐다.

이와 관련해 구글 클라우드 맨디언트 수석 위협 애널리스트 오스틴 라슨(Austin Larsen)과 맨디언트 관계자는 성명을 발표했다.

알렉산더 무카와 존 빈스 체포와 관련해 구글 클라우드 맨디언트 수석 위협 애널리스트 오스틴 라슨(Austin Larsen)은 “알렉산더 ‘코너’ 무카로 알려진 UNC5537은 2024년 가장 치명적인 공격자 중 하나로 입증됐다”며 “2024년 4월, UNC5537은 100개 이상의 조직에서 잘못 구성된 SaaS 인스턴스를 체계적으로 손상시키는 캠페인을 시작했다”고 말했다.

조직은 이 작전으로 인해 상당한 데이터 손실과 갈취 시도로 인한 어려움을 겪었다며 이들의 공격은 기성 툴을 사용해 한 개인이 초래할 수 있는 심각한 피해 규모를 보여준 사례라는 것.

이번 체포는 사이버 범죄자들을 억제하고 그들의 행동이 심각한 결과를 초래한다는 점을 각인시키는 역할을 할 것이라고 밝혔다.

맨디언트의 또 다른 관계자는 “맨디언트는 도난당한 자격증명을 사용해 초기 액세스 권한을 얻은 침해 공격을 계속 대응하고 있다”며 “공격자는 가장 일반적으로 피싱 이메일이나 인포스틸러 멀웨어 사용, 이러한 방법을 사용하는 공격자로부터의 구매 등 여러 가지 방법으로 자격증명을 획득하고 있다”고 밝혔다.

그는 “이러한 멀웨어 범주는 UNC5537 외에도 UNC3944와 UNC3661를 비롯한 많은 금전적 목적의 침해 공격자가 사용했다”며 “갈취 작전에 참여한 공격자가 인포스틸러를 자주 사용하는 건 불법 커뮤니티 전반에 걸쳐 인포스틸러에 대한 지속적인 관심이 증가하고 있다”는 것을 시사한다고 설명했다. 또한, 인포스틸러가 전 세계 조직에 중대한 지속적인 위협이 되고 있음을 강조한다고 덧붙였다.
[김경애 기자(boan3@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다