Home > 전체기사

암호화폐 거래소의 도메인 제어권을 실수로 넘긴 고대디

  |  입력 : 2020-11-24 12:37
페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기
직원 일부가 공격자들의 비싱 공격에 당해…전화 통화로 신뢰 쌓아
그러면서 결정적 순간에 도메인 크리덴셜 넘겨…암호화폐 일부 침해돼


[보안뉴스 문가용 기자] 최근 도메인 등록소인 고대디(GoDaddy)의 직원들을 겨냥한 소셜 엔지니어링 공격이 암호화폐 거래소 일부에 대한 불법 장악으로까지 이어져 화제다. 또한 해당 거래소 사용자들의 개인정보도 일부 유출된 것으로 알려졌다.

[이미지 = utoimage]


공격의 주요 기법은 비싱(vishing)인 것으로 알려졌다. 공격자와 피해자가 전화기를 통해 음성을 공유했다는 것이다. 즉 공격자가 전화를 걸어 피해자를 설득해 각종 정보를 넘기게 했다는 뜻이 된다. 고대디의 직원은 리퀴드(Liquid)와 나이스해시(NiceHash)의 도메인을 장악하는 데 필요한 크리덴셜을 공격자에게 속아서 넘긴 것으로 파악됐다.

리퀴드의 CEO인 마이크 카야모리(Mike Kayamori)는 11월 18일 자사 시스템에 침해가 있었다고 공식 발표했다. “2020년 11월 13일, 도메인 호스팅 제공업체인 고대디가 계정 제어 권한을 악성 행위자에게 잘못 넘기는 사태가 발생했습니다. 리퀴드의 핵심 도메인 이름들 중 하나도 여기에 포함되었습니다. 때문에 공격자는 리퀴드의 DNS 기록들을 변경시키고 내부 이메일 주소 여러 개를 통제할 수 있었습니다. 도메인 스토리지에도 접근한 것으로 보입니다.”

리퀴드는 빠른 조치를 통해 도메인 통제 권한을 다시 복구시켰고, 고객들의 돈은 전부 무사하다고 발표했다. 하지만 공격자들은 이메일, 이름, 주소, 암호화 된 비밀번호를 취득했다고 한다. “악성 행위자들이 다른 민감 문서들에도 접근했는지 아직 조사 중에 있습니다. 결과가 나오는 대로 고객들과 소통하겠습니다.”

나이스해시에서의 사정도 비슷한 것으로 밝혀졌다. 리퀴드 사건과 같은 날인 11월 18일 사이트가 다운됐다. 발표문을 통해 나이스해시 역시 고대디와 관련된 사이버 사건이 터졌음을 알렸다. 내용도 리퀴드의 그것과 크게 다르지 않다. 다만 리퀴드와 달리 고객 데이터도 무사하다고 발표했다. 이중 인증을 적용한 때문이라고 한다.

현재 두 사건의 공통분모가 되는 고대디 측은 어떤 입장일까? 대변인인 댄 레이스(Dan Race)는 일부 고객 도메인들과 계정 정보에 불법적 변경이 있었음을 수사를 통해 확인할 수 있었다“며 ”고대디 직원 일부를 겨냥한 소셜 엔지니어링 공격이 사건의 발단이었다“고 밝혔다. 또한 11월 17일 고대디에서는 전사적인 정전 사태가 발생했다고 하는데, 이는 위 비싱 사건과 무관하다고 주장했다. 정전은 기술적 오류로 인한 것이라고 한다.

보안 블로거인 브라이언 크렙스(Brian Krebs)는 지난 한 주 동안 고대디 에코시스템에서 벌어진 도메인 이름 변경 이력들을 전부 조사한 결과 또 다른 암호화폐 거래소인 비복스(Bibox), 클레셔스네트워크(Clecius.network), 와이렉스앱(Wirex.app)도 사건의 영향을 받았을 가능성이 높다는 사실을 알아냈다고 발표했다. 다만 이 거래소들은 침해와 관련된 발표를 전혀 하지 않고 있다.

고대디는 지난 1년 각종 사이버 공격에 시달려 왔다. 3월에는 고대디 고객 서비스 직원이 악성 행위자들에게 속아 도메인 설정 인터페이스에 접근하도록 했었다. 5월에는 2만 8천여 개의 고객 계정들이 2019년 10월 침해됐다고 발표하기도 했다. 이 침해 사건이 발견된 건 2020년 4월의 일이었다.

비싱 공격이란
코로나 팬데믹 선포 이후 비싱 공격은 점점 더 빈번해지는 위협이 되고 있다. 집에서 가상망을 통해 회사에 접속하는 직원들의 수가 늘어났기 때문이다. 미국의 FBI와 CISA는 7월부터 공격자들의 비싱 시도 횟수가 크게 늘어났다고 경고하기도 했었다. 비싱은 표적이 공개한 프로파일 정보를 수집하고 모은 후 직접 전화를 걸어 여러 대화를 통해 신뢰를 천천히 형성해 가는 기법이다.

주로 거래처 담당자를 사칭하는 경우가 많다. 미리 모아둔 정보를 대화 가운데 활용함으로써 의심을 걷어낸다. 그런 후 때가 되면 악성 링크를 보내달라거나 특정 크리덴셜을 요구하는데, 이미 신뢰를 얻었기 때문에 무사 통과가 가능하다. 고대디의 직원도 고객사 IT 담당자를 사칭하는 공격자와 통화 중에 주요 정보를 넘긴 것으로 파악됐다.

보안 업체 화이트햇(WhiteHat)의 부회장인 세투 쿨카니(Setu Kulkarni)는 “사람은 생각보다 잘 속고, 이 점은 변치 않는 보안 취약점으로 남아 있다”고 외신과의 인터뷰를 통해 설명했다. 즉, 직원 개개인의 철저함과 꼼꼼함을 믿고 보안을 구축해서는 안 된다는 것이다. 특정 상황에서는 직원들의 행동을 제한하는 규정과 시스템도 반드시 필요하다.

여기에는 다음과 같은 조치들이 포함된다고 그는 꼽았다.
1) 최신 엔드포인트 보호 장비들로 직원드의 모바일 장비를 보호한다.
2) 직원 교육을 통해 최신 공격 기법에 대해 미리 알려준다.
3) 특정 정보를 외부로 넘길 때는 반드시 여러 절차를 거치도록 정책을 마련한다.
4) 업무의 속도만을 강조하는 것이 아니라 건강한 회의주의를 배양한다.

3줄 요약
1. 얼마 전 거대 도메인 등록소 직원이 비싱 공격에 당함.
2. 등록소 고객사의 도메인 제어 권한이 공격자에게 넘어감.
3. 이를 통해 암호화폐 거래소 일부가 침해되고 마비됨.

[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

  •  
  • 0
  • 페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기

  •  SNS에서도 보안뉴스를 받아보세요!! 
넷앤드 파워비즈 진행 2020년1월8일 시작~2021년 1월8일까지위즈디엔에스 2018파워비즈배너 시작 11월6일 20181105-20200131
설문조사
보안전문 기자들이 뽑은 2021년 보안 핫키워드 10개 가운데 가장 관심이 높은 키워드는?
민간인증서부터 융복합인증까지, 인증의 시대 열린다
랜섬웨어 공격, ‘불특정 다수’에서 ‘표적형’으로 진화
데이터 프라이버시가 기업들의 목을 죈다
재택근무와 주 52시간 근무제, 오피스 보안 ‘혁신’ 예고
영상·음성까지 합성 ‘딥페이크’, 비대면 사회 침투하나
의료·제약 분야, 코로나19 다음은 해커
스마트공장 구축은 OT/ICS 보안 정립부터
드론, 융합보안 산업의 핵심 아이템이 되다
몸집 키운 ADT캡스-에스원 대격돌, 보안시장 지각변동
CCTV 시스템온칩 대란, 중소기업 생존까지 위협