'PREY-0058'로 추적되는 위협 그룹이 IT 헬프데스크를 사칭한 전화(보이스 피싱, 'vishing')로 임원급 직원을 속여 Microsoft 365 계정 접근권을 탈취하고 있습니다. 공격자는 가짜 로그인 페이지를 이용해 비밀번호와 MFA(다중 인증) 승인을 중간에서 가로채 인증 세션 토큰을 훔치는 'AiTM(중간자 공격)' 방식을 씁니다. 일단 계정에 들어오면 SharePoint, OneDrive, Exchange 등을 체계적으로 뒤져 대량의 데이터를 빼낸 뒤 협박(데이터 유출 위협 갈취)에 나섭니다. 건설·엔지니어링, 의료, 금융, 부동산 등 다양한 업종의 미국 기반 기업들이 주요 표적이며, 특히 이사급 이상 임원을 집중 공략합니다. 조직은 피싱에 강한 MFA 도입, 조건부 액세스 정책 강화, 헬프데스크 직원 교육으로 대응할 수 있습니다.
Arctic Wolf가 추적하는 위협 그룹 PREY-0058(Google 분류명 UNC6671)이 IT 헬프데스크 사칭 전화로 임원을 속인 뒤, AiTM 패널을 통해 Microsoft 365 세션 토큰을 탈취하고 SharePoint·OneDrive·Exchange에서 데이터를 대량 유출한 뒤 금전을 갈취하고 있다.
건설·의료·금융·부동산·전문서비스 분야 미국 기반 기업의 임원 계정이 침해되고, SharePoint·OneDrive·Exchange·Box 등 SaaS 전반의 기업 데이터가 유출·협박에 악용된다. BlackFile, Pink, Helix, Cinder, Redact 등 여러 이름의 데이터 유출 사이트가 운영 중이다.
공격자는 전화로 직원을 유도해 회사 브랜딩이 적용된 가짜 인증 페이지에 접속시키고, AiTM 방식으로 비밀번호와 MFA 승인을 가로채 세션 토큰을 획득한다. 이후 NodeMaven 등 주거용 프록시를 통해 탐지를 회피한다.
Arctic Wolf는 조건부 액세스(프록시·호스팅 트래픽 차단), 피싱 저항형 MFA 도입, SharePoint 접근 범위 최소화, 헬프데스크 vishing 교육을 권고하며, 침해지표(IOC: 미끼 도메인, 유출 ASN, 주거용 프록시 정보)를 공개했다.
일반 MFA는 AiTM에 우회될 수 있으므로 FIDO2 기반 피싱 저항형 MFA로 전환해야 하며, 조건부 액세스 정책에 주거용 프록시 IP 대역 차단 규칙을 추가하고, MailItemsAccessed·FileAccessed·FileDownloaded 이벤트의 이상 급증을 모니터링해야 한다.
본문
Arctic Wolf에 따르면, IT 헬프데스크 사칭 vishing(보이스 피싱) 전화, 탈취된 세션 토큰, 주거용 프록시를 경유한 로그인이 결합되어 Microsoft 365 및 기타 SaaS 계정을 겨냥한 데이터 절취·협박 공격이 확산되고 있다.
Arctic Wolf는 이 활동을 PREY-0058이라는 이름으로 추적하고 있으며, Google Threat Intelligence Group이 UNC6671로 분류하는 데이터 갈취 그룹과 상당한 전술적 유사성을 공유한다고 밝혔다.
갈취 조직은 BlackFile, Pink, Helix, Cinder, Redact 등 여러 이름으로 불려 왔다. 연구원들은 이 명칭들이 "단일한 확인된 행위자 정체성이 아니라 계열사, 브랜드 변경, 또는 기타 관계를 나타낼 수 있다"고 기술했다.
연구팀은 Cinder가 Pink의 연속일 가능성이 중간 수준으로 높다고 평가한다. Cinder 유출 사이트에 올라온 피해 조직들이 이전에 Pink 연계 피싱 인프라에 의해 공격받은 조직들과 겹치기 때문이다.
Arctic Wolf는 "유인(lure) 인프라 전반의 서브도메인을 분석한 결과, 실제 기업을 사칭하는 수백 개의 항목이 확인됐다. 표적은 주로 미국 기반 기업이며, 건설·엔지니어링, 의료·제약, 부동산·자산 관리, 금융, 전문 서비스 분야에 집중돼 있다"고 밝혔다.
또한 "이 공격은 이사, 부사장, 기타 임원급 직원을 가장 빈번하게 표적으로 삼는다"고 덧붙였다.
전화 공격 방식
공격은 내부 IT 직원을 자처하는 사람의 전화로 시작된다. 공격자는 직원에게 패스키 또는 MFA(다중 인증) 설정처럼 들리는 일상적인 절차를 안내하면서, 피해자 회사 소유처럼 꾸민 인증 페이지 링크를 전송한다. 해당 페이지는 대개 회사 이름이 포함된 서브도메인에 호스팅된다.
이 페이지 뒤에는 공격자가 수동으로 제어하는 AiTM(Adversary-in-the-Middle, 중간자 공격) 패널이 있으며, 피해자별로 수동 게이팅된다. 이 패널은 Microsoft 365 로그인 흐름을 중계하면서 비밀번호와 MFA 승인을 가로채고, 이를 이용해 인증된 세션 토큰을 획득한다.
계정 내부에 진입한 뒤 공격자는 가장 먼저 '내 로그인', '내 프로필', '내 앱' 등의 페이지를 열어 계정의 세부 정보와 연결된 애플리케이션 목록을 파악한다. 이후 SharePoint를 사이트별·페이지별로 체계적으로 탐색하며, 데이터를 복사하기 전에 무엇이 저장돼 있는지 먼저 지도화한다.
마지막 단계에서 위협 행위자는 SharePoint, OneDrive, Exchange 및 Box 같은 기타 SaaS 서비스에서 데이터를 대량으로 수집·유출한다.
Arctic Wolf는 "관측된 Exchange 수집은 MailItemsAccessed 이벤트를 발생시키며, SharePoint와 OneDrive 수집은 대량의 FileAccessed 및 FileDownloaded 이벤트를 만들어낸다. 유출에 사용된 클라이언트 IP 주소는 주로 데이터센터·호스팅 인프라로 확인됐으나, 최근에는 초기 접근에 사용된 것과 동일한 주거용 프록시 네트워크(예: NodeMaven)를 사용하는 방향으로 전환하고 있다"고 설명했다.
조직이 취할 수 있는 조치
Arctic Wolf는 조직들이 조건부 액세스(Conditional Access)를 강화해 프록시 및 호스팅 트래픽을 차단하거나 추가 인증을 요구하고, 가짜 로그인 페이지를 통해 중계될 수 없는 피싱 저항형 MFA로 전환하며, 단일 SharePoint 계정의 접근 범위를 축소하고, 헬프데스크 직원들이 vishing 전화를 식별할 수 있도록 교육할 것을 권고했다.
"방어자는 이상한 주거용 프록시 토큰 재사용, SharePoint 탐색 및 대량 접근, 메일박스 수집, 새로 등록된 인증 테마 유인 인프라를 탐지함으로써 이 활동을 차단할 수 있다"고도 밝혔다.
Arctic Wolf는 또한 유인 도메인, 유출 ASN(자율 시스템 번호), 로그인 활동과 연계된 주거용 프록시 사업자 등의 침해지표(IOC)를 공개했으며, 조직들은 이를 자체 로그와 대조해 확인할 수 있다.
