UAT-11985 Uses Fake Event Invites to Target Taiwan Research Affiliates With Google AitM Phishing

핵심 요약

UAT-11985 위협 그룹이 대만 연구 기관을 대상으로 가짜 이벤트 초대를 이용한 스피어 피싱 캠페인을 전개하여 Google 계정 자격 증명과 다단계 인증(MFA) 코드를 탈취하려 시도했습니다. 이 공격은 Adversary-in-the-Middle(AitM) 피싱 프레임워크를 활용하여 사용자의 세션을 가로채는 방식으로, MITRE ATT&CK의 Phishing(T1566) 전술 중 Spearphishing Service(T1598.001) 기법을 사용한 것으로 분석됩니다. 공격자는 합법적인 서비스로 위장하여 피해자가 의심하지 않도록 유도하며, MFA가 적용된 계정까지 탈취할 수 있어 심각한 위협이 됩니다. IT 감사인은 이러한 고도화된 피싱 공격이 국내 조직에도 충분히 발생할 수 있음을 인지하고, 사용자 교육 강화 및 AitM 공격 방어를 위한 기술적 통제 수단 마련 여부를 중점적으로 점검해야 합니다.

개선 권고안

• ✔기술적 조치다단계 인증(MFA)이 적용된 계정에 대해 AitM 피싱 공격에 강건한 FIDO2/WebAuthn 기반의 물리적 보안 키 도입을 적극적으로 검토하고, 조건부 접근(Conditional Access) 정책을 강화하여 비정상적인 로그인 시도를 차단해야 함을 권고함.
• ✔기술적 조치이메일 보안 게이트웨이(Email Security Gateway) 및 ATP(Advanced Threat Protection) 솔루션의 피싱 및 스피어 피싱 탐지 규칙을 최신 위협 동향에 맞춰 지속적으로 업데이트하고, 악성 링크 및 첨부파일 분석 기능을 고도화하여 초기 침투 경로를 효과적으로 차단해야 함을 권고함.
• ✔관리적 조치임직원을 대상으로 AitM 피싱, 스피어 피싱 등 고도화된 사회공학적 공격 기법에 대한 최신 보안 교육을 정기적으로 실시하고, 모의 피싱 훈련을 통해 실제 위협에 대한 대응 능력을 강화할 것을 권고함.
• ✔관리적 조치클라우드 서비스(예: Google Workspace) 사용 환경에 대한 보안 설정을 주기적으로 점검하고, 클라우드 접근 보안 중개(CASB) 또는 SaaS 보안 솔루션을 활용하여 비정상적인 접근 및 데이터 유출 시도를 탐지하고 차단하는 체계를 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기