가짜 급여 데스크톱 앱, 공격자에게 회사 급여 접근 경로 제공

핵심 요약

공격자들이 데스크톱 앱을 제공하지 않는 대형 미국 급여 및 HR 플랫폼을 사칭하여 가짜 데스크톱 앱을 배포하고, 이를 통해 합법적인 원격 액세스 도구인 ScreenConnect를 설치하여 사용자 모르게 시스템을 제어하는 공격이 확인되었습니다. 이 공격은 Masquerading(T1036) 전술을 사용하여 사용자를 속이고, Remote Desktop Software(T1219.002)를 악용하여 지속적인 접근을 확보하는 사회공학적 기법과 합법적 도구 악용이 결합된 형태입니다. IT 감사인은 이러한 위협 동향을 바탕으로 임직원 대상의 보안 인식 교육 강화, 비인가 소프트웨어 설치 통제, 원격 접속 도구 사용 정책 및 모니터링 체계의 적절성을 점검해야 함을 시사합니다.

개선 권고안

• ✔기술적 조치업무용 시스템에 대한 소프트웨어 설치 정책을 수립하고, EDR(Endpoint Detection and Response) 또는 MDM(Mobile Device Management) 솔루션을 활용하여 비인가 소프트웨어의 설치 및 실행을 탐지하고 차단하는 기술적 통제를 강화할 것을 권고함.
• ✔기술적 조치네트워크 트래픽 및 시스템 로그를 지속적으로 모니터링하여 비정상적인 원격 접속 시도나 알려지지 않은 원격 제어 소프트웨어의 통신을 탐지하고 즉시 대응할 수 있는 체계를 강화할 것을 권고함.
• ✔관리적 조치임직원 대상의 사회공학적 공격(피싱, 스미싱 등) 및 비인가 소프트웨어 설치 위험에 대한 보안 인식 교육을 정기적으로 실시하고, 교육 효과성을 평가하여 미흡 사항을 지속적으로 개선할 것을 권고함.
• ✔관리적 조치원격 접속 도구의 사용에 대한 명확한 정책을 수립하고, 비인가 원격 접속 도구의 설치 및 사용을 탐지하고 통제하기 위한 모니터링 체계를 구축 및 운영할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기