‘스타킬러’ 피싱 서비스, 실제 로그인 페이지 및 MFA 프록시

핵심 요약

‘스타킬러(Starkiller)’라는 새로운 서비스형 피싱(PhaaS) 서비스가 실제 로그인 페이지를 동적으로 로드하고 피해자와 합법적인 사이트 간의 프록시 역할을 하여 사용자 이름, 비밀번호 및 다단계 인증(MFA) 코드를 탈취하는 방식으로 확산되고 있습니다. 이 서비스는 기존 피싱의 한계를 넘어 정적 복사본이 아닌 실제 사이트를 이용하며, 'login.microsoft.com@[악성/단축 URL]'과 같은 기만적인 URL을 사용하여 사용자를 속여 MFA까지 우회할 수 있습니다. IT 감사인은 이러한 고도화된 피싱 공격이 조직의 인증 시스템 보안을 심각하게 위협하며, 기존의 MFA 및 보안 통제가 무력화될 수 있음을 인지하고 피싱 저항성 인증 도입 및 임직원 보안 인식 강화를 최우선 과제로 점검해야 합니다.

💡 개선 권고안

• ✔기술적 조치핵심 시스템 및 고위험 계정(예: 관리자, 임원)에 대해 FIDO2/WebAuthn 기반 하드웨어 보안키와 같은 피싱 저항성 다단계 인증(MFA)을 우선적으로 도입 및 적용해야 함을 권고함.
• ✔기술적 조치이메일 게이트웨이 및 웹 필터링 솔루션의 탐지 규칙을 고도화하여 'login.microsoft.com@[악성/단축 URL]'과 같은 기만적인 URL 패턴 및 프록시 피싱 공격에 사용되는 도메인을 실시간으로 탐지하고 차단할 수 있도록 강화할 것을 권고함.
• ✔기술적 조치엔드포인트 탐지 및 대응(EDR) 및 보안 정보 및 이벤트 관리(SIEM) 시스템에 비정상적인 인증 시도, 세션 하이재킹, 그리고 MFA 우회 시도와 관련된 탐지 규칙을 추가하고, 관련 로그를 실시간으로 모니터링하는 체계를 구축해야 함을 권고함.
• ✔관리적 조치임직원을 대상으로 스타킬러와 같은 최신 프록시 피싱 공격 수법, 기만적인 URL 식별 방법, 그리고 MFA 우회 시도에 대한 보안 인식 교육을 정기적으로 실시하고, 모의 피싱 훈련을 통해 실제 대응 능력을 강화할 것을 권고함.
• ✔관리적 조치계정 탈취 및 MFA 우회 사고 발생 시 신속하게 대응할 수 있도록 명확한 비상 대응 절차를 수립하고, 관련 부서 간의 협업 체계를 강화하며, 정기적인 훈련을 통해 절차의 유효성을 점검할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문