Google의 사이버 보안 부문인 Google Threat Intelligence Group(GTIG)이 음성 피싱(비)을 이용하는 사이버 범죄 그룹 “UNC6671”이 긴급한 보안 이전을 지원하는 IT 헬프데스크 담당자를 위장하여 기업의 직원들을 대상으로 음성 피싱을 반복하고 있음을 보고했습니다. UNC6671은 브랜드 리뉴얼: 다중 브랜드 음성 협박이 금융 서비스 및 엔터프라이즈 클라우드 환경을 표적으로 하고 있습니다 | Google Cloud 블로그
UNC6671은 긴급한 보안 이전을 지원한다는 명목으로 IT 지원 데스크 담당자를 사칭하여 기업의 직원들에게 접근하는 음성 피싱 공격을 감행했습니다. 특히 공격자는 직원의 개인용 모바일 기기를 통해 연락하는 경우가 많습니다. 이러한 전화는 피해자를 위조된 로그인 포털로 유도하고, 그곳에서 AiTM(中間者攻撃) 인프라 구조를 통해 인증 정보와 다중 인증 토큰을 훔칩니다. 세션이 確立되면 공격자는 Microsoft 365나 Okta와 같은 기업 클라우드 환경에서 데이터를 유출하기 위한 자동 스크립트를 배포합니다. 이렇게 유출된 데이터는 다른 데이터 유출 사이트(DLS)에서 공개됩니다. UNC6671이 2026년 2월, 5월, 6월, 7월에 사용한 DLS를 담은 그림이 아래에 제시됩니다.
UNC6671에서 활용한 DLS의 Helix(왼쪽)과 Pink(오른쪽) 스크린샷은 다음과 같습니다.
페커런의 스크린샷은 다음과 같습니다.
2026년 6월 27일, 레드랙(Redact)의 운영자는 블로그 게시글을 통해 DLS(Darklist Service)를 블랙파일(BlackFile)에서 레드랙(Redact)으로 명칭 변경한 사실을 밝혔습니다. 이 블로그 게시글에서 운영자는 “쫓겨난 관계자들에 의해 블랙파일이 해킹당하고 침투당했다”고 설명했습니다. 레드랙에 따르면, 이 전 관계자는 허가되지 않은 유사한 DLS를 운영하며, 연결되지 않은 토크 ID(Tox ID)를 사용하여 그룹의 명의로 무허가된 협박 캠페인을 벌였다고 주장했습니다. 레드랙의 운영자는 이 전 관계자가 위협 정보 분석가 및 사이버 보험 협상 담당자들 사이에 혼란을 야기하고 브랜드의 평판을 훼손하기 위해 2026년 5월 블랙파일 브랜드 폐쇄를 의도적으로 검토했다고 주장했습니다. 이에 레드랙의 운영자는 블랙파일과의 거리를 두기 위해 명칭을 레드랙으로 변경했으며, 모든 커뮤니케이션을 인증하기 위해 단일 검증된 토크 ID와 PGP 키(PGP key)를 도입했다고 설명했습니다. 더불어 레드랙의 운영자는 경쟁 그룹의 압력이 명칭 변경에 영향을 미쳤을 가능성을 부인했습니다.
2026년 4월부터 5월까지, 제조업, 부동산업, 의료, 보험업 등 여러 산업 분야에 걸쳐 성숙 단계에 접어든 대규모 기업들을 표적으로 삼는 사례가 다수 확인되었습니다. 이 활동의 파도 속에서, UNC6671은 이러한 확립된 기업 분야에서 대량의 인증 정보 탈취를 우선적으로 수행하는 것으로 나타났습니다. 더 나아가, 2026년 6월에는 UNC6671의 표적이 주요 기술 기업, 운송 기업, 숙박 기업으로 전환되었습니다. 이에 대해 GTIG는 “귀중한 지적 재산, 소프트웨어 소스 코드, 기밀성이 높은 VIP 고객 데이터를 보유하는 조직에 집중하는 것으로 보였다”고 지적했습니다. 2026년 7월에는 공격의 표적이 금융 및 법률 분야로 좁혀졌으며, 사립 투자 회사, 법률 사무소, 금융 등급 기관을 대상으로 하는 인프라 구조가 표적으로 삼았습니다. 이에 대해 “합병, 인수, 자본 투자, 소송과 관련된 조직에 집중하는 것은 고가치 기업 데이터와 기밀 데이터를 표적으로 삼아 협박 협상력을 극대화하는 전략을 반영하는 것일 수 있다”고 GTIG는 분석했습니다.
GTIG는 2026년 1월 7일부터 2026년 5월 12일까지 총 141.65BTC(거래 당시 약 1069만 달러: 약 17억 원 상당)를 수령한 18개의 BlackFile 비트코인 지갑 주소를 조사했습니다. 이 비트코인 지갑들은 몸값을 지불하는 데 사용되었으며, 2026년 5월 11일에 BlackFile이 폐쇄된 이후에도 지속적으로 사용되었습니다. 2026년 4월 말부터 5월 초에 관측된 여러 건의 대규모 현금 인출 이벤트는 BlackFile이 Redact로 명칭 변경되자마자 금융 거래가 중단 없이 지속되고 있었음을 뒷받침하는 증거입니다. 참고로, UNC6671의 몸값을 요구하는 금액은 처음에는 일반적으로 100만 달러(약 1억 6000만 원)에서 300만 달러(약 4억 7000만 원) 정도였으나, 협박범이 협상 중에 요구 금액을 변경하는 경우가 많았으며, 초기 요구 금액의 50%에서 75%를 감액하는 경우도 있었습니다. 2026년 1월 7일부터 2026년 5월 12일까지 확인된 몸값 지불액의 평균은 75만 달러(약 1억 2000만 원)입니다.
원문 보기 | 출처: Gigazine