긴박감, 감정, 권위: 한 사기꾼이 회계법인에 잠입하려 했던 방법

세무 시즌은 회계사들을 바쁘게 만들지만, 사기꾼들에게도 바쁜 시기입니다. 올여름 초, 한 회계법인이 신규 고객으로 가장한 사기꾼의 표적이 되었습니다. 사기꾼은 몇 주 동안 신뢰를 쌓은 후 범행을 저질렀습니다. 다행히 이 이야기는 해피엔딩으로 끝났습니다. 더 좋은 소식은 여러분이 직접 겪지 않고도 교훈을 얻을 수 있다는 것입니다.

설정

해당 연락은 회계법인 웹사이트의 '문의하기' 페이지를 통해 들어왔습니다. 잠재 고객은 이름과 개인적인 사정을 밝혔고, 세금 신고에 대한 몇 가지 합리적인 질문을 했습니다. 건강상의 문제로 직접 세금 신고를 할 수 없었는데, 회계법인에서 늦은 신고를 도와줄 수 있는지 문의했습니다. 몇 주에 걸쳐 세금 상황을 논의하기 위한 미팅 일정을 잡기 위한 이메일이 계속해서 왔습니다.

이러한 사기는 세 가지 특정 요소를 이용하는데, 이 요소들을 명확히 파악하면 팀원들이 어떤 기술적 세부 정보보다도 더 빠르게 패턴을 알아차릴 수 있습니다. 첫째, 긴급성입니다. 사기는 중요한 결정을 내려야 하는 바로 그 순간에 빠르게 진행되기 때문입니다. 둘째, 감정적 요소입니다. 공감을 불러일으키는 개인적인 이야기는 의심스러운 연결 고리가 나타나기도 전에 경계심을 누그러뜨리기 때문입니다. 셋째, 권위입니다. 요청이 친숙하고 신뢰할 수 있는 것, 즉 이 경우에는 거의 모든 기업에서 매일 사용하는 회의 도구를 가장하여 전달되기 때문입니다.

스위치

회의 당일, 사기꾼은 회사 공식 화상 회의 링크가 작동하지 않는다며 대체 링크를 보내는 메시지를 보냈습니다. 이 링크는 일반적인 마이크로소프트 팀즈 회의 초대처럼 보였지만, 실제로는 가짜였습니다. 링크를 클릭하면 가짜 등록 페이지로 연결되어, 직원의 컴퓨터가 사기꾼이 관리하는 장치 관리 시스템에 몰래 등록되었습니다. 그 후, 숨겨진 스크립트가 높은 시스템 권한으로 실행되어 원격 접속 소프트웨어를 설치하려고 시도했습니다.

세이브

이제 축하할 만한 부분입니다. 회사의 바이러스 백신 소프트웨어가 원격 접속 도구 설치 시도를 두 번 모두 차단했습니다. 이후 실시된 정밀 조사 결과 데이터 유출 증거는 발견되지 않았으며, 회사 이메일 시스템도 손상되지 않았음이 확인되었습니다. 단 한 대의 컴퓨터만 공격을 받았을 뿐, 나머지 컴퓨터는 전혀 영향을 받지 않았습니다.

진짜 교훈

한 회사가 아슬아슬하게 위기를 모면한 것 외에도 몇 가지 중요한 점이 있어 이 사례를 공유할 가치가 있습니다. 사기범은 2년 동안 존재해 온 웹사이트를 이용했기 때문에, 새로 생긴 의심스러운 도메인을 탐지하는 도구라면 해당 웹사이트를 전혀 알아채지 못했을 것입니다. 또한 사기범은 회사가 이미 신뢰하는 원격 접속 소프트웨어를 파악하고, 그 소프트웨어와 동일한 복제본을 설치하여 위장하려 했습니다. 여기서 얻을 수 있는 교훈은 간단합니다. 팀에서 설치한 특정 소프트웨어를 신뢰해야 하며, 이름이 같은 모든 소프트웨어를 신뢰해서는 안 됩니다.

도움이 되는 작은 발걸음

이러한 위험을 줄이기 위해 막대한 보안 예산이 필요한 것은 아닙니다. 몇 가지 저렴한 조치만으로도 여러 단계에서 이러한 공격을 차단할 수 있습니다.

• 모든 워크스테이션에 엔드포인트 탐지 및 대응(EDR) 솔루션을 배포하십시오. 이번 사건에서 엔드포인트 보호 기능은 사기 행위가 모든 이전 단계에서 성공한 후에도 원격 액세스 설치를 차단하여, 단순한 클릭으로 인한 시스템 전체 침해를 막는 유일한 방어 수단이 되었습니다.
• 정기적인 보안 인식 교육을 통해 인적 방화벽을 구축하세요. 긴급성, 감정, 권위를 인식하도록 훈련된 직원들이 협력하면 어떤 필터도 걸러낼 수 없는 사기 행위를 적발할 수 있습니다. 훈련된 한 사람이 잠시 멈추는 시간은 비용이 전혀 들지 않으면서 수주에 걸친 사후 처리 시간을 절약해 줍니다.
• 일반 워크스테이션에서 관리자 권한을 제거하세요. 이번 공격에 사용된 스크립트는 높은 수준의 시스템 권한으로 실행되었는데, 해당 권한이 없는 계정에서는 같은 클릭이라도 훨씬 작은 문제로 이어집니다.
• 새로운 잠재 고객과 미팅을 예약하기 전에 반드시 고객 확인(Know Your Customer) 절차를 거치세요. 연락처에 기재된 번호로 전화를 걸거나, 정부 발행 신분증을 확인하거나, 미팅 링크를 통해 간단한 사전 확인 전화를 하는 등의 방법으로 신원 확인을 요청하면, 사기꾼들이 가짜 신분을 이용해 공격을 시도하기 전에 사전에 차단할 수 있습니다.
• IT 담당자에게 회사에서 사용하지 않는 장치 관리 및 원격 액세스 도구를 단순히 확인하는 것이 아니라 차단하도록 요청하십시오. Windows 정책 설정은 승인되지 않은 장치 등록을 아예 차단하며, 대부분의 엔드포인트 플랫폼에서 애플리케이션 제어는 공격자가 심어놓은 후에 찾아내는 것이 아니라 설치 시점에 승인되지 않은 도구를 차단합니다.
• 링크를 클릭하기 전에 모든 링크를 꼼꼼히 확인하고, 예상치 못한 링크는 발신자가 이미 확인한 번호로 전화하여 확인하세요. 링크 위에 마우스를 올리면 실제 목적지가 표시되는 내용과 다른 경우를 알 수 있으며, 확인된 번호로 전화를 걸면 이메일 스레드를 조종하는 사기꾼을 차단할 수 있습니다.

이러한 단계 대부분은 비용보다는 시간이 더 많이 소요되며, EDR과 같은 유료 단계조차도 중소기업 예산에 적합합니다. 이번 주에 하나를 선택해서 시작해 보세요.

이번 주에 즐거운 시간을 보내세요

이미 당신은 사업을 운영하기 위해 매일 수많은 일들을 훌륭하게 해내고 있습니다. 이번 주에는 하나 더 추가해 보세요. 팀원들과 5분 정도 시간을 내어 진정한 신규 고객 메시지와 사기성 메시지의 차이점에 대해 이야기 나눠보세요. 이런 소소한 대화는 어떤 소프트웨어 업데이트보다도 더 큰 신뢰를 구축하는 데 도움이 됩니다. 힘내세요! 완벽함보다는 발전이 언제나 중요하며, 이 글을 읽는 것만으로도 당신은 어제보다 한 발 앞서 나가는 것입니다.

---

출처 :

• 자세한 내용은 CyberHoot의 위협 경보(CH-TA-2026-0001)를 참조하십시오.

---

지금 CyberHoot으로 귀하의 사업을 보호하세요!