스캐터드 스파이더: 이 공격이 드러내는 네트워크 태세는 무엇인가
올여름, 스캐터드 스파이더는 또 다른 대규모 체포 작전으로 다시 한번 언론의 주목을 받았습니다. 온라인 괴롭힘, 유심 교체, 신분 도용으로 시작된 범죄는 갈취, 랜섬웨어, 그리고 MGM이나 막스앤스펜서 같은 대기업을 마비시키는 공격으로까지 번졌습니다. 그 피해가 더욱 충격적인 이유는 그들의 전술이 매우 정교했다는 점과, 그 집단과 관련된 사람들의 나이가 대부분 10대 후반이나 20대 초반이라는 점 때문입니다.
이번 체포로 한 장이 마무리되었습니다. 하지만 그것들은 흩어진 거미의 공격이 효과를 발휘하게 만든 근본적인 원리를 바꾸지는 않습니다. 이 그룹은 기발한 사회 공학 기법을 통해 사람들이 얼마나 쉽게 조종될 수 있는지, 그리고 신뢰 네트워크가 도용된 신분에 얼마나 큰 신뢰를 줄 수 있는지를 보여주었습니다. 전화 한 통, 헬프데스크, 그리고 해킹당한 직원 계정 하나면 종종 시스템에 침투하기에 충분했습니다. 그다음으로 진짜 문제는 그 정체성이 어디까지 미칠 수 있느냐는 것이었다. 그건 네트워크 상태에 관한 질문인데, 답은 공격자가 공격을 시작하기 훨씬 전에 이미 결정됩니다.
온라인에서 자란 해커들
스캐터드 스파이더는 특이한 탄생 배경을 가지고 있습니다. CrowdStrike 연구원들은 해당 생태계의 일부가 Minecraft와 Roblox 커뮤니티에서 성장한 광범위한 온라인 커뮤니티인 "The Com"에서 비롯되었다는 것을 밝혀냈습니다. 일부는 게임에서 벗어나 다른 플레이어를 괴롭히고 서로를 해킹하는 "그리핑" 행위로 넘어갔습니다.
그곳부터 생태계는 더욱 어두워졌다. 온라인 괴롭힘으로 시작된 것이 사람들이 돈을 내고 다른 사람을 괴롭히도록 사주하는 시장으로 발전했습니다. CrowdStrike는 이를 "서비스형 폭력"이라고 설명하며, 여기에는 스와팅(swatting), 폭탄 테러 협박, 심지어 직접적인 위협까지 포함되었습니다.
다른 이들은 암호화폐 절도로 눈을 돌렸는데, 절도한 접근 권한을 이용한 기술을 통해 빠르게 돈을 벌 수 있었기 때문입니다. 암호화폐 계정에 접근하기 위해 그들은 사회공학, 신원 도용, 자격 증명 유출, 다단계 인증 우회 및 SIM 스와핑과 같은 고도화된 수법을 사용했습니다. 그러한 기술들은 훗날 스캐터드 스파이더가 대기업을 공격하는 데 핵심적인 역할을 하게 됩니다.
일루미오의 산업 솔루션 담당 이사인 크리스터 스와츠는 "이들은 십대 시절에 시작한 젊은 위협 행위자들로, 반드시 범죄자가 되고 싶었던 것은 아닙니다."라고 말했습니다. "그들은 그냥 할 수 있으니까 어쩌다 보니 그렇게 된 거예요."
이들 중 일부는 이후 수년 만에 최대 규모의 랜섬웨어 공격에 가담했습니다. 미국과 에스토니아 이중국적자인 "부케"라는 닉네임을 사용하는 한 용의자는 스냅챗에 현금, 고급 시계, 다이아몬드로 장식된 "Hack the Planet" 목걸이 사진을 게시했습니다. 이후 FBI는 검찰이 19세 피터 스토크스의 것이라고 주장하는 윈도우 기기 ID를 추적했습니다. 스토크스는 공모, 컴퓨터 침입 및 사기 혐의로 기소되었습니다.
SIM 스와핑부터 사회공학까지
2022년까지 스캐터드 스파이더의 해킹 기술은 기업을 대상으로 삼았습니다. 그들은 이동통신사 시스템에 접근 권한이 있는 통신 회사와 비즈니스 프로세스 아웃소싱 업체를 표적으로 삼았습니다. SIM 스왑이 성공하면 피해자의 전화번호가 공격자가 제어하는 기기로 옮겨져 피해자의 모든 통화, 문자 메시지 및 SMS 기반 다단계 인증(MFA)이 전송될 수 있습니다.
그 사업 모델은 오래가지 못했습니다. 통신 사업자와 콜센터는 시스템 보안을 강화했고, 접속이 더욱 어려워졌습니다. 이후 스캐터드 스파이더는 비디오 게임 회사들과 접촉하기 시작했습니다. 그들의 계획은 소스 코드를 훔치고 소유자에게 돈을 요구하는 것이었습니다. 즉, 돈을 내놓지 않으면 코드를 암시장에 유출하겠다는 것이었죠.
한 시도는 게임 회사를 협박하여 훔친 부정행위 방지 소스 코드를 요구하는 것이었습니다. 게임 회사는 돈을 지불하지 않았고, 암시장 구매자들도 코드에 관심이 없었다. 그 계획은 실패로 돌아갔다. 2023년에 이 그룹은 랜섬웨어 공격으로 방향을 전환했습니다. 돈이 거기에 있었어.
헬프 데스크부터 네트워크의 핵심까지
SIM 스와핑은 Scattered Spider의 발전에 있어 중요한 단계였습니다. 이를 통해 그들은 직원을 사칭하고 IT 헬프데스크를 조작하는 데 능숙해졌습니다. CrowdStrike는 공격자들이 피해자에 대해 상세한 조사를 한다는 사실을 발견했습니다. 그들은 지역 번호처럼 보이는 전화번호를 사용하고, 사투리를 흉내 내고, 45분 이상 통화를 이어갔다. 수백 건의 음성 통화 녹음을 분석한 결과, 연구원들은 서로 다른 이름과 가명을 사용하는 7개의 반복적인 목소리를 확인했습니다.
2023년 MGM 공격 사건은 그러한 접근 권한이 얼마나 심각한 결과를 초래할 수 있는지를 보여주었습니다. 스캐터드 스파이더는 사회공학적 기법을 사용하여 네트워크에 침투한 후, 환경 속으로 더 깊숙이 파고들었습니다. 이번 공격으로 슬롯머신, ATM, 디지털 객실 키, 결제 시스템 등이 마비되었습니다. MGM은 SEC에 이번 사건으로 3분기 실적이 약 1억 달러 감소할 것이라고 밝혔습니다.
M&S 유출 사건에서도 훨씬 더 깊은 곳에서 동일한 패턴이 나타났습니다. 공격자들은 직원으로 가장하여 IT 헬프데스크를 속여 비밀번호를 재설정하게 함으로써 네트워크에 침투한 것으로 알려졌습니다. 그들은 거기서부터 Active Directory 에 접근하여 NTDS.dit 파일을 훔쳤습니다. 이 저장소에는 사용자 계정, 그룹 멤버십, 컴퓨터 개체 및 중요한 암호 해시를 포함한 모든 도메인 정보가 저장됩니다.
공격자들은 서비스형 랜섬웨어인 드래곤포스(DragonForce)를 사용했습니다. 이는 제휴사들에게 시스템을 암호화하고 피해자를 협박할 수 있는 도구를 제공합니다. 그 접속은 광범위한 차단 사태로 이어졌습니다. M&S는 거의 7주 동안 온라인 의류 및 가정용품 주문을 받지 않았습니다.
흩어진 거미: 변화하는 전술의 연대기
- 2022년 — 대규모 SIM 스와핑
스캐터드 스파이더는 통신 사업자 및 콜센터 의 전화번호를 탈취하여 MFA 코드를 가로챌 수 있었습니다. - 2023년 8월 — 고객지원센터가 정문으로 바뀌다
아웃소싱 IT 벤더를 대상으로 한 소셜 엔지니어링 공격으로 공격자들이 시저스 엔터테인먼트 에 침투했습니다. 보도에 따르면 약 1500만 달러를 지불했다고 합니다. - 2023년 9월 — 하나의 정체성, 전체 층
MGM 리조트에서는 동일한 접근 방식을 슬롯머신, ATM, 객실 키에도 적용했습니다. MGM은 증권거래위원회(SEC)에 3분기 실적에 1억 달러의 손실이 예상된다고 밝혔습니다. - 2024년 — 클라우드 및 SaaS로의 전환
도난당한 자격 증명이 악성코드로 대체되었습니다. 공격자들은 온라인 비즈니스 애플리케이션 에서 데이터를 탈취하고 금전을 요구했는데, 종종 랜섬웨어를 사용하지 않았습니다. - 2025년 4월 — 랜섬웨어로 마무리
Marks & Spencer에서 헬프 데스크 소셜 엔지니어링 공격이 Active Directory까지 침투했고, DragonForce가 나머지를 처리했습니다. M&S는 이번 공격으로 인해 피해 완화 조치를 제외하고도 영업 이익이 약 3억 파운드 감소할 것으로 예상한다고 밝혔습니다. - 2025년 중반 — 작전 지침서가 휴대 가능해집니다
보험과 항공 분야 가 그 뒤를 이었다. 진입점은 이전과 동일했습니다. 즉, 헬프데스크에 전화하는 것이었습니다.
새로운 비즈니스 모델이 나올 때마다 그들은 더욱 위험해졌다.
스캐터드 스파이더의 전술은 계속 바뀌었지만, 그 변화마다 새로운 능력이 추가되었습니다. 사회공학적 기법으로 인해 신원 정보가 유출되었습니다. 신원 정보 유출은 클라우드, SaaS 및 중요 인프라에 대한 접근 경로를 열었습니다. 랜섬웨어는 사용자들이 접근 권한을 통해 수익을 창출하는 수단이 되었습니다.
인공지능은 이러한 적응을 훨씬 더 빠르게 진행시킬 수 있습니다. CrowdStrike 연구원들은 Scattered Spider가 LLM 생성 징후가 있는 스크립트를 배포하는 것을 목격했다고 밝혔습니다. AI는 해당 그룹이 익숙하지 않은 시스템을 더 빠르게 처리하는 데 도움이 될 수 있습니다.
최근 체포된 사람들은 이러한 공격의 배후 인물들에게 타격을 줄 수 있을 것으로 보입니다. 하지만 전략은 그대로입니다.
존재해서는 안 되는 경로를 찾으세요
네트워크 상태가 중요합니다. 방어자는 어떤 시스템이 통신할 수 있는지, 그리고 어떤 시스템은 실제로 통신해야 하는지 알아야 합니다. 사용자 장치는 기술적으로 Active Directory, 데이터베이스 또는 하이퍼바이저에 접근할 수 있습니다. 그렇다고 해서 꼭 그래야 한다는 뜻은 아닙니다.
스와츠는 "중요한 차이점은 무엇을 전달할 수 있는지와 무엇을 전달해야 하는지 사이에 있다"고 말했다.
그러한 불필요한 경로는 공격자가 측면 이동으로 활용할 수 있는 통로가 됩니다. 가시성이 높아지면 그들의 정체가 드러난다. 어떤 것은 다른 것보다 더 중요한 곳으로 이끌어줍니다.
스와츠는 액티브 디렉터리와 하이퍼바이저를 예로 들었습니다. 그는 "하이퍼바이저는 아마도 액티브 디렉토리만큼이나 중요할 것"이라고 말했다. "그 기반을 훼손하면 엄청난 피해를 입을 수 있습니다."
Active Directory, 하이퍼바이저, 주요 DNS 시스템 및 백업은 엄격하게 관리되어야 합니다. 접근 권한이 실제로 필요한 사용자 및 워크로드만 해당 권한에 접근할 수 있어야 합니다. 세분화로 나머지가 마무리됩니다.
먼저 격리하고, 그 다음에 조사하라
Scattered Spider는 침입이 얼마나 빠르게 랜섬웨어로 발전할 수 있는지를 보여주었습니다. 즉, 확산 방지가 전적으로 개인이 경보를 보고 다음에 무엇을 해야 할지 결정하는 것에만 의존할 수는 없다는 뜻입니다.
"가능한 한 인간을 개입시키지 않아야 합니다."라고 스와츠는 말했다.
팀은 높은 수준의 위협에 대비하여 격리 정책을 마련하고 차단 조치를 자동화해야 합니다. 워크로드가 위험한 동작을 보이기 시작하면 먼저 해당 워크로드를 격리하십시오. 확산이 멈춘 후에 조사를 진행하십시오.
스와츠는 이를 화재경보기를 누르는 것에 비유합니다. 연기가 나는 정확한 원인을 아직 알지 못하더라도 불을 끄기 위해 기다리지는 않는다는 것입니다.
공격자가 어디까지 침투할 수 있는지 테스트해 보세요.
마지막으로 살펴볼 내용은 공격자의 관점에서 네트워크를 테스트하는 것입니다.
신원 정보가 이미 유출되었다고 가정해 보겠습니다. 그럼 얼마나 멀리까지 움직일 수 있는지 물어보세요. Active Directory에 접근할 수 있습니까? VMware? 백업? 민감한 데이터베이스? 수비수들이 그 움직임을 보고 나머지 경기 진행에 지장을 주지 않고 막을 수 있을까요?
"누군가가 신분을 도용할 수 있다고 가정해 보세요. 그러면 그들이 얼마나 큰 피해를 입힐 수 있는지 알게 될 겁니다."라고 스와츠는 말했다. 공격자의 입장에서 생각해 보세요. 자신의 환경에 뛰어들어 다른 사람이 먼저 길을 찾기 전에 그 길을 찾아내세요.
사람과 전략은 바뀔 수 있습니다. 결과에 영향을 미치는 것은 바로 ‘도난당한 신분 정보가 얼마나 멀리까지 퍼져나갈 수 있는가’라는 질문에 대한 답입니다.
다음 단계로 나아갈 준비가 되셨나요? Illumio Insights가 AI 기반 클라우드 탐지 및 대응 기능을 활용하여 측면 이동, 위험 트래픽, AI 기반 위협 및 규정 준수 격차를 어떻게 파악하는지 확인해 보세요. 네트워크 상태 점수를 분석하고 다음에 어떤 부분을 세분화할지 우선순위를 정하세요.
