마이크로소프트(Microsoft), Okta 등 대기업을 차례로 노리는 해커집단 'LAPSUS$'는? LAPSUS$는 누구냐?
해킹 그룹 LAPSUS$가 유명한 표적에 잇달아 공격을 가해 악명을 떨치고 있다. LAPSUS$는 불과 며칠 사이에 Microsoft나 Okta 등 업계 최대 업체로부터 데이터를 훔쳤다고 밝혔다.
LAPSUS$가 벌이는 캠페인의 목적은 몸값을 요구하고 지불하지 않을 경우 빼낸 정보를 빼내겠다고 협박하는 것으로 보인다.랜섬웨어 그룹이 몸값 지불을 강요하기 위해 이중 협박을 하는 친숙한 수법이지만 LAPSUS$의 경우 데이터가 암호화되지 않아 공격의 일환으로 랜섬웨어가 사용되는 징후는 없다는 것이다.
그래도 공격이 피해를 주지 않은 것은 아니다. Microsoft Security는, 협박의 요구에 굴하지 않는 피해자에 대한 공격에 파괴적인 요소가 있음을 알았다고 한다.
기업용 정체성 및 접근관리 서비스를 제공하는 Okta는 LAPSUS$의 최대 피해자다. Okta에 따르면, 공격자는 고객의 약 2.5%에 상당하는 366사의 정보에 접근할 수 있는 가능성이 있다고 한다.
Okta는 미국 시간 3월 22일에 침범 당한 것을 밝혔다. 1월에 발생한 시큐러티 침해의 시도를 「봉쇄했다」라고 말하고 있다. LAPSUS$는 시스템 접속이 가능함을 나타내는 스크린샷을 게재했다. 서포트 엔지니어의 노트 PC에 액세스 할 수 있었던 것으로 보인. Okta는 블로그에서 생각할 수 있는 고객에 대한 영향은 지원 엔지니어가 가진 접속의 범위에 한정되어 있다고 설명하고 있다. 그러나 이 회사는 영향을 받은 업체에 연락을 취한 것으로 알려졌다.
또, Microsoft도 LAPSUS$에 침해된 것을 확인했다. 이 회사는, 공격자의 접근이 제한적이었다고 말하고 있지만, 해커는 「Bing」 「Bing Maps」 「Cortona」의 소스코드가 포함된다고 하는 torrent 파일을 게재한 것으로 보인다.
LAPSUS$는 Okta와 Microsoft가 피해를 입어 주목을 받고 있지만, 전혀 새로운 그룹은 아니다. 2021년 12월부터 활동하고 있는 것으로 보여져 최근 몇개월 사이에 다수의 피해자가 나온 것 같다.
우선 피해를 당한 조직의 하나는 브라질 보건성이다. 50TB 를 넘는 데이터가 도둑맞아 시스템에서 삭제되었다고 보도되었다. 그중에는 사망자, 백신접종 등 신종 코로나 바이러스 감염증에 대한 데이터가 포함돼 있었던 것으로 알려졌다. 시스템이 재가동되기까지 한 달 간 걸린 것 같다.
또 최근, 그 밖에도 다수의 기술기업이나 게임 기업이, LAPSUS$의 피해를 당하고 있다. NVIDIA가 2월에 LAPSUS$가 원인이라고 생각되는 보안사고에 희생되었다. 해킹단체는 직원 비밀번호 등 1TB 이상의 데이터를 빼냈다고 주장했다.
삼성도 LAPSUS$의 피해를 본 유명한 기업이다. 공격으로, 「Galaxy」스마트폰에 관련한 소스코드 등, 데이터가 누설된 것을 인정하고 있다. 개인정보는 도난당한 것은 없다고 한다.
또 LAPSUS$는, 비디오게임 개발기업 Ubisoft도 침해했다고 하고 있다. 이 회사는 「사이버 보안사고」의 피해를 입어, 사내 전체에서 패스워드를 갱신했다고 밝혔다.
LAPSUS$의 정체는 잘 알려지지 않았다. 아마, 남미를 거점으로 하는 사이버 범죄자의 그룹인 것, 그리고 대규모 조직의 네트워크에 침입해 데이터를 훔쳐, 지불을 강요하는 것 정도 밖에 알고 있지 않다. 영국 거주의 16세의 소년이 공격에 관여하고 있을 가능성이 있다는 보도도 있다.
(추후 영국의 10대 들이 범인이라는 것이 밝혀졌다)
랜섬웨어 그룹은, 훔친 데이터를 다크 웹으로 공개하고 있지만, LAPSUS$는 Telegram의 채널을 사용해, 공격에 관한 정보나 피해자로부터 훔친 정보를 채널 등록한 사람과 직접 공유하고 있는 것 같다.
공격의 실행에 관해서는, LAPSUS$도 많은 사이버 범죄자와 같은 수법을 사용하는 것으로 보인. 공개된 리모트 데스크톱 프로토콜(RDP)을 악용하거나 피싱 메일을 사용하거나, 계정이나 네트워크에 대한 액세스를 한다고 한다. 또 그룹은 언더그라운드 포럼에서 도난당한 인증정보를 구입하는 경우도 있는 것으로 알려졌다.
또한 LAPSUS$는 그룹이 공개하고 있는 채널을 사용하여 메시지를 게재하고 잠재적인 악의가 있는 인사이더에게 가상 프라이빗 네트워크(VPN)나 가상 데스크톱 인프라스트럭처(VDI), Citrix 제품의 인증정보를 제공하도록 독려하고 있는 사례도 있다. 금액은 불명하지만, 그들과 교환으로 금전이 지급한다고 한다.
이 그룹 공격이 갑자기 그칠 가능성은 낮을 것이다. 지명도 높은 기업의 공격에 성공했다고 주장함으로써 대담성을 더할 수도 있다. 그러나 기업은 LAPSUS$나 기타 해킹 그룹의 피해를 당하지 않도록 대책을 강구해야 한다.
예를 들면, VPN나 RDP 와 같은 리모트 워크등에서 이용되는 툴에 강력하고 추측이 곤란한 패스워드를 사용해 보호하는 것이나, 다요소 인증에서 더욱더 방어를 강화하는 방법 등이 있다. 또 침해당할 우려가 있는 사용자는 즉시 비밀번호를 변경해야 한다.