금융권 대상 유포 악성코드 통계

6월 금융권 위협 분석에서는 Phishing(피싱)이 공격 1단계에서 가장 높게 나타났고, Dropper/Downloader(추가 악성코드를 내려받는 유포 도구)가 공격 2단계에서 가장 높게 나타났다. Infostealer(정보 탈취 악성코드)는 공격 3단계에서 확인되었고, 이는 초기 미끼 유포부터 추가 악성코드 설치, 정보 탈취로 이어지는 다단계 공격 체인이 널리 사용되고 있음을 보여준다.

악성 첨부파일 형식에서는 HTML이 가장 큰 비중을 차지했다. 확장자 기준으로는 html, js, exe, vbe 등이 상위에 집중되었고, js, vbe, vbs, bat, hta 같은 스크립트 계열 확장자와 html, htm, shtml 같은 웹문서 계열 비중이 높았다. 이는 HTML 기반 피싱 페이지와 HTML smuggling(브라우저를 이용해 악성 파일을 숨겨 전달하는 기법), 스크립트 실행, LOLBins(정상 도구를 악용하는 방식) 활용이 활발함을 시사한다.

한글 첨부파일명 사례에서는 업무 문서, 세금·결제 증빙, 인사·계약 관련 서류를 가장한 파일명이 다수 확인되었다. 공격자는 신뢰를 얻기 위해 실제 업무용 문서처럼 보이도록 파일명을 구성한 것으로 정리되었다.

텔레그램으로 유출된 국내 계정의 산업군 통계

악성코드 감염과 피싱 메일을 통해 수집된 국내 계정 정보가 Telegram API를 통해 공격자에게 유출된 사례가 정리되었다. 메일에는 송금, 영수증, 음성 메일 같은 키워드가 사용되었고, 악성 링크나 HTML 첨부파일을 열면 로그인을 유도하는 페이지가 확인되었다. 6월 동안 텔레그램으로 유출된 국내 금융권 계정은 전체의 5%를 차지했다.

금융권 관련 딥웹 & 다크웹 주요 이슈

데이터베이스 유출은 다크웹에서 판매되는 주요 위협으로 다뤄졌다. 공개된 사례로는 canadalife.com의 Canada Life 데이터, robinhood.com의 Robinhood 사용자 데이터베이스, prudential.com의 Prudential Financial 보험계약자 및 수익자 데이터베이스가 언급되었다. 각각 이름, 이메일, 전화번호, 주소, 계정 정보, SSN, 은행 계좌 정보, 보험 정보 등 민감 정보가 포함된 것으로 설명되었다.

랜섬웨어와 데이터 강탈 위협도 다수 확인되었다. Lapsus$는 ayabank.com의 AYA Bank Public Company Limited를 피해자로 게시하며 약 120GB 규모의 덤프와 금융·카드·고객 결제 관련 파일을 언급했다. MORPHEUS는 hdfcfund.com의 HDFC Asset Management Company(HDFC AMC) 데이터를 약 680GB 규모로 주장했고, Qilin은 cbl.gov.ly의 리비아 중앙은행(Central Bank of Libya, CBL)을 피해자로 게시했다.

접근 권한 판매 사례로는 브라질 핀테크 기업 관련 게시물이 확인되었다. DarkForums에서 WordPress 메인 도메인, GitHub 조직 관리자 계정, MSSQL SA 계정, S3 MinIO, Grafana, 운영 환경 접근 권한과 고객 KYC 문서, 은행 계좌 정보 등이 판매 대상으로 언급되었다. 또한 OneFly 및 Bridgepay의 신용카드 데이터가 판매되었다고 주장하는 게시물도 확인되었다.

전반적으로 6월 금융권 위협은 피싱 기반 초기 침투, 악성코드 유포, 계정 정보 탈취, 다크웹 데이터 판매, 랜섬웨어 및 접근 권한 거래가 함께 나타난 것으로 정리되었다.