Zali Steggall의 WhatsApp, 러시아 해킹 의심 공격에 노출

호주 하원의원, 글로벌 피싱 공격에 휩싸이다

호주 무소속 하원의원 Zali Steggall이 3월에 자신의 WhatsApp 계정이 정교한 피싱 수법에 의해 해킹당했다고 밝혔습니다. 이 공격은 러시아 위협 행위자들이 조직한 것으로 추정되며, 전 세계 정부 관료, 군인, 언론인들의 메시징 계정을 손상시킨 광범위한 글로벌 캠페인의 일부입니다.

Steggall은 성명을 통해 이 침해 사실을 확인했으며, 해커들이 기만적인 전술을 사용해 접근 권한을 얻었다고 밝혔습니다. 그녀의 사무실은 접근된 콘텐츠의 구체적인 내용을 공개하지 않았지만, 이 사건은 널리 사용되는 메시징 플랫폼이 국가 지원 사이버 스파이 활동에 얼마나 취약한지를 보여줍니다.

피싱 캠페인의 작동 방식

네덜란드와 독일 정보 기관의 경고에 따르면, 공격자들은 Signal과 WhatsApp 모두에서 공식 지원 계정을 사칭합니다. 피해자들은 플랫폼 보안 팀에서 보낸 것처럼 보이는 메시지를 받게 되며, 의심스러운 활동을 경고하고 인증 코드 입력이나 QR 코드 스캔과 같은 즉각적인 조치를 요구합니다.

네덜란드 정보국(AIVD/MIVD)은 이 캠페인을 "고위 인사, 군인 및 공무원"을 대상으로 하는 러시아 국가 해커들의 대규모 글로벌 노력이라고 설명했습니다. 공격자들은 "연결된 기기" 옵션과 같은 합법적인 기능을 악용하여 사용자가 앱의 암호화를 깨지 않고도 계정에 대한 액세스 권한을 부여하도록 속입니다.

Signal 및 WhatsApp 암호화는 여전히 유지

두 메시징 서비스 모두 기본 암호화가 손상되지 않았다고 강조했습니다. Signal은 성명을 통해 "Signal의 암호화 및 인프라는 손상되지 않았으며 여전히 견고합니다"라고 밝혔습니다. 네덜란드 관리들도 이 캠페인이 "메시징 서비스의 기술적 취약점을 악용하지 않는다"고 말하며 이를 지지했습니다.

대신, 공격은 인간의 실수, 즉 사용자가 보안 코드를 넘겨주도록 속는 것에 의존합니다. 이 방법은 Steggall의 사례와 독일에서 약 300개의 정치 인사 Signal 계정이 손상된 것으로 보고된 사례에서 볼 수 있듯이 놀라울 정도로 효과적입니다.

독일과 미국, 유사한 공격 확인

독일에서는 연방 검찰이 두 명의 정부 장관을 포함한 고위 정치인을 대상으로 한 Signal 계정 사이버 공격에 대한 예비 조사에 착수했습니다. 독일 매체 Der Spiegel은 피해자들이 가짜 Signal 보안 챗봇으로부터 PIN을 입력하거나 QR 코드를 스캔하도록 요청하는 메시지를 받았다고 보도했습니다.

한편, 미국 정보 기관은 3월에 러시아 해커들이 미국 정부 관료, 군인 및 언론인의 수천 개 계정을 침해했다고 경고했습니다. FBI 경보는 공식 지원 계정을 사칭하여 피해자들이 민감한 정보를 공유하도록 유도하는 캠페인을 설명했습니다.

위험에 처한 사람과 보호 방법

이 캠페인은 주로 정부 및 군 관계자를 대상으로 했지만, 언론인 및 러시아 정부의 관심 대상이 되는 다른 사람들도 위험에 처해 있습니다. 해커들의 목표는 그룹 채팅에 침투하여 민감한 통신에 접근하는 것입니다.

• 인증 코드를 절대 공유하지 마세요: 합법적인 플랫폼은 채팅을 통해 PIN이나 일회용 코드를 요청하지 않습니다.
• 2단계 인증을 활성화하세요: 표준 인증 외에 추가 보안 계층을 추가합니다.
• 원치 않는 지원 메시지를 조심하세요: Signal 또는 WhatsApp 지원을 사칭한 메시지를 받으면 공식 채널을 통해 독립적으로 확인하세요.
• 연결된 기기를 확인하세요: 계정에 연결된 기기를 정기적으로 검토하고 인식하지 못하는 기기는 제거하세요.

정교하지만 예방 가능한 위협

Steggall의 해킹 사건은 고위 인사들도 사회 공학 공격에 취약하다는 것을 극명하게 보여줍니다. WhatsApp 및 Signal과 같은 앱의 기술적 방어는 여전히 강력하지만, 인간적 요소가 가장 약한 고리입니다. 국가 지원 공격자들이 피싱 미끼를 정교하게 다듬으면서, 인식과 경계가 최선의 대책입니다.

호주, 유럽, 미국에 걸친 이 캠페인의 글로벌 규모는 수그러들 기미를 보이지 않는 지속적인 위협을 시사합니다. 공무원과 일반 사용자 모두에게 메시지는 분명합니다. 아무리 공식적으로 보여도, 자격 증명을 요구하는 원치 않는 요청을 신뢰하지 마십시오.