개요
2023년 3월, Microsoft의 한 주요 고객사는 고객사 시스템 중단으로 이어진 일련의 스팸 사이버 공격을 겪었습니다.
원인은 무엇이었을까요? 잠재 사용자에게 테스트 평가판으로 제공되는 이 고객사 서비스의 이점을 얻을 목적으로 대거 생성된 사기성 Microsoft Outlook 및 Hotmail 계정이었습니다. 이러한 가짜 계정은 해당 서비스에 대한 비용을 지불할 의도가 전혀 없었습니다. 결과적으로 고객사는 Microsoft Outlook 및 Hotmail 주소를 사용하는 모든 신규 계정 가입을 차단했습니다.
실제로 이 공격의 배후에는 Microsoft에서 Storm-1152라고 부르는 단체인 베트남 소재의 대규모 사기 기업이 있었습니다.
Storm-1152는 불법 웹 사이트와 소셜 미디어 페이지를 운영하며 잘 알려진 여러 기술 플랫폼에서 본인 확인 소프트웨어를 우회할 수 있는 사기성 Microsoft 계정과 도구를 판매했습니다. Storm-1152의 서비스는 범죄자가 온라인에서 다수의 범죄 및 악용 행위를 저지르는 데 필요한 시간과 노력을 줄여줌으로써 사이버 범죄의 관문 역할을 합니다. 이 단체는 총 약 7억 5천만 개의 사기성 Microsoft 계정을 판매용으로 생성하여 수백만 달러의 불법 수익을 얻었으며, 이들의 범죄 활동에 대항하기 위한 회사들의 비용 증대를 초래했습니다.
여러 단체가 Storm-1152 계정을 사용하여 랜섬웨어, 데이터 탈취 및 강탈에 가담한 것으로 드러났습니다. 여기에는 Octo Tempest, Storm-0252, Storm-0455 등이 포함됩니다. Storm-1152는 계정 판매 사업을 통해 온라인에서 가장 큰 사이버 범죄 서비스 제공업체 중 하나가 되었습니다.
Microsoft는 2022년부터 이러한 악의적 활동의 증가를 추적해 왔으며 이러한 사기성 계정의 생성을 방지하고 관련하여 관찰된 패턴을 감지하기 위한 기계 학습 알고리즘의 사용을 늘렸습니다. 그러나 2023년 봄에 Microsoft와 파트너 플랫폼의 악용이 증가하면서 변곡점을 맞이하게 되었습니다. 보다 공격적인 조치가 필요했으며 Microsoft와 파트너 Arkose Labs가 함께하는 다기능 팀이 구성되었습니다.
함께 노력한 결과로 Microsoft의 DCU(디지털 범죄 전담반)는 2023년 12월 첫 번째 법적 조치를 취해 Storm-1152가 서비스 판매에 사용했던 웹 사이트를 압류하고 폐쇄했습니다. 조치 직후에 가입 트래픽이 약 60% 감소한 것이 관찰되었습니다. 이러한 감소는 나중에 Microsoft의 알고리즘이나 파트너가 악의적인 것으로 식별하고 이후에 Microsoft 서비스에서 일시 중단시킨 60% 이상의 가입 건과 거의 일치합니다. 7월 23일, Microsoft는 12월 소송 이후 이 단체가 구축하려고 시도한 새로운 인프라를 저지하기 위해 두 번째 민사 소송을 제기했습니다.
이 새로운 위협 보고서는 해당 조치가 어떻게 진행되었는지에 대한 내막을 설명하고 사이버 위협 해결을 위한 업계 전반에 걸친 협력의 중요성을 강조합니다. 이 사례는 업계가 법적 경로를 사용하여 다른 단체를 저지하고 온라인에서 개인을 안전하게 보호할 수 있는 방법을 보여주는 예입니다. 또한 지속적인 저지의 중요성을 역설하며 사이버 범죄자가 전술을 바꾼다 하더라도 법적 조치가 여전히 효과적인 방법임을 알려줍니다. 결국 가장 중요한 것은 어떤 작전도 단 한 번으로 끝나지 않는다는 점입니다.
Microsoft Security 팔로우