마이크로소프트 DCU가 피싱-어-서비스(Phishing-as-a-Service) 운영자들을 상대로 소송을 제기해 승소한 과정

도전

2024년 초, Storm-2246(RaccoonO365라는 이름으로 활동)으로 알려진 위협 행위자는 피싱 과정을 체계화했다. 이들은 “피싱-어-서비스(PhaaS)” 모델을 통해 사이버 범죄의 진입 장벽을 낮췄으며, 기술적 능력에 관계없이 누구나 소액의 비용만 지불하면 정교한 공격을 감행할 수 있게 했다.

이번 공격은 규모가 방대하고 위험성이 매우 높았다. RaccoonO365 키트를 이용해 94개국에서 5,000건 이상의 마이크로소프트 인증 정보를 탈취했다. 이 그룹은 특히 의료 분야를 표적으로 삼아 민감한 환자 데이터를 위험에 빠뜨렸다. 

이들의 텔레그램 채널은 800명 이상의 회원을 확보했으며, 이를 통해 최소 10만 달러 상당의 불법 가상자산 이루어졌습니다. 공격자들은 Lynx Credential Capture 및 Postman Marshmallow와 같은 도구를 사용하여 인증 정보를 탈취하고, 중간자 공격(man-in-the-middle) 전술을 통해 다단계 인증(MFA)과 같은 보안 탐지 시스템을 우회할 수 있었습니다. 이러한 방식은 다른 유형의 ‘서비스형 사이버 범죄(CaaS)’와 매우 유사하게 작동했는데, CaaS에서는 정교한 사이버 공격이 누구나 코딩 방법을 알 필요 없이 대여하거나 구매할 수 있는 편리한 플러그 앤 플레이(plug-and-play) 제품으로 변모되었습니다. 

해결책

마이크로소프트의 디지털 범죄 전담반(DCU)은 잠입 ‘테스트 구매’, 기술적 분석, 첨단 블록체인 포렌식을 결합한 다각적인 수사를 착수했다.

• ‘디지털 영수증(Digital Receipts)’
  에 이어, DCU는 피싱 키트에 대한 통제된 구매를 진행했습니다. 모든 거래는 블록체인에 영구적인 기록을 남기기 때문에, 체이널리시스 Reactor 통해 수사관들은 비트코인, 이더리움, 트론을 포함한 여러 체인에 걸쳐 이러한 결제 내역을 추적할 수 있었습니다.
• 운영 보안(OpSec) 오류 악용
  결정적인 단서는 협상 도중 위협 행위자가 실수로 USDT(트론) 지갑 주소를 공개했다가 재빨리 이더리움 주소로 대체한 순간 포착되었다. 이 실수로 인해 수사관들은 서로 다른 지갑들이 동일한 운영자와 연결되어 있음을 파악하고, 자금이 나이지리아에 기반을 둔 일부 가상자산 흘러가는 가상자산 추적할 수 있었다.
• 역사적인 법적 선례
  마이크로소프트는 사상 처음으로 가상자산 민사 소송의 핵심 요소로 포함시켰습니다. 이를 통해 체이널리시스 Reactor 활용해 DCU는 복잡하고 크로스체인에 걸친 거래 내역을 법정에서 인정받을 수 있을 만큼 간단하면서도 엄밀한, 명확하고 시각적인 증거로 정리해 낼 수 있었습니다.

결과

마이크로소프트와 파트너사들의 협력 덕분에 RaccoonO365 생태계가 완전히 해체되었으며, 이를 통해 ‘서비스형(as-a-service)’ 사이버 범죄도 협력을 통해 체계적으로 근절될 수 있음을 입증했다.

방법 체이널리시스 이 획기적인 성과를 가능하게 한 방법

체이널리시스 Reactor DCU는 자금 흐름을 추적해 키보드 뒤에 있는 인물을 파악할 수 Reactor . 체이널리시스 는 비트코인, 이더리움, 트론을 아우르는 복잡하고 체인 간에 걸친 거래 내역을 명확하고 시각적인 순서로 정리하는 데 활용되었습니다. 이를 통해 뉴욕 남부 지방법원은 역사적인 민사 법원 명령을 내리는 데 필요한, 법정에서 바로 사용할 수 있는 포렌식 증거를 확보할 수 있었습니다.

수사관들은 또한 해당 운영자의 실명을 밝혀낼 수 있었다. 이를 통해 체이널리시스 가 피싱을 통한 가입 내역을 특정 사용자와 알려진 물리적 인프라에 직접 연결할 수 있게 했습니다. 또한, 분석 결과 자금이 특정 나이지리아 거래소로 유입되고 있는 것으로 확인되어 자금 인출처를 정확히 파악할 수 있었습니다. 이러한 세밀한 정보를 바탕으로 수사관들은 디지털 흔적을 넘어 현실 세계에서의 책임 소재 규명에 나설 수 있었습니다.

글로벌 파트너들과의 협력적 교란 작전

마이크로소프트는 DCU가 제시한 증거를 법적 근거로 삼아 클라우드플레어와 협력하여 338개의 악성 도메인을 성공적으로 압수함으로써, 공격자들이 피해자와 소통할 수 있는 경로를 차단했습니다. 전 세계적인 민관 협력 사이버 정보 공유 기구인 Health-ISAC는 의료 부문 내 피해 기관을 파악함으로써 신속한 대응 조치를 가능하게 하고 민감한 환자 데이터를 보호하는 데 결정적인 역할을 수행했습니다. 

마이크로소프트와 체이널리시스 가 확보한 디지털 흔적은 이후 미국과 나이지리아의 법 집행 기관에 전달되었으며, 이를 통해 개발자들의 신원이 확인되고 체포로 이어졌습니다.