[해외보안뉴스] UAT-11985, 가짜 이벤트 초대장으로 대만 연구진 대상 Google AitM 피싱 공격 수행
· 2026-10-16 17:00
· 조회 13
· 원문 ↗
최근 사이버 보안 연구원들이 대만의 주요 연구 기관 관계자들을 겨냥한 지능형 지속 위협(APT) 스피어 피싱 캠페인을 포착했습니다. 'UAT-11985'라는 코드명으로 추적되는 이 위협 그룹은 가짜 행사 초대장을 활용해 피해자를 유인한 후, 중간자 공격(AitM, Adversary-in-the-Middle) 피싱 프레임워크를 통해 계정 정보를 탈취하는 정교한 수법을 사용하고 있습니다.
이번 공격의 영향 범위는 대만 내 주요 학술 기관, 정책 연구소 및 관련 연구진에 집중되어 있습니다. 공격자는 실제 세미나나 학술 회의 초청으로 위장한 이메일을 발송하여 피해자가 링크를 클릭하도록 유도합니다. 피해자가 연결된 사이트는 Google 로그인 페이지를 완벽히 모방한 AitM 피싱 페이지로, 사용자가 입력한 Google 계정 자격 증명은 물론 실시간으로 전송되는 다중 요소 인증(MFA) 코드와 세션 쿠키까지 수집하여 전통적인 MFA 방어 체계를 우회합니다.
이러한 AitM 기반 피싱 공격 피해를 예방하기 위해서는 단순 OTP나 앱 푸시 알림 방식의 MFA 대신, FIDO2 및 WebAuthn 표준 기반의 하드웨어 보안 키와 같은 '피싱 저항성 MFA(Phishing-Resistant MFA)'를 적극 도입해야 합니다. 아울러 조직 차원에서 외부에서 전송된 이벤트 초대장과 이메일의 발신자 인증 기술(SPF, DKIM, DMARC)을 강화하고, 임직원들이 로그인 시 접속 URL의 정당성을 반드시 확인하도록 보안 인식 교육을 지속적으로 실시해야 합니다.
AitM(Adversary-in-the-Middle) 프레임워크가 고도화되면서 단순 OTP나 앱 승인 방식의 MFA만으로는 세션 탈취를 막기 힘든 구조적 한계가 드러나고 있습니다.
개발 및 아키텍처 관점에서는 도메인 원본(Origin) 검증이 강제되는 FIDO2/WebAuthn(패스키 또는 하드웨어 키) 기반 인증 체계로 빠르게 전환하는 것이 유일한 근본적 해결책입니다.
또한 백엔드 레이어에서도 인증 이후 세션 토큰 사용 시 IP나 클라이언트 디바이스 환경의 급격한 변화를 실시간 검증하여 세션을 즉시 파기하는 Zero Trust 기반 세션 관리 로직을 보강해야 합니다.
가짜 행사 초대장을 활용한 스피어 피싱은 연구원 등 특정 대상의 경계심을 무너뜨리기에 매우 효과적인 공격 벡터입니다. 여기에 AitM(Adversary-in-the-Middle) 프레임워크를 조합하여 정상적인 MFA 인증 과정까지 실시간으로 중계함으로써, 기존의 OTP나 앱 기반 2차 인증 방어선을 손쉽게 무력화하고 세션 쿠키를 탈취했습니다. 침투 테스터 관점에서 이러한 공격은 FIDO2 기반의 하드웨어 보안 키나 패스키가 도입되지 않은 조직을 상대로 여전히 치명적인 악용 가능성을 보여줍니다.
기존 MFA를 우회하는 AitM(Adversary-in-the-Middle) 피싱 공격이 가짜 일정 초대 형태까지 진화하여 조직의 방어체계를 실질적으로 위협하고 있습니다.
단기적으로는 외부 일정 초대에 대한 스크리닝 정책을 강화하는 한편, 궁극적으로는 FIDO2 기반의 '피싱 저항성(Phishing-Resistant) MFA'로 보안 체계를 고도화해야 합니다.
아울러 임직원의 보안 의식 제고와 함께 연구·협력 기관을 매개로 한 제3자 리스크(Third-Party Risk) 관리 프로세스도 제로 트러스트 관점에서 재점검하겠습니다.