미국이 UNC5792와 UNC4221 관련 정보에 최대 1,000만 달러 포상금을 내걸었다. 이 포상은 미국 국무부의 Rewards for Justice(RFJ) 프로그램을 통해 진행된다. RFJ는 미국 핵심 인프라를 겨냥한 외국 국가 행위자의 사이버 공격 정보를 대상으로 하는 포상 프로그램이다.1
이 사안을 볼 때 중요한 질문은 “Signal이나 WhatsApp의 암호화가 깨졌는가?”가 아니다. 핵심은 공격자가 앱의 암호를 푼 것이 아니라, 사용자가 계정 접근에 필요한 인증 코드나 PIN, 백업 복구 키를 직접 넘기도록 속였다는 점이다.
UNC5792와 UNC4221은 무엇을 노렸나
UNC5792는 러시아 FSB 국경수비대와 연계된 악성 사이버 그룹으로 설명된다. UNC4221은 러시아 군사기관을 대신해 활동하는 사이버 행위자 그룹으로 언급된다.1
FBI 권고문에 따르면 이들과 관련된 러시아 정보기관 연계 공격자들은 Signal과 WhatsApp 사용자를 대상으로 피싱 캠페인을 벌였고, 수천 개 계정이 침해됐다.2 주요 표적은 정부·군·외교·정보 분야 인물, 기자, 우크라이나 관련 단체와 연구자였다.2 무작위 대중 사기라기보다 정보 가치가 높은 계정을 노린 첩보형 피싱으로 봐야 한다.
공격의 초점은 앱이 아니라 계정 신뢰 절차다
이 공격은 보안 메신저의 암호화를 정면으로 깨는 방식이 아니다. 공격자는 자동 고객지원 계정처럼 위장하거나 안내 메시지처럼 보이게 해 사용자가 인증 코드, 계정 PIN, 백업 복구 키를 제공하도록 유도했다.2
특히 Signal에서는 ‘연결된 기기’ 기능을 악용하는 방식이 관찰됐다. 피해자가 악성 QR 코드나 가짜 초대 링크를 따르면 공격자의 기기가 피해자 계정에 연결되고, 이후 메시지를 함께 받을 수 있다.3
최근에는 백업 복구 키 탈취도 중요한 위험으로 부각됐다. 이 키가 넘어가면 과거 대화와 개인·그룹 메시지에 접근할 수 있다. 같은 전화번호로 새 계정을 만들어도 기존 키가 유효할 수 있으므로, 새 복구 키를 생성해야 이전 키가 무효화된다.2
실무적으로 봐야 할 경고 신호
이번 사례에서 배울 점은 단순하다. 종단간 암호화는 강력하지만, 사용자가 계정 접근 정보를 넘기면 보호 효과는 크게 약해진다. 안전한 앱을 쓰는 것만으로는 충분하지 않다.
다음과 같은 요청은 원칙적으로 의심해야 한다.
채팅으로 인증 코드나 계정 암호를 요구하는 메시지
고객지원이나 보안 알림을 가장해 PIN 입력을 유도하는 메시지
백업 복구 키를 보내 달라는 요청
QR 코드 스캔이나 초대 링크 클릭을 통해 새 기기 연결을 유도하는 메시지
특히 고객지원은 앱 안 대화로 인증 코드, PIN, 백업 복구 키를 요구하지 않는다는 기준을 세워야 한다. 사용자가 이 기준을 기억하면 공격자가 가장하는 “보안 안내”와 실제 보안 절차를 구분하기 쉬워진다.
결론: 보안 메신저의 약점보다 사용 절차의 약점을 봐야 한다
UNC5792와 UNC4221 사례는 메신저 보안의 초점이 “어떤 앱을 쓰는가”에서 끝나지 않는다는 점을 보여준다. 공격자는 암호화를 깨기보다, 사용자가 계정을 직접 열어주도록 설계된 피싱을 사용한다.
조직이라면 고위험 인력에게 별도 교육이 필요하다. 기자, 정책 담당자, 군·외교 관계자처럼 표적이 될 가능성이 높은 사람은 연결된 기기 목록과 백업 키 상태를 주기적으로 확인해야 한다. 개인 사용자 역시 인증 코드, PIN, 백업 복구 키는 누구에게도 보내지 않는다는 원칙을 기본 보안 습관으로 삼아야 한다.
1U.S. offers $10 million for hackers targeting WhatsApp, Signal users
2Russian Intelligence Services Continue to Target Commercial Messaging Applications
3Signals of Trouble: Multiple Russia-Aligned Threat Actors Actively Targeting Signal Messenger
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.