헬릭스(Helix) 해킹 내부 분석: 우버 프레이트 데이터 유출 사고가 드러낸 현대 클라우드 갈취의 실체

헬릭스는 유출 사이트에 해당 데이터의 샘플을 게시한 상태입니다 . 그러나 우버 프레이트 측은 헬릭스가 게시한 모든 파일의 진위 여부를 독립적으로 확인하지는 않았습니다 .

우버 프레이트의 대응

• 자사 '시스템 및 저장소의 일부'에 대한 무단 접근을 확인함
• 해당 침해 사고는 식별·차단·복구되었다고 밝힘
• 비즈니스 운영에는 영향이 없으며 시스템이 정상적으로 가동 중이라고 발표
• 연방 법 집행 기관에 신고하고 조사에 협력 중
• 몸값 요구가 있었는지, 혹은 지불되었는지는 공개하지 않음

헬릭스의 운영 방식: 전술, 연계 및 수익

운영 모델

헬릭스는 전통적인 의미의 랜섬웨어 조직이라기보다 재정적 동기를 가진 데이터 갈취 집단입니다 . 이들은 약 5~15명의 제휴사(affiliate)를 둔 반폐쇄형 RaaS(Ransomware-as-a-Service) 플랫폼으로 운영되며, LockBit과 같은 완전 개방형 시장 브랜드와는 다릅니다 .

주요 전술(TTPs)

헬릭스는 특히 Microsoft 365 및 SharePoint와 같은 기업 클라우드 환경을 대상으로 한 신원 중심 침투에 특화되어 있습니다 . 알려진 전술은 다음과 같습니다:

• 비싱(Vishing, 음성 피싱) – 직원의 개인 휴대폰으로 전화를 걸어 IT 지원팀을 사칭, 자격 증명을 탈취합니다 .
• 디바이스 코드 피싱(Device code phishing) – 사용자를 속여 자신의 기기에서 인증 요청을 승인하도록 유도합니다 .
• 자동화된 SharePoint 데이터 유출 – 탈취한 세션 토큰을 이용해 클라우드 저장소에서 파일을 대량 다운로드합니다 .
• 파일 암호화 멀웨어보다는 기업 메일함과 클라우드 저장소 자체를 목표로 삼습니다 .

헬릭스 운영자들은 발신자 표시(ID)를 조작해 피해 직원의 직속 상사 이름을 사칭한 사례도 관찰되었습니다 . 내부에 침투한 후에는 새로운 MFA 앱을 등록해 지속적인 접근 권한을 확보한 뒤, SharePoint 파일을 열거하고 유출합니다 .

연계 및 소속

ReliaQuest와 Google Threat Intelligence Group의 연구원들은 헬릭스를 더 광범위한 사이버 범죄 클러스터인 UNC6671과 연결하고 있습니다 . 헬릭스는 BlackFile 및 ShinyHunters 생태계에서 등장한 것으로 추정되며, Redact, Pink, Falcon 등 다른 브랜드와도 연관이 있는 것으로 알려졌습니다 . 이들 그룹은 분열되고, 브랜드를 재창조하며, 인프라와 제휴사를 공유하는 특징을 보입니다 . Google은 이 클러스터가 2026년 1월부터 5월 사이에 총 1,060만 달러가 넘는 몸값을 수취한 것으로 추적했습니다 .

갈취 수익

우버 프레이트 사건과 관련해 헬릭스가 특별히 얼마의 몸값을 요구했는지는 공개적으로 확인된 바 없습니다. 분석가들은 헬릭스가 2026년 중반 등장한 이후 유출 사이트에 최소 10~15개의 피해자를 게시한 것으로 추정하며, 그 범위는 운송, 금융 서비스 등 다양한 분야에 걸쳐 있습니다 . 헬릭스의 데이터 갈취 모델은 일반적으로 시스템을 암호화하기보다는 데이터를 유출하고 공개하겠다고 압박하는 방식입니다 .

보안팀을 위한 교훈

이번 우버 프레이트 침해 사고는 위협 행위자들이 소프트웨어 취약점을 악용하는 방식에서 신원과 신뢰를 악용하는 방식으로 진화했음을 극명하게 보여줍니다. 헬릭스의 공격 플레이북(음성 피싱을 통한 자격 증명 획득, MFA 우회를 위한 디바이스 코드 공격, 자동화된 클라우드 데이터 유출)은 전통적인 엔드포인트 및 네트워크 방어에 막대한 투자를 한 조직을 상대로도 효과적입니다.

핵심 시사점:

• MFA만으로는 충분하지 않습니다. 사용자가 속아서 디바이스 코드 요청을 승인할 수 있기 때문입니다.
• 음성 피싱(Vishing) 은 주요 초기 침투 경로입니다. 직원들은 내부 번호나 상사 이름으로 걸려온 예상치 못한 전화라도 반드시 확인하도록 교육받아야 합니다.
• Microsoft 365 및 SharePoint의 클라우드 로깅 및 모니터링은 대량 다운로드 및 비정상적인 인증 패턴을 감지할 수 있어야 합니다.
• 침해 대응 계획(IR Plan) 은 엔드포인트뿐만 아니라 이메일과 클라우드 저장소가 손상되었을 경우를 가정해야 합니다.
• 연방 법 집행 기관의 개입은 표준 절차입니다. FBI와 CISA는 유사한 갈취 사건 조사에 참여한 바 있습니다 .

종합적 시각

헬릭스는 고립된 조직이 아닙니다. 이들은 빠르게 진화하는 사이버 범죄 생태계 내에서 감시와 차단을 피하기 위해 분열하고 재탄생하는 최신 브랜드에 불과합니다. 이 그룹이 170억 달러 규모의 물류 네트워크를 운영하는 정교한 기업인 우버 프레이트 상대로 성공을 거둔 사실은, 데이터를 저장한 시스템이 아니라 그 데이터에 접근 권한이 있는 사람을 대상으로 한 소셜 엔지니어링을 막는 것이 얼마나 어려운 일인지를 잘 보여줍니다.