확인된 표적 기업

구글의 보고서 및 관련 사이버 보안 뉴스 매체들은 UNC6671의 표적이 된 대형 미국 금융 및 투자 회사로 다음을 명시적으로 언급한다: 아폴로 글로벌 매니지먼트(Apollo Global Management), 베인 캐피탈(Bain Capital), 블랙스톤(Blackstone), 브리지워터 어소시에이츠(Bridgewater Associates), CME 그룹(CME Group), KKR, 무디스(Moody's), TPG .

로이터(Reuters)와 블룸버그(Bloomberg)는 포인트72 에셋 매니지먼트(Point72 Asset Management), 밀레니엄 매니지먼트(Millennium Management), 투 시그마(Two Sigma), 시타델(Citadel) 도 표적이 되었다고 추가로 보도했다 .

공격 방식

공격 체인은 고급 멀웨어가 아닌, 기만적으로 단순한 소셜 엔지니어링과 중간자 공격(AiTM) 피싱 인프라의 결합에 의존한다.

1. 개인 휴대폰으로 위싱 전화. 공격자들은 발신자 ID를 회사 헬프데스크인 것처럼 스푸핑하여 직원의 개인 휴대폰으로 전화를 건다. 긴급한 패스키 마이그레이션이나 MFA 업데이트가 필요하다고 주장한다 . 개인 전화를 표적으로 삼아 회사 전화 모니터링 및 보안 도구를 우회하는 것이 목적이다.

2. 실시간 자격 증명 및 MFA 탈취. 피해자는 합법적인 회사 페이지와 동일하게 보이는 스푸핑된 싱글 사인온(SSO) 포털로 유도된다. AiTM 프록시가 사용자 이름과 비밀번호를 가로채고, 푸시, SMS 또는 TOTP 등 실시간 MFA 토큰을 동시에 캡처한다. 공격자는 즉시 공격자가 제어하는 새로운 MFA 장치를 등록하여 지속적인 접근 권한을 유지한다 .

3. 자동화된 데이터 유출. 내부 진입에 성공하면, 이 조직은 자동화된 Python 및 PowerShell 스크립트를 배포하여 Microsoft 365, SharePoint, OneDrive, Okta, Zendesk, Salesforce 등 연결된 클라우드 서비스에서 데이터를 수집한다. 이 스크립트는 "confidential" 및 "SSN"과 같은 키워드를 검색하여 고가치 데이터를 우선적으로 선별한다 .

4. 갈취 및 데이터 유출 사이트 운영. 탈취된 데이터(지적 재산권, 소스 코드, 민감한 고객 정보 포함)는 각 브랜드별 전용 데이터 유출 사이트(DLS)에 게시되며, 피해자가 몸값을 지불하지 않으면 공개된다 .

갈취 요구 및 비트코인 지불 내역

• 초기 갈취 요구액은 피해자당 75만 달러에서 300만 달러 사이인 것으로 알려졌다 .
• 한 사례에서는 피해자가 2026년 초 5개월 동안 조직에 약 1060만 달러 상당의 비트코인을 지불한 것으로 확인되었다 .
• 구글 GTIG는 2026년 1월 이후 이 조직이 1000만 달러 이상의 갈취 자금을 수금했다고 직접 확인했다 .
• GTIG는 이전 BlackFile 작전과 연결된 18개의 지갑에서 141.65 비트코인을 추적했다 .

이전 표적 분야

2026년 중반 금융 서비스, 사모펀드, 전문 서비스 분야로 초점을 전환하기 전, UNC6671(BlackFile 명칭으로 활동)은 제조업, 부동산, 헬스케어, 보험, 기술, 운송, 숙박업 등 다양한 분야를 표적으로 삼았다 .

귀속 정보 및 주의사항

구글은 공유된 도메인 등록 패턴, 중복되는 피싱 템플릿, 공유된 AiTM 피싱 키트 및 중복되는 피해 조직을 근거로 네 개의 갈취 브랜드를 모두 더 넓은 UNC6671 집단으로 귀속시킨다 .

그러나 구글은 분열된 계열사 또는 동일한 Phishing-as-a-Service(서비스형 피싱) 인프라를 공유하는 여러 집단과 같은 대안적 시나리오도 "타당할 수 있다"고 언급한다 . 즉, 이 브랜드들이 반드시 별도의 범죄 조직을 의미하는 것은 아니며, 동일한 운영자가 BlackFile에서 리브랜딩한 후 여러 유출 사이트 브랜드를 동시에 운영하고 있을 가능성이 크다.

방어 권고 사항

보안 전문가와 구글 GTIG는 이 특정 위협에 대해 다음과 같은 완화 조치를 권장한다 :

• 피싱에 강한 MFA 도입. FIDO2/WebAuthn 패스키는 합법적인 출처 도메인에 바인딩되므로, 아무리 그럴듯한 가짜 URL을 사용하더라도 AiTM 프록시가 위조할 수 없다.
• 직원 대상 위싱 교육. 직원들에게 IT 헬프데스크는 절대 개인 전화로 연락해 긴급하게 자격 증명 업데이트를 요구하지 않는다는 점을 주지시켜야 한다. 특히 압박감을 조성하는 상황에서 주의가 필요하다.
• 대역 외(OOB) 확인 절차 수립. 확인되지 않은 헬프데스크 요청은 알려진 회사 커뮤니케이션 채널을 통해 반드시 확인한 후 조치를 취해야 한다.
• 비정상적인 세션 행동 모니터링. 보안 팀은 새로운 MFA 장치 등록, 비정상적인 로그인 지리적 위치, SharePoint 및 OneDrive에서의 대량 데이터 다운로드 등을 주시해야 한다.

확인된 표적 기업

구글의 보고서 및 관련 사이버 보안 뉴스 매체들은 UNC6671의 표적이 된 대형 미국 금융 및 투자 회사로 다음을 명시적으로 언급한다: 아폴로 글로벌 매니지먼트(Apollo Global Management), 베인 캐피탈(Bain Capital), 블랙스톤(Blackstone), 브리지워터 어소시에이츠(Bridgewater Associates), CME 그룹(CME Group), KKR, 무디스(Moody's), TPG .

로이터(Reuters)와 블룸버그(Bloomberg)는 포인트72 에셋 매니지먼트(Point72 Asset Management), 밀레니엄 매니지먼트(Millennium Management), 투 시그마(Two Sigma), 시타델(Citadel) 도 표적이 되었다고 추가로 보도했다 .

공격 방식

공격 체인은 고급 멀웨어가 아닌, 기만적으로 단순한 소셜 엔지니어링과 중간자 공격(AiTM) 피싱 인프라의 결합에 의존한다.

1. 개인 휴대폰으로 위싱 전화. 공격자들은 발신자 ID를 회사 헬프데스크인 것처럼 스푸핑하여 직원의 개인 휴대폰으로 전화를 건다. 긴급한 패스키 마이그레이션이나 MFA 업데이트가 필요하다고 주장한다 . 개인 전화를 표적으로 삼아 회사 전화 모니터링 및 보안 도구를 우회하는 것이 목적이다.

2. 실시간 자격 증명 및 MFA 탈취. 피해자는 합법적인 회사 페이지와 동일하게 보이는 스푸핑된 싱글 사인온(SSO) 포털로 유도된다. AiTM 프록시가 사용자 이름과 비밀번호를 가로채고, 푸시, SMS 또는 TOTP 등 실시간 MFA 토큰을 동시에 캡처한다. 공격자는 즉시 공격자가 제어하는 새로운 MFA 장치를 등록하여 지속적인 접근 권한을 유지한다 .

3. 자동화된 데이터 유출. 내부 진입에 성공하면, 이 조직은 자동화된 Python 및 PowerShell 스크립트를 배포하여 Microsoft 365, SharePoint, OneDrive, Okta, Zendesk, Salesforce 등 연결된 클라우드 서비스에서 데이터를 수집한다. 이 스크립트는 "confidential" 및 "SSN"과 같은 키워드를 검색하여 고가치 데이터를 우선적으로 선별한다 .

4. 갈취 및 데이터 유출 사이트 운영. 탈취된 데이터(지적 재산권, 소스 코드, 민감한 고객 정보 포함)는 각 브랜드별 전용 데이터 유출 사이트(DLS)에 게시되며, 피해자가 몸값을 지불하지 않으면 공개된다 .

갈취 요구 및 비트코인 지불 내역

• 초기 갈취 요구액은 피해자당 75만 달러에서 300만 달러 사이인 것으로 알려졌다 .
• 한 사례에서는 피해자가 2026년 초 5개월 동안 조직에 약 1060만 달러 상당의 비트코인을 지불한 것으로 확인되었다 .
• 구글 GTIG는 2026년 1월 이후 이 조직이 1000만 달러 이상의 갈취 자금을 수금했다고 직접 확인했다 .
• GTIG는 이전 BlackFile 작전과 연결된 18개의 지갑에서 141.65 비트코인을 추적했다 .

이전 표적 분야

2026년 중반 금융 서비스, 사모펀드, 전문 서비스 분야로 초점을 전환하기 전, UNC6671(BlackFile 명칭으로 활동)은 제조업, 부동산, 헬스케어, 보험, 기술, 운송, 숙박업 등 다양한 분야를 표적으로 삼았다 .

귀속 정보 및 주의사항

구글은 공유된 도메인 등록 패턴, 중복되는 피싱 템플릿, 공유된 AiTM 피싱 키트 및 중복되는 피해 조직을 근거로 네 개의 갈취 브랜드를 모두 더 넓은 UNC6671 집단으로 귀속시킨다 .

그러나 구글은 분열된 계열사 또는 동일한 Phishing-as-a-Service(서비스형 피싱) 인프라를 공유하는 여러 집단과 같은 대안적 시나리오도 "타당할 수 있다"고 언급한다 . 즉, 이 브랜드들이 반드시 별도의 범죄 조직을 의미하는 것은 아니며, 동일한 운영자가 BlackFile에서 리브랜딩한 후 여러 유출 사이트 브랜드를 동시에 운영하고 있을 가능성이 크다.

방어 권고 사항

보안 전문가와 구글 GTIG는 이 특정 위협에 대해 다음과 같은 완화 조치를 권장한다 :

• 피싱에 강한 MFA 도입. FIDO2/WebAuthn 패스키는 합법적인 출처 도메인에 바인딩되므로, 아무리 그럴듯한 가짜 URL을 사용하더라도 AiTM 프록시가 위조할 수 없다.
• 직원 대상 위싱 교육. 직원들에게 IT 헬프데스크는 절대 개인 전화로 연락해 긴급하게 자격 증명 업데이트를 요구하지 않는다는 점을 주지시켜야 한다. 특히 압박감을 조성하는 상황에서 주의가 필요하다.
• 대역 외(OOB) 확인 절차 수립. 확인되지 않은 헬프데스크 요청은 알려진 회사 커뮤니케이션 채널을 통해 반드시 확인한 후 조치를 취해야 한다.
• 비정상적인 세션 행동 모니터링. 보안 팀은 새로운 MFA 장치 등록, 비정상적인 로그인 지리적 위치, SharePoint 및 OneDrive에서의 대량 데이터 다운로드 등을 주시해야 한다.