최근 Apple 사용자 겨냥한 ‘MFA Bombing’ 공격

 (krebsonsecurity.com)
1P by GN⁺ | ★ favorite | 댓글 1개
  • Apple의 비밀번호 재설정 알림이 대량으로 반복 표시되면서 일부 사용자는 기기를 정상적으로 쓰기 어려운 수준의 피싱 공격을 겪음
  • 공격자는 알림 폭주 뒤 Apple Support 발신자 번호를 위조해 전화하고, 계정 보호 절차처럼 꾸며 일회용 코드를 요구함
  • Parth Patel 사례에서는 PeopleDataLabs에 있던 부정확한 별칭까지 악용됐으며, Apple ID 재설정 코드를 넘기면 계정 잠금과 기기 원격 삭제로 이어질 수 있음
  • Chris와 Ken 사례는 계정에 등록된 전화번호가 공격 흐름의 핵심 단서일 수 있고, Apple Recovery Key만으로는 재설정 알림 발송이 막히지 않음을 보여줌
  • 완화책으로 덜 알려진 VOIP 번호나 이메일 별칭을 쓰는 방법이 거론되지만, 실제 모바일 번호를 제거하면 iMessage와 Facetime이 비활성화될 수 있음

Apple 비밀번호 재설정 알림을 악용한 MFA 피로 공격

  • 최근 여러 Apple 고객이 MFA Bombing 또는 MFA fatigue 공격을 겪음
  • 공격은 Apple의 비밀번호 재설정 기능에서 버그처럼 보이는 동작을 이용함
    • 대상의 Apple 기기에 수십 개의 시스템 수준 알림이 표시됨
    • 사용자는 각 알림에서 Allow 또는 Don’t Allow를 눌러야 함
    • 알림이 계속 쌓이면 기기 사용 자체가 막히는 상황이 생김
  • 공격자는 사용자가 반복 요청에 지쳐 실수로 Allow를 누르거나, 전화 사용을 되찾기 위해 승인할 가능성을 노림
  • 알림을 모두 거부한 뒤에는 Apple Support처럼 보이도록 발신자 번호를 위조한 전화가 이어짐
    • 전화번호는 Apple의 실제 고객지원 번호인 1-800-275-2273으로 표시될 수 있음
    • 사기범은 계정이 공격받고 있다며 일회용 코드를 확인해야 한다고 말함

Parth Patel 사례: 알림 폭주 뒤 이어진 위조 지원 전화

  • Parth Patel은 3월 23일 Twitter/X에 자신을 겨냥한 피싱 캠페인을 기록함
  • 그의 Apple Watch, 노트북, 휴대폰에 동시에 알림이 쏟아졌고, 100개가 넘는 비밀번호 재설정 알림을 거부해야 했음
  • 알림을 모두 거부한 뒤 iPhone에는 Apple Support에서 온 것처럼 보이는 전화가 걸려옴
  • 사기범은 Patel이 본인 정보를 확인해 달라고 하자 정확한 개인정보를 제공했지만, 실제 이름은 맞히지 못함
    • 사기범이 말한 이름은 Patel이 PeopleDataLabs의 배경 보고서에서만 본 부정확한 별칭이었음
    • Patel은 여러 사람 검색 사이트에서 자신의 정보를 삭제하려 노력했지만, PeopleDataLabs에는 해당 별칭이 소비자 프로필에 계속 표시됐다고 말함
  • 음성 피싱의 목표는 Apple ID 재설정 코드를 사용자의 기기로 보내게 만든 뒤, 그 일회용 코드를 받아내는 것임
    • 사용자가 코드를 알려주면 공격자는 계정 비밀번호를 재설정하고 사용자를 잠글 수 있음
    • 이후 사용자의 Apple 기기를 원격 삭제할 수도 있음

전화번호가 공격 단서일 가능성

  • 암호화폐 헤지펀드 소유자인 Chris도 2월 말 유사한 피싱 시도를 겪음
  • 첫 알림을 Don’t Allow로 거부한 직후 약 30개의 알림이 연속으로 도착했고, 며칠 동안 재설정 알림이 계속됨
  • Apple Support에서 온 것처럼 보이는 전화도 받았지만, Chris는 직접 다시 전화하겠다며 끊음
    • 실제 Apple에 전화했을 때 Apple은 방금 지원 통화가 있었는지 확인해주지 못함
    • Apple은 고객이 연락을 요청하지 않는 한 먼저 전화를 걸지 않는다고 안내함
  • Chris는 비밀번호를 바꾸고 Apple Store에서 새 iPhone을 구입한 뒤, 새 이메일 주소로 새 iCloud 계정을 만들었음
  • 하지만 Apple Genius Bar에 앉아 있는 동안 새 iPhone과 새 iCloud 계정에도 시스템 알림이 계속 도착함
    • Chris는 새 계정에서 바뀌지 않은 유일한 요소가 계정에 등록된 전화번호였다고 봄
    • 공격자가 Apple 시스템 알림을 빠르게 생성하려면 대상 Apple 계정의 전화번호를 알아야 할 수 있다고 의심함

Recovery Key로도 멈추지 않은 Ken의 알림

  • 보안 업계 경력이 있는 Ken은 올해 초부터 Apple 기기에서 원치 않는 시스템 알림을 받았지만, 다른 사례와 달리 가짜 Apple 지원 전화는 받지 않음
  • 한 번은 새벽 12시 30분에 Apple Watch 알림으로 깨어났고, Watch에서는 Allow가 먼저 보였으며 Don’t Allow를 누르려면 휠을 스크롤해야 했음
  • Allow를 누르는 것만으로 공격자가 Ken의 비밀번호를 바꿀 수 있는 것은 아님
    • Allow를 누르면 Ken의 기기에서 비밀번호 변경에 필요한 6자리 PIN이 표시됨
    • 반복적인 재설정 알림은 이후 Apple을 사칭한 전화를 더 그럴듯하게 만드는 데 쓰이는 것으로 보임
  • Ken은 실제 Apple 지원에 연락했고, 상급 Apple 엔지니어에게 Apple Recovery Key를 켜면 알림이 멈출 것이라는 안내를 받음
  • Apple Recovery Key는 Apple ID 계정 보안을 높이는 선택 기능이며, 무작위 28자 코드임
    • 활성화하면 Apple의 표준 계정 복구 절차가 비활성화되는 것으로 되어 있음
    • 복구 키와 모든 Apple 기기를 잃으면 영구적으로 계정에서 잠길 수 있음
  • Ken은 복구 키를 켰지만 며칠마다 모든 기기에 원치 않는 시스템 알림이 계속 나타남
  • 테스트 결과 복구 키를 켜도 iforgot.apple.com에서 Apple 기기에 비밀번호 재설정 알림을 보내는 흐름은 막히지 않음
    • 페이지는 이메일 주소와 CAPTCHA를 요구함
    • 이후 계정에 묶인 전화번호의 마지막 두 자리를 표시함
    • 나머지 숫자를 입력하고 제출하면 Recovery Key 활성화 여부와 관계없이 시스템 알림이 전송됨

속도 제한 의문과 과거 MFA Bombing 사례

  • 사용자가 첫 요청에도 응답하지 않았는데 몇 분 사이 수십 개의 비밀번호 변경 요청을 보낼 수 있는 인증 시스템 설계가 의문으로 남음
  • Apple은 논평 요청에 아직 응답하지 않음
  • 2022년 범죄 해킹 그룹 LAPSUS$는 MFA Bombing을 사용해 Cisco, Microsoft, Uber 침입에서 효과를 냄
  • Microsoft는 대응책으로 MFA number matching을 적용하기 시작함
    • 로그인 시도 사용자에게 숫자 배열을 표시함
    • 계정 소유자는 모바일 기기의 Microsoft Authenticator 앱에 해당 숫자를 입력해야 로그인 확인을 완료할 수 있음
  • 보안 연구자 Kishan Bagaria는 Apple 쪽에 문제가 있다고 봄
    • 그는 2019년 Apple에 AirDoS 버그를 보고함
    • 이 버그는 AirDrop 파일 공유 프롬프트를 근처 iOS 기기에 무한히 표시하게 만들 수 있었음
    • Apple은 2019년 12월 해당 버그를 수정했고, 관련 보안 공지에서 Bagaria에게 감사를 표시함
    • Bagaria에 따르면 Apple의 수정은 AirDrop 요청에 더 엄격한 속도 제한을 추가하는 방식이었음
  • 누군가 Apple의 비밀번호 재설정 요청 속도 제한을 우회하는 방법을 찾았을 수 있으며, 정식으로 보고해야 할 Apple 속도 제한 버그일 수 있음

사용자가 시도할 수 있는 완화책

  • Apple 계정에는 전화번호가 필요해 보이지만, 계정 설정 이후에는 반드시 모바일 번호일 필요는 없음
  • 테스트 결과 Apple은 Google Voice 같은 VOIP 번호를 허용함
    • 널리 알려지지 않은 VOIP 번호로 계정 전화번호를 바꾸는 방법이 완화책이 될 수 있음
  • 단, 실제 모바일 번호를 포함하지 않으면 해당 기기에서 iMessage와 Facetime이 비활성화됨
    • Apple 기기의 전체 공격 표면을 줄이려는 사용자에게는 이 점이 장점일 수도 있음
    • iMessage와 Facetime의 제로클릭 제로데이는 스파이웨어 공급자들이 반복적으로 사용해 왔음
  • Apple의 비밀번호 재설정 시스템은 이메일 별칭을 받아들이고 존중하는 것으로 보임
    • 사용자명 뒤에 +와 사이트별 표기를 붙여 같은 계정에 연결된 고유 이메일 주소를 만들 수 있음
    • 예를 들어 krebsonsecurity+example@gmail.com 같은 형식이 가능함
    • Apple용 별칭에는 +apple처럼 너무 눈에 띄는 표기보다 덜 obvious한 별칭이 나을 수 있음

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • 기사와 상위 댓글에서 빠진 중요한 부분이 있음: 실수로 Allow를 눌러도 공격자가 자기 브라우저에서 비밀번호를 바꿀 수 있는 건 아님
    기기에서 Allow를 누르면 그 기기에 6자리 PIN이 표시되고, 그 PIN으로 본인 기기에서 비밀번호를 바꿀 수 있음. 공격의 마지막 단계는 공격자가 위조된 Apple 전화번호로 전화를 걸어 그 6자리 PIN을 읽어 달라고 하는 것임. 걸려온 전화에서 그 PIN을 공격자에게 알려주면, 공격자가 자기 브라우저에서 비밀번호를 재설정할 수 있게 됨
    Krebs가 보안 블로그에서 이 작은 세부사항을 빼고, 마치 잠자는 동안 계정 접근권을 완전히 넘겨줄 수 있는 것처럼 확인해 준 듯한 점은 의외임

    • 기사 첫 문단에 이미 이렇게 설명돼 있음:

      Assuming the user manages not to fat-finger the wrong button on the umpteenth password reset request, the scammers will then call the victim while spoofing Apple support in the caller ID, saying the user’s account is under attack and that Apple support needs to “verify” a one-time code.

    • 기사 안에 있음:

      Ken didn’t know it when all this was happening (and it’s not at all obvious from the Apple prompts), but clicking “Allow” would not have allowed the attackers to change Ken’s password. Rather, clicking “Allow” displays a six digit PIN that must be entered on Ken’s device — allowing Ken to change his password. It appears that these rapid password reset prompts are being used to make a subsequent inbound phone call spoofing Apple more believable.

    • 맞는 말이고 알아둘 만하지만, 그래도 충분히 합리적인 사람들도 속을 수 있어 보임. 단지 80대 노인만의 문제가 아님
      설령 속지 않더라도, Apple이 이런 요청에 요청 빈도 제한만 걸면 없앨 수 있는 심각한 성가심이 있음. 짧은 시간에 수백 개를 보낼 수 있는 이유가 뭔지 모르겠음

  • “최근”이라고 하기엔 애매함
    2021년, 늦어도 2022년에 나와 아내가 며칠 간격으로 같은 일을 겪었음. 처음엔 하루 몇 번이었고, 나중엔 한 시간마다 오는 식으로 늘어났음. Apple에서 온 것처럼 보이는 SMS도 둘 다 몇 번 받았던 것 같음
    급증하자마자 두 계정 모두 복구 키를 설정했는데, 원래도 Apple이나 Apple을 압박·장악한 누군가가 우리 계정에 접근할 수 있어선 안 된다는 이유로 계획했던 조치였음. 이걸로 공격은 바로 막힘
    비슷한 이유로 고급 데이터 보호가 나오자마자 켰고 웹 접근도 껐음. 신뢰된 기기만 데이터를 볼 수 있고, 새 기기 등록도 신뢰된 기기에서만 가능함

    • Recovery Key가 뭔지 몰랐는데 이 문서였음: https://support.apple.com/en-us/109345
      이것도 꽤 무서움. 키를 잃어버리면 아무도 계정 복구를 도와줄 수 없음
    • 복구 키를 쓰자 문제가 멈췄다는 건 흥미롭지만, 지금은 그 역할을 못 하는 것 같음
      기사에 따르면 “Ken said he enabled a recovery key for his account as instructed, but that it hasn’t stopped the unbidden system alerts from appearing on all of his devices every few days.
      KrebsOnSecurity tested Ken’s experience, and can confirm that enabling a recovery key does nothing to stop a password reset prompt from being sent to associated Apple devices.”
    • 방식 자체는 최근 것이 아니지만, 이걸 많은 사람에게 쓰는 최근 캠페인으로 보임. 누군가 최근 유출 덤프에서 해킹된 비밀번호 목록을 얻고, 거기에 있는 Apple 계정을 훑는 중일 가능성이 큼
    • YubiKey를 몇 개, 최소 세 개는 사서 Apple ID 인증에 멍청한 푸시 다중 인증 대신 쓰는 게 좋음
      https://support.apple.com/en-gb/HT213154
    • 이런 건 당연히 빈도 제한이 있어야 할 것 같은데 놀라움. 두 번쯤 시도하면 15분마다 한 번, 그다음은 한 시간, 4시간, 하루처럼 늘려야 함. 잘못된 로그인 시도처럼 처리하면 됨

  • Allow를 누른 뒤 다른 기기에서 비밀번호 재설정이 가능하다면 그 메시지는 설계가 끔찍함. 문구가 분명히 Use this iPhone to reset이라고 되어 있으니, Allow를 누른 사람이 같은 기기에서 새 비밀번호를 설정하는 흐름이라고 생각했을 것임
    그런데 Apple Watch에도 뜬다면, 조용한 모드를 무시하는 단순 전화 알림 미러링이 아니라는 뜻인데, 시계에서 Allow를 누르고 그 키보드로 비밀번호를 입력하라는 의도라고는 상상하기 어려움

    • Allow를 누르는 것 자체에는 위험이 없다고 봄. 그 뒤에도 2단계 인증이 있고, 새 비밀번호도 골라야 함. 위험은 전부 전화 통화에서 오며, 거기서 2단계 인증 코드를 빼내려는 것으로 보임
    • 90세 어머니가 iMac 비밀번호를 잊었을 때 이 기능이 정말 살렸음. 내가 두 번째 관리자 계정을 만들어둔 것도 잊고 있었음
      iMac에서 잠긴 뒤에도 iPad에는 들어갈 수 있어서 재설정할 수 있었음. iPad PIN도 어머니가 잊었지만 다행히 적어둔 걸 찾았음

  • 어느 시점부터는 Apple 기기에서 이런 프롬프트를 띄울 수 있다는 사실 자체가 문제가 되는 것 아닌가 싶음. 작년에 화제가 됐던 Bluetooth 기반 새 기기 설정 프롬프트 같은 것도 마찬가지임
    물론 비밀번호 재설정은 가능해야 하지만, 기사상으로는 짧은 시간에 30번의 비밀번호 재설정 요청을 보내는 게 가능한 듯함
    이게 악의적이지 않은 상황에서 일어날 이유가 대체 뭐가 있을까?

    • 없음. 그냥 그런 확인 로직을 추가하지 않았을 뿐임. 그렇다고 반드시 Apple을 강하게 비난할 일만은 아님
      되돌아보면 당연해 보이지만, 스프린트, OKR/KPI, 승진 자료 사이에서 이런 덜 화려한 기능은 쉽게 빠져나갈 수 있음

  • 이런 전화의 또 다른 목적이, 설득력 있게 목소리 복제를 할 만큼 충분한 샘플을 모으는 단계가 되기까지 얼마나 걸릴지 궁금함

    • 이미 누군가에게 “yes”라고 말하게 만든 뒤, 그 녹음을 어떤 계약에 동의했다는 “증거”로 쓰려는 변종이 있음
    • “hello?”를 100번 말한다고 목소리 복제가 되진 않을 것 같음. 하지만 목소리 복제에 꼭 다중 인증 폭탄이 필요한 것도 아님
      그럴듯한 이유로 전화를 걸어 길게 대화하게 만들면 됨. 예를 들면 “Uber/Doordash 기사입니다”, “병원/학교/어린이집입니다” 같은 식임
    • 그래서 전화나 전화번호로 사용자를 인증하면 안 된다는 또 다른 이유가 됨. 이른바 음성 식별이나 voice ID도 고급 음성 복제로 쉽게 깨질 수 있음

  • 헷갈림. Allow를 누르면 그다음에 정확히 무슨 일이 일어남? Apple이 iForgot 웹사이트에 있는 사람에게 비밀번호 재설정 양식을 보여주는 건지, 아니면 기기에만 표시되는 건지 모르겠음

    • 기기에 확인 코드가 표시되는 것 같음. 그다음 사기꾼이 전화를 걸어 그 코드를 알아내려는 흐름임

  • iPhone에 Apple Support에서 온 전화처럼 표시됐고, 번호도 Apple의 실제 고객지원 번호인 1-800-275-2273이었다는 부분이 있음
    나도 딱 한 번 겪었는데, 온라인 Apple Store에서 새 MacBook을 주문한 지 이틀 뒤였음. 배송을 기다리던 중이라 거의 받을 뻔했지만, 대신 직접 Apple Support에 전화해 방금 전화했는지 물었고, 아니라고 답을 들었음

    • 새 모델이 나온 직후에 주문한 건지, 아니면 주문 직후에 전화를 건 게 그냥 운 좋게 맞아떨어진 건지 궁금함

  • Instagram도 같은 문제가 있음. 이렇게 큰 회사들이 계정 복구 흐름에 빈도 제한을 안 둔다는 게 말이 안 됨

    • 빈도 제한을 추가할 때의 문제, 특히 사용자별 전역 제한을 걸면, 이번엔 사람들이 계정을 복구하지 못하게 막는 새로운 서비스 거부 문제가 생긴다는 것임

  • 며칠 전부터 내 LinkedIn 계정에도 이런 게 오고 있음. 몇 시간마다 마법 로그인 링크가 담긴 이메일이 오며, 전 세계 여러 지역에서 발송된 것처럼 보이고 합법적으로 보임

    • 나도 어제 겪었고 처음엔 당황했지만, LinkedIn 계정에 연결된 이메일만 알면 일회용 비밀번호를 요청할 수 있다는 걸 알게 됨. 그래서 비밀번호가 유출된 건 아니었음
      그래도 비밀번호와 주 이메일을 바꾸고, LinkedIn 개인정보 설정에서 이메일 공개도 제거했음
    • 나도 이런 걸 받음. 이미 TOTP와 Passkey 같은 여러 형태의 2단계 인증을 쓰고 있으니, 계정에서 이 기능을 끌 수 있으면 좋겠음
    • 내 경우엔 Uber였음

  • 푸시 다중 인증은 처음 나왔을 때부터 싫었음
    코드 하나 입력하는 게 그렇게 어려운 일인지 모르겠음. 결국 푸시 폭탄을 막으려다 보면, 다시 코드를 요구하는 푸시 알림으로 돌아가게 됨

    • Apple ID 다중 인증에는 대신 HSM을 쓸 수 있음. 나도 이 목적 때문에 여러 장소에 YubiKey 3개를 두고 있음
      https://support.apple.com/en-gb/HT213154
    • 적어도 iCloud 로그인에서는, 비밀번호 재설정도 그런지는 확인하기 귀찮지만, Allow를 눌러도 로그인이 허용되는 게 아니라 로그인에 입력해야 하는 6자리 코드만 표시됨
답변달기