- 2024년 5월 31일, 클라우드 기업 스노우플레이크가 대규모 데이터 유출을 겪음
- 해커는 인포스틸러 감염을 통해 접근했다고 허드슨 록에 확인해줌
- 해커는 티켓마스터와 산탄데르 은행을 포함한 여러 주요 회사의 데이터를 러시아어 사이버 범죄 포럼에 판매함
해킹 방법
- 해커는 스노우플레이크 직원의 ServiceNow 계정에 도용된 자격 증명을 사용해 로그인함.
- OKTA를 우회하여 세션 토큰을 생성하고 대량의 데이터를 유출함.
- 해커는 약 400개의 회사가 영향을 받았다고 주장함.
추가 증거
- 해커는 허드슨 록 연구원들에게 스노우플레이크 서버에 대한 접근 권한을 보여주는 CSV 파일을 공유함.
- 이 파일은 스노우플레이크의 유럽 서버와 관련된 2,000개 이상의 고객 인스턴스를 문서화함.
해커의 목표
- 해커는 스노우플레이크에게 2천만 달러를 요구하며 데이터를 되찾으려 함.
- 회사는 이에 응답하지 않음.
인포스틸러 감염의 증가
- 인포스틸러 감염은 2018년 이후 6000% 증가하여 주요 초기 공격 벡터로 자리잡음.
- 이는 랜섬웨어, 데이터 유출, 계정 탈취, 기업 스파이 활동 등을 포함한 사이버 공격을 실행하는 데 사용됨.
GN⁺의 의견
-
사이버 보안의 중요성: 이번 사건은 기업이 사이버 보안에 더욱 신경 써야 함을 보여줌. 특히 직원들의 자격 증명 관리가 중요함.
-
인포스틸러의 위협: 인포스틸러는 매우 빠르게 확산되고 있으며, 기업은 이에 대한 대비책을 마련해야 함.
-
대응 전략: 해킹 사건 발생 시 신속한 대응과 피해 최소화 전략이 필요함. 스노우플레이크의 대응이 늦어 피해가 커짐.
-
보안 교육: 직원들에게 보안 교육을 강화하여 자격 증명 관리와 피싱 공격에 대한 인식을 높이는 것이 중요함.
-
대체 솔루션: 스노우플레이크와 유사한 기능을 제공하는 다른 클라우드 저장소 솔루션을 고려해 볼 수 있음. 예를 들어, AWS S3나 Google Cloud Storage 등이 있음.