VPS 통한 이메일 탈취 급증… 클라우드 보안 전략 '빨간불'

공격자들이 가상 사설 서버(VPS)를 통해 소프트웨어형 서비스(SaaS) 계정을 노리고 있다는 경고가 나왔다. 사이버 보안 기업 다크트레이스(Darktrace)는 자사 보안 보고서를 통해 VPS 인프라가 얼마나 빠르고 저렴하게 악성 캠페인에 악용될 수 있는지를 상세히 분석했다. 특히 이메일 사기를 숨기고 사용자 세션을 탈취하는 방식까지 밝혀지며, 클라우드 보호 전략 전반에 대한 재점검 필요성도 제기된다.

다크트레이스에 따르면, 공격자들은 합법적인 VPS 서버를 빌려 사칭 로그인, 피싱 이메일 삭제, 메일 룰 조작 등을 통해 사용자의 SaaS 계정을 노리고 있는 것으로 드러났다. 이들이 사용한 VPS는 Hyonix, Host Universal 같은 공급사였으며, 대부분 계정 인증 절차가 느슨하여 공격자들이 실시간 세션 하이재킹을 수행하기에 용이했다. 실제 한 사례에서는 미국과 아시아의 상반된 지역에서, 동시에 의심스러운 로그인이 발생한 뒤 사후 피싱 흔적이 삭제되며 기존 보안 시스템을 우회하는 정황이 포착됐다.

또 다른 사례에선 여러 VPS 공급사에서 동일한 시간대에 접근해 사용자의 이메일 복구 설정 변경을 시도했고, 재무 문서나 민감 수신자 그룹을 특정하는 메일 룰을 설정하는 등 계획적인 활동도 이어졌다. 다크트레이스 측은 이는 단발성 해킹이 아니라 지속적이며 조직화된 캠페인이었다고 분석했다. 특히 공격 방식이 모든 사용자 계정에 유사한 패턴으로 적용되고 있어, 사전에 인지하지 못하면 한 번에 다수 계정이 위험해질 수 있다고 우려했다.

보안 당국의 대응이 미미한 것은 자동화 방어 기능이 작동되지 않았기 때문이라는 점도 지적됐다. 다크트레이스는 인공지능을 활용한 자율 대응 기능이 활성화됐다면 이상 징후를 조기에 포착해 연결 차단과 같은 선제적 조치가 가능했을 것이라고 강조했다. 이 AI는 사용자의 정상 행동을 학습한 뒤 미세한 이상 징후도 탐지할 수 있어, 기존 규칙 기반의 보안 체계와는 차별화된 방어력을 제공한다고 밝혔다.

이와 관련해 보안 인증 수명 주기 전문 기업 섹티고(Sectigo) 수석 연구원 제이슨 소로코는 “이제 공격자들은 VPS를 통해 신뢰를 임대한다”며 “5달러짜리 VPS 노드 하나가 합법 트래픽으로 둔갑해 방어체계를 교란시킬 수 있다”고 지적했다. 그는 공격자들이 암호 수집보다 실시간 세션을 장악해 메일함을 제어 수단으로 활용하고, 교묘한 규칙으로 흔적을 숨기는 것이 최근 트렌드라고 밝혔다.

슬래시넥스트(SlashNext)의 필드 최고기술책임자 제이 스티븐 코우스키는 “과거 데스크톱에서 보던 메일 룰 변경, 토큰 탈취, 암호 재설정 방식이 이제는 VPS 기반의 클라우드 환경에서 현실화되고 있다”며 기존 보안 전략의 한계를 인정했다.

VPS를 악용한 침입이 고도화됨에 따라, 조직들은 자율 보안 체계 도입과 VPS 기반 접근에 대한 실시간 검사 체계를 강화해야 할 필요성이 높아지고 있다. 클라우드 생태계가 빠른 속도로 확장되는 만큼, 공격자들도 이를 역이용하는 방식으로 진화하고 있다는 점에서 보다 선제적인 대응이 요구된다.