Connor Moucka, Snowflake 고객 데이터 탈취 캠페인 혐의 인정

Techmeme가 주목한 보도에 따르면, Connor Moucka는 최소 165개 Snowflake 고객사를 겨냥한 공격과 관련된 사건에서 유죄를 인정했다. techmeme가 다룬 캐나다 사건은 한 피고인이 AT&T 관련 데이터를 포함해 수십억 건의 민감한 기록을 노출한 캠페인에 연루됐음을 보여준다.

이번 유죄 인정으로 2024년 최대 규모의 클라우드 데이터 탈취 캠페인 중 하나를 둘러싼 법적 상황이 달라졌다. 그러나 공격을 통해 드러난 핵심 보안 논쟁은 해결되지 않았다. Snowflake는 자사 플랫폼이 침해되지 않았다고 밝혔고, 고객들은 충분한 ID 보호 기능이 없는 계정에 의존했다.

이 구분은 중요하지만, 데이터가 탈취된 조직들에는 거의 위안이 되지 않는다. 이번 공격은 유효한 자격 증명, 취약한 인증, 그리고 집중된 클라우드 데이터가 플랫폼 전반의 침해와 유사한 결과를 낳을 수 있음을 보여줬다.

techmeme가 다룬 캐나다 사건, 혐의 제기에서 자백 단계로

Moucka의 유죄 인정으로 Snowflake 사건의 중요한 부분이 단순한 혐의 제기에서 인정된 형사 사안으로 전환됐다.

The Record의 Jonathan Greig는 Moucka가 2024년 해킹 캠페인에 가담한 혐의에 대해 유죄를 인정했다고 보도했다. Techmeme는 2026년 8월 5일 해당 보도를 소개했다. 공개된 보도에 따르면 이 캐나다 국적자는 수십 년의 징역형에 처할 수 있다.

Alexander Antonin Moucka로도 알려진 Moucka는 2024년 10월 30일 온타리오주 키치너에서 체포됐다. 그는 2025년 3월 범죄인 인도를 위한 신병 인도에 동의했으며, 그해 7월 시애틀 연방법원에 출석했다.

그는 처음에는 모든 혐의에 대해 무죄를 주장했다. 보도된 유죄 인정 이전에 마지막으로 업데이트된 법무부의 공개 Moucka 사건 페이지에는 2026년 10월 19일 재판 예정일이 기재돼 있었다.

연방 사건에는 John Erin Binns도 피고로 이름을 올렸으며, 법무부가 마지막으로 페이지를 업데이트했을 당시 그는 미국 당국의 구금 상태가 아니었다. 검찰은 피고들에게 전신 사기, 컴퓨터 사기, 가중 신원 도용, 갈취 관련 범죄 및 관련 공모 혐의를 적용했다.

최초 기소장은 최소 10개 피해 조직에 대한 침입을 기술했다. 피고들과 공범들이 수십억 건의 기록에 접근해 몸값을 요구하고, 탈취한 정보를 사이버 범죄 포럼에 광고했다고 주장했다.

문제가 된 기록에는 통화 및 문자 내역, 은행 정보, 급여 기록, 여권 번호, 사회보장번호 등이 포함된 것으로 알려졌다. 검찰은 이 집단이 갈취를 통해 수백만 달러를 받아냈다고도 주장했다.

165개 조직이라는 수치는 구체적으로 기소된 피해자 수가 아니라 더 광범위한 위협 조사에서 나온 것이다. Mandiant와 Snowflake는 Snowflake 환경이 잠재적으로 노출된 약 165개 조직에 통지했다고 밝혔다.

이 구분은 중요하다. 형사 사건은 일반적으로 특정 혐의를 입증하는 데 필요한 선별된 사건을 제시한다. 위협 조사는 개별 형사 혐의로 나타나지 않는 사건을 포함해 더 넓은 캠페인을 설명할 수 있다.

보도된 유죄 인정이 165개 조직 전체에 관한 모든 공개 주장을 자동으로 입증하는 것은 아니다. 이는 법원과 유죄 인정 합의가 수용한 범위 안에서 형사 책임을 확정한다. 구체적으로 인정된 사실, 기각된 혐의, 형량 범위, 배상 조건은 사건에 제출된 문서에 따라 달라진다.

그럼에도 변화는 상당하다. Moucka의 변호는 더 이상 예정된 재판으로 향하지 않는 것으로 보인다. 이제 관심은 사실관계에 대한 인정과 법원이 캠페인의 규모를 어떻게 평가할지로 옮겨간다.

이번 사건은 보안팀에 익명의 위협 클러스터 라벨보다 더 구체적인 정보를 제공한다. 한때 주로 사고 보고서를 통해 논의되던 캠페인에 대해 피고인이 책임을 인정한 것으로 보이기 때문이다.

이 법적 진전은 더 큰 질문을 선명하게 한다. 민감한 기업 데이터로 가득한 저장소를 유효하지만 탈취된 비밀번호로 열 수 있게 된 상황을 막을 책임은 누구에게 있었는가?

단순한 로그인 경로가 막대한 피해를 만들었다

공격 이후 공개된 조사에 따르면, 이 캠페인에는 새로 발견된 Snowflake 소프트웨어 취약점이 필요하지 않았다.

Mandiant는 금전적 동기를 가진 위협 클러스터를 가리키는 UNC5537이라는 이름으로 이 활동을 추적했다. 조사관들은 공격자들이 탈취된 자격 증명을 이용해 고객 Snowflake 인스턴스에 체계적으로 접근했다고 밝혔다.

인포스틸러는 감염된 기기에서 비밀번호, 브라우저 데이터, 세션 정보 및 기타 자격 증명을 수집하도록 설계된 악성코드다. 이런 탈취 자격 증명은 흔히 로그 묶음 형태로 정리돼 범죄 시장에서 거래된다.

Mandiant는 Snowflake 캠페인에 사용된 일부 자격 증명이 2020년까지 거슬러 올라가는 인포스틸러 감염에서 비롯됐다고 확인했다. 영향을 받은 환경에서는 비밀번호가 탈취된 뒤에도 수년간 유효한 경우가 있었다.

조사관들은 세 가지 반복적인 취약점을 파악했다. 침해된 계정에는 다중 인증이 없었고, 비밀번호는 교체되지 않았으며, 네트워크 허용 목록은 신뢰할 수 있는 위치로 로그인을 제한하지 않았다.

Mandiant는 공격자들이 사용한 계정 가운데 최소 79.7%에서 과거 자격 증명 노출의 증거가 발견됐다고 밝혔다. 상세한 UNC5537 분석은 이들이 처리한 모든 사건을 침해된 고객 자격 증명으로 추적했다.

일반적으로 MFA라고 부르는 다중 인증은 비밀번호 외에 추가 자격 증명을 요구한다. 구현 방식에 따라 두 번째 요소는 보안 키, 패스키, 인증 앱 코드 또는 승인된 기기가 될 수 있다.

MFA가 없다면 작동하는 사용자 이름과 비밀번호만으로 실제 사용자를 사칭할 수 있다. 다른 제어 장치가 비정상적인 출처나 행동을 감지하지 않는 한, 클라우드 서비스는 이를 성공적인 인증으로 인식한다.

공격자들은 로그인 후 Snowflake의 일반 인터페이스와 지원되는 데이터베이스 명령을 사용한 것으로 알려졌다. Mandiant는 Snowflake의 브라우저 인터페이스인 Snowsight와 명령줄 클라이언트인 SnowSQL을 통한 접근을 관찰했다.

조사관들은 FROSTBITE로 추적되는 공격자 명명 정찰 유틸리티도 관찰했다. 이 도구는 계정 세부 정보, 역할, 사용자, 조직명, 세션 및 운영자가 접근 가능한 환경을 파악하는 데 도움이 되는 기타 정보를 조회했다.

공격자들은 유용한 테이블을 찾으면 고객 인스턴스 내부에 데이터를 준비할 수 있었다. 표준 SQL 및 Snowflake 명령을 통해 기록을 선택하고, 내보낸 파일을 압축한 뒤, 해당 파일을 가져올 수 있었다.

이 워크플로에서는 공격자가 암호화를 해제하거나 기반 클라우드 인프라를 무력화할 필요가 없었다. 이들은 자신이 자격 증명을 통제한 계정에 부여된 권한을 악용했다.

이 점이 이번 캠페인이 그토록 중대한 사안이 된 이유를 설명한다. 공격자들은 또 다른 자격 증명 세트를 확보한 뒤 같은 반복 가능한 절차를 서로 다른 조직에 적용할 수 있었다.

클라우드 집중화는 결과를 증폭했다. 기업들은 고객 기록, 재무 정보, 운영 데이터, 분석 워크로드를 결합하기 위해 데이터 플랫폼을 사용한다. 따라서 침해된 계정 하나가 여러 비즈니스 시스템에서 수집된 정보에 접근할 수 있게 할 수 있다.

기술적 메커니즘은 너무 평범해서 간과되기 쉬웠다. 제로데이 익스플로잇은 필요하지 않았다. 제로데이는 방어자가 아직 수정 사항을 배포하지 못한, 이전에 알려지지 않은 소프트웨어 결함을 뜻한다.

대신 이 캠페인은 성숙한 범죄 공급망을 활용했다. 인포스틸러가 자격 증명을 수집하고, 지하 시장이 이를 유통하며, 갈취 운영자들이 접근 권한을 압박 수단으로 전환했다.

Mandiant는 이 기법들이 특별히 새롭거나 정교하지 않았다고 설명했다. 이 평가는 사건을 덜 우려스럽게 만들기는커녕 더 심각하게 만든다. 기본적인 ID 관리 실패가 이례적으로 광범위한 영향을 미친 공격을 가능하게 했다.

유죄 인정은 이 메커니즘을 바꾸지 않는다. 이는 검찰이 개별 참여자에게 책임을 물을 수 있음을 확인하는 한편, 재사용 가능한 공격 경로는 다른 집단에도 여전히 열려 있음을 보여준다.

Snowflake의 공동 책임 모델, 불편한 현실과 맞닥뜨리다

핵심 갈등은 계약상 책임과 운영상 통제 사이에 있다.

Snowflake는 조사관들이 자사의 기업 환경에서 침해, 취약점 또는 잘못된 구성의 증거를 찾지 못했다는 입장을 일관되게 유지해 왔다. 이는 플랫폼과 개별 고객 계정 사이에 명확한 경계를 긋는 입장이다.

회사는 규제 공시에서도 이 점을 반복했다. 위협 행위자들이 MFA 및 네트워크 접근 정책 같은 보호 조치를 구현하지 않은 일부 고객의 계정에 접근했다고 밝혔다.

이 설명은 현재까지 나온 포렌식 조사 결과와 부합한다. Mandiant 역시 무단 접근이 Snowflake의 기업 시스템 침해에서 비롯됐다는 증거를 발견하지 못했다.

그러나 고객들은 인프라와 보안 부담을 줄이기 위해 관리형 클라우드 서비스를 구매한 측면이 있다. 약 165개 조직이 유사한 계정 취약점으로 노출될 수 있다면, 책임 문제는 구성 체크리스트보다 더 복잡해진다.

공동 책임 모델은 클라우드 제공업체와 고객 사이에 보안 의무를 나눈다. 제공업체는 서비스를 보호하고, 고객은 ID, 권한, 데이터 및 특정 구성을 관리한다.

이 구분은 필요하다. 클라우드 공급업체는 각 고객 데이터세트에 접근해야 할 직원을 결정할 수 없다. 또한 이에 의존하는 애플리케이션을 이해하지 못한 채 모든 고객 자격 증명을 안전하게 교체할 수도 없다.

그러나 제공업체는 기본값, 인증 옵션, 경보, 문서, 관리 인터페이스, 의무적 보호 기능의 도입 방식을 통제한다. 이러한 선택은 고객이 안전한 결정을 내리는지에 강한 영향을 미친다.

Snowflake가 정책을 변경하기 전에는 새로 생성된 계정에 관련된 모든 사용자의 MFA 등록을 요구하는 기본 인증 규칙이 없었다. 고객은 보호 기능을 활성화할 수 있었지만, 기능의 제공이 채택을 보장하지는 않았다.

Snowflake는 이후 신규 계정에서 조건에 부합하는 비밀번호 사용자의 MFA 등록을 요구하는 기본 정책을 도입했다. MFA 문서에는 이전 상태와 이후 변경 사항이 기록돼 있다.

회사는 더 강력한 인증으로 계속 이동하고 있다. 현재 계획은 사람 사용자의 단일 요소 비밀번호 접근을 단계적으로 폐지하고, 서비스 사용자의 비밀번호 인증을 없애는 내용을 담고 있다.

이 조치는 중요한 제품 판단에 해당한다. 특히 수천 개 기업의 민감한 데이터를 집중시키는 서비스에서는 일부 제어 기능이 선택 사항으로 남아 있기에는 너무 중요하다.

이러한 방향 전환은 미묘하다. 고객이 사용 가능한 제어 기능을 활용하지 못했다는 Snowflake의 입장은 사실일 수 있다. 그러나 더 강력한 기본값을 강제하기로 한 이후의 결정은 기능의 제공만으로는 위험을 충분히 관리하지 못했음을 시사한다.

그렇다고 해서 Snowflake가 계약업체의 개인 컴퓨터에 설치된 악성코드에 책임이 있다는 뜻은 아니다. 또한 유출된 비밀번호를 교체하고 권한 있는 계정을 모니터링해야 하는 고객의 의무가 사라지는 것도 아니다.

이는 클라우드 보안 결과가 서비스 경계의 양측에서 비롯된다는 점을 보여준다. 고객은 사용자와 권한을 선택하지만, 제공업체는 가장 저항이 적은 경로를 설계한다.

계약업체 접근은 이 문제를 잘 보여준다. Mandiant는 게임이나 불법 다운로드를 포함한 개인 활동에도 사용된 계약업체 컴퓨터가 인포스틸러에 감염된 사례를 확인했다.

한 계약자는 여러 조직과 함께 일하며 각 환경에서 높은 권한을 보유할 수 있다. 따라서 감염된 단일 기기만으로도 여러 기업 계정과 연결된 자격 증명이 노출될 수 있다.

보안팀은 모든 ID가 관리되는 직원용 노트북에서 비롯된다고 가정할 수 없다. 엔드포인트가 직접적인 관리 범위를 벗어나는 경우에도 효과를 유지하는 통제가 필요하다.

공급업체도 다른 규모에서 같은 현실에 직면한다. 인증 시스템은 비밀번호가 유출되고, 사용자가 자격 증명을 재사용하며, 일부 고객이 선택적 보호 조치를 미룰 수 있음을 전제로 해야 한다.

따라서 techmeme의 캐나다 사례는 공동 책임을 좁게 해석하는 관점에 이의를 제기한다. 의무를 배정한다고 해서 수천 명의 고객이 이를 일관되게 이행하는 것은 아니다.

더 안전한 모델은 고객의 책임성과 공급업체가 강제하는 최소 기준을 결합한다. 또한 예외를 가시화하고, 기간을 제한하며, 실수로 생성하기 어렵게 만든다.

AT&T 사례가 클라우드 계정 보안이 곧 엔터프라이즈 보안인 이유를 보여준다

AT&T 사고는 탈취된 클라우드 계정을 통해 거의 전국 단위의 무선 고객 기반 전체에 영향을 미치는 개인정보 사건으로 번졌다.

AT&T는 2024년 7월 위협 행위자가 제3자 클라우드 플랫폼에서 기록을 불법 다운로드했다고 공개했다. 해당 데이터세트에는 2022년 6개월 동안의 통화 및 문자 메시지 기록과 2023년 1월의 제한적인 기록이 포함됐다.

회사는 영향을 받은 데이터에 통화 또는 문자 메시지에 사용된 전화번호가 포함됐다고 밝혔다. 일부 기록에는 상호작용과 관련된 기지국 식별 번호도 담겼다.

AT&T는 다운로드된 기록에 통화나 문자 메시지의 내용은 포함되지 않았다고 밝혔다. 또한 사회보장번호, 생년월일, 이름과 같은 기타 개인정보도 포함되지 않았다.

이러한 제한이 기록을 무해하게 만들지는 않는다. 통신 메타데이터는 메시지 내용이 없어도 관계, 일상 패턴, 업무상 연락처, 민감한 행동 양식을 드러낼 수 있다.

AT&T는 이 데이터가 거의 모든 자사 무선 고객, 자사 네트워크를 사용하는 모바일 가상 네트워크 사업자 고객, 그리고 해당 번호와 상호작용한 일부 유선전화 고객과 관련됐다고 밝혔다.

회사의 공시에 따르면 2024년 4월 19일 위협 행위자가 통화 로그에 접근해 복사했다고 주장한다는 사실을 알게 됐다. AT&T는 조사에 착수하고 법 집행기관과 협력했다.

이는 고립된 실험 시스템에 있던 주변적 데이터세트가 아니었다. 주요 통신 사업자의 고객 기반이 매일 수행하는 통신에서 파생된 정보였다.

이 사고는 클라우드 데이터 웨어하우스가 운영 ID 시스템과 동일한 수준의 보안 주의를 받아야 하는 이유를 보여준다. 데이터 플랫폼은 직접 운영하지 않는 애플리케이션을 포함해 수많은 애플리케이션에서 가져온 사본을 보유하는 경우가 많다.

공격자는 이러한 집중을 이해한다. 여러 운영 시스템을 침투하는 대신, 조직이 이미 가치 있는 정보를 결합해 둔 분석 저장소를 노릴 수 있다.

보도에 따르면 Snowflake 캠페인은 Ticketmaster의 모회사 Live Nation, Santander, Advance Auto Parts, Neiman Marcus, LendingTree 등 다른 잘 알려진 조직에도 영향을 미쳤다.

피해 조직마다 Snowflake 인스턴스에 저장된 워크로드가 달랐기 때문에 노출된 데이터도 달랐다. 반복된 요소는 단일 표준 데이터세트가 아니라 ID 탈취였다.

이 패턴은 Snowflake뿐 아니라 엔터프라이즈 구매자에게도 압박을 준다. 보안 검토는 흔히 공급업체의 암호화, 인증, 가용성, 취약점 관리에 큰 비중을 둔다.

이러한 통제는 중요하지만, 모든 사람 계정이 피싱 저항형 인증을 사용하는지는 답해 주지 않는다. 또한 오래된 계약자 자격 증명이 여전히 활성 상태인지도 드러내지 않는다.

조달팀은 플랫폼이 단일 요소 접근을 어떻게 차단하는지, 사람 ID와 서비스 ID를 어떻게 구분하는지, 예상 밖 네트워크에서의 로그인을 어떻게 탐지하는지 물어야 한다. 권한 있는 내보내기가 즉시 경보를 발생시키는지도 검토해야 한다.

데이터 소유자는 분석 플랫폼으로 유입되는 데이터를 매핑할 필요도 있다. 여권 정보, 금융 기록, 통신 메타데이터를 조용히 축적하는 웨어하우스는 원래의 위험 등급이 시사하는 것보다 더 높은 가치의 표적이 될 수 있다.

이 인벤토리에는 사본과 파생 데이터세트도 포함돼야 한다. 운영 애플리케이션에서 필드를 삭제하더라도 다른 곳에 보관된 이전 내보내기까지 보호되지는 않는다.

검색 가능한 내부 기록은 팀이 데이터 접근 및 사고 대응과 관련된 결정을 보존하는 데 도움이 될 수 있다. 예를 들어, 잘 관리되는 engineering knowledge base는 런북, 소유권 기록, 이전 보안 조사 결과를 연결할 수 있다.

문서화 자체가 보안 통제는 아니다. 대응자가 노출된 테이블의 소유자, 종속성, 인증 예외, 업무 목적을 신속히 식별할 수 있을 때 유용해진다.

AT&T 사례는 “제3자 사고”라는 표현도 복잡하게 만든다. 고객의 정보가 범죄자의 손에 들어갔을 때, 고객은 침해된 계정을 어느 당사자가 운영했는지에는 좀처럼 관심을 두지 않는다.

규제기관, 법원, 영향을 받은 개인은 전체 연결 고리를 검토한다. 여기에는 데이터 소유자, 클라우드 공급업체, 계약자, ID 관리자, 그리고 불필요한 계정을 활성 상태로 남겨 둔 모든 이가 포함된다.

유죄 인정만으로 보안 책임성 논쟁을 끝낼 수는 없다

형사 책임과 방어 책임은 서로 다른 질문에 답한다.

Moucka 기소는 지명된 피고인이 특정 연방 범죄를 저질렀는지를 묻는다. 더 광범위한 보안 논쟁은 어떤 조직이 공격을 예방하거나 제한할 위치에 있었는지를 묻는다.

유죄 인정은 도구, 공모자, 지급, 피해자 선정에 관한 증거를 제공할 수 있다. 또한 배상 청구를 뒷받침하고, 수사관이 이전에는 기술적 지표를 통해서만 추적했던 활동을 연결하는 데 도움이 될 수 있다.

그러나 모든 영향을 받은 기업이 동일한 통제를 갖췄음을 입증할 수는 없다. 또한 한 공급업체 정책이 더 광범위한 캠페인의 모든 사고를 막았을 것이라고 증명할 수도 없다.

공개 보도는 규모도 신중하게 다뤄야 한다. Mandiant는 약 165개 조직이 잠재적으로 노출돼 통지를 받았다고 밝혔다. 법무부 사건 페이지는 최소 10개 피해 조직이 연루된 것으로 알려진 해킹 계획을 설명한다.

이 수치는 서로 다른 범위를 측정한다. Moucka가 인정한 행위에서 165개 조직 모두를 입증된 피해자로 제시하는 것은 여기에서 공개된 증거를 넘어서는 일이다.

정확한 유죄 인정 조건도 같은 이유로 중요하다. 독자는 최초 기소 항목이 모두 유지됐다고 가정하기보다, 제출된 유죄 인정 합의서와 법원이 기록한 인정 사실을 살펴봐야 한다.

형량도 아직 확정되지 않았다. 연방 법정 최고형은 큰 헤드라인 수치를 만들어 낼 수 있지만, 판사는 단순히 모든 최고형을 더해 그 결과를 선고하지 않는다.

법원은 유죄가 확정된 범죄, 양형 지침, 전과, 피해자 손실, 협조, 배상, 양측의 주장을 고려한다. “수십 년”이라는 보도된 노출 규모는 법적 위험을 설명할 뿐 최종 형량은 아니다.

Snowflake의 보안 대응도 비슷한 주의가 필요하다. 더 강력한 MFA 요구 사항은 탈취된 비밀번호의 위험을 줄이지만, MFA는 현대적 사회공학 공격에 대한 완전한 방어책은 아니다.

Google 위협 연구자들은 2026년 ShinyHunters 브랜드를 내건 작전이 전술을 확장했다고 보고했다. 공격자는 음성 피싱과 자격 증명 수집 사이트를 이용해 싱글 사인온 자격 증명과 MFA 코드를 확보했다.

일부 작전은 헬프데스크나 사용자를 설득해 악성 등록 작업을 승인하게 했다. 다른 작전은 세션 토큰을 탈취했으며, 이는 정상적인 인증 이벤트 이후에도 공격자가 활동할 수 있게 한다.

이러한 진화는 MFA 의무화가 문제를 영구적으로 해결한다는 어떤 주장도 약화한다. 다만 재사용 가능한 비밀번호가 직접 접근을 제공하는 가장 쉬운 형태의 공격은 제거한다.

보안팀은 민감한 역할에 피싱 저항형 인증이 필요하다. 패스키와 하드웨어 보안 키는 사용자가 전달할 수 있는 코드보다 인증을 합법적인 사이트에 더 효과적으로 결속한다.

로그인 이후의 통제도 필요하다. 네트워크 제한, 행동 분석, 짧은 세션, 내보내기 모니터링, 최소 권한 권한 부여는 탈취된 ID로 인한 피해를 줄인다.

서비스 계정은 별도의 주의가 필요하다. 이러한 비인간 ID는 애플리케이션과 자동화된 워크플로를 지원하므로, 대화형 MFA는 일반적으로 적합하지 않다.

더 강력한 대안으로는 키 쌍 인증, 워크로드 ID, 범위를 좁힌 권한, 자동화된 자격 증명 교체가 있다. 팀은 서비스 자격 증명이 영구적인 마스터 키가 되는 것을 막아야 한다.

데이터 이동은 전용 모니터링이 필요하다. 사용자가 갑자기 많은 테이블을 열거하고, 임시 스테이지를 만들고, 대규모 내보내기를 압축한 뒤 새 위치에서 이를 가져오는 경우 탐지 가능한 순서가 만들어진다.

조직은 이러한 활동이 유용한 경보를 생성하는지 테스트해야 한다. 신호를 받거나 조사 방법을 아는 사람이 없다면 명목상 로깅 기능은 거의 보호 효과를 제공하지 못한다.

클라우드 공급업체는 높은 신뢰도의 탐지를 기본값으로 제공해 모호성을 줄일 수 있다. 그러면 고객은 모든 규칙을 처음부터 설계하지 않고도 해당 탐지를 조정할 수 있다.

techmeme의 캐나다 보도는 법적 이정표를 더하지만, 회의적인 결론은 여전히 필요하다. 개별 운영자를 체포하고 기소한다고 해서 이들에게 접근 권한을 제공한 자격 증명 경제가 해체되는 것은 아니다.

인포스틸러 로그는 여전히 풍부하다. 범죄 집단은 오래된 자격 증명을 저렴하게 구매하고, 대규모로 시험하며, 여전히 작동하는 계정에 노력을 집중할 수 있다.

따라서 방어자는 비밀번호 노출을 예상되는 사건으로 다뤄야 한다. 핵심 질문은 탈취된 자격 증명이 실질적인 피해를 유발할 만큼 충분히 오래 유용한 상태로 남는지다.

Snowflake의 교훈이 지속됐는지 보여줄 세 가지 신호

다음 단계는 법원 기록, 인증 강제 적용, 반복되는 클라우드 공격의 증거를 통해 측정돼야 한다.

첫 번째 신호는 Moucka의 서면 유죄 인정 합의서와 양형 기록이다. 이 문서는 그가 인정한 행위, 그 인정에 포함된 피해자, 그리고 합의된 손실 산정이 있다면 이를 정의해야 한다.

상세한 사실 진술은 캠페인이 어떻게 작동했는지에 대한 대중의 이해를 강화할 것이다. 범위가 좁은 합의라면 Moucka를 UNC5537에 귀속된 모든 사고와 연결할 때 계속 신중해야 한다.

양형은 검사와 법원이 탈취된 자격 증명으로 발생한 피해를 어떻게 평가하는지도 보여줄 것이다. 배상 판단은 공개 침해 통지에서 포착하지 못한 비용을 드러낼 수 있다.

두 번째 신호는 Snowflake가 더 강력한 인증 도입을 완료하는지다. 가장 의미 있는 척도는 MFA 기능의 존재 여부가 아니라, 일반 사람 계정에서 단일 요소 비밀번호 접근이 실제로 사라지는지다.

예외는 면밀한 검토가 필요하다. 레거시 비즈니스 인텔리전스 도구, 리더 계정, 평가판 환경, 서비스 통합은 조직이 마이그레이션을 완료하지 않으면 더 약한 경로를 유지할 수 있다.

엔터프라이즈 구매자는 공급업체에 적용 일정과 예외 인벤토리를 요청해야 한다. 또한 자체 계정 구성으로 그 답변을 검증해야 한다.

성공적인 전환은 원래의 공격 경로를 약화할 것이다. 지속되는 예외나 지연된 적용은 사용성과 호환성 압박이 여전히 선언된 보안 목표를 앞선다는 점을 보여줄 것이다.

세 번째 신호는 공격자가 다른 서비스형 소프트웨어 플랫폼을 상대로 이 캠페인을 재현하는지다. Mandiant는 2024년 UNC5537의 접근 방식이 Snowflake를 넘어 확장될 수 있다고 경고했다.

이후 보고는 관련 갈취 활동이 이미 음성 피싱, 싱글 사인온 탈취, 여러 클라우드 애플리케이션에서의 정보 탈취로 진화했음을 보여줬다.

이러한 진화는 이 글의 핵심 판단을 강화할 것이다. 지속되는 문제는 특정 공급업체나 특정 피고인 한 명이 아니라, 중앙화된 클라우드 데이터와 일관되지 않은 ID 강제 적용 사이의 격차다.

비밀번호 기반 침해가 감소한다면 의무적 통제가 효과를 내고 있음을 보여줄 것이다. 반면 세션 탈취나 헬프데스크 조작을 통한 침해가 계속된다면, 관심은 피싱 저항형 신원 인증과 로그인 이후의 탐지로 옮겨갈 것이다.

따라서 techmeme의 캐나다 관련 기사는 단지 2024년 해킹 사건의 마지막 장이 아니다. 이는 클라우드 제공업체와 고객사가 이 캠페인을 반복 가능하게 만든 조건을 바꿨는지 가늠하는 시험대다.

보도된 Moucka의 유죄 인정은 형사 사건에서 개인의 책임에 관한 보다 분명한 답을 제시한다. 그러나 기업 차원의 답은 아직 완성되지 않았다.

보안 책임자들은 이 시점을 활용해 모든 권한 계정을 검증하고, 휴면 신원을 제거하며, 신뢰된 네트워크를 제한하고, 대량 내보내기를 모니터링해야 한다. 또한 공급업체에 어떤 보호 조치가 단순히 제공되는 수준이 아니라 실제로 강제 적용되는지 물어야 한다.

마지막 질문은 실질적이다. 오늘 밤 직원이나 계약업체의 비밀번호가 범죄자의 로그에 들어간다면, 내일 아침 어떤 통제가 이를 막을 수 있을까?