계정과 피싱 도구, 인프라를 한데 묶어 파는 중국어권 범죄 장터의 구조
일본 경찰 제보에서 출발해 클라우드플레어·오라클까지 가세한 공조

마이크로소프트가 피싱 메시지 10억건 이상을 뿌린 중국어권 사이버 범죄 장터의 핵심 서비스 세 곳을 법원 명령으로 무력화했다.

시큐리티위크에 따르면 마이크로소프트와 의료 분야 정보공유기구 헬스아이색(Health-ISAC)은 미국 플로리다 남부연방지방법원 명령을 받아 얌스토어(YAM Store)와 코구이(CoGUI), 아이언맨(Iron Man)이 쓰던 도메인을 압수해 다른 곳으로 돌렸다. 범죄자들이 이 인프라로 병원과 의료기관을 자주 노리면서 헬스아이색이 민사 소송에 함께 이름을 올렸다.

(출처: 마이크로소프트)

세 서비스는 범죄자에게 계정과 피싱 도구, 인프라를 공급하는 장터였다. 마이크로소프트는 이들이 1월 이후 악성 메시지를 10억건 넘게 보냈고, 그중 7억5000만건 이상이 마이크로소프트 고객을 겨냥했다고 밝혔다. 메시지는 150개국 넘는 지역의 기관 7만5000여 곳과 일반 소비자에게 닿았다.

얌스토어는 장터의 중심이다. 마이크로소프트는 이를 ‘스톰-3119’(Storm-3119)로 추적해 왔다. 얌스토어는 마이크로소프트와 구글 같은 클라우드 업체에서 탈취했거나 속여서 만든 계정 환경을 팔았다. 구매자는 계정이 만들어진 기간과 구독 유형, 교육기관이나 비영리단체 같은 환경 종류로 골라 살 수 있었다. 마이크로소프트 위협 인텔리전스팀은 얌스토어가 마이크로소프트 365와 교육용 애저 계정을 가로채는 접근 중개상 노릇을 했다고 설명했다.

얌스토어 진열대엔 피싱 도구가 함께 올라 있었다. 코구이와 하오쯔(Haozi), 아이언맨이다. 마이크로소프트는 중국어를 쓰는 개발자들이 이 도구들을 만들었다고 높은 확신을 갖고 평가했다. 세 도구는 인프라가 비슷하고 활동이 겹쳐, 개발 뿌리가 같거나 코드를 재사용했거나 긴밀히 협력했을 가능성이 있다.

코구이는 일본과 미국 피해자를 상대로 많이 쓰였다. 2026년 중반부터는 아이언맨이 그 자리를 넘겨받았다. 얌스토어는 6월부터 아이언맨을 광고했다. 아이언맨은 139개국 이상에 맞춘 미끼 화면을 2335개 넘게 갖췄고, 미국에선 주로 교통기관과 정부기관을 사칭했다. 아이언맨은 단순한 가짜 화면이 아니었다. 운영자가 피해자를 실시간으로 지켜보다가 일회용 인증 코드를 입력하라고 요구할 수 있었다.

보안 기업 리시큐리티(Resecurity)는 아이언맨 사용권을 직접 사들여 격리된 실험실에서 돌려 봤다. 리시큐리티가 확인한 미끼 화면은 130개 국가·지역용 2360개였고, 가장 최근 화면은 10월 1일 추가됐다. 리시큐리티는 이 도구가 판매자의 라이선스 서버와 주기적으로 연결해야만 돌아간다는 점도 확인했다. 라이선스 서버를 끊으면 조사 대상 하나가 아니라 가동 중인 아이언맨 전체가 약해질 수 있다는 뜻이다.

수사는 2025년 말 일본 경찰청이 자국민을 노린 악성 문자 공격을 마이크로소프트에 알리면서 시작됐다. 이후 리시큐리티와 클라우드플레어, 오라클, 프루프포인트, TRM랩스가 합류했고 미국과 각국 수사기관도 힘을 보탰다.

마이크로소프트는 얌스토어와 연결된 계정 2만여개를 막았고, 사칭과 사기에 쓰이는 도메인 10만여개를 차단하고 있다. 운영자들이 벌어들인 돈은 수천만달러로 알려졌다.

스티븐 마사다(Steven Masada) 마이크로소프트 디지털범죄대응반 총괄은 이번 사건이 더 넓은 범죄 서비스 경제로 이어졌고 세 서비스는 그 일부일 뿐이라면서도 “이들을 무너뜨리면 범죄자가 의존하는 계정과 도구, 인프라를 손에 넣기 어려워진다”고 말했다.

출처 : 보안뉴스(https://www.boannews.com)