핵심 요약
- 보험 대상 피싱이 자격증명 수집 후 후속 악용으로 이어지는 기존 모델에서, 로그인 즉시 세션과 권한을 탈취하는 실시간 계정 하이재킹 형태로 전환된 것으로 CTM360 연구에서 확인됨
- 1차 침해와 2차 악용 사이의 시간 격차가 사실상 사라져, 세션 토큰과 인증 쿠키를 실시간으로 가로채는 공격 흐름이 정교한 멀티스테이지 체계로 발전한 것으로 분석됨
- 피싱 인프라가 가짜 로그인을 통해 잔여 권한을 즉시 행사하도록 설계되어, 다단계 인증과 피싱 저항 인증 체계 강화의 필요성이 제기됨
보험·금융 산업 보안 전략은 수집 후 악용을 전제로 한 사후 탐지에서, 인증 직후 세션과 권한을 실시간으로 통제하는 예방 중심으로 재설계되어야 할 시점이다.
CTM360의 위협 인텔리전스 보고서에 따르면, 보험 산업을 겨냥한 피싱 공격이 자격증명 수집 중심의 전통적 모델을 넘어 피해자 인증과 동시에 계정을 탈취하는 실시간 하이재킹 형태로 진화한 것으로 나타났습니다. 이 변화는 단순한 공격 도구 개선이 아니라 1차 침해와 2차 악용 사이의 시간 격차를 사실상 제거한 패러다임 전환으로 해석됩니다. 본 글은 공개된 공격 흐름 분석을 바탕으로 보험·금융 분야의 탐지 및 대응 시사점을 정리합니다.
서론: 보험 산업을 겨냥한 피싱 위협의 새로운 국면
전통적 피싱 공격과 새로운 공격 모델의 경계
기존 보험 피싱은 메일·문자로 유도한 가짜 로그인 페이지에서 사용자명·비밀번호를 입력받아 저장한 뒤, 일정 시간이 지난 후 다른 기기에서 해당 자격증명을 재사용하는 수집 후 악용(harvest-and-later-abuse) 모델이 일반적이었습니다. 반면 CTM360이 포착한 흐름은 피해자가 로그인 버튼을 누르는 순간 자격증명, 세션 토큰, 인증 쿠키가 동시에 탈취되고, 공격자가 피해자 권한을 그대로 이어받는 즉시형 계정 탈취(real-time account hijacking) 양상을 보입니다. 공격의 경제적 가치 창출 시점이 인증 시점으로 앞당겨진 점에서 전통 모델과의 명확한 경계가 형성된 것으로 분석됩니다.
CTM360이 포착한 공격 흐름의 변화
자격증명 수집 중심에서 즉각형 계정 탈취로의 전환
CTM360의 분석에 따르면, 최근 보험·금융 대상 피싱은 사용자명·비밀번호 수집 단독으로 가치를 산출하지 않습니다. 공격자는 가짜 포털에서 입력값 검증과 동시에 브라우저 세션 정보, 인증 후 발급되는 토큰, 리프레시 토큰을 추출하도록 페이로드를 설계한 것으로 나타났습니다. 수집 즉시 같은 세션 컨텍스트에서 보험금 청구, 대출 실행, 정책 변경, 지급 계좌 변경 등 잔여 권한을 기반으로 한 행위가 자동 또는 반자동으로 이어지는 구조가 확인됩니다.
1차 침해와 2차 악용 사이 시간 격차의 소멸
전통적 모델에서는 수집된 자격증명 재사용까지 수 시간에서 수 일이 소요되어 사후 탐지 기회가 존재했다는 점이 보고됩니다. 그러나 최근 모델은 인증이 성립하는 순간 공격자의 후속 행위가 개시되므로 1차 침해와 2차 악용 사이의 간격이 사실상 사라진 것으로 분석됩니다. 이로 인해 이상 로그인 알림, 통제된 IP에서의 재로그인 탐지, 거래 후 알림 등 사후 통지 기반 통제만으로는 피해 확대를 차단하기 어렵다는 평가가 우세합니다.
실시간 계정 하이재킹의 기술적 메커니즘
가짜 로그인 페이지와 인증 정보 즉시 가로채기
1단계는 보험사·중개사 포털을 모방한 가짜 로그인 페이지입니다. 입력값은 정상적인 인증 요청 형태로 릴레이(aiTM, adversary-in-the-middle)되거나 즉시 저장되며, 동시에 브라우저에서 세션 식별자, 디바이스 핑거프린트, 인증 쿠키가 추출됩니다. CTM360은 이러한 페이지가 단순 정적 양식이 아니라 정상 포털의 응답을 실시간으로 모방하는 동적 프록시 형태로 구현된 사례를 다수 관찰한 것으로 분석했습니다.
세션 토큰 및 인증 쿠키 실시간 탈취 방식
2단계는 인증 성공 직후 발급되는 세션 토큰·인증 쿠키의 탈취입니다. 공격자는 가짜 페이지를 통해 정상 로그인 응답을 가로채거나, 사용자 브라우저에 악성 스크립트를 삽입해 인증 결과에 포함된 토큰을 추출합니다. 추출된 토큰은 공격자 인프라로 전송되어 동일 세션 권한을 가진 가짜 클라이언트 세션에 주입되며, 사용자가 로그아웃하기 전까지 권한이 유효한 상태로 유지됩니다.
잔여 권한을 즉시 행사하는 멀티스테이지 공격 체계
3단계는 탈취된 세션을 통한 즉각적 악용입니다. 보험 포털의 권한 모델에 따라 보험금 청구, 수혜자·계좌 정보 변경, 대출 한도 확인, 의료·건강 정보 조회 등이 연속적으로 수행됩니다. 이러한 행위는 정상 사용자의 행위 시점과 매우 근접한 시간에 발생하므로, 단순 휴면 시간 기반 탐지 규칙을 우회할 가능성이 높은 것으로 보입니다.
보험 사기 공격 인프라의 고도화 양상
금융·보험 계정 권한 즉시 행사용 설계
CTM360은 공격 인프라가 보험·금융 권한 모델에 최적화되어 설계되었다고 분석합니다. 일반 소비자 계정 대상 피싱 키트가 단순 자격증명 수집에 그친 것과 달리, 신규 키트는 인증 직후 호출되는 핵심 API의 호출 시퀀스까지 자동화한 형태로 패키징된 사례가 확인됩니다. 이로 인해 단일 세션에서 다수의 정책·계좌에 대한 변경 시도가 짧은 시간 안에 발생할 수 있습니다.
피싱 키트과 운영 체계의 변화
키트 운영 측면에서도 변화가 관찰됩니다. aiTM 프록시, 토큰 추출 모듈, 세션 재생 모듈이 결합된 멀티스테이지 체인이 텔레메트리 기반으로 운영되며, 실패율·탐지 회피율이 지속 조정되는 양상입니다. 일부 키트는 정상 사용자 행위 패턴을 모방한 클릭·호출 간격을 적용해 휴면 기반 탐지를 우회하는 것으로 추정됩니다.
기업·사용자 관점의 탐지 및 대응 시사점
로그인 직후 비정상 세션·행위 모니터링
사후 탐지에서 예방 중심으로 전환하기 위해, 인증 직후 5분 이내의 행위 밀도, 동일 세션 내 다중 정책 변경, 비정상 IP·디바이스에서의 토큰 재사용을 집중 모니터링해야 합니다. 사용자 입장에서는 로그인 직후 짧은 시간 내 본인 인지하지 못한 알림·문자 발송 여부를 즉시 확인하고, 의심 거래가 감지되면 세션 종료와 비밀번호 재설정을 병행해야 합니다.
MFA 우회 시도에 대한 경보 강화
실시간 하이재킹은 종종 세션 토큰 탈취로 인해 MFA 단계 자체를 우회합니다. 따라서 MFA 우회 가능성을 고려해 디바이스 바인딩, 토큰 사용 횟수 제한, 이상 디바이스에서의 토큰 재사용 차단 등 토큰 후행 통제가 필수적입니다. 사용자는 단순 SMS·앱 기반 OTP보다 디바이스-bound 인증 수단을 우선 사용해야 합니다.
| 구분 | 전통적 수집 후 악용 모델 | 실시간 계정 하이재킹 모델 (CTM360 관찰) |
|---|---|---|
| 핵심 목표 | 사용자명·비밀번호 수집 | 자격증명 + 세션 토큰·인증 쿠키 동시 탈취 |
| 1차 침해와 2차 악용 간격 | 수 시간 ~ 수 일 | 수 초 ~ 수 분, 사실상 0에 수렴 |
| 인프라 형태 | 정적 가짜 로그인 양식 | 동적 aiTM 프록시 + 토큰 추출 모듈 |
| 탐지 시점 | 사후 자격증명 재사용 시점 | 인증 직후 즉시 발생하는 권한 행사 |
| 주요 통제 | 이상 로그인 알림, 비밀번호 재설정 | 토큰 후행 통제, 피싱 저항 인증, 세션 모니터링 |
다단계 인증 및 피싱 저항 인증 체계 강화
피싱 저항 FIDO2/WebAuthn 기반 인증의 필요성
실시간 하이재킹은 세션 토큰을 통째로 탈취하므로 비밀번호·OTP 기반 통제만으로는 한계가 있습니다. 피싱 저항 FIDO2/WebAuthn 기반 패스키는 도메인 바인딩과 도메인 검증이 결합되어 aiTM 프록시 환경에서도 자격증명 재사용을 차단합니다. 보험·금융 서비스는 사용자 세그먼트별로 단계적으로 피싱 저항 인증을 도입하고, 핵심 권한 행위에 대해선 패스키를 필수화해야 한다는 의견이 제시됩니다.
기기 바인딩과 토큰 재사용 방지 설계
토큰 발급 시 디바이스 핑거프린트와 결합된 바인딩 정보를 포함시키고, 토큰 재사용 시 바인딩 일치 여부를 검증하도록 설계해야 합니다. 또한 토큰 유효 기간 단축, 위험 기반 재인증(adaptive re-authentication), 이상 세션 자동 종료 정책을 결합해 세션 탈취로 인한 피해 반경을 축소해야 합니다.
결론: 수집 후 악용에서 즉시 탈취로의 위협 전환
보험·금융 산업 보안 전략 재설계 방향
CTM360 연구는 보험 피싱 위협이 자격증명 수집 후 사후 악용 모델에서, 인증과 동시에 권한을 탈취하는 실시간 모델로 전환되었음을 시사합니다. 이에 따라 보안 전략은 사후 탐지와 통지에 의존하는 통제에서, 인증 직후 세션과 권한을 실시간으로 통제하는 예방 중심으로 재설계되어야 합니다. 사용자·기업·솔루션 벤더가 함께 토큰 후행 통제, 피싱 저항 인증, 세션 모니터링을 강화하지 않는다면, 공격의 시간적 우위가 지속될 가능성이 높습니다.
핵심 포인트 정리
- 보험 피싱이 자격증명 수집 후 사후 악용 모델에서, 인증과 동시에 세션·권한을 탈취하는 실시간 계정 하이재킹 모델로 전환된 것이 CTM360 연구를 통해 확인됨
- 1차 침해와 2차 악용 사이의 시간 격차가 사실상 사라져, aiTM 프록시와 토큰 추출 모듈이 결합된 멀티스테이지 공격 체계가 정교해진 것으로 분석됨
- 피싱 저항 FIDO2/WebAuthn 인증, 디바이스 바인딩 기반 토큰 후행 통제, 인증 직후 비정상 세션 모니터링의 3축이 보험·금융 보안의 핵심 통제로 부상
참고 자료
– The Hacker News 기사: https://thehackernews.com/2026/07/ctm360-research-reveals-how-insurance.html
– CTM360 Research (보안 위협 인텔리전스 보고서): https://ctm360.com