Binance의 모의 피싱 공격 프로그램
Binance는 사회 공학적 위험을 줄이기 위해 매달 직원들을 대상으로 모의 피싱 공격을 실시합니다. 최고 보안 책임자 Jimmy Su는 거래소의 레드 팀이 직원들이 의심스러운 메시지, 링크 및 요청을 인식하는지를 테스트하기 위해 가짜 공격을 생성한다고 밝혔습니다.
“실패한 직원은 후속 교육을 이수해야 하며, 반복적인 실패는 성과 평가에 영향을 미치고 해고로 이어질 수 있습니다.” – Jimmy Su
이 프로그램은 공격자들이 암호화폐 회사에 침입하는 데 사용하는 인적 오류를 겨냥하고 있습니다. Su에 따르면 Binance는 지난 3~4년 동안 이러한 훈련을 운영해 왔으며, 이 기간 동안 회사의 보안 습관이 개선되었다고 합니다.
훈련의 목적과 방법
Binance는 3억 2,300만 명의 등록 사용자를 보유하고 있으며, DefiLlama는 거래소와 관련된 약 1,375억 달러의 자산을 추적하고 있습니다. 레드 팀은 실제 공격과 유사한 방법을 사용하여 가짜 해킹을 실시하며, 직원들이 발견하는 내용을 공유합니다. 한 테스트에서는 가짜 채용 담당자가 일자리를 제안할 수 있으며, 또 다른 테스트에서는 무료 컨퍼런스 접근을 약속하고 개인 정보를 요청할 수 있습니다.
팀은 직원들이 메시지를 열거나 링크를 클릭하거나 회사 시스템을 노출할 수 있는 정보를 공유하는지를 기록합니다. Su는 실패한 직원이 보충 교육을 받는다고 말했습니다. 반복적인 실패는 “그들의 평가에 부정적인 영향을 미칠 것”이라고 그는 덧붙였습니다.
사회 공학의 위협
이 정책은 직원들이 응답하기 전에 예상치 못한 메시지를 확인할 수 있는 직접적인 업무 관련 이유를 제공합니다. Binance는 레드 팀을 공격자의 관점에서 시스템을 테스트하는 윤리적 해커의 내부 그룹으로 설명했습니다. 이 거래소는 또한 버그 바운티 프로그램을 통해 외부 연구자와 협력하고 있습니다.
이러한 훈련은 사회 공학이 보고된 암호화폐 손실의 큰 비율을 차지하는 가운데 이루어집니다. AMLBot은 2,500건 이상의 조사를 검토한 결과, 2025년에 처리한 사건의 65%가 직접적인 소프트웨어 악용이 아닌 사회 공학에서 시작되었다고 밝혔습니다.
실제 사례와 공격 방법
Su는 Binance의 테스트에서 사용된 시나리오 중 하나로 가짜 채용 면접을 지목했습니다. 실제 공격자들은 개발자, 경영진 및 투자 팀을 상대로 동일한 접근 방식을 사용합니다. 그들은 LinkedIn, Telegram 또는 이메일에서 대화를 비디오 회의로 옮기고, 피해자의 카메라나 마이크가 업데이트가 필요하다고 주장할 수 있습니다.
북한과 연관된 해커들은 손상된 Telegram 계정과 딥페이크 Zoom 전화를 사용하여 암호화폐 전문가에게 연락했습니다. 공격자들은 알려진 연락처를 가장하고 피해자에게 오디오 문제를 해결한다고 주장하는 파일을 설치하도록 요청했습니다. 그러나 그 파일은 장치, 브라우저 데이터 및 암호화폐 지갑에 접근할 수 있는 악성 코드를 전달했습니다.
지속적인 교육의 필요성
매달 실시되는 시뮬레이션을 통해 Binance는 실패율을 비교하고 공격자가 방법을 변경할 때 교육을 업데이트할 수 있습니다. 연간 단일 과정은 직원들이 현재 사건, 신뢰할 수 있는 연락처 또는 일자리 제안에 기반한 새로운 유인책에 대비하는 데 충분하지 않을 수 있습니다.
빈번한 테스트는 또한 직원들이 의심스러운 메시지를 삭제하는 것뿐만 아니라 보고하는지를 보여줍니다. 그러나 시뮬레이션은 모든 위험을 제거할 수는 없습니다. 공격자는 진짜 계정을 탈취하고 이전 대화를 복사하며 인공지능을 사용하여 설득력 있는 오디오, 비디오 및 서면 메시지를 생성할 수 있습니다.
기업은 여전히 접근 제어, 거래 한도, 장치 모니터링 및 신속한 사고 대응과 함께 직원 교육이 필요합니다. Su는 Binance의 초기 보안 습관이 “많은 개선이 필요했다”고 말했지만 반복적인 테스트가 개선을 가져왔다고 밝혔습니다.
이 거래소는 직원 인식을 일회성 준수 작업이 아닌 더 넓은 방어 시스템의 일환으로 간주합니다. 직원들은 여전히 파일을 열거나 정보를 공유하거나 거래를 승인하기 전에 별도의 채널을 통해 비정상적인 요청을 확인해야 합니다.
