호주 국회의원 및 직원, '외국 행위자'의 왓츠앱 공격에 해킹당해

왓츠앱 해킹이 어떻게 진행되었나

2026년 3월 6일, 표적 피싱 공격으로 호주 연방 의원 1명과 직원 3명의 개인 왓츠앱 계정이 손상되었습니다. 공격자는 간단하면서도 효과적인 방법을 사용했습니다. 먼저 피해자 기기에 합법적인 인증 코드를 전송한 후, 신뢰할 수 있는 연락처로 위장하여 해당 코드를 요청했습니다. 코드를 넘겨받은 해커는 계정을 자신의 기기에 연결하여 사실상 완전한 통신 통제권을 확보했습니다. 이 침해는 5월 25일 상원 예산 청문회에서 확인되었으며, 의회 서비스부(DPS) 관계자가 사건의 진행 과정을 자세히 설명했습니다.

DPS 최고정보책임자 마이크 웹은 공격 패턴이 외국 국가 행위자의 조직적인 시도를 나타낸다고 설명했습니다. 손상된 계정은 개인 계정이었지만 DPS 관리 기기에서도 접속되어 플랫폼 간 취약성에 대한 우려를 제기했습니다. 공격자의 목표는 계정 탈취였으며, 네 건 모두 성공적으로 이루어졌습니다. DPS는 즉시 호주 신호국(ASD)에 통보하고 3월 9일부터 16일까지 의회 네트워크에서 왓츠앱 웹 접속을 일시 차단하여 잠재적 확산을 막았습니다.

피싱 전술과 사회공학

이 공격은 정교한 기술적 익스플로잇보다는 사회공학에 크게 의존했습니다. 피싱은 인간 심리를 표적으로 삼기 때문에 가장 효과적인 사이버 위협 중 하나로 남아 있습니다. 해커는 신뢰할 수 있는 연락처(이미 손상된 다른 의원의 계정일 가능성도 있음)로 위장하여 인증 코드를 요청했습니다. 이러한 신뢰 기반 접근 방식은 피해자가 요청에 응할 가능성을 높였습니다. 공격자가 코드를 입력하면 왓츠앱이 자동으로 기기를 연결하여 메시지, 미디어, 연락처 목록에 대한 전체 접근 권한을 부여했습니다.

글로벌 기관의 유사 경고

이 방법은 전 세계 사이버 보안 기관이 경고한 전술과 일치합니다. 2025년, 영국 국가사이버보안센터와 미국 사이버보안 및 인프라 보안국은 왓츠앱 사용자를 대상으로 한 동일한 피싱 기술에 대한 권고를 발표했습니다. 호주 공격은 이러한 위협 행위자가 더욱 공격적으로 변해 고위 정치 인물을 구체적으로 표적으로 삼고 있음을 시사합니다. DPS 관계자는 공격자가 피해자의 네트워크에 대한 사전 정보를 가지고 있었던 것으로 보이며, 이로 인해 피싱 메시지가 매우 설득력 있었다고 언급했습니다.

대응 및 완화 조치

침해 발견 후 DPS는 신속하게 위협을 격리했습니다. 의회 네트워크에서 왓츠앱 웹 브라우저를 차단하여 업무 흐름에 지장을 초래했지만 추가 계정 손상을 방지했습니다. 영향을 받은 개인에게는 즉시 지원이 제공되었고, ASD는 포렌식 조사를 실시했습니다. 사후 조치로 DPS는 모든 의원과 직원에게 보안 설정을 검토하고, 2단계 인증을 활성화하며, 메시징 앱을 통해 인증 코드나 민감한 정보를 공유할 때 주의할 것을 촉구했습니다.

더 넓은 사이버 위협 환경

이번 사건은 호주 정부 기관을 표적으로 한 더 큰 사이버 공격 패턴의 일부입니다. 2025년 7월부터 2026년 3월까지 DPS는 46건의 멀웨어 사고, 거의 20,000건의 피싱 시도, 1,458건의 사이버 경보를 탐지했습니다. 이러한 엄청난 규모는 정치 사무실이 직면한 지속적인 위협을 강조합니다. 관계자들은 왓츠앱과 같은 메시징 앱이 편리함을 제공하지만, 민감한 통신을 위해 설계되지 않았다고 강조했습니다. 이번 침해는 강력한 사이버 보안 프로토콜과 지속적인 직원 교육의 필요성을 재확인합니다.

정치 사무실을 위한 교훈

이번 해킹 사건은 보안 환경 내 개인 기기 사용의 중요한 취약성을 부각시킵니다. 정치 인사와 직원은 보안 우선 사고방식을 채택하여 인증 코드에 대한 예상치 못한 모든 요청을 의심해야 합니다. 하드웨어 보안 키와 같은 피싱 방지 인증 방법을 구현하면 추가 보호 계층을 추가할 수 있습니다. 정기적인 사이버 보안 훈련은 직원이 피싱 시도를 인지하고 성공하기 전에 신고하는 데 도움이 될 수 있습니다. 위협이 진화함에 따라 지속적인 적응과 경계가 최선의 방어책이며, 가장 신뢰할 수 있는 통신 채널조차 외국 적의 관문이 되지 않도록 보장합니다.