FBI 경고: 러시아 정보 해커의 Signal 백업 복구 키 탈취 전술 분석

서론

러시아 정보 해킹 그룹이 Signal 메신저의 백업 복구 키(Recovery Key)를 탈취하는 피싱 전술이 FBI와 CISA의 경고로 공개되었다. 이번 공격은 단순한 계정 탈취를 넘어, 사용자가 보관해 둔 과거 메시지 백업까지 노출시킬 수 있다는 점에서 개인과 조직 모두에 실질적인 위험을 만든다.

FBI와 CISA는 2026년 6월 26일 공개한 PSA I-062626-PSA에서 러시아 정보국(RIS) 관련 행위자가 Signal 사용자를 겨냥해 백업 복구 키를 요구하는 사회공학 전술을 사용하고 있다고 밝혔다. 관련 활동은 UNC5792와 UNC4221로 식별된 그룹과 연결되며, 정부 관계자, 군인, 언론인, 우크라이나 관련 인사 등 고가치 표적을 중심으로 관찰되고 있다.

핵심 변화는 공격자가 암호화를 직접 깨려 하지 않는다는 점이다. 대신 사용자를 속여 복구 키를 넘기게 만들고, 그 키로 백업된 메시지 기록을 복원하는 방식이다. 이는 보안 기능 자체가 강하더라도 키 관리와 사용자 행동이 무너지면 전체 보호 모델이 흔들릴 수 있음을 보여준다.

본론

공격 전술의 변화: 복구 키 탈취

러시아 정보 해커들의 Signal 표적 공격은 지속적으로 진화해 왔다. 초기에는 SMS 인증 코드, 계정 PIN, 연결 기기 승인 등을 노리는 방식이 주로 보고되었지만, 최근 경고에서는 Signal 백업 복구 키 자체를 요구하는 전술이 강조되었다.

공격자는 보통 신뢰를 유도하는 메시지로 접근한다. 예를 들어 Signal 지원팀을 사칭하거나, 의무적인 보안 업데이트, 데이터 손실 방지, 계정 보호 절차를 명분으로 내세운다. 이후 피해자에게 백업 기능을 켜도록 안내하고, 복구 키를 복사해 채팅창에 붙여 넣도록 요구한다.

이 전술의 주요 특징은 다음과 같다.

• 지원팀 사칭: Signal 공식 지원 또는 보안 점검을 가장해 피해자의 경계심을 낮춘다.
• 긴급성 부여: 계정 보호, 데이터 손실 방지, 의무 업데이트 같은 표현으로 즉각적인 행동을 유도한다.
• 복구 키 직접 요구: 코드나 PIN뿐 아니라 백업 복구 키를 채팅에 붙여 넣도록 유도한다.
• 백업 데이터 접근: 복구 키가 노출되면 백업에 포함된 메시지 기록이 복원될 수 있다.

이 방식은 기술적 취약점보다는 운영 절차와 사용자 신뢰를 노린다. 따라서 보안팀은 “메신저로 전달된 보안 요청” 자체를 검증 대상으로 다뤄야 한다.

기술적 영향과 위험도

Signal 백업 복구 키는 백업 데이터를 복원하기 위한 핵심 비밀값이다. 사용자가 이 키를 제3자에게 넘기면 공격자는 해당 백업을 복원해 민감한 대화 내용에 접근할 수 있다. 암호화가 설계대로 동작하더라도 키가 유출되면 보호 효과는 크게 약화된다.

조직 관점에서 위험은 개인 메시지 노출에 그치지 않는다. 고위 임직원, 보안 담당자, 현장 담당자, 기자 또는 협력사와 나눈 대화에는 내부 일정, 연락망, 인증 절차, 미공개 사건 정보, 취재원 또는 제보자 정보가 포함될 수 있다. 공격자는 이를 이용해 추가 피싱, 협박, 내부망 침투 준비, 정보 작전으로 이어갈 수 있다.

특히 국가 배후 공격자는 단일 계정 탈취보다 관계망과 대화 맥락을 더 중요하게 본다. 복구된 메시지는 다음 표적을 고르는 데 사용될 수 있고, 기존 대화체와 업무 맥락을 흉내 낸 후속 공격에도 활용될 수 있다.

탐지 및 대응 포인트

다음과 같은 징후는 즉시 의심해야 한다.

• Signal 또는 다른 메신저의 인앱 메시지로 코드, PIN, 복구 키를 요구한다.
• “의무”, “긴급”, “계정 보호”, “데이터 복구”를 이유로 백업 설정 변경을 요구한다.
• 공식 지원 채널이 아닌 대화방에서 복구 키를 복사해 붙여 넣으라고 안내한다.
• 낯선 그룹 초대 링크나 연결 기기 승인 절차를 통해 새 장치를 추가하려 한다.

사용자와 조직이 취할 수 있는 실무 대응은 다음과 같다.

• 복구 키 공유 금지: 복구 키, PIN, 인증 코드는 어떤 채팅방에도 입력하지 않는다.
• 연결 기기 점검: Signal의 연결된 기기 목록에서 알 수 없는 장치를 제거한다.
• 계정 보호 설정 확인: Signal PIN과 등록 잠금 등 계정 보호 기능을 점검한다.
• 피해 의심 시 키 교체: 복구 키가 노출됐다고 판단되면 새 키를 생성하고, 과거 백업 노출 가능성을 전제로 대응한다.
• 고위험 사용자 교육: 임원, 기자, 대외협력 담당자, 우크라이나 관련 업무 담당자 등 표적 가능성이 높은 사용자에게 별도 경고를 배포한다.

조직 보안팀은 메신저 보안을 개인 선택의 영역으로만 두지 말아야 한다. 고위험 직군에는 메신저 계정 점검 절차, 의심 메시지 신고 채널, 기기 분실 또는 계정 이상 징후 보고 기준을 제공해야 한다. 또한 공식 지원팀이나 내부 IT팀이 채팅으로 복구 키를 요구하지 않는다는 원칙을 반복적으로 공지하는 것이 중요하다.

벤더 및 보안 기관 권고사항

FBI와 CISA의 권고는 명확하다. 인앱 메시지로 인증 코드, PIN, 복구 키를 요구하는 모든 요청은 악의적인 것으로 간주해야 한다. 정상적인 지원팀은 이런 민감 정보를 채팅으로 요구하지 않는다. 복구 키는 개인이 오프라인 또는 신뢰할 수 있는 안전한 방식으로 보관해야 하며, 채팅이나 이메일에 붙여 넣어 전달해서는 안 된다.

또한 미국 국무부 Rewards for Justice 프로그램은 UNC5792 관련 정보 제공자에게 최대 1,000만 달러 보상을 제시하고 있다. 이는 해당 활동이 단순 사이버 범죄가 아니라 국가 차원의 정보작전으로 평가되고 있음을 보여준다.

Google Threat Intelligence Group 역시 2025년 초 러시아 관련 위협 행위자가 Signal의 연결 기기 기능을 악용한 사례를 문서화한 바 있다. 이번 복구 키 탈취 전술은 같은 목표를 다른 경로로 달성하려는 진화된 사회공학으로 볼 수 있다.

엔터프라이즈 환경에서의 운영 고려사항

현실적으로 기업이 모든 개인 메신저 사용을 통제하기는 어렵다. 특히 언론, 시민단체, 외교, 군사, 공급망 협력 업무처럼 외부 이해관계자와 민감한 대화를 나누는 조직은 업무용 협업 도구와 개인 메신저가 혼재하는 환경을 피하기 어렵다.

따라서 실무 방어는 통제보다 기준 정립에 초점을 맞춰야 한다. 첫째, 민감 대화와 파일 공유는 승인된 채널을 우선 사용하도록 정책을 정리한다. 둘째, 메신저 계정 이상 징후를 신고할 수 있는 내부 연락 창구를 분명히 한다. 셋째, 계정 복구 키와 인증 코드를 “비밀번호와 동급의 비밀값”으로 분류해 교육한다. 넷째, 표적 가능성이 높은 직군에는 정기적인 연결 기기 점검과 보안 설정 확인을 요구한다.

참고자료

• FBI/CISA Public Service Announcement PSA I-062626-PSA
• The Hacker News: FBI Warns Russian Intelligence Hackers Target Signal Backup Recovery Keys
• State Department Rewards for Justice Program
• Google Cloud Threat Intelligence Group Report
• IC3.gov - Internet Crime Complaint Center

결론

러시아 정보 해커들의 Signal 복구 키 탈취 전술은 암호화 메신저 보안의 약한 지점이 어디인지 분명히 보여준다. 암호화 알고리즘을 직접 깨지 않아도, 사용자를 속여 복구 키를 넘기게 만들면 백업된 대화 기록은 노출될 수 있다.

가장 중요한 방어선은 키를 절대 공유하지 않는 원칙이다. Signal 지원팀이나 내부 IT팀을 사칭한 메시지가 복구 키, PIN, 인증 코드를 요구한다면 악성 요청으로 간주해야 한다. 이미 복구 키가 유출됐을 가능성이 있다면 새 키를 생성하고 연결된 기기를 점검해야 하며, 백업된 메시지의 노출 가능성까지 포함해 후속 피해를 평가해야 한다.

본 콘텐츠는 AI 기술로 생성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하시면 댓글을 통해 소중한 의견 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.