최근 사이버 범죄 조직 ShinyHunters(샤이니헌터스)는 기업 임직원에게 직접 전화를 걸어 IT·보안 담당자를 사칭하고, 계정 정보를 탈취하는 공격을 이어가고 있습니다. 가짜 로그인 페이지로 접속을 유도해 비밀번호를 입력하게 하고, 다중인증(MFA)까지 직접 승인하도록 속이는 방식입니다. 탈취한 계정으로 통합 로그인 시스템(SSO)에 접근하면 연결된 여러 업무 서비스와 내부 데이터까지 공격에 노출될 수 있어 주의가 필요합니다. 📌 회사 계정을 지키는 보안 체크리스트1️⃣ 전화로 받은 로그인 요청은 실제 담당자가 맞는지 다시 확인하기2️⃣ 본인이 요청하지 않은 MFA 인증은 승인하지 않기3️⃣ 새로운 인증 기기·낯선 로그인 등 이상 활동 점검하기4️⃣ FIDO2 등 피싱에 강한 인증 방식 검토하기5️⃣ 임직원 대상 비싱·계정 탈취 대응 교육하기 기술적인 취약점이 없어도 직원 한 명의 계정이 공격의 시작점이 될 수 있습니다.보안 설정과 함께 전화·인증 요청을 다시 확인하는 절차를 갖추는 것이 중요합니다. ✅본 콘텐츠는 안랩 보안 가이드를 기반으로 제작되었습니다.