사이버 공격자들의 필수 도구, Dynamic DNS(DDNS)!

Scattered Spider의 브랜드 사칭, 그리고 우리가 반드시 알아야 할 보안 포인트 🕵️‍♂️🖥️

최근 들어 "동적 DNS(Dynamic DNS, DDNS)" 서비스가 단순한 네트워크 편의 기능을 넘어,
사이버 범죄자들의 핵심 무기로 자리 잡고 있습니다.
특히, 악명 높은 Scattered Spider(스캐터드 스파이더) 같은 사이버 공격 그룹이
DDNS를 활용해 브랜드 사칭 피싱, 랜섬웨어, 사회공학적 공격을 이어가고 있다는 점에서
모든 IT 관리자와 보안 담당자, 일반 사용자까지 주의가 필요한 상황이에요!

---

🕸️ DDNS란 무엇이고 왜 문제가 될까요?

1️⃣ 기본 개념

전통적인 DNS는 도메인과 IP 주소를 "정적"으로 연결해줍니다.
예를 들어, www.example.com이 항상 123.45.67.89라는 IP에 매핑되어 있죠.

하지만 오늘날, 기업·개인 네트워크에는 수많은 서버와 기기가 동적으로 접속합니다.
IP가 바뀔 때마다 DNS를 직접 수정하는 건 너무 번거롭죠?
그래서 등장한 것이 바로 Dynamic DNS(DDNS) 서비스입니다.

• 동적 DNS(DDNS)는 IP 주소가 바뀔 때마다, 도메인에 연결된 IP 정보를 "실시간 자동 업데이트"해주는 기술이에요.
• 그래서 서버, IoT, 원격관리 장비 등 실시간 접속 환경에서 많이 사용합니다.

2️⃣ 공격자들의 악용 포인트

하지만 이 편리함이 "양날의 검"이 되어버렸습니다.

• 누구나 손쉽게 서브도메인을 등록하고, IP 변경을 자동화할 수 있으니
• 공격자 입장에선 "일회성 공격용 도메인"을 빠르게 만들고, IP를 계속 바꿔가며 추적을 회피할 수 있게 된 거죠.

특히 요즘엔 "공개적으로 대여 가능한 서브도메인"이 많아지면서
정교한 브랜드 사칭, 피싱, 악성코드 배포가 더욱 쉬워졌어요.

---

🦠 Scattered Spider, DDNS로 브랜드 사칭 피싱 공격 전개

실제 사례 1: Klaviyo 브랜드 사칭

• Scattered Spider는 "it.com Domains LLC" DDNS 서비스에서
  klv1.it[.]com이란 서브도메인을 만들어
  유명 마케팅 플랫폼 Klaviyo의 진짜 도메인 klv1.io를 노골적으로 사칭!
• 실제 기업·직원을 노린 피싱 이메일, 악성 링크에 활용되었습니다.
• 서브도메인 등록 및 변경이 너무 쉬워 추적·차단이 어려워요.

실제 사례 2: 대규모 피싱·랜섬웨어 캠페인

• 2024~2025년 들어 Scattered Spider는 Arrest 이슈에도 불구하고
  여러 유명 기업의 서브도메인, 브랜드를 실시간으로 사칭해
  사회공학적 피싱·악성코드 유포 공격을 이어가고 있음이 다수 보안업체 리포트로 확인됨.
• DDNS의 "짧은 수명·빠른 IP 변경" 특징 덕분에
  도메인 블랙리스트 기반 대응이 매우 어려워짐.

---

🛡️ IT·보안팀, 실무 대응 포인트 정리!

1️⃣ DDNS와 피싱 탐지 자동화

• 최신 Threat Intelligence(위협 인텔리전스) 플랫폼과 연동해
  "it.com", "duckdns.org", "no-ip.com" 등
  DDNS 기반 서브도메인 생성 트래픽을 자동 탐지·알림 시스템 구축.
• EDR/XDR 솔루션에서, 출처 불분명한 DDNS 도메인 접속 기록 모니터링 필수!

2️⃣ 브랜드 사칭 모니터링 및 신고 체계

• 조직 내 브랜드·서비스명과 유사한 DDNS 서브도메인 탐지(예: 브랜드방어 모니터링 툴)
• 발견 즉시 DDNS 서비스 운영자에 신고해 신속히 차단 조치

3️⃣ 사용자 계정 보안 교육

• 사칭 피싱 메일·사이트에 속지 않도록
  실제 사례 중심의 정기적 교육/훈련 필요
• "URL이 회사 도메인과 조금이라도 다르거나,
  it.com/duckdns 등 생소한 서비스명이 들어가면 즉시 보안팀에 신고"
  (쉽게 잊지 않게 안내!)

4️⃣ 네트워크 차단 및 DNS 필터링

• DNS 레벨에서 "주요 DDNS 공급자 리스트" 기반의 차단 정책 적용
  (단, 정상 사용자의 업무 영향 최소화 고려! 예외 처리 프로세스 마련)
• 자동화된 로그 분석을 통한 이상 징후 탐지

---

🤖 DDNS와 AI 기반 피싱, 점점 더 고도화된다!

최근엔 공격자들이

• AI 기반으로 더욱 정교한 피싱 페이지, 사칭 메시지 자동 생성
• DDNS 서브도메인 대량 생성·삭제 자동화(스크립트·API 활용)
• 심지어 AI 검색엔진 최적화(SEO) 기법까지 동원, 악성 링크 노출률 ↑

따라서 조직은 "사전적, 자동화, AI 기반 탐지/차단" 능력을 지속적으로 강화해야 합니다.

---

🚨 결론: DDNS 남용, 우리 조직의 "사각지대"를 노린다!

동적 DNS의 편리함이 결국 보안의 허점이 되어 돌아오고 있습니다.
특히 Scattered Spider 같은 공격 그룹은 DDNS로

• 브랜드 사칭,
• 피싱,
• 랜섬웨어 유포,
• 내부망 침투까지
  전방위적 공격을 시도하고 있어요.

모든 조직과 개인이

• DDNS 서브도메인을 통한 접근 시도에 주의하고,
• 실시간 탐지, DNS 모니터링, 사용자 계정 보안교육,
• 위협 인텔리전스/자동화 솔루션 연동
  을 통해 능동적 대응 체계를 구축해야만
  이러한 지능형 위협을 효과적으로 막을 수 있습니다.

---

🔍 참고로, 실제 많이 악용되는 DDNS 서비스 리스트

• it.com Domains LLC
• DuckDNS
• No-IP
• ChangeIP
• DynDNS 등

각 서비스별로 공격자와 정상 사용자의 트래픽을 구분하는 것도
실무 보안팀의 중요한 과제입니다!