S2W, 국내 기업·기관 연쇄 침해 분석…내부 데이터 다크웹서 판매
한국어 사용·야간 활동 집중…국내 거점 둔 공격자 가능성 제기
[서울경찰청 제공. 재판매 및 DB 금지] photo@yna.co.kr
(서울=연합뉴스) 오지은 기자 = 국내 대부업체와 제약회사, 병원 등 업종을 가리지 않고 기업과 기관을 겨냥한 연쇄 해킹이 발생해 내부 데이터가 탈취되고 다크웹에서 판매된 것으로 파악됐다.
특히 공격자가 한국 기업을 집중적으로 노리고 한국어를 사용한 데다 활동 시간도 한국 시간 기준 야간에 몰린 것으로 나타나 국내에 거점을 두고 활동하는 해커일 가능성이 제기됐다.
◇ 대부업체·제약사·병원 등 연쇄 해킹…탈취 데이터 다크웹서 판매
29일 에스투더블유[488280](S2W) 보고서에 따르면 다크웹 등에서 '하이즈해커(hize_hacker·@ULOSE)'로 알려진 위협 행위자가 국내 주요 기업과 기관의 서버에 직접 침투해 탈취한 기밀 데이터를 다크웹 포럼과 자체 유출 사이트에 판매해 온 것으로 확인됐다.
피해 대상은 업종을 가리지 않았다.
올해 3월 국내 대부업체 두 곳이 잇따라 침해 피해를 본 데 이어 4월에는 국내 제약회사의 내부 데이터가 유출된 것으로 분석됐다.
앞서 지난해 7월부터는 병원, 부동산 시험 전문 교육기관, 항공기 부품 제조업체, 법무법인 등도 연쇄적으로 표적이 됐다.
해당 공격자는 탈취한 대량의 기업 내부 데이터를 현금화하기 위해 자체 유출 사이트(DLS)인 유루즈(ULOSE)와 텔레그램 채널을 운영하며 샘플 데이터를 게시하고 판매 활동을 이어가고 있다.
침해 정황 캡처 화면 등에 따르면 피해 기업의 데이터베이스(DB)와 제품 데이터 관리(PDM) 서버에 직접 접근해 데이터를 빼낸 것으로 조사됐다.
◇ 한국어 사용·밤 10시 활동 집중…국내 거점 가능성 제기
특히 이 해커는 한국 기업을 주요 표적으로 삼고 한국어와 영어를 혼용해 판매 글을 올려왔다.
활동 시간대 역시 한국 시간 기준 오후 6시부터 자정 사이에 집중됐으며 오후 10시에 가장 활발한 활동을 보여, 보안업계에서는 국내에 거점을 두고 활동하는 공격자일 가능성이 높은 것으로 보고 있다.
아울러 과거 피해 기업의 유출 샘플과 게시 시점이 유사한 점을 근거로 랜섬웨어 그룹 건라(Gunra)와의 연계 및 협력 가능성도 제기된다.
보안 전문가는 "단순 데이터 탈취 및 판매를 넘어 자체 DLS를 운영하는 등 전형적인 데이터 갈취형 공격 패턴을 보이고 있다"며 "향후 서비스형 랜섬웨어나 조직적 공격으로 진화할 위험이 있는 만큼 기업들은 서버 접근 권한을 최소화하고 비인가 접근에 대한 실시간 모니터링을 강화해야 한다"고 당부했다.
built@yna.co.kr