🍯 골반 통신: 해킹 감지 가속 모드

구독자님 안녕하세요!

올해 들어 해킹 사고가 굉장히 많이 일어나고 있어요. 😢 SK 텔레콤부터 yes42, KT, 그리고 이번에는 SK쉴더스에서 해킹 사고가 발생했다는 소식이 전해졌습니다.

이전 해킹 사고와 달리 이번에는 보안 업체에서 발생했다는 사실이 눈길을 끌었어요.

이번 뉴스레터에서는 SK쉴더스 해킹 사고에 대해서 알아볼게요!

📝 SK쉴더스 해킹 사고의 전말

출처: https://www.dailysecu.com/news/articleView.html?idxno=201475

이번 사건은 다크웹에 SK쉴더스 로고와 함께 내부 데이터 24GB를 탈취했다는 게시글이 올라오면서 시작되었어요. SK쉴더스 측은 해당 데이터들이 가짜 정보라고 주장했지만, 확인 결과 진짜 데이터들이 포함된 것으로 알려졌는데요. SK쉴더스는 KISA에 침해 사실을 신고하고 조사 중에 있어요. 🚨

27일 국회 과학기술정보방송통신위원회 소속 최수진 의원실은 과학기술정보통신부로부터 제출받은 'SK쉴더스 침해사고 대응 현황’을 통해 사고의 전말을 확인했어요. 자료에 따르면 15GB의 데이터가 유출 되었으며, 유출된 정보에는 SK텔레콤과 주요 금융기관 15곳 등 민간기업 120곳, 일부 공공기관의 정보가 포함된 것으로 파악되었습니다.

또한 해커들은 유출된 데이터에 고객 정보, 네트워크 구성, 결제 내역, 보안 기술 자료, API 키, 고객 PoC 자료 등이 포함됐다고 주장했는데요. 💽 해커들의 주장이 사실이라면, 어떻게 이런 민감한 정보들이 유출될 수 있었을까요?

🐝 사건의 발단, 허니팟(Honeypot)

출처: https://m.ddaily.co.kr/page/view/2025102011125090645

이번 사고는 SK쉴더스가 운영하는 허니팟(Honeypot)에서 발생했습니다. 허니팟은 해커를 유인하기 위해 의도적으로 노출시킨 시스템을 의미해요. 해커가 허니팟을 공격하면서 해킹 경로와 해킹 수법 등을 확인할 수 있고, 이를 분석하여 역추적 할 수 있습니다. 이를 위해 시스템을 의도적으로 취약하게 만들고 미끼가 될만한 가짜 데이터를 배치시켜요. 🪤

SK쉴더스는 실제 환경과 안전하게 격리된 가상머신(VM)을 통해 허니팟을 구축했어요. 하지만, 이 시스템에 개인 이메일인 Gmail 계정이 연결되었고, 자동 로그인 설정이 되어 있었다고 합니다. 📧 조사 결과, 내부 직원 2명의 이메일 계정이 자동 로그인 된 것으로 확인되었으며 해커는 이 점을 악용해 자동 로그인된 계정의 메일함에 저장된 업무 문서를 유출했어요.

특히, 허니팟에 영업 직원의 계정이 로그인되어 있다는 점이 더 큰 문제가 되고 있어요. 바로 사업팀 소속 직원이 허니팟을 다루는 연구개발 영역에 접근했다는 것을 의미하고 있기 때문인데요. 이 때문에 제대로 된 인원 통제 및 신원 확인이 이루어지지 않아 문제가 발생한 것이 아니냐는 지적이 나오고 있어요.

🕵🏻‍♂️ 해킹 단체 blackshrantac

출처: https://www.hookphish.com/blog/ransomware-group-blackshrantac-hits-sk-shieldus/

이번 사건은 다크웹 기반 해커 그룹 Black Shrantac(블랙 슈란탁)이 벌인 것으로 확인되었어요. 이 그룹은 올해 등장한 신생 해커 그룹으로, 2025년 중반 이후로 다크웹 위협 인텔리전스 커뮤니티에 포착되었습니다. 이들은 기존 시스템을 암호화하는 전통적인 랜섬웨어 대신, 데이터를 빼내 협상용으로 활용하는 Extortion-only 모델을 선호한다고 해요. 🥷🏻

또한 이들은 이중 갈취(Double Extortion) 방식의 공격을 이용하는 것으로 알려져 있습니다. 먼저 탈취한 데이터 일부를 증거로 공개하고, 기업이나 기관이 협상에 응하지 않으면 나머지 데이터를 순차적으로 공개하는 방식이에요.

이 그룹은 실제로 최근 몇 달 동안 전세계적으로 다수의 기업과 기관을 해킹한 것으로 확인되었어요. 미국 섬유업체 ‘Standard Fiber’, 세네갈 국세청(DGID), 멕시코 ‘Falco Electronics’ , 인도 ‘Klingelnberg India’ 등에서 탈취한 데이터를 다크웹에 게시했다고 합니다. 🏢 그리고 이번에는 SK쉴더스를 대상으로 진행한 것이죠.

이들은 21일에 다크웹에 추가적으로 유출한 자료를 업로드하면서 압박을 가하고 있습니다. 여기엔 1차 공개 때 드러난 고객사 외에도 HD한국조선해양 관련 자료 등이 새로 포함되어 있었어요. 앞으로 또 어떤 자료를 추가적으로 공개하거나 문제를 일으킬지, SK쉴더스와 정부 측에서 계속 주시하고 있습니다.

⚖️ 정부와 SK쉴더스의 대응

출처: SK쉴더스

SK쉴더스의 사내 화이트 해커 조직 EQST는 다크웹 모니터링 및 데이터 확인 결과, 특정 직원의 개인 메일이 해킹된 사실을 파악해 추가 조사를 진행하고 있다고 밝혔습니다. 현재 다크웹에 올라온 데이터는 솔루션 사업팀 직원 한 명의 데이터로 파악하고 있으며, 이 메일 조사를 시작으로 전수 조사를 진행할 예정이라고 전했어요.

또한, KISA와 과학기술정보통신부로부터 피해 지원 서비스를 받고 있다고 전했습니다. SK쉴더스는 현재 외부 보안 전문기관과 함께 침해 경로와 피해 범위를 분석 중이며, 관계 당국에 관련 자료를 제출한 상태라고 해요. KISA 등의 관계 기관은 즉각적인 포렌식 분석과 자료 진위 검증을 실시해, 조사에 착수 중이라고 합니다.

📢 예상되는 문제

출처: https://blog.softcamp.co.kr/279

SK쉴더스는 대표적인 국내 보안 기업입니다. SK그룹 계열사를 비롯해 통신, 금융, 공공 기관 등 다수의 고객사의 네트워크 보안 관제와 보안 솔루션 및 보안 정책 수립 등의 업무를 수행하고 있어요. 이로 인해 고객사 내부 시스템까지 연쇄적인 피해가 발생할 가능성에 따른 우려가 제기되고 있습니다.

이번 사건은 단순히 SK쉴더스 한 곳의 문제가 아니라, 한국 보안 업계 전체의 공급망 신뢰성을 시험하는 사건이 될 가능성으로 보는 시각이 존재해요. 예를 들어, 보안 관제 서버의 인증 정보나 API 키가 유출되면, 고객사 관제 시스템에 접근해 로그 및 정책 변조로 공격 흔적을 숨길 수 있습니다. 또한, 보안 장비 업데이트 과정에 악성코드를 삽입하는 공급망 공격으로 이어질 수도 있어요.

김승주 고려대 정보보호대학원 교수는 “SK쉴더스는 SK그룹 계열사 보안 관제도 담당해왔기 때문에 공격이 그룹 전체 또는 협력사로 확산될 위험을 배제할 수 없다”고 말했어요.

마무리

올해 우리나라의 많은 기업을 대상으로 해킹 사고가 발생했지만, 이번 SK쉴더스 해킹 사고는 보안 업체에서 발생했다는 사실은 시사하는 바가 커요. 앞서 말한 것처럼 국내 보안 업계에 대한 신뢰로 이어지는 사건이 될 수 있기 때문이에요.

정부와 관계 기관의 조사가 계속 진행 중이니, 앞으로 나올 추가적인 조사 결과와 근본적인 재발 방지 마련을 함께 지켜봐야겠습니다.

다음 주에도 더 흥미로운 보안 이야기로 돌아올게요! 감사합니다! 🐣

구독자님, 오늘 뉴스레터는 어떠셨나요?
해킹/보안 관련 콘텐츠를 계속 받아보고 싶으시다면 구독 부탁드려요! 🙌