바로가기 go !! 바로가기 go !!

보안사고는 '일상'입니다. 이번 주 국내외에서 발생한 주요 사이버 위협과 사건·사고를 소개합니다. 최신 소식이 궁금하다면, '위클리 쓰렛(Weekly Threat)'을 확인해 보세요. <편집자주>




[디지털데일리 김보민기자] 국제 랜섬웨어 조직 '에베레스트(Everst)' 행보가 거세지고 있다. 현대엘리베이터뿐만 아니라 닛산 등 주요 기업을 추가 침투하는 데 성공했다고 주장하며 파죽지세 행보를 이어가고 있다.
이러한 분위기 속 북한 배후 해커들이 개인 로그인 정보를 훔치기 위해 오픈소스 프로 사이다쿨바다이야기게임 그램 '악시오스'를 악용했다는 소식도 나왔다. 해커들은 악시오스 업데이트에 악성코드를 심어 데이터 탈취 등을 시도한 것으로 나타났다. 한국 또한 영향권에 있을 것으로 예상된다.
사이버 범죄가 기업화되고 있다는 경고도 나왔다. 특히 자동화 인공지능(AI) 도구를 활용해 탈취한 데이터를 실시간으로 외부에 유출하고, 음성 합성이나 딥페이크 영상 오션릴게임 을 제작하는 것 또한 용이해졌다는 평가가 나왔다. 침투 전략을 최적화하기 위해 가상사설망(VPN) 취약점에 대한 시장 조사를 수행하는 흔적도 포착됐다.
◆ 고객 이름부터 마케팅 전략까지 탈탈…닛산은 "문제없다"
국제 랜섬웨어 조직 에베레스트는 3일 다크웹 유출 전용 사이트에 '닛산 데이터베이스(DB) 유출-기록 250만건 바다신게임 유출'이라는 제목의 게시글을 올리며 "기한이 만료됐고 닛산은 응답하지 않았다, 전체 고객 데이터셋이 영구적으로 공개될 예정"이라고 밝혔다. 해당 게시글 아래에는 탈취한 정보 파일에 접근할 수 있는 사이트 주소가 명시돼 있다.
에베레스트는 올해 초 북미 지역 닛산 및 인피니티 딜러점에 서비스를 제공하는 파일 전송 시스템을 해킹했다고 주장했 바다이야기오리지널 다. 이를 통해 탈취한 파일은 18만여개로 알려졌다. 용량으로 보면 910기가바이트(GB)에 해당하는 규모다. 주장에 따르면 해당 파일은 2013년부터 2026년 1월까지 저장된 고객 이름, 주소, 이메일, 전화번호 등이 담겨 있다. 에베레스트는 "해당 서버는 닛산을 대신해 데이터를 호스팅하고 처리하던 정보기술(IT) 계약업체 'GCSSD'에 의해 운영된다 바다이야기2 "고 부연했다.
고객 데이터뿐만 아니라 북미 사업 내역 또한 포함돼 있다고 강조했다. 일례로 도매 송장, 고객, 부품 데이터와 비즈니스 보고서, 마케팅 캠페인, 부품 재고, 배송 이력 등 아카이브도 포함돼 있다고 주장했다. 에베레스트는 다중요소인증(MFA) 등이 적용되지 않은 점을 악용했다고 시사했다. 닛산은 문제없다는 입장이다. 닛산은 "닛산 시스템이 손상됐거나 고객 정보가 유출돼 위험에 처한 징후는 발견되지 않았다"며 "공급업체가 조사를 완료할 때까지 긴밀히 협력하고 있다"고 밝혔다.
에베레스트는 올해 3월 현대엘리베이터 뿐만 아니라 닛산, 퍼스트 프라이오리티 그룹(First Priority Group), 스트레이트 라인 로지스틱스(Straight Line Logistics)', 'PT 브란타스 아비프라야(Brantas Abipraya)', '이벨류에이트(Evaluate a Norstella)' 등 6곳을 침투했다고 주장하고 있다.



◆ 오픈소스 프로그램 받으니 악성코드가…한국도 영향권
북한 배후 해커들의 행보도 거세진 분위기다. 구글위협인텔리전스그룹(GTIG)은 3월31일(현지시간) 북한 연계 해커들이 개인 로그인 정보를 훔치기 위해 '악시오스' 업데이트에 악성코드를 심은 사실을 포착했다고 발표했다. 악시오스는 웹브라우저와 앱이 서버와 정보를 주고받도록 연결하는 소프트웨어로, 한국 또한 활용도가 높아 영향이 있을 것으로 추정된다.
해당 악성코드가 컴퓨터 데이터 접근권한을 장악할 경우 데이터 탈취를 비롯한 피해가 발생할 가능성이 있다. 로그인 자격증명이 탈취됐을 가능성도 점쳐진다. 해당 악성코드는 발견 이후 제거됐지만, 이를 다운로드한 횟수를 파악하기 어려워 피해 예상 규모 또한 미궁에 빠졌다.

구글은 이번 해킹 배후로 UNC1069를 지목했다. UNC1069는 암호화폐와 금융 등 일명 '돈줄이 흐르는' 산업군을 노리는 북한 연계 해킹 조직으로 알려졌다. 최근 북한 해킹 조직이 공격 배후를 은폐하는 데 능해졌다는 점을 고려했을 때 악성코드 제거 만으로 대응이 가능할지 지켜볼 부분이다. 유엔 주재 북한 대표부는 이번 사태 관련 논평 요청에 응하지 않고 있다.




◆ 시장 조사까지 하는 해커들…딥페이크에 임원 사칭까지
사이버 범죄자들이 공격을 기업화하며 AI 악용 범위를 넓히고 있다는 의견도 나왔다.
HPE는 3월30일 첫 사이버위협 연구 보고서 '인 더 와일드(In the Wild)'를 통해 공격자들의 최신 공격 흐름을 분석했다. 보고서에 따르면 공격자들은 작전 속도와 파급력을 극대화하기 위해 자동화와 AI 기술을 도입하고 있다. 일부 조직은 텔레그램 등 플랫폼에서 자동화된 '어셈블리 라인' 방식 워크플로를 구축해 탈취 데이터를 실시간으로 외부에 유출한 것으로 나타났다.
생성형 AI를 활용해 음성 합성과 딥페이크 영상 제작, 표적형 영상 피싱이나 기업 임원 사칭 등 사기 범죄를 고도화한 사례도 늘고 있다. HPE가 예시로 든 한 랜섬웨어 조직은 침투 전략을 최적화하기 위해 사전에 VPN 취약점에 대한 시장 조사까지 수행하는 등 준비 과정을 거친 것으로 나타났다.
이 같은 전술을 통해 공격자들은 이전부터 빠르고 광범위하게 표적 시스템에 접근할 수 있게 됐다. 특히 국가 기반 시설과 주요 데이터와 직결된 분야에 공격 역량을 집중하는 양상이 두드러진다.