[8월 20일 보안브리핑] 사쿠라인터넷·Ransom Busters·Mabna

8월 20일 아침에 살펴볼 세 가지 흐름은 서로 다른 분야에서 출발하지만, 모두 ‘신뢰할 수 있은 접점’을 얼마나 빨리 통제하느냐로 이어집니다. 사쿠라인터넷은 기존 임대 서버 침해 조사에서 판매관리시스템으로 범위를 넓혔고, GuidePoint Security는 랜섬웨어 피해자에게 복구업체처럼 접근한 Ransom Busters의 새로운 갈취 방식을 공개했습니다. 미국 법무부는 Mabna Institute 사건의 추가 피고인을 기소하며 대학과 연구기관을 겨냥한 장기간의 계정 탈취 구조를 구체화했습니다. 운영팀은 세 사안을 단순한 해외 뉴스로 분리하기보다, 사고 대응 계정·외부 협상 채널·연구자 이메일이라는 서로 다른 진입점이 어떻게 데이터 노출과 후속 피해로 연결되는지 함께 점검할 필요가 있습니다.

사쿠라인터넷 판매관리시스템 조사 확대

사쿠라인터넷은 8월 19일 18시 40분에 두 번째 공지를 갱신해, 앞서 확인한 임대 서버 침해와 별개로 판매관리시스템에도 무단 접근이 있었을 가능성을 알렸습니다. 회사가 제시한 최대 영향 범위는 회원 계정 1,360,563건입니다. 대상 정보에는 계정 식별 정보와 비밀번호 해시가 포함되며, 신용카드 정보는 해당 시스템에 저장하지 않은 구조라고 설명했습니다. 이 발표에서 중요한 지점은 최초 침해가 확인된 서버만 복구 대상으로 삼지 않고, 운영 자격증명과 연계 시스템을 따라 조사 범위를 확장했다는 점입니다. 한 시스템의 흔적이 다른 업무 시스템의 접근 가능성으로 이어질 때에는 방화벽 로그만 보는 방식보다 계정 사용 기록, 관리 도구 실행 흔적, 인증 변경 이력을 같은 시간축에 놓고 확인해야 합니다.

회사는 초기 조사에서 임대 서버 계정 583건과 악성코드 설치를 다뤘고, 관련 자격증명을 무효화하고 악성코드를 제거한 뒤 모니터링을 강화했습니다. 두 번째 공지는 이 조치가 끝이 아니라 판매관리시스템의 회원 정보까지 검증 범위를 넓혔다는 의미가 있습니다. 기업이 비슷한 상황을 맞으면 ‘침해된 서버’와 ‘침해된 계정’을 별개의 대상처럼 관리해서는 안 됩니다. 관리자가 다른 시스템에서도 같은 비밀번호나 인증 수단을 사용했는지, 서버에 저장된 구성 파일과 자동화 스크립트에 접근 토큰이 남아 있었는지, 원격 관리 도구가 추가 통로로 쓰였는지를 연결해서 봐야 합니다. 서비스 이용자에게는 통지 시점과 비밀번호 변경 안내가 명확해야 하며, 내부적으로는 변경 전후의 인증 로그를 보존해 후속 시도를 식별할 수 있어야 합니다.

비밀번호가 해시 형태로 저장돼 있더라도 이용자 보호 조치는 미뤄서는 곤란합니다. 해시 알고리즘과 설정에 따라 공격자가 오프라인 추측을 시도할 수 있고, 이용자가 다른 서비스에서 같은 비밀번호를 반복했다면 연쇄적인 계정 탈취 위험이 커지기 때문입니다. 조직은 통지 대상에게 해당 서비스 비밀번호뿐 아니라 재사용한 다른 계정의 비밀번호도 바꾸도록 안내하고, 다중요소 인증을 제공한다면 함께 활성화하도록 설명해야 합니다. 운영팀은 대량 로그인 실패, 평소와 다른 국가·네트워크에서의 접속, 오래된 API 키 사용, 휴면 계정 재활성화 같은 신호를 우선순위에 올릴 수 있습니다. 이번 사례는 고객 데이터베이스 자체만 보호하는 것보다, 그 데이터베이스에 도달하는 관리 계정과 자동화 경로를 지속해서 관리하는 편이 더 중요하다는 점을 보여줍니다.

Ransom Busters 복구업체 사칭

GuidePoint Security의 GRIT가 공개한 Ransom Busters 활동은 랜섬웨어 사고 뒤 협상 채널 자체가 공격 표면이 될 수 있음을 보여줍니다. 이 주체는 피해 사실이 공개되기 전에 기업의 대표 이메일 주소로 접근해 최고경영자나 IT 책임자와 연결해 달라고 요청했습니다. 이어 랜섬웨어 운영자의 관리 패널에 침투해 복호화 키와 유출 데이터를 확보했다고 주장하며, 데이터를 삭제하고 파일 복구를 돕은 대가로 2만~6만 달러를 요구했습니다. 일반적인 사고 대응 업체가 공개된 사건을 보고 서비스를 제안하는 상황과 달리, 비공개 사고를 먼저 알고 있었다는 점이 핵심 경고 신호입니다. 사고 기업은 ‘공격자와 별개의 구제자’라는 설명을 그대로 받아들이지 말고, 접촉 경로와 제시된 증거가 어디에서 나왔는지부터 보존하고 검증해야 합니다.

GRIT는 두 건의 대응 사례에서 내부 정찰에 쓰인 SoftPerfect Network Scanner, 클라우드 저장소로 데이터를 옮기는 s5cmd, PowerShell 스크립트로 설치된 Remotely 원격 관리 도구가 겹쳤다고 설명했습니다. 두 환경에서 같은 로컬 백도어 계정 설정과 동일한 공격자 호스트 흔적도 발견했습니다. 여러 랜섬웨어 서비스에서 Ransom Busters가 개입한 정황까지 묶어, 연구진은 이 주체가 독립적인 복구업체가 아니라 여러 랜섬웨어 운영에 참여하는 단일 제휴자일 가능성을 중간 수준의 확신으로 평가했습니다. 이는 단정이 아니라 포렌식 상관관계에 근거한 분석입니다. 따라서 원고와 대응 보고서에서도 ‘공식 복구 서비스’나 ‘확정된 공격 조직’으로 표현하지 않고, 연구팀의 평이 수준과 관찰 근거를 함께 남기는 방식이 적절합니다.

이런 연락을 받았을 때 가장 먼저 할 일은 답장을 통해 협상 범위를 넓히는 것이 아니라, 기존 사고 대응 책임자에게 원문과 헤더, 첨부파일, 지갑 주소, 연락 시각을 전달하는 것입니다. 발신자가 제시한 파일 목록이나 샘플은 별도 분석 환경에서 확인하고, 공격자가 장악한 시스템에서 열지 않아야 합니다. 결제나 데이터 삭제 약속은 기술적 검증 수단이 아니므로, 제3자의 주장만으로 의사결정을 내려서는 안 됩니다. 법률·보험·수사기관·전문 대응업체가 참여하는 단일 승인 채널을 마련하고, 임직원이 개인 메일이나 메신저로 답하지 않도록 공지하는 편이 좋습니다. 특히 사고 초기에는 경영진 주소와 대표 문의 채널로 유사한 제안이 동시에 들어올 수 있으므로, 메일 게이트웨이에서 관련 발신 도메인과 문구를 탐지하고 원본을 격리해 분석 자료로 남겨야 합니다.

Mabna Institute 추가 기소

미국 법무부는 8월 18일 Mabna Institute 관련 대체 기소장을 공개하며 피고인 수를 17명으로 확대했습니다. 새로 기소된 인원은 8명이며, 기존 9명은 2018년 기소 대상이었습니다. 기소 내용에 따르면 이 조직은 이란 정부기관과 대학, 민간 고객을 위해 대학과 기업, 정부기관의 계정과 연구자료를 노렸습니다. 대학 대상 활동은 2013년경 시작돼 적어도 2017년 12월까지 이어졌고, 전 세계 교수 계정 10만 개 이상을 표적으로 삼아 약 8,000개 이메일 계정을 침해한 혐의를 받습니다. 미국 대학 144곳과 해외 대학 178곳이 언급됐으며, 해외 대상 국이 목록에는 한국도 포함됐습니다. 기소는 법원의 유죄 판단과 다르므로, 관련 수치와 행위는 법무부가 제시한 혐의와 증거 설명의 범위에서 읽어야 합니다.

공격 흐름은 연구자 계정에 대한 스피어피싱, 자격증명 탈취, 이메일과 온라인 도서관 접근, 학술자료 반출로 이어졌습니다. 법무부는 최소 31.5테라바이트의 학술 데이터와 지식재산이 외부 서버로 옮겨졌다고 설명했습니다. 탈취된 계정을 이용해 도서관 자료를 직접 내려받게 하는 서비스와, 훔친 자료를 판매하는 웹사이트도 공소사실에 포함됐습니다. 연구기관 관점에서 이 사건은 논문 파일만 보호하는 방식의 한계를 드러냅니다. 공격자는 교수 메일함과 도서관 구독 권한을 결합해 정상 사용자처럼 자료에 접근할 수 있으므로, 이메일 계정과 학술정보시스템을 별도의 보안 영역으로 관리하면 상관분석 기회를 놓치기 쉽습니다. 동일 사용자의 로그인 위치, 인증 방식, 다운로드 양, 신규 전달 규칙을 한 흐름으로 연결해야 이상 징후를 더 빨리 찾을 수 있습니다.

대학과 연구기관은 외부 공동연구와 단기 계정이 많아 일괄 차단만으로 운영하기 어렵습니다. 대신 교수·연구원·도서관 관리자처럼 고가치 계정을 분류하고, 오래된 인증 방식과 비밀번호만으로 접근할 수 있은 경로를 단계적으로 줄여야 합니다. 메일함 자동 전달 규칙, 앱 비밀번호, 장기 세션, 연구자료 대량 다운로드를 별도 탐지 항목으로 두면 자격증명 탈취 이후의 움직임을 포착하는 데 도움이 됩니다. 해외 로그인 자체를 위협으로 간주하기보다, 평소 사용 패턴과 다른 기기·시간대·자료 접근량이 함께 나타나는지를 보는 편이 정확합니다. 연구 프로젝트가 끝난 뒤에도 계정과 공유 링크가 남은 경우가 많으므로, 소속 변경과 과제 종료 시점에 맞춘 권한 회수 절차도 기술 통제와 같은 수준으로 운영해야 합니다.

오늘의 운영 우선순위

세 사안을 한데 놓으면 공통된 우선순위가 보입니다. 첫째, 침해가 확인된 자산만 복구하지 말고 그 자산이 사용한 계정·토큰·원격관리 경로까지 조사 범위를 확장해야 합니다. 둘째, 사고 후 외부에서 들어오는 복구·협상 제안을 별도 공격 채널로 취급하고 승인된 단일 창구에서만 검증해야 합니다. 셋째, 이메일과 데이터 저장소의 로그를 분리 보관하는 데 그치지 말고 동일 사용자의 인증과 자료 접근을 연결해 분석해야 합니다. 이 세 가지는 새로운 보안 제품을 바로 도입하기 전에 적용할 수 있은 운영 원칙입니다. 자격증명 무효화 시각, 외부 접촉 원문, 대량 다운로드 기준처럼 책임자와 판단 기준을 문서화하면 사고 중 의사결정 속도도 높아집니다.

• 관리 계정·API 키·원격관리 도구의 최근 사용 기록을 같은 시간축으로 점검합니다.
• 랜섬웨어 사고 관련 외부 연락은 원문과 헤더를 보존하고 승인된 대응 채널로만 이관합니다.
• 교수·연구원·도서관 관리자 계정의 다중요소 인증 범위와 오래된 인증 경로를 검토합니다.
• 메일 전달 규칙, 장기 세션, 대량 자료 다운로드를 계정 단위로 연결해 탐지합니다.
• 고객 통지와 비밀번호 변경 안내에는 재사용 계정 점검과 후속 로그인 감시를 포함합니다.

이번 브리핑의 핵심은 사건 이름을 기억하는 데 있지 않습니다. 사쿠라인터넷 사례는 연계 시스템으로 조사 범위를 넓히는 방법을, Ransom Busters는 사고 뒤 나타나는 ‘도움’의 출처를 검증하는 절차를, Mabna Institute 기소는 장기간 유지되는 연구자 계정이 지식재산 탈취 경로가 될 수 있음을 보여줍니다. 조직은 오늘 점검에서 세 질문을 던져볼 수 있습니다. 침해된 서버와 연결된 모든 자격증명을 식별했는지, 외부 협상 연락을 한곳에서 통제하는지, 이메일과 자료 저장소의 이상 징후를 동일 사용자 기준으로 묶어 보는지입니다. 답이 흐릿한 항목부터 담당자와 완료 시점을 정하면 이번 뉴스가 실제 방어 개선으로 이어질 수 있습니다.