ShinyHunters가 FBI 채용 사이트를 해킹했습니다. 그 공격이 뭘 드러내죠?
5월에 FBI는 ShinyHunters가 학교와 대학에서 사용하는 학습 플랫폼 캔버스를 공격했다고 주장한 후 대중에게 경고했어요. 전국 곳곳의 학생들과 교육자들은 인터넷 접속이 차단되었고, 일부는 기말고사 도중에 이러한 사태를 겪었습니다.
4개월 후, FBI는 자체 직원들에게 경고를 발령했다. ShinyHunters는 정보국의 채용 사이트에서 민감한 데이터를 훔쳤다고 주장했으며, 이번 해킹은 지난 5월 경고에 대한 보복이라고 밝혔습니다. 내부 메모에 따르면 관계자들은 모든 FBI 직원의 정보가 유출된 것으로 추정하고 있었다.
FBI 침해는 그 달에 있었던 몇 번의 공격 중 가장 큰 폭이었어요. ShinyHunters는 또한 경쟁 협박 그룹 인 Cl0p의 다크 웹 사이트를 장악하여 협박 대상으로 삼았다고 주장했습니다. 그동안에 구글 위협 연구원들이 오라클 피플소프트를 사용하는 회사하고 학교를 상대로 한 캠페인이 새로워졌다고 기록했어요.
그러자 FBI는 해커들과 직접 대화를 나눴습니다. 9월 29일, 네덜란드 경찰이 FBI가 "샤이니헌터스의 주요 인물 중 한 명으로 추정되는 인물" 이라고 지칭한 남성을 체포한 후, FBI 부국장 브렛 레더먼은 다음과 같은 직설적인 영상 메시지를 게시했습니다. "당신들은 우리를 찾는 방법을 알고 있고, 우리도 당신들을 찾는 방법을 알고 있습니다."
ShinyHunters의 최근 공격으로 주목을 받았지만 방어자들을 위한 교훈은 익숙해요. 공격자는 정교한 소셜 엔지니어링, 클라우드 앱 또는 소프트웨어 취약점을 사용하여 침입할 수 있어요. 하지만 그 이후의 상황은 첫 번째 발판을 마련한 후 이용 가능한 접근성과 연결성에 달려 있습니다. 지난 몇 년간 ShinyHunters의 사이버 공격은 조직이 개방형 포트를 식별하고 측면 이동을 제한하며 단일 보안 침해로 확산되기 전에 의심스러운 활동을 억제해야 하는 이유를 보여줍니다.
ShinyHunters는 누가 운영하는 건가요?
ShinyHunters는 2020년에 대량의 고객 데이터를 훔쳐 판매한 것으로 처음 알려졌습니다. 오늘날, 이는 국경을 넘나드는 협력 관계와 전술을 펼치는 사이버 범죄자들의 느슨한 네트워크의 일부입니다. 구글 위협 인텔리전스 그룹은 샤이니헌터스 브랜드 갈취와 관련된 클러스터를 여러 개 추적해요. 연구원들은 또한 흩어진 거미(Scattered Spider)와 공통적인 전술 및 협력 징후를 발견했습니다. 여기에는 IT 지원 담당자를 사칭하여 클라우드 앱에 접근하려는 음성 피싱(vishing) 전화가 포함됩니다. 이렇게 겹치면 위협 집단 간의 경계가 흐려져요. 그러면 누가 공격을 했는지 구분하기가 더 어려워요.
FBI는 샤이니헌터들이 위협으로 피해자와 가족들을 압박할 수 있다고 경고해요. 때로는 허위 긴급 전화를 걸어 경찰이 집으로 출동하기도 해요. 해당 그룹은 접근 권한이나 탈취한 데이터의 양을 과장할 수도 있습니다.
샤이니 헌터스 공격 타임라인
- 2020년: ShinyHunters는 대량의 도난 데이터를 판매 하여 주목을 받았습니다. 여기에는 토코피디아와 교육 플랫폼인 유나카데미의 기록이 포함되었습니다.
- 2024년: 해당 그룹은 티켓마스터 고객 5억 6천만 명의 데이터를 훔쳤다고 주장했습니다. AT&T는 고객 통화 및 문자 기록도 분실했으며, 이를 삭제하기 위해 해커에게 돈을 지불한 것으로 알려졌습니다. 두 사고 모두 스노우플레이크 고객 계정에 있는 데이터와 관련돼요. 조사 결과 공격자들이 도난당한 로그인 정보를 사용한 것으로 드러났습니다.
- 2025년: 세일즈포스 고객을 대상으로 한 공격 캠페인 에서 공격자들은 IT 지원 직원으로 가장했습니다. 그들은 직원들에게 전화를 걸어 공격자들이 데이터를 훔칠 수 있도록 하는 앱을 승인하도록 속였습니다.
- 2026년 초: 연구원들은 공격자들이 민감한 데이터에 접근하기 위해 전화와 가짜 로그인 페이지를 사용하여 암호와 보안 코드를 훔쳤다는 것을 발견했어요.
- 2026년 5월: ShinyHunters는 캔버스에 대한 공격으로 전국 학교 플랫폼이 다운되었다고 주장했어요. FBI는 5월 15일 대중에게 경고했습니다 .
- 2026년 5월~6월: 맨디언트는 별도의 캠페인에서 공격자들이 오라클 피플소프트의 결함을 이용해 학교와 대학교를 침해했다는 사실을 발견했어요.
- 2026년 8월: 은행 기술 제공업체 잭 헨리가 보이스 피싱으로 시작된 샤이니헌터스 공격을 확인했어요. 회사 측은 자사의 핵심 뱅킹 플랫폼에 대한 접근이나 장애는 없었으며, 협박에 따른 금전적 요구를 거부한다고 밝혔습니다.
- 2026년 9월: ShinyHunters는 Cl0p의 사이트를 장악했다고 주장하며 경쟁 범죄 조직에게 금전적 대가를 요구했다. 며칠 후 FBI 구인 사이트를 공격했다고 주장했는데 FBI에서 조사 중이라고 했어요. 9월 25일에 맨디언트가 여러 산업에 걸쳐 또 다른 피플소프트 공격 물결을 보고했어요.
Cl0p 에피소드는 그 패턴을 축소판으로 보여줍니다. ShinyHunters는 경쟁사 사이트의 소프트웨어에서 파일 업로드 결함을 발견했다고 밝혔습니다 . 그 후, 그들은 Cl0p의 소스 코드, 로그, 그리고 다크 웹 주소에 대한 접근 권한을 확보했다고 주장했습니다. 그러고 나서 지불을 요구했습니다. 약점 하나가 그 뒤에 숨겨진 모든 것의 문을 열어버렸다.
발판을 마련한 후에는 무슨 일이 일어날까요?
Mandiant는 PeopleSoft 조사에서 공격자들이 다른 내부 서버에 접근하기 위해 비밀번호를 시도한 사실을 발견했습니다. 침입은 그들에게 출발점을 제공했습니다. 열린 연결망은 그들에게 갈 곳을 제공했습니다. 9월 단계에서 Mandiant는 해당 그룹이 내부 네트워크를 탐색하고 PeopleSoft 서버에서 측면 이동을 할 수 있도록 하는 터널링 도구를 설치하는 것을 확인했습니다 .
일루미오의 산업 솔루션 디렉터인 크리스터 스와츠에게 있어 입력 방법은 이야기의 시작에 불과해요. “결국에는 위협이 닥칠 거예요.” 스와츠가 말했다. "그리고 그것은 주변 환경 전반으로 퍼져나가려고 할 것입니다." 예를 들어 서버는 데이터베이스에 접근해야 할 필요가 있을 수 있지만, 수많은 피어 서버와 통신해야 할 이유는 거의 없을 수 있습니다. 그러한 차이점은 수비수가 움직일 틈을 찾는 공격자를 포착하는 데 도움이 될 수 있습니다. 스와츠는 수비수들이 공격수의 영향력을 제한할 수 있는 세 가지 방법을 제시했습니다.
움직임을 시각화하세요
도난당한 비밀번호는 공격자가 합법적인 사용자처럼 보이게 만들 수 있습니다. 그들의 다음 행동은 다른 이야기를 들려줄지도 모릅니다. 평소에는 하나의 데이터베이스와만 통신하던 서버가 갑자기 주변의 여러 시스템에 접속하려고 시도할 수 있습니다. 반복적인 연결 실패는 누군가가 비밀번호를 추측하고 있다는 신호일 수 있습니다. 대용량 데이터 전송은 면밀한 검토가 필요할 수도 있습니다. “모든 움직임을 파악하는 것이 핵심입니다.”라고 스와츠는 말했다. 어떤 연결이 정상적인지 아는 것은 팀이 변화를 파악하고 조사해야 할 부분을 결정하는 데 도움이 됩니다.
불필요한 통로를 막으세요
가시성은 팀이 시스템에 필요한 연결을 파악하는 데에도 도움이 됩니다. 그러면 세그멘테이션이 나머지를 제한해서 공격자가 다른 시스템과 중요 자산으로 가는 경로를 줄일 수 있어요. 스와츠는 "필요하지 않은 모든 세션을 종료하라"고 말했다.
허용된 연결에도 주의를 기울여야 합니다. 공격자는 유효한 계정과 합법적인 경로를 사용할 수 있으므로, 방어자는 이러한 연결이 어떻게 사용되는지 주의 깊게 살펴봐야 합니다.
의심스러운 활동을 차단합니다
팀들이 침해를 처음 감지했을 때 항상 전체 범위를 알 수 있는 건 아니에요. 다른 시스템에 접속하려고 시도하는 손상된 서버를 보면 격리할 대상을 결정하는 데 도움이 될 수 있어요. 스와츠는 팀들이 시스템을 격리하려면 명확한 이유가 필요하다고 말했다. 유효한 자격 증명으로 로그인한 것은 "이상한 동작을 보이기 시작할 때까지"는 의심스러워 보이지 않을 수 있습니다.
봉쇄 조치는 대응 요원들이 조사하는 동안 해당 이동을 차단할 수 있습니다. 공격자가 연결된 앱을 통해 클라우드 세션이나 액세스 권한을 확보한 경우, 팀은 해당 액세스 권한도 취소해야 합니다.
한 발판이 더 큰 침해로 이어져서는 안 돼요
레더맨은 샤이니헌터스에게 FBI가 그들을 찾는 방법을 알고 있다고 말했다. 방어자들은 자신들의 네트워크 내부에서도 동일한 말을 할 수 있어야 합니다. 샤이니헌터스의 다음 목표는 학교, 은행 또는 다른 라이벌 갱단이 될 수 있으며, 침투 방식은 이전과는 다를 가능성이 높습니다. 이어지는 질문은 여전히 같습니다. 공격자들이 일단 침투하면 어디까지 갈 수 있을까요? 시스템이 어떻게 연결되는지 확인하고, 필요 없는 경로를 닫고, 손상된 시스템을 빠르게 격리할 수 있는 팀이 더 나은 해답이에요. 그렇게 해야 한 발판이 다음 헤드라인
장식하는 대신 발판
남을 수 있습니다.공격자들은 침입할 방법을 찾아낼 것입니다. 중요한 것은 일단 침입에 성공한 후 얼마나 멀리까지 갈 수 있느냐입니다.
Illumio는 공격 경로를 시각화하고, 측면 움직임을 제한하고, 위협이 확산되기 전에 억제하도록 도와줘요.
.webp)
