보안전문가, “고려제강 미국 현지공장에서의 데이터 유출사고와의 관련성 의심”
공개한 샘플 데이터, 재무·회계·보험 관련 정보...1일 6시간 54분 15초 이후 공개 협박
[보안뉴스 김경애 기자] 국내 경강선재 제조업체 고려제강의 내부정보로 추정되는 데이터 샘플이 악명 높은 랜섬웨어 조직인 랜섬허브의 데이터 유출 사이트에 올라와 피해가 우려된다.
랜섬허브 조직은 지난 3일 12시 55분경 고려제강의 샘플 데이터를 자사의 랜섬허브 사이트에 공개했다. 랜섬허브가 공개한 샘플 데이터는 재무, 회계, 보험 관련 정보로 고려제강의 내부 데이터로 추정된다.
해당 웹페이지의 방문자 수는 1,841명으로 표기돼 있으며, 데이터 사이즈는 58GB로 기록돼 있다. 이는 해커가 보유한 고려제강의 전체 데이터를 의미하는 것으로 보인다.
또한 ‘1D 6h 54m 15s’라고 표기된 것은 1일 6시간 54분 15초가 남았다는 기한을 의미하는 것으로 보이며, 남은 기한 이후 보유한 전체 데이터를 공개하겠다는 협박으로 추정된다.
익명을 요청한 보안전문가는 “이번 데이터 공개는 사우스캐롤라이나에 위치한 고려제강의 미국 현지공장에서 발생한 것으로 추정되는 유출사고와의 관련성이 의심된다”며 “최근 해외 지사 및 법인에서의 보안사고가 증가하고 있다. 국내 본사와 해외 법인 또는 현지공장의 보안적용 수준이 서로 다른 데다 통합관리 부재에서 기인한 문제”라고 지적했다.
리니어리티 한승연 대표는 “고려제강과 관련해 게시된 폴더 목록을 검토한 결과, 설계도면과 같은 기술정보보다는 재무, 회계 등 관리부서의 정보가 다수를 차지하는 것으로 보인다”며, “파일명 등 게시된 정보를 기반으로 유출 원인이 된 서버를 특정하고 취약점을 제거하는 한편, 혹시 남아 있을 수 있는 백도어나 Lateral Movement 등의 추가 공격이 진행 중인지 면밀히 모니터링할 필요가 있다”고 조치사항을 당부했다.
또한, 글로벌 보안기업 사이버리즌의 침해대응 분석가는 “최근 랜섬허브로 대표되는 랜섬웨어 서비스(RaaS) 조직들은 다양한 공격기법을 패키징해 타깃 기업의 정보를 체계적으로 탈취하고 있다”며 “특히 해당 조직은 탈취한 데이터를 곧바로 공개하지 않고, 특정 상황과 동향에 맞춰 협박 메시지와 함께 다크웹에 점진적으로 공개하는 전략을 구사한다”고 밝혔다.
덧붙여 해당 분석가는 데이터가 탈취된 시점을 파악하는 방법은 공격자가 데이터를 다크웹에 업로드 한 후, 공개된 파일 목록의 수정시간을 통해 실제 탈취된 시점을 유추할 수 있다고 설명했다. 랜섬웨어 조직의 이러한 공격방식은 단순한 데이터 탈취를 넘어 기업의 평판과 운영에 심각한 위협을 가하는 지속적이고 계획된 APT 공격의 일종이라는 게 그의 설명이다.
이어 그는 “국내 기업 다수가 이러한 랜섬웨어 조직의 공격으로 인해 심각한 피해를 입고 있다”며 “조직 내에서 악의적인 행위가 항상 존재할 수 있다는 전제를 바탕으로 제로트러스트 관점에서의 보안 접근이 필수”라고 말했다. 이를 예방하기 위해 EDR, NDR, APT 대응 솔루션 도입을 통해 사전에 위협을 탐지하고 차단해야 한다고 강조했다.
한편, 랜섬허브 사이트는 지난 6일 접속이 마비된 바 있다. 현재는 정상 접속되지만, 간헐적으로 접속이 끊겼다가 다시 접속되는 것으로 확인됐다.
[김경애 기자(boan3@boannews.com)]
공개한 샘플 데이터, 재무·회계·보험 관련 정보...1일 6시간 54분 15초 이후 공개 협박
[보안뉴스 김경애 기자] 국내 경강선재 제조업체 고려제강의 내부정보로 추정되는 데이터 샘플이 악명 높은 랜섬웨어 조직인 랜섬허브의 데이터 유출 사이트에 올라와 피해가 우려된다.
▲랜섬허브 사이트에 공개된 고려제강의 샘플 데이터 화면[이미지=보안뉴스]
랜섬허브 조직은 지난 3일 12시 55분경 고려제강의 샘플 데이터를 자사의 랜섬허브 사이트에 공개했다. 랜섬허브가 공개한 샘플 데이터는 재무, 회계, 보험 관련 정보로 고려제강의 내부 데이터로 추정된다.
해당 웹페이지의 방문자 수는 1,841명으로 표기돼 있으며, 데이터 사이즈는 58GB로 기록돼 있다. 이는 해커가 보유한 고려제강의 전체 데이터를 의미하는 것으로 보인다.
또한 ‘1D 6h 54m 15s’라고 표기된 것은 1일 6시간 54분 15초가 남았다는 기한을 의미하는 것으로 보이며, 남은 기한 이후 보유한 전체 데이터를 공개하겠다는 협박으로 추정된다.
익명을 요청한 보안전문가는 “이번 데이터 공개는 사우스캐롤라이나에 위치한 고려제강의 미국 현지공장에서 발생한 것으로 추정되는 유출사고와의 관련성이 의심된다”며 “최근 해외 지사 및 법인에서의 보안사고가 증가하고 있다. 국내 본사와 해외 법인 또는 현지공장의 보안적용 수준이 서로 다른 데다 통합관리 부재에서 기인한 문제”라고 지적했다.
리니어리티 한승연 대표는 “고려제강과 관련해 게시된 폴더 목록을 검토한 결과, 설계도면과 같은 기술정보보다는 재무, 회계 등 관리부서의 정보가 다수를 차지하는 것으로 보인다”며, “파일명 등 게시된 정보를 기반으로 유출 원인이 된 서버를 특정하고 취약점을 제거하는 한편, 혹시 남아 있을 수 있는 백도어나 Lateral Movement 등의 추가 공격이 진행 중인지 면밀히 모니터링할 필요가 있다”고 조치사항을 당부했다.
또한, 글로벌 보안기업 사이버리즌의 침해대응 분석가는 “최근 랜섬허브로 대표되는 랜섬웨어 서비스(RaaS) 조직들은 다양한 공격기법을 패키징해 타깃 기업의 정보를 체계적으로 탈취하고 있다”며 “특히 해당 조직은 탈취한 데이터를 곧바로 공개하지 않고, 특정 상황과 동향에 맞춰 협박 메시지와 함께 다크웹에 점진적으로 공개하는 전략을 구사한다”고 밝혔다.
덧붙여 해당 분석가는 데이터가 탈취된 시점을 파악하는 방법은 공격자가 데이터를 다크웹에 업로드 한 후, 공개된 파일 목록의 수정시간을 통해 실제 탈취된 시점을 유추할 수 있다고 설명했다. 랜섬웨어 조직의 이러한 공격방식은 단순한 데이터 탈취를 넘어 기업의 평판과 운영에 심각한 위협을 가하는 지속적이고 계획된 APT 공격의 일종이라는 게 그의 설명이다.
이어 그는 “국내 기업 다수가 이러한 랜섬웨어 조직의 공격으로 인해 심각한 피해를 입고 있다”며 “조직 내에서 악의적인 행위가 항상 존재할 수 있다는 전제를 바탕으로 제로트러스트 관점에서의 보안 접근이 필수”라고 말했다. 이를 예방하기 위해 EDR, NDR, APT 대응 솔루션 도입을 통해 사전에 위협을 탐지하고 차단해야 한다고 강조했다.
한편, 랜섬허브 사이트는 지난 6일 접속이 마비된 바 있다. 현재는 정상 접속되지만, 간헐적으로 접속이 끊겼다가 다시 접속되는 것으로 확인됐다.
[김경애 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김경애기자 기사보기
[2024-12-25] 
