美 펜실베이니아 대학 해커 침입…소셜 엔지니어링으로 동문·기부자 민감 정보 훔쳐

[보안뉴스 김형근 기자] 펜실베이니아 대학은 해커가 대학의 동문 및 발전 활동과 관련된 다수의 내부 시스템에 침입해 데이터를 훔쳤음을 공식 확인했다.

펜실베이니아대학은 해커가 소셜 엔지니어링 공격을 통해 직원 인증 정보를 탈취해 시스템에 접근했다고 밝혔다.

해커들의 공격 사실은 지난달 31일(현지시간) 발견됐다. 해커는 탈취한 직원의 펜키(PennKey) SSO 계정을 이용해 대학의 세일즈포스 인스턴스, 클릭(Qlik) 분석 플랫폼, SAP 비즈니스 인텔리전스 시스템, 쉐어포인트 파일 등에 접근했다.

120만 건 기부자 데이터베이스 탈취
해커는 대학 쉐어포인트 및 박스 저장소에서 스프레드시트, 재무 정보, 동문 마케팅 자료 등 1.71GB의 내부 문서를 훔쳤다.

특히 120만 건의 기록을 담고 있는 세일즈포스 기부자 마케팅 데이터베이스를 탈취한 것으로 알려져 대학 당국을 곤혹스럽게 했다.

유출된 민감 정보에는 △관계자들의 성명, 생년월일, 성별, 주소, 전화번호, 이메일 주소가 포함된 개인식별정보(PII) △기부 이력, 재산 등급, 평생 기부 약정 금액 등이 담긴 재무 및 기부자 데이터 △고용 및 학술 정보 등이 포함된 것으로 알려졌다.

공격 후에도 추가 악용 시도
대학이 접근을 차단한 후에도, 해커는 여전히 세일즈포스 마케팅 클라우드 계정에 접근해 70만 명의 수신자에게 모욕적인 단체 이메일을 발송하는 2차 공격을 감행했다.

해커는 정치적 동기보다는 대학의 “방대하고 놀라울 정도로 부유한 기부자 데이터베이스”가 목표였다고 주장했지만, 해킹 포럼 글에는 대학의 다양성 정책(DEI) 등에 대한 날카로운 비판이 담겨 있었다.

대학은 FBI에 침해 사실을 통보하고 보안업체 크라우드스트라이크와 협력해 조사 중이며, 직원들을 대상으로 소셜 엔지니어링 교육 및 강화된 보안 조치를 취하고 있다고 밝혔다.

[김형근 기자(editor@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다