[3줄 요약]
1. 건라, 다크웹에 13.2TB SGI서울보증 데이터 매물로 게시
2. “모든 계약서 다 담을 수준”...심각한 2차 피해 우려
3. 협상 없이 시스템 복구한 뒤 2차 협박한 것으로 추정

[보안뉴스 강현주 기자] SGI서울보증에 랜섬웨어 공격을 가한 그룹인 ‘건라’가 SGI서울보증의 데이터베이스(DB)로부터 13.2 테라바이트(TB)에 달하는 대규모 데이터를 탈취했다고 주장하며 다크웹에 ‘매물’로 내놨다.

핵마낙(Hackmanac)과 팔콘피드(FalconFeeds) 등 해외의 사이버 위협 모니터링 기업들은 랜섬웨어 그룹 건라가 다크웹에 게시한 메시지를 소셜미디어를 통해 공개했다.


▲핵마낙과 팔콘피드가 건라의 메시지를 X에 게시했다. [자료: 소셜미디어 X 스크린샷]

건라는 SGI서울보증의 오라클 DB로부터 탈취한 압축된 데이터 13.2TB에 대해 “우리는 거대한 양의 보험 데이터베이스를 가지고 있지만 분석 인력이 충분하지 않습니다. 당신이 원한다면 합류해서 분석해 주세요”(We have huge amount of insurance database. But not enough database analyze staff. If you want please join us to analyze this database)라는 메시지를 다크웹에 게시했다.


▲핵마낙과 팔콘피드가 건라의 메시지를 X에 게시했다. [자료: 소셜미디어 X 스크린샷]

보안 업계 전문가에 따르면 이 같은 메시지는 랜섬웨어 공격을 통해 탈취한 데이터를 판매하겠다는 의미를 담는다. 건라가 SGI서울보증 해킹을 통해 얻은 대규모 데이터를 다크웹에 ‘매물’로 내놓은 셈이다.

랜섬웨어 공격자들은 기업의 시스템에 침투해 암호화를 통해 시스템을 마비시키고, 또 데이터를 탈취하는 수법을 쓰는 게 일반적이다. 암호 해독 키를 제공하는 대가(랜섬)로 금전을 요구하면 시스템을 복호화시켜 주는 식이다. 기업이 시스템을 자력으로 복구시켰다 해도, 해킹 과정에서 탈취한 데이터를 다크웹에 공개한다고 협박하며 또 대가를 요구하는 게 수순이다.

앞서 <보안뉴스>의 단독 보도에 따르면, 이번 SGI서울보증 랜섬웨어 공격으로 인해 마비된 시스템은 금융보안원이 암호 키를 추출해 내 공격자들에게 대가를 제공하지 않고 시스템을 복구했다. 하지만 여전히 데이터 유출 우려는 남아 있는 상황이었다.

이번에 다크웹에 건라가 게시한 주장이 사실이라면, 이 우려가 현실로 나타난 셈이다.

IT 전문가에 따르면 압축된 데이터 13.2TB 규모는 모든 계약서를 통째로 담을 정도의 분량이다. SGI서울보증은 전세보증, 대출, 입찰 등 국민들의 수많은 보증 업무를 하는 회사인 만큼 후폭풍이 클 것으로 우려된다. 기업과 국민들의 계약 내용들을 담은 거대한 양의 데이터가 다크웹을 통해 거래되면 어떤 조직이 구매해 악용할지 모르는 일이다.

보안 업계 한 전문가는 “압축 파일의 실제 규모는 3~4배 더 크다는 점을 감안하면 전세금이나 더 기밀 수준이 높은 계약 등 모든 계약이 포함됐을 가능성이 높다”며 “이 DB를 누군가 손에 넣으면 2차 피해는 상상하기 어려울 정도로 클 수 있다”고 말했다.

[강현주 기자(jjoo@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>