Oracle PeopleSoft ShinyHunters 공격에 새로운 세부 사항이 밝혀졌다. 처음에는 단일 제로데이로 설명되었던 것이 실제로는 세 가지 취약점의 연쇄임이 드러났다. 보고서에 따르면 ShinyHunters는 이 취약점들을 결합하여 로그인 없이 서버를 장악했으며, 공격은 여러 산업 분야에 걸쳐 이루어졌다.

이는 IT 팀만의 문제가 아니다. PeopleSoft는 기업용 소프트웨어이므로, 가장 큰 영향을 받는 사람들은 취약한 시스템을 직접 접해본 적이 없을 수 있다. 이 글에서는 무엇이 보고되었는지, 누가 노출될 수 있는지, 그리고 어떤 실질적인 조치를 취할 수 있는지 설명한다.

무슨 일이 있었나: PeopleSoft 취약점 세 가지의 연쇄

핵심 발견은 ShinyHunters가 세 가지 Oracle PeopleSoft 취약점을 연쇄적으로 악용하여 인증 없이 서버를 장악했다는 것이다. "인증 없이(Unauthenticated)"란 공격자가 시작하는 데 사용자 이름이나 비밀번호가 필요 없다는 뜻이다. "연쇄(Chained)"란 각 취약점이 단독으로는 완전한 통제권을 주지 않을 수 있지만, 순차적으로 사용되면 통제권을 얻을 수 있다는 의미이다.

이는 심각한 침해에서 흔히 나타나는 패턴이다. 하나의 버그로 공격자가 접근해서는 안 되는 곳에 도달할 수 있고, 또 다른 버그로 권한을 높일 수 있으며, 세 번째 버그로 서버에서 명령을 실행할 수 있다. 사건에 대한 초기 설명은 이를 하나의 제로데이로 규정했지만, 연쇄적 성격은 이 공격이 처음 보고된 것보다 더 의도적이고 복잡했음을 시사한다.

원문 기사에 따르면 공격은 여러 산업 분야에 걸쳐 있었다. 제공된 자료에는 그 이상의 세부 정보가 없으므로, 특정 피해자나 기록 건수, 시점을 추측하는 것은 실수일 것이다. PeopleSoft를 운영하는 조직은 구체적인 내용에 대해 Oracle의 자체 지침과 보안 팀에 의존해야 한다.

PeopleSoft 침해 후 누가 위험한가

PeopleSoft는 일반적으로 대규모 조직 내부의 백오피스 기능을 운영하는 데 사용된다. 이를 실행하는 서버가 장악되면, 노출은 조직 자체뿐만 아니라 시스템이 보유한 기록의 주인인 사람들에게까지 확장되는 것이 보통이다.

여기에는 다음이 포함될 수 있다:

  • 직원: 인사 또는 급여 정보가 연결된 시스템에 저장되어 있을 수 있다.
  • 학생 및 지원자: 학교에서 기록이나 입학 관리에 PeopleSoft를 사용하는 경우.
  • 고객: 조직이 PeopleSoft 기반 시스템에 고객 세부 정보를 보관하는 경우.

핵심은 당신이 잘못한 것이 아무것도 없다는 점이다. 고용주, 학교, 또는 거래하는 회사가 취약한 서버를 운영하고 있다면, 당신이 그 서버에 로그인한 적이 없더라도 당신의 데이터가 위험에 처할 수 있다. 정보가 실제로 접근되었는지는 조직에 달려 있으며, 이것이 명확한 통지를 요청하는 것이 중요한 이유이다.

탈취된 데이터가 피싱과 계정 탈취를 부추기는 방식

서버 장악 자체는 첫 단계에 불과하다. 탈취된 데이터가 이후 어떻게 사용되는지가 개인에게 가장 큰 피해를 주는 경우가 많다.

이름, 이메일 주소, 직함, 내부 세부 정보는 피싱 메시지를 훨씬 더 설득력 있게 만든다. 실제 고용주, 부서, 학교를 언급하는 메시지는 일반적인 사기에 비해 합법적으로 보인다. 공격자는 인사팀, IT 지원팀, 또는 재정 지원 사무소를 사칭하여 비밀번호를 "확인"하거나 링크를 클릭하도록 요청할 수 있다.

여러 서비스에서 비밀번호를 재사용하는 경우, 침해로 노출된 자격 증명을 다른 곳에서도 시도할 수 있으며, 이를 크리덴셜 스터핑(credential stuffing)이라고 한다. 이것이 원래의 침입 후 몇 주가 지나서 후속 공격이 나타날 수 있는 이유이며, 들어본 적 없는 침해가 여전히 받은편지함에 의심스러운 이메일로 이어질 수 있는 이유이다.

연쇄적 악용은 이 사례만의 특징이 아니다. UTA0565가 Chrome 및 Windows 제로데이를 연쇄하여 CLEANGULP를 배포한 방식에 대한 우리의 보도는 동일한 전략을 보여준다. 즉, 여러 약점을 연결하여 함께라면 어느 것도 단독으로 달성할 수 없는 것을 달성하는 것이다.

이것이 당신에게 의미하는 것

PeopleSoft를 사용하는 조직의 직원, 학생, 또는 고객이라면 서버를 직접 패치할 수 없다. 할 수 있는 일은 데이터가 노출되었을 경우 피해를 줄이는 것이다:

  • 고용주나 학교를 언급하는 메시지가 유출된 세부 정보로 조작되었을 수 있다고 가정하라.
  • 도난당한 비밀번호만으로는 충분하지 않도록 계정을 보호하라.
  • 조직의 통지에 주의를 기울이고, 아무런 통지도 오지 않으면 요청하라.

VPN은 여기서 당신을 보호하지 않는다. 노출은 당신의 연결이 아닌 조직의 서버에서 발생했으므로, 계정 보안과 경계심이 중요한 도구이다.

고용주나 학교가 PeopleSoft를 사용하는 경우 해야 할 일

  1. 직접 문의하라. 인사팀, IT팀, 또는 교무처에 연락하여 PeopleSoft를 운영하는지, 영향을 받았는지, 침해 통지가 계획되어 있는지 물어보라.
  2. 직장, 학교, 이메일, 은행 계정에 다중 인증(MFA)을 활성화하라. 인증 앱이나 하드웨어 키가 SMS 코드보다 강력하다.
  3. 재사용된 비밀번호를 변경하고 비밀번호 관리자를 사용하여 각 계정에 고유한 비밀번호를 설정하라.
  4. 계정을 모니터링하라. 비정상적인 로그인, 요청하지 않은 비밀번호 재설정 이메일, 낯선 금융 활동을 주시하라.
  5. 예상치 못한 메시지를 의심하라. 이메일이나 문자에서 인사팀, IT팀, 또는 학교 사무소라고 주장하는 경우 링크를 클릭하지 마라. 공식 사이트에 직접 접속하거나 알려진 번호로 전화하라.
  6. 받은 침해 통지 기록을 보관하고 신용 모니터링이나 신원 보호에 관한 조언을 따르라.

핵심 요점

Oracle PeopleSoft ShinyHunters 공격은 데이터가 이를 보유한 가장 취약한 서버만큼만 안전하다는 것을 상기시켜 준다. 하나의 제로데이에서 세 가지 연쇄 취약점으로의 전환은 공격자가 단 하나의 비밀번호 없이도 기업 시스템에 신뢰할 수 있는 경로를 구축하는 방법을 보여준다.

고용주나 학교가 소프트웨어를 패치하는 방식을 통제할 수는 없지만, MFA를 활성화하고, 계정을 모니터링하고, 예상치 못한 메시지를 의심하고, 침해 통지를 서면으로 요청할 수는 있다. 연쇄 제로데이 악용이 실제로 어떻게 작동하는지에 대한 또 다른 예시는 UTA0565와 CLEANGULP 공격에 관한 글을 읽어보라.