ShinyHunters, 유럽평의회 인사 시스템에서 297GB 탈취
유럽평의회(대륙의 인권, 민주주의, 법치주의를 선도하는 기관)가 ShinyHunters 랜섬웨어 그룹의 최근 유명 피해자가 되었다. 이번 침해 사고로 297GB의 민감한 인사 및 급여 데이터가 노출되었으며, 여기에는 409,000건 이상의 급여명세서와 14,000건 이상의 직원 이력서가 포함되어 사무국과 인사국 직원들에게 영향을 미쳤다. ShinyHunters에 의한 유럽평의회 데이터 침해는 단순한 사이버 보안 사고가 아니라, 시민의 권리를 보호해야 할 기관조차도 자신의 직원 개인 기록을 보호하지 못할 수 있음을 일깨우는 날카로운 경고다.
무엇이 도난당했나: 297GB 인사 및 급여 데이터 침해 내부
ShinyHunters의 주장에 따르면 이번 침해로 탈취된 데이터 규모는 상당하다. 429,000개 이상의 파일이 유출되었으며, 급여명세서, 이력서, 고용 계약서, 내부 인사 기록 등이 포함된다. 급여명세서만 409,000건이 넘어, 이번 침해가 유럽평의회의 현직 및 전직 직원 상당수를 포괄할 가능성이 높다.
이 데이터의 민감성은 아무리 강조해도 지나치지 않다. 급여명세서에는 일반적으로 전체 법적 이름, 집 주소, 주민등록번호, 은행 계좌 정보, 급여 정보 및 세금 기록이 포함된다. 이력서는 학력, 개인 추천인, 이전 경력 세부사항 등 또 다른 노출 계층을 추가한다. 이 모든 정보는 사이버 범죄자들에게 표적 피싱 캠페인, 신원 사기, 다크웹 마켓플레이스에서의 개인 프로필 판매 등에 필요한 모든 것을 제공한다.
이러한 인사 부서 집중 공격은 점점 더 흔해지고 있다. 남아프리카공화국 통계청 HR 시스템 침해 사건도 매우 유사한 패턴을 보였으며, 공격자들은 고객 대면 시스템 대신 내부 인사 인프라를 표적으로 삼아 직원 기록을 빼냈다.
유럽평의회가 랜섬웨어 그룹에게 고가치 표적인 이유
겉보기에는 인권에 중점을 둔 정부 간 기구가 랜섬웨어 표적으로 이례적으로 보일 수 있다. 그러나 실제로는 매우 매력적인 표적이다. 유럽평의회는 스트라스부르 본부와 여러 현장 사무소에 수천 명의 직원을 고용하고 있어, 인사 데이터베이스는 개인 기록으로 가득하다. 기관의 명성 또한 랜섬웨어 그룹의 협상 레버리지를 높인다. 시민의 권리와 데이터 보호를 임무로 하는 기관일수록 침해 사고로 인한 평판 비용이 더 크기 때문이다.
ShinyHunters는 대규모 가시적 조직을 표적으로 삼아 몸값 압박을 극대화하는 패턴이 잘 알려져 있다. 올해 초 이 그룹은 네덜란드 통신사 Odido에 공개 최후통첩을 보냈다. 8백만 고객에게 영향을 미친 Odido 데이터 침해 보도에서 자세히 다뤘듯, ShinyHunters는 몸값이 지불되지 않으면 훔친 고객 데이터를 공개하겠다고 위협하며 공개 유출을 압박 수단으로 활용할 의지를 보여주었다. 이번에도 같은 수법이 사용된 것으로 보인다.
유럽평의회 침해 사고는 ShinyHunters가 앞서 주장한 유럽연합 집행위원회 클라우드 인프라 공격에 이은 것이다. 이 사건에서는 Europa.eu 플랫폼의 350GB가 넘는 데이터가 연루된 것으로 알려졌다. 이러한 일련의 사건들을 종합하면, 이 그룹이 2025년과 2026년에 유럽 기관을 의도적인 작전 초점으로 삼았음을 시사한다.
개인정보 보호 감시기관이 개인 데이터를 지키지 못하는 아이러니
유럽평의회는 유럽인권협약을 관장하고 회원국들이 데이터 보호와 디지털 프라이버시를 규율하는 데 사용하는 프레임워크를 감독하는 기관이다. 다시 말해, 개인 데이터를 어떻게 취급하고 보호해야 하는지에 대한 기준을 설정하는 기관이다. 그런 기관이 이 정도 규모의 침해를 겪었다는 아이러니는 무시하기 어렵다.
이는 고립된 모순이 아니다. 대규모 기관들은 흔히 복잡하고 오래된 IT 인프라, 방대한 벤더 관계, 수십 개의 상호연결된 시스템에 분산된 인력 데이터를 가지고 있다. 이러한 구조적 현실은 프라이버시에 대한 조직의 공언된 의지가 아무리 강하더라도 관리하기 정말 어려운 공격 표면을 만들어낸다. 이번 침해는 훌륭한 정책적 의도가 자동으로 훌륭한 운영 보안으로 이어지지 않는다는 것을 보여준다.
영향을 받은 직원들에게 결과는 즉각적이고 개인적이다. 급여명세서나 이력서가 429,000개가 넘는 파일에 포함된 사람은 이제 금융 정보와 신원 문서가 노출될 위험에 직면한다. Iliad Italia 고객 데이터 다크웹 판매 목록에서 나타난 사례처럼 기관 인사 데이터의 다크웹 판매는 침해 사고 직후 빠르게 이어져 범죄자들에게 훔친 기록을 거래할 준비된 시장을 제공한다.
기관이 역량을 발휘하지 못할 때 개인이 스스로를 보호하는 방법
고용주나 기관이 침해당했을 때, 영향을 받은 개인은 무엇이 유출됐는지에 대한 통제력이 제한적이다. 하지만 추가 노출을 제한하기 위해 취할 수 있는 구체적인 조치들이 있다.
- 금융 계좌를 면밀히 모니터링하십시오. 급여명세서에 노출된 은행 정보는 직접 사기에 사용될 수 있습니다. 비정상 거래 알림을 설정하고 관할권 내에서 신용 조회 일시 동결이 적절한지 고려하십시오.
- 스피어 피싱 시도에 주의하십시오. 공격자가 당신의 이력서와 급여명세서를 가지고 있다면 고용주, 급여 등급, 직함을 알고 있습니다. 그들은 그 맥락을 이용해 매우 설득력 있는 사칭 이메일을 만들 수 있습니다. 동료나 인사팀에서 온 것처럼 보이는 메시지라도 행동이나 자격 증명을 요구하는 예상치 못한 메시지를 더욱 회의적으로 대하십시오.
- 공용 및 공유 네트워크에서 VPN을 사용하십시오. VPN이 서버 측 침해를 막지는 못하지만, 고용주 포털이나 민감한 계정에 원격으로 접속할 때 트래픽이 가로채지는 것을 보호하여 자격 증명 탈취의 한 경로를 줄여줍니다.
- 내 데이터가 침해 데이터베이스에 나타나는지 확인하십시오. 알려진 침해 데이터셋을 모니터링하는 서비스는 이메일이나 기타 식별자가 새로 공개된 데이터셋에 등장하면 경고해 줄 수 있습니다.
- 고용주에게 명확한 설명을 요청하십시오. 유럽평의회 직원이나 계약직이라면 어떤 기록이 영향을 받았는지, 어떤 해결 조치가 제공되는지에 대한 구체적인 소통을 촉구하십시오.
이와 같은 기관 침해 사고는 개인 데이터 위생이 중요한 시점이 바로 기록을 보유한 조직이 보호에 실패할 때임을 상기시킨다. 자신의 노출 상태를 점검하고, 계정을 보호하고, 사회 공학 수법에 대해 경계하는 것은 선택적 부가 사항이 아니다. 범죄자에게 넘기지 않은 데이터가 결국 그들 손에 들어갔을 때 취해야 하는 기본 대응이다.
유럽 기관들에 대한 ShinyHunters의 공세가 심화되고 있다는 점은 이 그룹이 수그러들지 않을 것임을 시사한다. 정보를 계속 얻고 스스로의 디지털 보안에 적극적으로 조치하는 것이 교차 사격에 놓인 개인들이 취할 수 있는 가장 효과적인 대응이다.
