코너 몰린 쿠팡·'따릉이' 비상 서울시… 개인정보 유출 사태, 끝은 어디에

[Weekly Threat] 따릉이 유출 '점입가경', 공공도 표적

보안사고는 '일상'입니다. 이번 주 국내외에서 발생한 주요 사이버 위협과 사건·사고를 소개합니다. 최신 소식이 궁금하다면, '위클리 쓰렛(Weekly Threat)'을 확인해 보세요. <편집자주>

[디지털데일리 김보민기자] 쿠팡이 대규모 개인정보 유출 사고로 코너에 몰렸다. 기존 3370만개 회원 계정 외에도 16만개 계정에서 개인정보 유출이 있었다는 소식이 알려지자, 정부 당국과 조사단은 사실 파악에 돌입했다.

공공도 안전지대가 아니었다. 서울 공공자전거 '따릉이'를 운영하는 서울시설공단의 경우 개인정보 유출 사실을 알았지만 약 2년간 조치하지 않은 것으로 드러났다. 서울시는 추후 조사 결과를 바탕으로 재발방지 체계를 강화할 방침이다.

공공 정보를 탈취하는 '허니마이트' 공격이 기승을 부리기 시작했다는 경고도 나왔다. 허니마이트는 정부와 외교기관에서 민감한 정보를 탈취하기 위해 백도어 기능을 고도화하는 방식으로 위협 범위를 넓히고 있는 것으로 나타났다.

◆ '만 단위' 불어나는 쿠팡 유출사고…"2차 피해는 없다"

쿠팡은 5일 민관합동조사단 조사 과정에서 16만5000여개 계정이 유출된 것을 추가 확인했다고 발표했다. 앞서 확인된 3370만 유출과 별건으로, 정부는 비회원 계정에 대한 유출 가능성까지 포함해 조사를 확대할 방침이다. 한국인터넷진흥원(KISA)과 개인정보보호위원회는 쿠팡 측 발표에 대해 검증을 진행할 예정이다.

쿠팡은 해킹 사고가 재발한 것이 아닌, 조사 과정을 통해 추가 유출 사례를 확인한 것이라고 설명했다. 고객 카드, 계좌번호, 비밀번호, 개인통관부호는 유출되지 않았다는 기존 입장도 유지했다. 그러면서 "2차 피해 의심 사례는 확인되지 않았다"며 "다만 이번 상황을 악용한 쿠팡 사칭 전화, 문자 메시지, 기타 연락에 주의해달라"고 강조했다.

보안업계에서는 유출 정보가 2차 범죄에 악용될 가능성이 있다고 보고 있다. KISA는 지난해 12월 안내문을 통해 "개인정보 유출을 악용한 스미싱과 보이스피싱 시도가 탐지되고 있다"며 금전 피해가 발생하지 않도록 주의가 필요하다고 당부했다. 안내문에 따르면 '피해 보상', '명의 도용', '카드 배송' 등 키워드를 활용해 보상 안내를 빙자하거나 수사기관을 사칭한 사기 시도가 이어지고 있다.

◆ 유출 알고도 방치…서울시, '따릉이 사태' 비상 대응

서울시는 6일 내부 조사 과정에서 서울시설공단이 2024년 6월 따릉이앱 사이버 공격 당시 개인정보 유출 사실을 확인했지만, 별도 조치를 취하지 않아 초기 대응이 이뤄지지 않은 사실을 확인했다고 발표했다.

이와 관련해 서울시는 "현재 관련 수사가 진행 중인 만큼, 공단 초동 조치 미흡 사실을 경찰에 통보해 수사가 이뤄지도록 할 예정"이라며 "개인정보위와 KISA에 이 사실을 신고하고 향후 수사 및 조사 결과를 바탕으로 재발 방지 체계를 강화할 방침"이라고 말했다.

앞서 서울시설공단은 서울경찰청 사이버수사대로부터 따릉이 회원정보가 유출된 정황을 유선으로 전달받았다고 밝혔다. 개인정보위는 1월30일 따릉이 관련 개인정보 유출 신고를 접수 받아 조사를 진행 중이다. 추후 개인정보보호법 위반 사항이 발견될 경우 관련 법령에 따라 처분이 이뤄질 전망이다.

◆ "공공 정보, 털어보니 쏠쏠하네"…'허니마이트' 뭐길래

글로벌 사이버 보안 기업 카스퍼스키는 동남아시아 정부 및 외교 기관을 겨냥한 '허니마이트(HoneyMyte)' 공격을 포착했다고 4일 밝혔다. 이번 캠페인에서 공격자는 쿨클라이언트(CoolClient) 백도어에 신규 기능을 추가하고 브라우저 로그인 정보 탈취기 변종과 데이터 탈취·정찰용 스크립트를 활용한 것으로 나타났다. 공격 대상 국가는 미얀마, 몽골, 말레이시아, 태국, 러시아로 정부 부문에 위협이 집중됐다.

카스퍼스키 분석에 따르면 쿨클라이언트 백도어의 최신 버전은 보조 백도어 형태로 배포되고 있다. 해당 백도어는 정상 프로그램 실행 과정에서 악성 DLL을 함께 로드하는 DLL 사이드로딩 기법을 주요 실행 메커니즘으로 사용한다. 이를 통해 합법적으로 디지털 서명된 실행 파일이 악성 코드 실행을 유도하는 방식이다.

위협 행위자는 2021년부터 2025년까지 다수의 합법 소프트웨어에 포함된 서명된 바이너리를 악용해 왔다. 최근 캠페인에서는 상포(Sangfor) 서명 애플리케이션이 활용된 것으로 확인됐다. 카스퍼스키는 이번 사례가 정부 기관을 겨냥한 지능형지속위협(APT) 공격에서 신뢰된 소프트웨어를 악용하는 전술이 진화하고 있음을 보여준다고 분석했다.