미래에셋·빗썸 그룹웨어 유출, 내부망 구획 부재와 인지 지연

3분 만에 읽는 핵심 브리핑

• 인증 한 번만 통과하면 되는 그룹웨어 창구로 미래에셋 3만5,255명(퇴직자·외주직원 포함)과 빗썸 임직원 715명·고객 844명의 주민번호·신분증 사본이 통째로 반출됐고, 유럽 9개국 슈퍼마켓과 혈액원은 냉장 설비의 '제상' 기능 악용으로 마이너스 30도가 최고 110도까지 끌어올려지는 공격을 받았다.

• 침해 인지까지 나흘에서 3개월이 걸리는 동안 메타인크립터의 현대건설 등 4사 등록은 지금 성립한 사실이 '피해 주장 게시' 하나뿐인데도 평판 훼손과 개인정보 규제 대응 부담을 즉시 발생시켰고, 당국의 19일 CISO 회의와 전 금융권 전수 점검 역시 바이낸스 8조 4천억 유출과 고팍스 협박 메일 전면 정지를 목격한 뒤에야 열렸다는 순서 자체가 사각지대의 실체다.

• 오늘 수행할 조치는 접속·인증 이력 전수 대조로 반출 범위부터 확정하는 것에서 출발해, 그룹웨어·외부 클라우드 저장소·계열사 공유 시스템의 접근권한을 인증·승인 단위로 재편하며, 초기 비밀번호 그대로 운영 중인 냉각 설비를 전수 식별해 원격 제어 회선을 VPN 뒤로 옮기는 동시에 정부 무상 공격표면 점검 신청을 오늘 확정한다.

보안 사고/이슈

공격자가 통과한 곳은 모두 안쪽이었다—그룹웨어, 전자결재, 메일, 클라우드 저장소

미래에셋증권과 SM엔터테인먼트 계열 3사, 한국국제교류재단, 하이퍼리즘이 잇달아 개인정보 유출을 공식 인정했는데, 공격자가 통과한 지점은 그룹웨어, 전자결재시스템, 메일 시스템, 외부 클라우드 저장소로 전부 내부 업무 인프라였다. 미래에셋증권 그룹웨어 'mi-global'에서는 퇴직자와 외주직원까지 3만5,255명의 성명·사번과 일부 암호화된 비밀번호가 밖으로 나갔고, 회사는 최초 침입 경로와 반출 방식을 특정하지 못한 채 외부 접속이 가능한 사내 시스템 전반의 취약점 점검에 들어갔다. 계열사가 공유하는 전자결재시스템에서는 공격자가 이름, 주민등록번호, 계좌번호, 계약서 기재 사항이 담긴 문서 파일을 끌어내 SM엔터테인먼트·디어유·드림메이커 세 곳이 동시에 유출 대상이 됐고, 세 회사는 IP와 접속 경로를 차단하고 비인가 접근 키를 교체했다. 하이퍼리즘 사고에서 공격자는 업무용 서버를 경유해 외부 클라우드 저장소의 행정 문서에 접근했고 회사는 나흘 만에야 인지했으며, 한국국제교류재단은 7월 29일 대량 메일 발송 시스템 공격을 약 3개월 뒤인 10월 19일에 확인한 뒤 11월 4일 일반메일시스템에서 추가 유출 정황을 잡아냈다. 사번·부서·직위로 조직 내 자리를 짚을 수 있는 정보 위에 주민등록번호와 계좌번호, 암호화된 비밀번호가 겹쳐 나가면서, 회사와 관계자를 사칭한 보이스피싱·스미싱이 3만5,255명과 피해 인원을 공개하지 않은 나머지 유출 대상자 전원을 위협한다. 침해 인지까지 나흘과 약 3개월이 걸린 사고들인 만큼, 대외 접속 업무시스템의 접속·인증 이력을 전수 대조해 반출 범위를 먼저 확정하고, 업무용 서버와 외부 클라우드 저장소, 계열사 공유 시스템을 잇는 접근권한을 인증·승인 단위로 다시 짜야 한다.

관련 뉴스:
- 데일리시큐 - 미래에셋증권 그룹웨어 해킹…퇴직자·외주직원 포함 3만5,255명 개인정보 유출
- 디지털데일리 - 디어유 임직원 개인정보 유출…모회사 SM엔터테인먼트·드림메이커도 업무 시스템 침해
- 보안뉴스 - SM엔터 계열 3사, 외부 해킹으로 임직원 정보 유출
- 데일리시큐 - 한국국제교류재단 해킹 피해 확대…대량메일에 이어 일반메일시스템도 개인정보 유출 정황
- 데일리시큐 - 디지털자산 운용사 '하이퍼리즘' 해킹…주민등록번호·은행 계좌정보까지 유출
- 데일리시큐 - SM엔터테인먼트·디어유·드림메이커 업무시스템 해킹으로 주민등록번호·계좌정보 등 개인정보 유출


"배후 미상의 온도 조작, 파일 0건의 유출 게시…주장이 증거를 앞지른다"

공격자의 주장과 배후 추측이 검증 가능한 증거보다 먼저 퍼지는 사고가 유럽과 한국에서 같은 기간에 겹쳤다. 해커들이 지난 10월부터 벨기에·독일·영국 등 유럽 9개국의 슈퍼마켓과 혈액원 냉장 설비를 공격해 마이너스 30도의 기준 온도를 최고 110도로 끌어올렸고, 이탈리아 정부가 3일 정보기관 담당자들과 긴급 회의를 열었으나 러시아·중국 국가 조직 배후설을 입증할 증거는 아직 없다. 랜섬웨어 조직 메타인크립터는 11월 7일 현대건설·우신시스템·대원화성·대아이앤씨를 유출사이트에 등록하고 약 13일 20시간의 공개 시한을 제시했는데, 대아이앤씨 게시물에만 100GB 용량 표기가 붙었고 우신시스템과 대원화성 게시물은 공개 파일이 각각 0건이었다. 공격자가 개인정보보호위원회를 포함한 각국 감독기관에 자료 유출을 통보하겠다는 문구로 협상을 압박했으나 실제 통보를 뒷받침할 정보가 없고, 지금 확실히 성립한 사실은 피해 주장 게시 하나뿐이라 기업의 공식 사고 인정, 내부망 침해, 데이터 반출, 암호화, 업무 중단 전 항목이 조사를 기다린다. 이 국면에서 유출사이트 게시 한 건이 실제 침해 여부와 무관하게 평판 훼손과 개인정보보호 규제 대응 부담을 즉시 만들고, 냉장 설비 공격은 데이터를 넘어 냉각 온도 자체를 무기로 삼는 물리적 피해를 현실화했다. 디지털체크마크가 랜섬웨어닷라이브의 수집 데이터를 쓴다는 사실을 인텔리전스 평가에 반영하고, 유출 주장 접수 직후 원본 파일 진위 검증과 외부 반출 기록 대조를 사고 인정 이전 단계의 선행 게이트로 배치해야 한다.

관련 뉴스:
- 디지털데일리 - 러시아·중국의 소행?…유럽 냉장고 해킹 배후 '오리무중'
- 데일리시큐 - [단독] 랜섬웨어 조직 메타인크립터, 현대건설·우신시스템 등 한국 기업 4곳 데이터 탈취 주장...조사 필요

정부 정책

8조 4000억원이 빠져나간 뒤 금감원이 CISO를 불러모았다 — 빗썸을 뚫은 문은 사내 그룹웨어였다

가상자산 거래소 해킹이 국내외에서 동시다발적으로 터지자 금융 당국의 감독 축이 사후 수습에서 사전 전수 점검으로 옮아갔다. 금융감독원은 19일 거래소와 커스터디 기업 등 국내 모든 가상자산사업자 CISO를 회의실에 불러 각사 보안 관리 운영 실태와 해킹 예방·대응 방안을 점검하고, 금융위원회는 5일 가상자산사업자를 포함한 전 금융권의 외부 노출 접점과 내부 보안 관리 통제·운영 실태 전수 점검 계획을 발표했다. 북한 배후로 보이는 공격자가 바이낸스에서 63억 달러(약 8조 4000억원)를 빼갔고 코인마켓 거래소 프라뱅에서 1억원 규모 자산이 빠져나갔으며, 고팍스는 9월 초 이용자 7000명과 전현직 임직원 2명의 개인정보를 잃은 데 이어 6일 해킹 협박 메일을 받아 모든 입출금과 매매를 중단한 뒤 보유자산 전량을 콜드월렛으로 옮기는 중이다. 빗썸의 침투 경로는 사내 모바일 그룹웨어 '다우오피스'였고, 공격자가 이 창구를 통해 임직원 715명의 개인정보와 고객 844명의 이름·휴대전화·주민등록번호·신분증 사본을 한꺼번에 빼냈다. 협업 툴 하나가 임직원 정보와 고객 신원 문서를 한 꾸러미로 묶어 내보냈고, 협박 메일 한 통이 입출금·매매 전면 중단과 콜드월렛 전환이라는 운영 전체를 건 대응으로 번진 것이 이번 사태의 실상이다. 19일 회의와 전 금융권 전수 점검을 앞두고 그룹웨어 같은 내부 협업 시스템의 접근 권한 분리, 고객 신원 문서 보관 최소화, 콜드월렛 전환 절차 훈련을 사고 대응 시나리오에 넣고 돌려봐야 한다.

관련 뉴스:
- 보안뉴스 - 잇단 가상자산 거래소 해킹... 금감원, 가상자산사업자 CISO 소집한다


출하 비밀번호로 열린 냉장 설비, '제상' 기능 악용 공격이 혈액 관리 기관까지 노렸다

이번 사건의 본질은 정교한 익스플로잇이 아니라 출하 당시 설정된 초기 비밀번호와 통제 밖에 놓인 원격 접속 경로라는 점이다. 공격자들은 냉장 시설에 원격으로 접근한 뒤 성에를 제거하는 '제상' 기능을 악용해 보관 온도를 끌어올렸고, 프랑스·벨기에의 다수 식품 매장이 피해를 입었다. 유사 공격은 미군 기지 내 식품 매장과 프랑스 혈액 관리 기관으로 번졌고, CISA와 FBI가 국가 기반 시설 운영자들에게 냉각 설비 보안 강화를 권고했다. 과학기술정보통신부도 민간 사업자와 협단체에 해외 사례를 전파하며 초기 비밀번호 변경과 원격 모니터링·제어 시 가상사설망(VPN) 활용을 권고했고, 정부 차원의 무상 공격표면 점검까지 제공했다. 피해 지도가 식품 매장에서 혈액 관리라는 의료 자원과 미군 기지라는 국가 기반 시설로 확대되면서, 냉각 설비를 돌리는 국내 사업자의 접속 통제 수준이 곧 물류·의료 공급망 전체의 리스크로 연결된다. 출하 설정값 그대로 굴러가는 초기 비밀번호를 든 냉장·냉각 설비를 전수 식별해 비밀번호를 바꾸고, 원격 모니터링·제어 회선 전부를 VPN 뒤로 옮긴 뒤 정부의 무상 공격표면 점검까지 신청해 봐야 한다.

관련 뉴스:
- 보안뉴스 - 유럽 덮친 냉장 시설 해킹 주의보... 정부, 국내 관련 사업자에 보안 점검 권고

Security Desk 노트

공격자들이 힘들이지 않고 통과한 것은 방화벽이 아니라, 인증 한 번만 넘기면 직원의 주민번호와 혈액원의 냉장 온도가 같은 신뢰망 안에 나란히 방치되어 있는 방어선 안쪽의 일상이었다. 미래에셋 그룹웨어 하나에서 퇴직자·외주직원 포함 3만5,255명의 주민번호와 계좌번호가 나갔고 빗썸은 모바일 그룹웨어 다우오피스라는 창구 하나로 임직원 715명의 정보와 고객 844명의 주민등록번호·신분증 사본을 통째로 내줬으며 유럽 9개국의 슈퍼마켓과 혈액원은 냉장 설비의 온도가 마이너스 30도에서 최고 110도까지 끌어올려지는 형태로 공격당했다. 더 잔인한 것은 시간의 간극이다—미래에셋은 침해를 인지하는 데만 나흘에서 약 3개월이 걸렸고 메타인크립터가 11월 7일 현대건설·우신시스템·대원화성·대아이앤씨를 유출사이트에 등록한 시점에서 지금 성립한 사실은 피해 주장 게시 하나뿐인데도 평판 훼손과 개인정보보호 규제 대응 부담은 즉시 발생했으니, 방어자에게는 진위를 검증할 창구가 없고 공격자에게는 사실이 아니라 주장이면 족한 것이다. 바이낸스에서 8조 4000억원이 빠져나가고 고팍스가 협박 메일 한 통에 입출금·매매를 전면 정지한 뒤에야 19일 전 가상자산사업자 CISO 회의와 전 금융권 전수 점검이 움직였다는 순서 자체가 대답이듯, 접근권한을 인증·승인 단위로 쪼개고 반출 기록 대조와 원본 진위 검증을 선행 게이트로 배치하는 일은 이 업계에서 여전히 피를 본 다음에야 예산을 받는 항목이다.

📢 SecurityDesk 인사이트 운영 정책
최신 보안 동향을 생성형 AI 기술의 도움을 받아 독자적인 분석을 통해 인사이트가 제공됩니다.
기사 제목과 링크는 정보 공유의 목적으로 인용되었으며, 기사 원문에 대한 저작권은 각 언론사에 있습니다. 상세 내용은 반드시 [관련 뉴스] 링크를 통해 원문 기사에서 확인하시기 바랍니다.