한국 기업 노린 연쇄 해킹…국내 거점 해커 가능성 제기

업종 불문하고 뚫린 국내 기업들

국내 대부업체와 제약사, 의료기관 등 다양한 분야의 기업과 기관을 대상으로 한 연쇄 해킹 사건이 발생했다. 이 과정에서 내부 기밀 데이터가 탈취되어 다크웹을 통해 유통된 것으로 드러났다. 공격자는 한국 기업을 집중적인 타깃으로 삼았으며, 한국어 사용과 한국 시간 기준 야간 시간대 활동 패턴을 보이고 있어 국내에 기반을 둔 해커일 가능성이 높다는 분석이 나온다.

연합뉴스 보도에 따르면, 에스투더블유(S2W)의 보고서를 통해 '하이즈해커(hize_hacker·@ULOSE)'라는 별칭을 사용하는 위협 행위자의 실체가 드러났다. 이 공격자는 국내 주요 기관 및 기업 서버에 침투하여 확보한 기밀 정보를 다크웹 포럼과 본인이 운영하는 유출 사이트에 게시하며 판매해 온 것으로 확인됐다.

무차별적인 데이터 탈취와 현금화

피해를 입은 대상은 특정 분야에 국한되지 않고 광범위했다. 지난 3월에는 국내 대부업체 두 곳이 연달아 침해를 당했으며, 4월에는 제약회사의 내부 정보가 유출된 것으로 파악됐다. 이보다 앞선 지난해 7월부터는 병원과 항공기 부품 제조사, 법무법인, 부동산 시험 전문 교육기관 등이 차례로 공격의 표적이 되었다.

해당 해커는 탈취한 방대한 양의 기업 데이터를 현금화하기 위해 텔레그램 채널과 더불어 '유루즈(ULOSE)'라는 자체 데이터 유출 사이트(DLS)를 운영하고 있다. 이 사이트에는 데이터의 샘플이 게시되어 판매되고 있으며, 침해 정황이 담긴 자료에 따르면 공격자는 제품 데이터 관리(PDM) 서버와 데이터베이스(DB)에 직접 접속해 정보를 빼낸 것으로 밝혀졌다.

국내 거점 해커 및 랜섬웨어 연계 의혹

공격자의 활동 양상은 매우 구체적이다. 한국 기업을 주 표적으로 삼아 한국어와 영어를 섞어 판매 글을 작성해 왔으며, 활동 시간 역시 한국 시간으로 오후 6시부터 자정 사이에 집중되는 양상을 보였다. 특히 밤 10시에 가장 활발하게 움직이는 점을 근거로 보안업계는 이들이 국내에 거점을 둔 인물일 가능성에 무게를 두고 있다. 또한 과거 피해 기업의 샘플 유출 시점과 유사한 점을 미루어 볼 때, 랜섬웨어 그룹인 '건라(Gunra)'와 협력하거나 연계되었을 가능성도 배제할 수 없다.

보안 전문가들은 이번 사건을 단순한 데이터 유출을 넘어 자체 유출 사이트를 운영하는 전형적인 데이터 갈취형 공격으로 규정했다. 전문가를 통해 전달된 의견에 따르면, 향후 이러한 공격이 서비스형 랜섬웨어(RaaS)나 더욱 조직적인 형태로 진화할 위험이 크다. 이에 따라 기업들은 서버에 대한 접근 권한을 엄격히 제한하고, 비인가 접근에 대한 실시간 모니터링 체계를 강화해야 한다고 조언했다.