SK쉴더스, 해킹 당해…어제 KISA 신고, 리스크 확산 우려

[이데일리 김현아 기자] 국내 주요 보안기업인 SK(034730)쉴더스(대표 민기식)가 해커 조직에 의해 내부 문서 일부가 유출된 정황을 확인하고, 지난 17일 오전 10시경 한국인터넷진흥원(KISA)에 사이버 침해 사고를 공식 신고한 것으로 확인됐다.

이번 사안은 단순한 해킹 의혹을 넘어, 국내 대표 보안기업을 매개로 한 공급망(Security Supply Chain) 리스크가 현실화될 수 있다는 점에서 업계 전반에 긴장감을 불러일으키고 있다.

신생 해커조직 “24GB 내부 자료 확보”…SK쉴더스, 초기엔 “허니팟 데이터” 주장

이번 공격은 신생 해커그룹 ‘블랙 슈란탁(Black Shrantac)’의 주장에서 시작됐다. 해당 그룹은 다크웹 게시글을 통해 ‘SK쉴더스의 내부 데이터를 총 24GB 규모로 확보했다며 곧 공개하겠다고 예고’했다.

이들은 해당 자료에△통신·금융·제조·공공기관 고객의 정보 및 요구사항△내부 네트워크 구성 관련 문서와 시스템 구조도 이미지△인사·결제 및 기업 운영 자료, 보안 솔루션과 기술 문서△외부 시스템 접근이 가능한 API 키와 환경 설정 파일△대형 통신사 및 반도체사의 PoC(Proof of Concept) 테스트 자료 등이 포함돼 있다고 주장했다.

일부 샘플에는 타 기관 문서나 개인 증명사진으로 보이는 콘텐츠도 포함되어 있어 진위 여부 논란이 확산되자, SK쉴더스는 처음에는 이를 “해커 분석을 위한 유인용 가짜 시스템인 허니팟(Honey pot)에서 도출된 자료”라며 “가짜 데이터”로 설명했다.

그러나 이후 해커가 공개한 자료 중 실제 업무 문서가 포함되어 있다는 점이 내부 점검 과정에서 확인되면서, SK쉴더스는 입장을 변경했고 결국 KISA에 침해 사고를 신고하는 조치로 이어졌다.

SK쉴더스 관계자는 초기 대응 미비 사실을 인정하면서 “내부 분석팀 조사 결과 데이터 유출이 확인됐다”며 “허니팟(해커 유인용 가짜시스템)에 로그인된 직원의 지메일 계정 하나하나를 조사해 문서 유출 여부를 점검하고 있다”고 말했다.

가짜 시스템 안 ‘직원 개인 이메일 자동 로그인’이 치명적 허점

SK쉴더스는 유출 경위에 대해 “허니팟 구축에 사용한 가상머신(VM)의 웹 브라우저(크롬)에서 특정 직원의 ‘개인 이메일 계정’(지메일)이 자동 로그인 상태로 남아 있었고, 해당 메일함에 일부 업무 문서가 보관돼 있었다”고 밝혔다.

결국 ‘가짜 시스템’ 안에 존재하던 ‘진짜 개인 이메일’을 통해 해커가 실제 자료에 접근하게 된 ‘설계 외 노출 사고’라는 설명이다.

현재 SK쉴더스는 문제가 된 이메일 전체에 대한 점검과 디지털 포렌식 조사에 착수한 상태다.

SK그룹 보안 공급망 위협 확장 우려도

보안 기업은 고객사의 시스템 구조, 네트워크 인프라 구성도, 침해사고 대응 프로세스, API 연동 구조, 인증정보, PoC(자격 검증) 결과 등 민감한 보안 데이터를 대량으로 보유한다.

이러한 특성 때문에 보안기업이 해킹을 당할 경우 피해는 단일 사건에 그치지 않고, 복수 고객사를 겨냥한 2차·3차 공격으로 확산될 가능성이 매우 높다.

예를 들어 API 키나 시스템 접근용 인증 토큰이 유출되면 공격자는 고객사의 인프라에 원격 침투할 수 있으며, 보안관제 정책과 탐지 패턴이 노출될 경우 이를 우회해 장기 잠입형 공격(Lateral Movement) 으로 이어질 수 있다.

또한 보안 장비의 업데이트·배포 과정이 악용될 경우, 악성코드가 삽입된 형태의 공급망 공격(Supply Chain Attack) 으로 전방위 확산도 가능하다.

이처럼 하나의 보안회사가 뚫릴 경우 다수 고객사로 침투 경로가 연쇄 확장될 수 있기 때문에, 이번 사고는 단순히 SK쉴더스만의 사안이 아니라 국내 전체 보안 생태계의 신뢰성을 시험하는 중대 국면이라는 우려가 제기된다.

김승주 고려대 정보보호대학원 교수는 “해당 사안은 통신사 CISO 모임을 통해 처음 공유된 것으로 안다”며 “SK쉴더스가 SK 그룹 계열사 관제 등을 제공해 온 만큼, 공격 범위가 SK 그룹 전체로 확산될 위험도 존재한다”고 경고했다.

현재 SK쉴더스는 유출 범위 및 실제 피해 여부를 확인하기 위해 포렌식 기반의 진상 조사에 착수한 상태이며, KISA와 관계기관도 해커 측 주장에 대한 진위 파악 작업을 진행 중인 것으로 전해졌다.