AI 요약
글로벌 IT 기업 오라클(Oracle)이 자사의 기업용 인사 및 급여 관리 소프트웨어인 '피플소프트(PeopleSoft)'에서 발견된 치명적인 보안 취약점에 대해 긴급 경고를 발표했습니다. 이번 경고는 해킹 그룹 '샤이니헌터스(ShinyHunters)'가 해당 취약점을 악용해 100개 이상의 기업 및 기관을 해킹했다고 주장한 지 하루 만인 2026년 6월 11일 목요일(현지시간)에 나왔습니다. 구글의 자회사이자 보안 전문 기업인 맨디언트(Mandiant) 역시 이 취약점이 샤이니헌터스의 해킹 캠페인에 악용된 제로데이(Zero-day) 오류와 동일하다고 확인했습니다. 이 취약점은 별도의 비밀번호나 인증 절차 없이도 인터넷을 통해 원격에서 악용될 수 있어 위험성이 매우 높습니다. 피해를 입은 기관 중 약 3분의 2는 대학 등 고등 교육 기관으로 나타났으며, 해커들은 성명, 주소, GPA, 학생 ID를 포함한 수십만 명의 학생 기록을 탈취했다고 주장하고 있습니다. 오라클은 아직 공식 패치를 배포하지 못해 임시 완화 조치를 우선 적용할 것을 권고한 상태입니다.
핵심 인사이트
- 100개 이상의 기관 피해: 보안 그룹 맨디언트와 해커 그룹 샤이니헌터스 모두 미국을 중심으로 전 세계 100개 이상의 글로벌 기관이 이번 피플소프트 취약점 공격의 타깃이 되었음을 확인했습니다.
- 대학 기관 집중 타깃: 맨디언트 조사 결과, 공격 대상 기관의 약 3분의 2(약 66%)가 대학 및 전문대학 등 고등 교육 기관에 집중되어 있는 것으로 나타났습니다.
- 인증 없는 제로데이 취약점: 이번에 악용된 피플소프트 서버 취약점은 오라클이 공식 패치를 배포하기 전에 발견 및 악용된 '제로데이' 오류로, 인터넷상에서 비밀번호 등 어떠한 인증 절차 없이도 원격 공격이 가능합니다.
- 수십만 명의 학생 정보 유출: 샤이니헌터스는 피해 대학 중 한 곳에 보낸 메시지를 공개하며 이름, 주소, 이메일, 생년월일, GPA, 학과 및 학생 ID 등이 포함된 수십만 건의 학생 기록을 탈취했다고 주장했습니다.
주요 디테일
- 오라클의 대응 지연: 오라클은 2026년 6월 11일 보안 권고문을 발표했으나, 기사 작성 시점 기준으로 아직 공식 보안 패치를 출시하지 못하고 임시 완화 조치(Mitigations) 적용만을 권고하고 있습니다.
- 맨디언트의 선제적 경고: 구글 산하 맨디언트는 취약한 시스템에 대한 접근을 제한하기 위해 잠재적 피해를 입을 수 있는 100개 이상의 글로벌 조직에 선제적으로 세부 내용을 통보했습니다.
- 유출 데이터 다크웹 게시: 피해를 입은 일부 기관은 공격을 성공적으로 차단하거나 취약점을 보완했으나, 조치가 늦은 기관들은 데이터가 유출되어 샤이니헌터스의 데이터 유출 웹사이트(Data Leak Website)에 게시되었습니다.
- 반복되는 동일 수법의 캠페인: 샤이니헌터스는 지난 1년 동안 세일즈포스(Salesforce), 게인사이트(Gainsight) 등 다수의 기업이 공통으로 사용하는 취약한 소프트웨어를 노려 연쇄적인 해킹을 감행해 왔습니다.
향후 전망
- 패치 배포 후 업데이트 대란 예고: 오라클이 피플소프트용 보안 패치를 공식 출시하는 즉시, 전 세계 수많은 기업 및 교육 기관이 대규모 시스템 업데이트 및 긴급 보안 점검 작업에 착수해야 할 것으로 보입니다.
- 공급망 및 서드파티 소프트웨어 보안 강화 요구: 대기업과 대학들이 공통으로 사용하는 기업용 소프트웨어의 제로데이 취약점이 대규모 해킹 통로로 지속 활용됨에 따라, 서드파티 솔루션에 대한 보안 감사가 더욱 엄격해질 전망입니다.