미국 연방수사국(FBI)은 네덜란드 경찰이 암스테르담 출신의 24세 남성을 체포했다고 발표한 뒤, 사이버 갈취 그룹 ShinyHunters의 회원들에게 자수할 것을 촉구했다. 이 남성은 그룹 내에서 역할을 수행하고 범죄 조직에 가담한 혐의를 받고 있다.
용의자는 9월 15일 체포됐으며, 로테르담 지방법원은 화요일 그를 최소 90일 더 구금하기로 결정했다. 네덜란드 경찰은 그의 노트북에서 대량의 정보를 발견했으며, 여기에는 해외에서 실행할 계획이었던 두 건의 살인 사건과 관련된 세부 정보가 포함돼 있었다고 밝혔다. 경찰에 따르면 용의자가 해당 살인을 지시했다는 정황도 있다. 경찰은 추가 체포 가능성도 배제하지 않았다.
광범위한 갈취 네트워크
FBI 사이버 범죄 부서의 Brett Leatherman 부국장보는 ShinyHunters가 미국과 네덜란드 및 기타 국가를 겨냥한 공격과 연관돼 있다고 밝혔다. FBI는 이 그룹과 협력자들이 지난해부터 140개가 넘는 기관에 침입했으며, 최소 7,000만 달러의 갈취금을 받았다고 추정한다.
이 그룹은 주로 기업의 싱글 사인온 계정, 외부 공급업체, 서비스형 클라우드 소프트웨어 플랫폼을 노리며, Salesforce와 Snowflake도 그 대상에 포함된다. 민감한 데이터를 훔친 뒤에는 돈을 받기 위해 피해자에게 데이터를 공개하겠다고 협박한다.
남은 회원들에게 보내는 직접적인 메시지
Leatherman은 수사관들이 그룹 참여자들에 관한 정보를 계속 수집하고 있으며, 압수한 인프라가 그룹에 남아 있는 사람들을 특정하는 데 도움을 주고 있다고 밝혔다. 그는 의심받는 회원들에게 보낸 메시지에서 활동을 계속하면 그들에 대해 더 많은 사실이 드러날 것이라며, 선택지가 좁아지기 전에 당국에 연락하라고 촉구했다.
이 같은 공개적인 압박은 ShinyHunters가 FBI 시스템을 광범위하게 해킹했다고 주장한 직후에 나왔다. 그룹은 이 공격이 Oracle PeopleSoft의 공개되지 않은 zero-day 취약점을 악용했으며, 2~3테라바이트의 데이터를 훔쳤다고 밝혔다. 또한 FBI 직원 기록 약 5,000건의 샘플을 언론에 제공했다. 한편 보도에 따르면 해당 데이터에는 해킹 작전과 연관된 비밀 팀인 Remote Operations Unit 소속 인원들의 이름과 개인정보가 포함돼 있었다.
BleepingComputer는 데이터를 받으라는 제안을 거절했다. 404 Media는 일부 기록이 중국과 러시아 관련 수사에 참여하는 사람들의 것이라고 보도했다. 그룹은 FBI에 대한 공격이 금전이나 갈취를 목적으로 한 것이 아니라, 그룹과 연관된 세력이 민감한 정보에 대한 접근 규모를 과장하고 피해자와 그 친척들을 괴롭히며 swatting 공격을 수행한다고 비난한 FBI의 이전 경고에 이의를 제기하기 위한 것이었다고 밝혔다.
실질적으로 중요한 점은 무엇인가?
이번 사건은 기업의 신원 계정과 공급업체, 클라우드 플랫폼을 겨냥하는 것이 단순한 데이터 탈취에 그치지 않으며, 공격자가 여러 환경에서 영향력을 구축한 뒤 이를 갈취에 활용할 수 있음을 보여준다. 또한 체포가 그룹의 활동 종료를 의미하는 것은 아니다. FBI의 발언에 따르면 수사는 네트워크와 인프라, 남은 회원들을 밝혀내는 데 초점을 맞추고 있다. 반면 네덜란드 경찰은 이번 체포가 네덜란드 통신사 Odido 해킹 사건 수사의 일부가 아니라고 밝혔으며, 이는 현재까지 이 사건에 귀속할 수 있는 내용에 중요한 한계를 설정한다.