악질 해커 집단 '샤이니헌터스' 활동 재개
불법 해킹포럼 운영, 데이터 탈취, 랜섬웨어 등 사이버 범죄를 일삼았던 국제 해킹 조직 '샤이니헌터스(ShinyHunters)'가 최근 공식 채널을 공개하며 활동을 재개했다. 불법 해킹 포럼 운영을 접고 '엘리트' 데이터 유출 집단으로 거듭나겠다는 메시지도 남겼다. 5일 본지 취재를 종합하면 샤이니헌터스는 지난달 말께 불법 해킹 포럼인 '다크포럼스(DarkForums)'에 공식 소통 채널을 운영하겠다는 내용의 게시글을 업로드했다. 게시글에서 샤이니헌터스는 "우리는 돌아왔다"며 텔레그램, X 채널 링크와 PGP(Pretty Good Privacy, 암호화와 전자서명에 사용하는 공개키 암호화 기술) 공개키를 업로드했다. PGP 공개키는 향후 침해 데이터 검증과 통신을 위한 것으로 보인다. 향후 침해 데이터를 거래할 때 PGP 공개키로 서명하고, 샤이니헌터스의 과거 거래 방식과 일지하는지 출처와 진위를 확인하기 위함이다. 공개키는 데이터를 암호화하거나 전자서명을 통해 인증할 때 사용하는 키다. 데이터를 보낼 때 수신자의 공개 키로 암호화하며, 암호화된 데이터는 오직 수신자의 개인 키로만 해독할 수 있는 구조다. 샤이니헌터스는 2019년경 활동을 시작한 악명 높은 국제 사이버 범죄 조직이다. 대기업과 교육 기관 등의 시스템에 침투해 민감 데이터를 탈취하고 유포하며, 협박까지 이어지는 공격을 감행하는 것으로 알려져 있다. 지난해 8월 텔레그램 기반으로 활동을 시작한 사이버 범죄 그룹 '스캐터드 랩서스 헌터스(Scattered Lapsus$ Hunters)' 그룹과도 연계된 것으로 알려져 있다. 또한 샤이니헌터스는 사이버 범죄자들 사이에서 가장 인기 있었던 해킹 포럼인 '브리치포럼스(BreachForums)'도 운영한 바 있다. 브리치포럼스는 2022년 '래이드 포럼스(Raid Forums)'가 FBI에 의해 폐쇄된 이후 대안으로 떠올랐다. 브리치포럼스에서는 유출 데이터 거래, 해킹 도구 및 서비스형 랜섬웨어(RaaS) 거래 등 '정보 암시장'으로 통했다. 샤이니헌터스는 2023년부터 브리치포럼스의 운영을 맡았다. 이후 지난해 8월 브리치포럼스는 FBI 등 국제 법 집행 기관에 의해 폐쇄됐다. 이후 샤이니헌터스는 눈에 띄는 활동을 보이지 않았다가 이번 공식 소통 채널을 열고 활동을 재개한 것으로 보인다. 샤이니헌터스는 공개한 텔레그램 채널에서 공지사항을 통해 "지난해 10월 FBI가 (브리치포럼스를) 압수한 이후, 우리(샤이니헌터스)는 공식적으로 브리치포럼스에 대한 통제권을 포기했다"며 "현 시점에서 브리치포럼스로 운영되고 있는 모든 활성 웹사이트는 완전한 가짜이며, 미국 수사당국이 운영하는 허니팟이거나 단순히 암호화폐를 훔치기 위한 스캠일 가능성이 크다"고 밝혔다. 이어 이들은 "우리는 돌아왔지만, 더 이상 스크립트 키디(공개된 해킹 도구를 활용하는 초보 해커를 낮잡아 이르는 말)들을 위한 공개 포럼을 관리하는 데 시간을 낭비하지 않을 것"이라며 "샤이니헌터스는 본래의 모습으로 돌아가려 한다. 우리의 목표는 '엘리트 데이터 유출 집단'이다. 샤이니헌터스의 모든 활동은 다크웹 채널이나 텔레그램 등 공식 채널을 통해서만 이뤄지고, PGP 키가 우리의 신원을 증명하는 유일한 수단이다. 서명과 일치하지 않으면 거짓으로 간주하면 된다"고 공지했다. 브리치포럼스의 운영을 포기하고 샤이니헌터스는 공개 채널이 아닌 텔레그램 등을 통해 활동을 이어가겠다는 계획으로 보인다. 스캐터드랩터스헌터스도 지난해 11월부터 새로운 텔레그램 채널을 개설 후 활동을 이어가겠다고 선언했다. 실제 지난해 10월 말부터 샤이니헌터스는 랜섬웨어 협박을 위한 다크웹 전용 유출 사이트(DLS)를 개설했다. 3일 기준 자신들의 다크웹 DLS에 138곳의 피해 기업을 등록해 놓고 금전을 요구하며 피해 기업들을 협박하고 있다. 지난 5월에는 국내 해운사인 HMM을 공격했다고 업로드한 바 있다. 다만 HMM 확인 결과 해당 공격 내용은 과거 사례를 재탕한 것에 불과한 것으로 나타났다. 하지만 샤이니헌터스는 캔버스(Canvas) 교육 플랫폼 해킹, 시스코, 세븐일레븐 등 대기업 및 교육 기관을 해킹해 실제 피해를 입혔다. 세븐일레븐의 경우 샤이니헌터스의 침해 사실을 공식 인정한 바 있다. 이처럼 위협적인 공격 그룹이 활동을 재개한 것은 반가운 소식이 아니다. 특히 브리치포럼스 폐쇄 이후 pwn포럼스, 다크포럼스 등 여전히 불법 해킹 포럼이 건재한 상황이다. 이를 두고 전문가들은 대응 프로세스를 고도화해야 한다고 조언했다. 익명을 요구한 보안업계 관계자는 "샤이니헌터스와 같은 악명 높은 위협 행위자들의 경우 추가적인 위협을 탐지하고 대응하기 위해 동향을 지속적으로 모니터링하는 것이 중요하다"며 "위협 인텔리전스(TI)나 전문 위협 분석 기관의 보고서를 주기적으로 살피고 이들의 공격 기법 등을 대응하는 역량을 키워야 한다"고 말했다. 이용준 극동대 해킹보안학과 교수는 "샤이니헌터스 해커그룹은 BreachForums 불법해킹포럼 운영자에서 클라우드, SaaS 환경을 갖춘 구글, 시스코 등 글로벌IT기업의 데이터를 탈취후 데이터 공격 협박으로 비트코인을 요구하는 데이터 탈취 디지털 범죄조직으로 변화하고 있다"며 "최근 피싱공격으로 대기업 헬프데스크와 임직원을 사회공학적 방법을 결합해 기업내 업무시스템을 장악하는 공격전술이 확인된다"고 설명했다. 이 교수는 "한국 IT기업은 클라우드, SaaS 환경이 보안취약점 점검, 보안서비스 기능 강화가 필요하다"며 "기업내 사이버공격 대응훈련이 필요하다. 특히 업에서 사용하는 업무시스템 CRM, ERP, 전자결재 등에 대한 보안패치, 계정 점검이 필수적"이라고 강조했다. 그는 이어 "샤이니헌터스 해커그룹은 계정탈취를 주목표로 하고 있어, 현재 계정관리에 대한 일제 점검과 계정, 권한을 상시 확인하도록 제로트러스트 전환에 대한 준비가 절실하다"며 "해커그룹에 대한 정보를 실시간으로 수집 분석할 수 있도록 사이버위협인텔리전스(Cyber Threat Intelligence) 획기적으로 강화해야 하며 미국 FBI, CISA, 유럽 ENISA, 영국 NCSC 등 해외 해킹대응기관과 정보교류와 공동협력체계를 지속적으로 확대가 필요하다"고 밝혔다.
