악성 파일도 없는데 개인정보 털렸다…해커가 파고든 '빈틈' 뭐길래

[서울=뉴시스]윤정민 기자 = 악성 파일을 설치하지 않고도 외부에 노출된 데이터베이스 관리 페이지의 정상 기능만으로 개인정보를 빼낸 사고가 확인됐다. 기업이 관리 편의를 위해 열어둔 웹페이지와 서버 기능, 직원 신뢰를 노린 메일이 공격자의 침투 경로가 됐다.

플레인비트는 22일 서울 강남구 한국과학기술회관에서 열린 '2026년 상반기 침해사고 정보공유 세미나'에서 올해 상반기 국내 기업·기관에서 발생한 주요 침해사고 사례를 공개했다.

플레인비트는 디지털 포렌식·보안 기업으로 한국인터넷진흥원(KISA)이 침해사고를 신고한 기업·기관을 대상으로 제공하는 원인 분석 서비스를 수행하고 있다.

이현진 플레인비트 책임은 이날 발표에서 올해 1월부터 7월까지 침해사고 원인 분석 서비스 등을 통해 총 638건에 대응했다고 밝혔다. 구체적으로 ▲웹 대상 공격 127건 ▲서버 해킹 97건 ▲랜섬웨어 53건 ▲악성메일·이용자 PC 악성코드 감염 29건 등이었다.

◆관리자 페이지 열어뒀다가 DB 정보 통째로 털렸다

플레인비트는 이 중 최근 다크웹에 개인정보가 공개된 일부 사고를 분석한 결과 공격자가 별도 악성 파일을 설치하지 않고 데이터베이스 관리 페이지의 정상 기능만으로 정보를 빼낸 사례를 확인했다고 밝혔다.

공격자는 외부 인터넷에 노출된 데이터베이스 관리 도구 'phpMyAdmin'에 관리자 계정으로 로그인했다. 이후 관리 도구가 정상적으로 제공하는 SQL 내보내기 기능을 이용해 저장된 이용자 정보를 빼냈다.

공격자가 관리 계정을 사전에 확보했거나 관리자 비밀번호가 추측하기 쉬운 형태였을 가능성이 제기됐다. '어드민(admin)'과 같은 기본 계정을 그대로 사용하거나 업체명, 단순 숫자 등을 조합한 비밀번호를 사용한 경우 무차별 대입 공격에 노출될 수 있다.

이 책임은 "웹사이트는 누구나 접근할 수 있도록 열어둬야 하지만 관리자 페이지와 데이터베이스 관리 페이지까지 외부에 노출할 필요는 없다"며 "관리 페이지의 외부 접근을 제한하고 기본 계정이나 추측하기 쉬운 비밀번호를 사용하고 있지 않은지 점검해야 한다"고 말했다.

◆'지인 추천 이력서' 열었더니 회사 계정 줄줄이 털렸다

플레인비트는 직원의 업무 특성과 신뢰를 노린 스피어피싱 공격 사례도 소개했다.

공격자는 실존 기업 관계자나 지인을 사칭해 채용 담당자에게 지원자 이력서가 담긴 것처럼 꾸민 압축파일을 보냈다. 메일 본문에는 "지인의 추천을 통해 지원한다"는 내용과 압축파일 비밀번호까지 적어 경계심을 낮췄다.

채용 담당자가 문서 아이콘으로 위장된 바로가기 파일을 실행하면 윈도 명령 실행 도구인 파워셸이 작동했다. 이후 외부 공격자 서버에 접속해 추가 악성 파일을 다운로드하고 감염된 PC를 원격으로 조종하거나 저장된 계정정보를 빼냈다.

플레인비트가 확인한 사례에서는 웹브라우저 로그인 정보와 이메일 계정, FTP·SMTP 등 서버 접속정보, 아마존웹서비스(AWS) 계정, 디스코드와 스팀 계정 등 총 11개 범주의 정보가 수집됐다.

이 책임은 "공격자의 악성 파일과 탐지 우회 방식은 계속 진화하고 있지만 최초 침투와 권한 확보, 내부 이동, 최종 피해로 이어지는 행위는 오래전부터 알려진 방식을 반복하고 있다"며 "새로운 보안장비를 도입하기 전에 운영 중인 서버와 공용 계정, 외부에 노출된 관리 기능부터 다시 점검할 필요가 있다"고 말했다.

◆새 수법보다 반복되는 관리 공백…AI로 공격 흐름 분석

공격자가 정상 관리 기능과 원격제어 프로그램, 운영체제 기본 도구까지 악용하면 개별 파일의 위험 여부만 살피는 방식으로는 침해 사실을 알아채기 어렵다. 누가 언제 어떤 목적으로 프로그램을 실행했고 이후 내부망에서 어떤 움직임이 이어졌는지 전체 흐름을 함께 분석해야 한다는 지적이다.

이에 김혁준 나루씨큐리티 대표는 이날 행사에서 개별 경보가 아닌 공격의 전체 흐름을 분석하기 위한 로컬 거대언어모델(LLM) 기반 자율형 침해 분석 체계를 소개했다.

김 대표는 단순히 수많은 보안 로그를 AI에 입력하는 것만으로는 제대로 된 분석 결과를 얻기 어렵다고 지적했다. ▲공격자와 피해 시스템 사이의 연결 관계를 분석하는 '다이아몬드 모델' ▲침투부터 정보 탈취까지 공격 단계를 나눈 '사이버 킬체인' ▲공격자의 구체적인 수법을 분류한 '마이터 어택' 등 기존 보안 지식체계를 연결해야 AI가 개별 로그가 아닌 공격의 전체 맥락을 이해할 수 있다는 설명이다.

특히 상용 AI를 기업 내부망에서 직접 이용하지 않더라도 상용 모델이 문제를 분석한 과정과 보안 전문가의 경험을 내부망에서 작동하는 로컬 모델에 학습시키면 민감한 보안 로그를 외부로 보내지 않고 분석할 수 있다고 전했다.

현재 일부 고객망에서는 AI가 전날 내부망에서 발생한 행위를 분석해 이메일로 전달하는 방식이 운영되고 있다. 김 대표는 앞으로 AI가 내부망에서 발견한 이상행위와 판단 근거를 담당자에게 알리고 필요한 대응을 물어보는 형태로 발전할 수 있다고 전망했다.

◎공감언론 뉴시스 alpaca@newsis.com ...