[월드IT뷰] 내 보안 완벽해도 소용없다…제3자 공급망 해킹 '주의보'

락스타 게임즈 웹사이트. (출처=락스타 게임즈)

[뉴스웍스=박광하 기자] 자신만 정보보호 침해 대응을 하는 것으로는 부족하다. 협력사를 경유해 데이터를 탈취하거나 업무를 방해하는 '제3자 공급망 해킹' 위협이 극성을 부리고 있어서다.

핵리드 등 여러 외신은 최근 해킹 그룹 샤이니헌터스(ShinyHunters)가 인공지능(AI) 기반 분석 플랫폼 아노닷(Anodot)을 침해해 탈취한 인증 토큰으로 락스타 게임즈(Rockstar Games)의 클라우드 데이터 저장공간애서 7860만건에 달하는 운영 분석 데이터를 탈취했다고 보도했다.

샤이니헌터스는 11일 다크웹 유출 사이트에 락스타 게임즈를 표적으로 등록하고 14일까지 몸값을 내지 않으면 탈취 데이터를 공개하겠다고 협박했다. 락스타 게임즈가 응하지 않자 기한 하루 전인 13일 7.54기가바이트(GB) 규모의 파일 25개를 전격 공개했다. 락스타 게임즈는 "제3자 데이터 침해를 통해 비핵심적인 회사 정보 일부에 접근된 것을 확인했다"며 회사나 플레이어에 미치는 영향은 없다고 밝혔다.

공격의 출발점은 락스타 게임즈가 클라우드 비용 모니터링과 이상 감지에 쓰던 아노닷이었다. 아노닷은 지난해 11월 글래스박스(Glassbox)에 인수된 AI 기반 이상 감지 플랫폼으로, 스노우플레이크(Snowflake), 아마존 S3(Amazon S3), 아마존 키네시스(Amazon Kinesis) 등 다양한 클라우드 서비스와 연동돼 있었다.

공격자들은 아노닷 침해 과정에서 락스타 게임즈가 스노우플레이크에 접근할 때 쓰던 인증 토큰을 탈취했다. 이 토큰이 시스템 간 신뢰 자격증명으로 기능했기 때문에 해커들은 스노우플레이크 자체의 취약점을 공략하지 않고도 정상적인 내부 서비스로 위장해 데이터 창고에 접근할 수 있었다.

공개된 파일들은 주로 'GTA 온라인'과 '레드 데드 온라인'의 일간·주간 수익, 가상화폐 환전 건수, 지역별 성과 지표 등 운영 분석 데이터로 구성됐다. 유출 파일 초기 분석 결과에서는 게이머 개인정보와 GTA 6 개발 자산이 포함되지 않은 것으로 파악됐지만, 락스타 게임즈가 이를 공식적으로 확인하지는 않았다.

이 같은 공격은 락스타 게임즈에 국한되지 않는다. 샤이니헌터스는 아노닷 침해를 통해 수십 개 기업 데이터를 탈취했다고 밝혔으며, 앞서 3월에는 세일즈포스(Salesforce) 연동을 악용해 400개 이상 기업 데이터를 확보했다고 주장하면서 이 중 26개 기업 데이터를 공개했다.

세일즈포스를 통한 시도는 AI 탐지 시스템에 의해 일부 차단됐지만, 설정 오류를 이용해 맥그로힐(McGraw-Hill) 데이터 4500만건 탈취에도 성공했다. 구글 위협 인텔리전스 그룹도 이 캠페인을 인지하고 추적 중이라고 밝혔다.

샤이니헌터스는 2020년 무렵부터 마이크로소프트, AT&T, 티켓마스터, 유럽연합 집행위원회 등을 잇달아 공격해온 전문 해커 집단이다. 이들은 표적 기업을 직접 공략하기보다 해당 기업이 신뢰하는 협력사나 통합 플랫폼을 먼저 침해하는 전략을 구사한다.

보안 전문가들은 제3자 통합 플랫폼에 부여된 접근 권한을 최소화하고 인증 토큰을 주기적으로 교체하는 등 공급망 보안 관리를 강화해야 한다고 강조한다.