[해외보안뉴스] ShinyHunters, Oracle PeopleSoft 제로데이로 FBI 해킹 및 데이터 탈취 주장
· 2026-09-23 03:00
· 조회 21
· 원문 ↗
악명 높은 갈취 해킹 조직인 'ShinyHunters'가 Oracle PeopleSoft의 미공개 제로데이(Zero-Day) 취약점을 악용하여 미국 연방수사국(FBI) 내부 시스템에 침투했다고 주장했습니다. 이들은 시스템 접근 권한을 확보한 후 내부 서비스에 침투하여 직원 및 입사 지원자의 민감한 정보를 탈취했다고 발표했습니다.
이번 침해 사고로 인해 탈취된 것으로 알려진 데이터에는 FBI 전·현직 직원의 인적 사항, 신원 확인 정보, 입사 지원자의 개인정보 등 매우 민감한 데이터가 포함되어 있습니다. 특히 Oracle PeopleSoft는 여러 정부 기관과 대기업에서 널리 사용되는 인사 관리 솔루션인 만큼, 동일한 제로데이 취약점을 노린 추가 공격이 발생할 수 있어 피해 범위가 확대될 우려가 커지고 있습니다.
현재 FBI 및 관련 보안 당국은 해당 주장에 대한 사실관계 확인 및 긴급 조사에 착수한 상태입니다. Oracle PeopleSoft 시스템을 운용하는 조직은 외부 인터넷에서 접근 가능한 관리자 인터페이스를 차단하고, 비정상적인 접근 및 데이터 유출 정황이 있는지 로그를 긴급 점검해야 합니다. 아울러 Oracle의 공식 보안 패치가 출시되는 즉시 최신 버전으로 업데이트하고 계정 권한 관리와 다중 인증(MFA)을 강화해야 합니다.
♥ 추천 0
PeopleSoft와 같은 대형 ERP 시스템의 제로데이는 패치가 배포되기 전까지 애플리케이션 수준에서 즉각 대응하기가 매우 까다롭습니다.
이러한 제로데이 위협을 고려한다면 단일 접점의 방어에 의존하기보다 네트워크 격리와 데이터베이스 접근 제어 같은 심층 방어(Defense-in-Depth) 아키텍처가 우선되어야 합니다.
특히 임직원 및 지원자의 민감 데이터는 애플리케이션 레이어에서 필드 단위 암호화를 적용하고 최소 권한 원칙(PoLP)을 철저히 설계하여, 시스템이 침해되더라도 실제 데이터 유출 피해를 최소화했어야 합니다.
오라클 피플소프트 같은 엔터프라이즈 ERP는 고가치 민감 정보가 집중되어 있어 공격자에게 매우 매력적인 초기 침투(Initial Access) 표적입니다. 웹에 노출된 미공개 제로데이를 통해 권한 우회나 RCE(원격 코드 실행)를 달성했다면, 연동된 백엔드 DB의 대규모 데이터 탈취는 물론 내부망으로의 횡적 이동(Lateral Movement)까지 손쉽게 이어졌을 것입니다. 아무리 엄격한 경계 보안을 갖춘 고위험 기관이라도 외부 노출 애플리케이션의 제로데이 하나로 단숨에 무력화될 수 있음을 보여주는 명확한 공격 시나리오입니다.
FBI 수준의 기관조차 제로데이 취약점 공격의 표적이 되는 만큼, 주요 ERP·HR 시스템에 대한 서드파티 소프트웨어 리스크 관리가 시급합니다.
우리 조직 또한 관련 시스템의 노출 여부를 즉시 점검하고, 공식 패치 전까지 가상 패치 등 보완 통제(Compensating Controls)와 행위 기반 탐지 정책을 강화하겠습니다.
아울러 임직원 및 입사 지원자의 민감 정보가 포함된 데이터베이스의 접근 권한을 최소화하고 암호화 거버넌스를 재정비하여 유사한 데이터 유출 리스크를 선제적으로 차단하겠습니다.