5월 보안 사고 결산
안녕하세요, 베이스스톤 구독자님! 👋
오늘 이야기해볼 주제는 바로 이거예요: 5월 한 달을 뒤흔든 공급망과 신원 관리 사고들, 그리고 국내에서는 어떤 일이 있었는지 🔒
📌 오늘의 글, 한눈에 요약해보기
- ADT, 손상된 Okta SSO 연동을 통해 550만 명 영향, 2024년 이후 3번째 침해
- NYC Health + Hospitals, 지문 등 생체정보를 포함한 180만 명 의료기록 노출
- Microsoft SharePoint 제로데이(CVE-2026-32201), 1,300대 이상 서버가 미패치 상태로 활발히 악용됨
- 국내는 개인정보보호위원회가 보람상조에 과징금을 부과하고, 랜섬웨어 그룹들이 국내 기업과 대학까지 겨냥
5월 한 달, 업계를 흔든 사건들을 관통하는 키워드는 "공급망"이었어요. 개발도구, 오픈소스 패키지, 협력사 시스템을 노린 공격이 유독 두드러졌고, 그 여파는 대기업들의 대규모 개인정보 유출로 이어졌습니다.
📅 5월 주요 사건 타임라인
| 날짜 | 대상 | 내용 |
|---|---|---|
| 5/1 | Ubuntu, Canonical | DDoS 공격으로 공개 인프라 일시 중단 |
| 5/3 | Instructure(Canvas) | 수천 개 교육기관의 학생과 직원 데이터 노출 |
| 5/4 | Mediaworks(헝가리) | World Leaks 랜섬웨어 그룹이 급여, 계약, 재무 파일 8.5TB 탈취 |
| 5/5 | Vimeo | 11.9만 명 이름과 이메일 노출 |
| 5/6 | DAEMON Tools | 트로이목마화된 설치 프로그램을 통한 공급망 공격 |
| 5/12 | Foxconn | Nitrogen 랜섬웨어 그룹이 Apple, NVIDIA 관련 파일 탈취(공급망 경유) |
| 5/14 | 보람상조(국내) | 개인정보보호위원회, SQL 인젝션발 유출에 과징금 5억4,250만원 부과 |
| 5/14 | OpenAI | TanStack 공급망 공격으로 일부 직원 기기 침해 |
| 5/15 | West Pharmaceutical | 시스템 암호화로 제조와 배송 운영 중단 |
| 5/17 | Microsoft 365 사용자 | Tycoon2FA 툴킷의 기기 코드 피싱으로 계정 탈취 |
| 5/18 | ClickUp | 1년 이상 방치된 하드코딩 API 키로 기업과 정부 이메일 수백 건 노출 |
| 5/18 | Grafana Labs | TeamPCP 그룹이 내부 코드베이스 탈취 |
| 5/18 | NYC Health + Hospitals | 180만 명 의료기록, 지문, 정부 발급 ID 노출 |
| 5월 중 | 대구대학교 AI학과, URG Co. Ltd.(국내) | Nova 랜섬웨어 그룹의 공격 대상으로 지목 |
| 5/26 | Carnival Corporation | 600만 명 개인정보와 직원 데이터 노출 |
| 5/26 | Charter Communications | 추정 500만 명 고객 개인정보 노출 |
| 5월 중 | ADT | 손상된 Okta SSO를 통해 Salesforce 클라우드 접근, 550만 명 영향 |
| 5월 중 | Microsoft SharePoint | 제로데이 CVE-2026-32201, 1,300대 이상 서버 미패치, 적극적 악용 중 |
이 외에도 SAP 관련 npm 패키지가 preinstall 스크립트로 개발자와 CI/CD 자격증명을 탈취하는 공급망 공격이 발견됐고, Google Gemini CLI의 원격코드실행(RCE) 취약점이 CI/CD 환경을 노릴 수 있다는 점도 확인됐습니다. 70,000개 이상 설치된 워드프레스 플러그인에서는 자체 업데이트 메커니즘으로 악성코드를 숨긴 백도어가 발견됐고, 우크라이나 경찰은 61만 개 로블록스 계정을 탈취해 약 22.5만 달러를 챙긴 조직을 적발했습니다. 유럽에서는 가짜 투자 플랫폼으로 450명 이상을 속인 5천만 유로 규모 암호화폐 사기 네트워크도 드러났습니다.
🇰🇷 국내는 어땠나
해외 사고만 보다 보면 남의 일처럼 느껴지기 쉬운데, 5월 국내에서도 비슷한 흐름이 그대로 반복됐어요. 안랩 ASEC의 5월 랜섬웨어 동향 보고서에 따르면 Qilin(104건)이 국내외를 통틀어 가장 활발한 그룹이었고, 신흥 그룹 Silent(99건)가 새로 2위에 진입했습니다. DragonForce(54건), Chaos(39건)도 뒤를 이었고요. 국내 피해로는 Nova 그룹이 대구대학교 AI학과와 URG Co. Ltd.를 공격 대상으로 지목했고, Coinbase Cartel은 한국 소재 기업을 포함한 공격을 주장했습니다. 산업별로는 제조업이 가장 큰 비중을 차지했고, 정보통신업과 도매, 유통업도 피해를 입었습니다. 공격 방식으로는 EtherRAT나 TukTuk 같은 악성코드로 먼저 침투한 뒤 랜섬웨어를 배포하는 다단계 공격과, RDP 인증 이력을 조회해 침투 대상을 물색하는 정찰 활동이 두드러졌습니다.
규제 쪽에서도 움직임이 있었어요. 개인정보보호위원회는 5월 14일, 상조업체 보람상조의 개인정보 유출에 과징금 5억4,250만원과 과태료 1,140만원을 부과했습니다. 원인은 SQL 인젝션 공격이었는데, 근본적으로는 접근권한 관리와 보안 취약점 점검 등 안전조치의무를 충분히 이행하지 않은 것이 문제였습니다. 같은 달, 이재명 대통령의 지시에 따라 과징금 산정 기준을 기존 "직전 3개년 평균 매출"에서 "직전 사업연도 매출과 3개년 평균 중 더 큰 금액"으로 개편하는 방안도 추진됐습니다. 매출이 급성장한 기업일수록 과징금 부담이 커지는 구조로, 쿠팡이나 KT처럼 조사 중인 대형 유출 사고들이 이 개편의 배경으로 거론됩니다.
🧭 왜 중요한가
이번 달 사건을 관통하는 키워드는 "직접 뚫리지 않아도 뚫린다"입니다. Foxconn, OpenAI, SAP 사례처럼 공격자는 기업의 방어선을 직접 뚫는 대신, 그 기업이 신뢰하는 패키지와 설치 프로그램, SSO 연동을 경유했습니다. ADT의 3번째 침해도 자체 시스템이 아니라 Okta 연동 지점이 약점이었고요. 국내 랜섬웨어 사고들도 크게 다르지 않습니다. 서드파티 신뢰가 곧 공격 표면이 되는 구조는 국경을 가리지 않아요.
✅ 우리 조직은 안전한지, 이 5가지만 확인하세요
- 신규로 추가되는 npm, PyPI 패키지의 preinstall, postinstall 스크립트를 CI 단계에서 자동으로 감사하고 있는가 (수동 리뷰만으로는 릴리스 속도를 못 따라갑니다)
- Okta 등 SSO 연동 계정에 조건부 접근 정책(위치, 단말 상태 기반)과 이상행동 탐지가 실제로 켜져 있는지, 시뮬레이션이 아니라 강제 적용 모드인지 확인했는가
- 소스코드와 설정파일 전체를 대상으로 하드코딩된 API 키, 시크릿 스캔을 최소 주 1회 주기로 돌리고 있는가
- 인터넷에 노출된 서버(SharePoint 등)의 패치 적용 현황을 대시보드 하나에서 실시간으로 확인할 수 있는가, 아니면 시스템마다 따로 확인해야 하는가
- 국내 사업자라면, 개인정보보호위원회의 강화된 과징금 기준(위반 전년도 매출 기준)을 우리 회사 매출 규모에 대입한 예상 금액을 계산해본 적이 있는가
⚠️ 이번 달 사고에서 배울 점
써드파티 자격증명도 자산입니다
개발도구와 CI/CD 토큰은 프로덕션 자격증명과 동일한 수준으로 관리해야 합니다. SAP npm 패키지 사례처럼 자격증명 탈취는 preinstall 스크립트 하나로도 충분히 일어납니다.
알려진 취약점의 패치 지연이 가장 큰 리스크입니다
SharePoint 제로데이처럼 패치가 공개된 이후에도 방치된 서버가 공격의 실제 진입점이 됩니다. 패치 적용 현황을 실시간으로 파악하지 못하면 알려진 위협에도 노출됩니다.
"공급망 공격은 내가 얼마나 잘 막았는가가 아니라, 내가 신뢰하는 곳이 얼마나 잘 막았는가의 문제입니다." — Basestone Security Lab
🚀 지금 시작하는 방법
이번 달 사용 중인 오픈소스 패키지 목록을 하나만 골라, preinstall과 postinstall 스크립트가 있는지부터 확인해 보세요. 이 한 가지 점검만으로도 공급망 리스크의 상당 부분을 먼저 줄일 수 있어요.
반복되는 경보 속에서 우선순위를 어떻게 잡을지 궁금하다면 보안 운영에서 알림 피로를 줄이기 위한 대응 플레이북도 함께 읽어 보세요.