글로벌 침해 사건 해부 — 공개 확인된 사례로 보는 공격 패턴

가장 큰 가상자산 탈취, 매장 1천여 곳을 멈춘 랜섬웨어, 익스플로잇 없이 클라우드를 장악한 공격. 공개적으로 확인된 국제 침해 사건을 골라 공격 경로와 교훈을 정리했습니다.

        이 글의 기준

        아래 사건은 모두 기업 공시, 수사기관 발표, 보안업체 공개 보고서로
        확인된 것만 실었다.
        국내 사고는 별도 아티클에서 다룬다.
      

① Bybit — 역대 최대 가상자산 탈취 (2025.02 · 약 15억 달러)

가상자산 거래소 Bybit가 2025년 2월 Safe{Wallet} 멀티시그 인터페이스 조작 공격을 당했다. 단일 가상자산 해킹으로는 역대 최대인 약 15억 달러 규모다. 북한 연계 Lazarus Group의 소행으로 귀속됐다.

공격 경로

Safe{Wallet}의 프론트엔드 인프라를 사전 침해 (공급망 공격)
Bybit 운영자가 정상 트랜잭션으로 인식하도록 UI를 조작
멀티시그 서명자들이 조작된 화면을 보고 서명
서명 완료 즉시 공격자 컨트랙트가 ETH 콜드월렛을 탈취
탈취 직후 다수 지갑으로 분산, 믹서와 크로스체인 브리지 경유

        교훈 — 멀티시그도 UI 레이어가 뚫리면 무력하다

        · 트랜잭션 원본 데이터(calldata)를 직접 검증해야 한다

        · 하드웨어 지갑 화면과 서명 요청 내용의 일치 확인 필수

        · 지갑 SDK · 라이브러리 등 소프트웨어 공급망 무결성 검증

② Marks & Spencer — 매장 1,049곳이 멈췄다 (2025)

영국 소매기업 Marks & Spencer가 Scattered Spider의 공격을 받아 DragonForce 랜섬웨어에 감염됐다.

주목할 점은 침투 방식이다. 자격증명 탈취 → 헬프데스크 사회공학 → MFA 피로 공격을 조합했다. 기술적 취약점이 아니라 사람과 절차를 뚫었다.

피해 — 약 1,049개 매장 운영 차질, 주가 7% 하락

같은 각본은 이미 2022년 Uber 침해에서 검증됐다. Lapsus$ 조직원이 협력업체 직원에게 몇 시간 동안 푸시 알림을 퍼부어 결국 하나가 승인되면서 내부에 진입했다.

대응 포인트

헬프데스크 MFA 재설정 절차가 가장 약한 고리 — 신원 확인 다중화 필수
단순 승인형 푸시 MFA 비활성화, 넘버 매칭 또는 FIDO2로 전환
짧은 시간 내 반복 MFA 요청에 대한 자동 잠금

③ UNC4899 — 익스플로잇 없이 클라우드를 장악하다

Google이 문서화한 사례로, 취약점을 하나도 악용하지 않고 권한을 상승시킨 공격이다.

피해자의 CI/CD 플랫폼과 연결된 Kubernetes 리소스를 수정
서비스 계정 토큰을 로그로 출력하는 명령을 주입
고권한 CI/CD 서비스 계정 토큰을 획득해 권한 상승

전부 정상 기능의 조합이었다. EDR도 방화벽도 볼 것이 없었다. Google의 Cloud Threat Horizons H1 2026은 탈취된 자격증명, 과도한 권한의 서비스 계정, 취약한 신원 거버넌스를 공통 진입점으로 지목한다.

④ Ivanti Connect Secure — 패치 diff에서 시작된 제로데이 (2025)

CVE-2025-22457(CVSS 9.0)은 처음에 문자 공간이 제한적이어서 서비스 거부 정도의 저위험 이슈로 여겨졌다.

중국 연계로 추정되는 UNC5221은 22.7R2.6 패치를 연구해 그 이전 버전에서는 원격코드실행까지 가능하다는 것을 알아냈다. 2025년 3월 중순부터 실제 악용이 관측됐고, TRAILBLAZE 인메모리 드로퍼와 BRUSHFIRE 백도어가 배포됐다.

        교훈 — "저위험" 판정은 영구적이지 않다

        패치는 그 자체로 취약점의 위치를 알려주는 지도다.
        공격자는 diff를 읽는다.
        심각도가 낮아 보여도 패치는 빨리 적용해야 하는 이유다.

⑤ Arup — 회의 참석자 전원이 딥페이크였다 (2024.01)

영국 엔지니어링 기업 Arup의 홍콩 사무소 재무 담당 직원이 화상회의에 참석해 홍콩 5개 계좌로 15회에 걸쳐 약 2억 홍콩달러 (약 2,560만 달러)를 이체했다.

그 통화에서 본인을 제외한 모든 참석자가 딥페이크였다. 공격자는 CFO와 동료들의 공개된 영상을 수집해 얼굴 · 목소리 · 몸짓을 AI로 합성했다. 사기는 직원이 나중에 본사에 직접 확인하면서야 드러났다.

홍콩 경찰은 2024년 2월 사건을 공개했고, Arup은 5월에 피해 사실을 확인했다. 경찰은 가짜 화상회의가 이런 방식으로 쓰인 것은 처음이라고 밝혔다. Arup의 CIO는 이를 "기술로 강화된 사회공학"이라고 표현했다.

        대응 — 기술이 아니라 절차로 막는다

        · 송금 · 권한 요청은 다른 채널로 재확인(Out-of-band)하는 절차 의무화

        · 영상통화에서 본 얼굴이 인증 수단이 될 수 없다는 전제 교육

        · 고액 이체에 복수 승인자 + 시간 지연 도입

⑥ Silent Ransom(Luna Moth) — 로펌을 노린 표적 갈취 (2026)

Coveware 2026년 2분기 데이터에서 평균 지불액이 176% 급등해 188만 달러가 된 주요 원인으로 Silent Ransom(Luna Moth)의 대형 로펌 대상 캠페인이 지목됐다.

이들은 암호화가 아니라 표적형 사회공학으로 확보한 민감 법률 기록의 공개를 협박해 거액을 받아냈다. 같은 분기 전체 지불률은 역대 최저를 기록했는데도 특정 업종의 특정 데이터는 여전히 비싸게 팔렸다.

공통 패턴 다섯

        ① 기술이 아니라 사람과 절차를 뚫는다 (M&S, Arup, Uber)

        ② 익스플로잇 없이 정상 기능만으로 권한 상승 (UNC4899)

        ③ 신뢰하는 중간 계층(UI · 공급망)을 먼저 장악 (Bybit)

        ④ 암호화보다 유출 협박이 주무기 (Luna Moth)

        ⑤ "저위험" 판정 취약점의 재평가 (Ivanti)

지금 점검할 것

☐ 고액 송금 · 권한 변경에 Out-of-band 재확인 절차가 있는가
☐ 헬프데스크의 MFA 재설정 절차가 사회공학에 견디는가
☐ CI/CD 서비스 계정 권한이 최소화돼 있는가
☐ 서명 · 승인 화면의 원본 데이터를 검증하는가
☐ CVSS가 낮은 취약점도 패치 주기에 포함돼 있는가
☐ 민감 문서의 외부 반출 탐지(DLP)가 작동하는가

※ 각 사건의 세부 사실관계는 수사 · 조사 진행에 따라 갱신될 수 있습니다. 인용 수치는 기업 공시, 수사기관 발표, 보안업체 공개 보고서를 근거로 했습니다.