月光愛靑狼

이제 시작이야!웹 해킹 입문

lastcard — Fri, 31 Jul 2026 15:58:16 +0900

자세한 내용은 아래 교보문고 홈페이지를 참고바랍니다.

이제 시작이야!웹 해킹 입문

2026.07.27 충북 진천 천룡컨트리클럽 해킹 및 개인정보유출 요약

lastcard — Fri, 31 Jul 2026 09:12:13 +0900

1. 개요

2026 년 7 월 27 일, 충북 진천에 위치한 한 골프장 (천룡컨트리클럽) 홈페이지가 해킹되어 약 9 만 명의 회원 개인정보가 유출되는 사고가 발생하였습니다.
해커는 골프장 측에 전화를 걸어 "고객정보를 해킹했다. 유포를 막으려면 협상하자"며 금품을 요구한 것으로 확인되었습니다.
골프장 측은 유출 정황을 확인한 직후 한국인터넷진흥원 (KISA) 과 경찰에 신고하였으며, 충북경찰청이 수사에 착수하였습니다.

2. 피해 범위

유출 인원: 약 9 만 명 (회원 기준)
사고 발생 시점: 2026 년 7 월 27 일 오후 6 시경 해커로부터 연락 접수
유출 경로: 골프장 홈페이지 해킹 (정확한 침투 경위는 수사 중)

3. 유출 항목

- 유출된 개인정보 항목은 다음과 같이 확인되었습니다.

이름
생년월일
주소
회사명
전화번호 (휴대전화)
일부 회원: 주민등록번호 등 민감정보

4. 원인

- 현재까지 공식적으로 확인된 직접적인 해킹 원인은 밝혀지지 않았으나, 다음과 같은 정황이 확인되었습니다.

홈페이지를 통한 비정상적인 시스템 접근이 감지됨
해커가 이메일과 전화를 통해 금품 요구 (몸값 협상) 를 시도한 점으로 미루어, 표적형 랜섬웨어 또는 데이터 유출 후 협박 유형의 공격으로 추정됨
경찰은 정확한 유출 경로 및 침투 방법을 조사 중이며, 진천경찰서에서 충북경찰청으로 사건이 이첩된 상태입니다.

5. 대응

- 골프장 및 관계 기관의 대응은 다음과 같이 진행되었습니다.

즉시 신고: 유출 정황 확인 후 한국인터넷진흥원 (KISA) 및 경찰에 신고
고객 공지: 고객들에게 "신원 미상의 외부인에 의한 비정상적인 시스템 접근 및 회원정보 유출 정황을 확인했다"고 공지
보상 약속: "당사의 책임이 인정되는 피해에 대해서는 관련 법령에 따라 적절한 보상이 이뤄지도록 최선을 다하겠다"고 밝힘
수사 진행: 경찰이 해커 신원 추적 및 유출 경위 조사 중

6. 문제점

- 이번 사건에서 드러난 보안상의 문제점은 다음과 같습니다.

대규모 개인정보 유출: 9 만 명 규모의 회원 정보가 한 번에 유출될 정도로 시스템 보안이 취약하였음
민감정보 포함: 주민등록번호 등 민감정보가 일부 포함되어 2 차 피해 (신용정보 악용, 사칭 범죄 등) 우려가 큼
사후 대응 중심: 해킹 발생 후 금품 요구 전화를 받고서야 유출 사실을 인지한 것으로 보아, 실시간 모니터링 및 이상 탐지 체계가 미흡하였을 가능성이 있음
정확한 원인 미규명: 아직 유출 경로가 명확히 밝혀지지 않아, 유사한 공격에 대한 재발 방지 대책 수립이 지연될 수 있음

2026.07.30 국가배후 해킹조직의 우리 국민·기업 해킹 공격 주의 권고

lastcard — Fri, 31 Jul 2026 09:07:20 +0900

1. 개요

2026 년 7 월 말, 국가정보원·경찰청·한국인터넷진흥원 (KISA)·금융보안원과 민간 보안기업 (안랩, S2W, 엔키화이트햇, 플레인비트 등) 이 합동으로 사이버보안 권고문을 배포하며, 뉴스 사이트나 병원 홈페이지 등 이용자가 자주 방문하는 웹사이트에 접속하는 것만으로도 악성코드에 감염될 수 있는 '워터링홀 (Watering Hole)' 공격이 확인됐다고 경고했습니다.
보안업계는 2026 년 상반기 수차례 포착된 일련의 공격이 북한 배후 해킹조직인 '라자루스 (Lazarus)'의 소행일 가능성이 높다고 보고 있습니다.

2. 피해 범위

- 피해는 특정 대상에 국한되지 않고, 일반 국민부터 기업까지 광범위하게 발생할 수 있는 상황입니다.

공격 경로: 채용 지원이나 기부 제안을 가장한 피싱 메일과 뉴스·병원 웹사이트를 악용한 워터링홀 공격이 병행 사용됨
감염 조건: 이용자가 변조된 뉴스 사이트나 병원 홈페이지에 접속하기만 해도 PC 에 설치된 보안프로그램 (전자서명, 보안인증, 키보드보안 등) 의 구버전 취약점을 통해 악성코드가 자동 설치됨
연쇄 감염 가능성: 언론사 누리집이 최초 침투에 악용되면, 다른 언론사가 모니터링 과정에서 감염된 사이트에 접속할 경우 연쇄적으로 감염되는 구조임

3. 유출 항목

- 공격자가 목표로 하는 정보는 다음과 같습니다.

로그인 인증정보: 로그인 자격증명 (credential) 탈취를 통한 추가 사이버 공격 용이화
키 입력 정보: 키보드보안 프로그램 등을 우회하여 키 입력 가로채기 (키로깅)
2 차 피해 연계: 탈취된 정보를 활용한 보이스피싱, 스미싱 등 지능형 범죄로 이어질 가능성

4. 원인

- 공격 성공의 핵심 원인은 다음과 같이 정리됩니다.

구버전 보안프로그램 취약점: 전자서명, 보안인증, 키보드보안 등 보안소프트웨어가 최신 버전으로 업데이트되지 않은 경우, 취약점을 악용한 드라이브 바이 다운로드 (Drive-by-download) 공격이 가능해짐
워터링홀 공격 구조: 이용자가 자주 방문하는 뉴스·병원 사이트를 미리 해킹해 악성코드를 심어두고, 방문자가 사이트에 접속하는 행위만으로 감염이 발생
피싱 메일 병행: 채용·기부 제안 등을 가장한 메일로 링크 클릭을 유도하여, 해킹된 블로그나 깃허브 등 사이트로 연결 후 악성코드 감염

5. 대응

- 정부와 보안업계는 다음과 같은 대응 조치를 권고하고 있습니다.

소프트웨어 최신 버전 유지: 운영체제, 보안프로그램 (전자서명, 보안인증, 키보드보안 등) 을 모두 최신 버전으로 업데이트
2 단계 인증 활성화: 주요 계정에 2 단계 인증 (2FA) 적용
출처 불명 메일 주의: 출처가 불분명한 메일의 첨부파일과 링크는 열지 말 것
모니터링 강화: 기업 및 기관은 웹사이트 무결성 점검 및 이상 트래픽 모니터링

6. 문제점

감염 경로가 일상적: 뉴스 사이트나 병원 홈페이지 등 평소 자주 방문하는 사이트 접속만으로 감염되므로, 사용자의 주의만으로는 방어에 한계가 있음
구버전 프로그램 의존: 보안소프트웨어 업데이트가 지연되거나, 레거시 시스템이 방치된 경우 취약점이 지속 노출됨
연쇄 감염 위험: 언론사 누리집 등 여러 사이트가 상호 연결되어 모니터링하는 구조상, 한 곳이 감염되면 다른 곳도 연쇄적으로 감염될 수 있음
배후 확정 어려움: 보안업계는 라자루스 소행 가능성을 제기하고 있으나, 공식적으로 배후가 확정되지 않아 대응 협력에 제약이 있을 수 있음

https://www.boho.or.kr/kr/bbs/view.do?bbsId=B0000133&pageIndex=1&nttId=72144&menuNo=205020

KISA 보호나라&KrCERT/CC

www.boho.or.kr:443

2022.09.?? SK 이노베이션 E&S 해킹 및 정보유출 요약

lastcard — Tue, 28 Jul 2026 15:55:18 +0900

1. 개요

SK이노베이션 E&S는 SK이노베이션에 합병되기 전인 SK E&S 시절, 2022년 9월 서버 침해를 겪었고 11월에 이를 인지하였습니다.
다만 침해 사실 신고는 2026년 3월 26일에 이뤄져, 인지 후 장기간 신고가 지연된 점이 핵심으로 지적되고 있습니다.

2. 피해범위

내부 확인 결과, 1차와 2차 침해 과정에서 각각 13GB와 2GB 규모의 데이터가 유출된 정황이 확인되었고, 합산하면 약 15GB 수준으로 알려졌습니다.
피해는 사내 계정 정보와 서버 내 메일 데이터까지 확산된 것으로 전해졌으며, 직원 개인정보와 대외비 문서가 포함됐을 가능성도 제기되었습니다.

3. 유출항목

확인된 유출 정황에는 사내 계정 정보와 서버 내 이메일 데이터가 포함되어 있습니다.
추가로 직원 개인정보와 대외비 문서가 대량 포함되었을 가능성이 언급되었으나, 자료 소실로 인해 정밀 확인에는 한계가 있었다고 전해집니다.

4. 원인

당국과 내부 확인 결과, 노후 서버의 소프트웨어 보안 업데이트가 장기간 이뤄지지 않은 취약점을 해커가 악용한 것으로 파악되었습니다.
해커는 도시가스 시공사 관리 개발 서버에 악성코드를 심어 관리자 권한을 확보했고, 이후 다른 서버로도 피해가 확산된 것으로 알려졌습니다.

5. 대응

인지 이후에는 해킹 흔적 점검, 구성원 패스워드 변경, 서버 포맷 및 재설치, 추가 유입 차단을 위한 솔루션 설치 등이 이뤄졌습니다.
다만 대응 과정에서 서버를 백업하지 않은 채 포맷하거나 폐기한 정황이 있어, 이후의 정밀 조사에는 제약이 생긴 것으로 전해졌습니다.

6. 문제점

가장 큰 문제는 침해 사실을 인지한 뒤에도 장기간 신고가 이뤄지지 않았다는 점입니다.
또한 로그와 증적이 보존 기한을 넘겨 소실되었고, 사건 관련 서버까지 사라져 원인 규명과 피해 범위 확인이 어려워진 점도 비판받고 있습니다.
내부 보안 업데이트 미흡과 초기 대응 및 보고 체계의 부실 역시 함께 지적되고 있습니다.

2026.07.23 KBS2 새 대하드라마 ‘문무’ 홍보사 와이트리컴퍼니 해킹 정보유출 개인정보유출

lastcard — Mon, 27 Jul 2026 14:31:08 +0900

1. 개요

와이트리컴퍼니는 KBS2 새 대하드라마 ‘문무’ 홍보를 맡은 회사로, 7월 23일 오전 성명불상의 해커로부터 협박 메일을 받은 뒤 유출 정황을 인지했습니다.
이후 드라마 출연진 소속사 관계자들에게 유출 사실과 대응 방안을 알리는 공문을 발송했습니다.

2. 피해범위

공개된 범위에서는 드라마 출연 배우 일부와 소속사 관계자 일부가 영향받은 것으로 알려졌습니다.
정확한 총 인원은 공개되지 않았고, 현재까지는 제한된 인물군의 정보 유출로 확인됩니다.

3. 유출항목

확인된 유출 항목은 드라마 대본 일부와 출연 배우 및 소속사 관계자들의 일부 연락처입니다.
현재 공개된 내용만 보면 주민등록번호나 금융정보 같은 민감정보까지 포함되었다는 정황은 확인되지 않았습니다.

4. 원인

공개 정보상 직접 원인은 성명불상의 해커로부터 받은 협박 메일이며, 이 메일을 통해 유출 사실이 인지되었습니다.
다만 실제 침투 경로, 계정 탈취 여부, 내부 시스템 접근 방식은 공개된 자료에서 구체적으로 확인되지 않았습니다.

5. 대응

와이트리컴퍼니는 유출 사실 확인 직후 보안 회사의 기술 지원을 받아 추가 피해 차단과 보안 조치를 완료했습니다.
또한 경찰청 사이버수사대 등 관계 기관에 신고했고, 법무법인 자문을 통해 대응에 나섰습니다.
제작사와 배우 측에는 의심스러운 메시지나 링크 접속을 금하고, 해커의 접촉 시 즉시 제보해 달라고 요청했습니다.

6. 문제점

공개된 내용만 보면, 이번 사안은 협박 메일 수신 이후에야 유출 정황을 인지했다는 점이 가장 큰 문제로 보입니다.
또한 대본 일부와 연락처가 함께 노출되어, 단순 정보 노출을 넘어 제작·홍보 업무의 신뢰성과 현장 보안 관리에 영향을 줄 수 있다는 점도 우려됩니다.
다만 현재 공개 범위에서는 사고의 전체 규모와 정확한 침투 방식이 충분히 드러나지 않아, 추가 확인이 필요한 상태입니다.

2026.07.23 전기차 충전 플랫폼 채비 해킹 및 개인정보 유출 요약

lastcard — Mon, 27 Jul 2026 14:25:36 +0900

1. 개요

채비는 2026년 7월 23일 외부의 불법적인 해킹 공격을 통해 개인정보 유출이 발생했다고 밝혔습니다.
이후 7월 26일경 이를 공지하고, 공격 경로를 차단한 뒤 개인정보보호위원회와 한국인터넷진흥원(KISA)에 신고하였습니다.

2. 피해범위

유출 규모는 총 298,333건으로 확인되었습니다.
유형별로는 이메일 단독 유출이 164,858건으로 가장 많았고, 이메일과 비밀번호(암호화) 유출이 131,411건, 이메일·이름(암호화)·연락처(암호화)·성별·생년월일 유출이 1,235건, 이메일·이름(암호화)·연락처(암호화)·비밀번호(암호화)·성별·생년월일 유출이 829건이었습니다.

3. 유출항목

유출 항목에는 이메일 주소가 가장 핵심적으로 포함되었고, 일부 계정에서는 비밀번호가 함께 노출되었을 가능성이 있었습니다.
그 외에 이름, 연락처, 성별, 생년월일이 포함된 조합도 확인되었으나, 채비 측은 해당 값들 중 일부는 암호화된 상태였다고 설명하였습니다.
주민등록번호, 여권번호, 카드번호, 계좌번호는 수집·보유하지 않아 유출되지 않았다고 밝혔습니다.

4. 원인

직접적인 원인은 외부의 불법 해킹 공격으로 설명했습니다.
공개된 내용 기준으로는 공격 경로를 차단하고 취약점 조치를 완료했다고만 안내되었고, 세부 침투 방식이나 초기 침투 지점은 외부에 구체적으로 공개되지 않았습니다.

5. 대응

채비는 해킹 인지 직후 공격 경로를 차단하였고, 방화벽·방향벽 점검, 암호화 적용 확대, 접근통제 강화, 24시간 모니터링 강화 조치를 진행하였습니다.
또한 개인정보보호위원회와 KISA 신고를 완료하고, 대상 고객 개별 통지와 비밀번호 변경 안내를 진행하였습니다.
외부 전문가와 함께 원인 조사 및 재발 방지 대책도 수립 중이라고 밝혔습니다.

6. 문제점

이번 사고는 이메일과 비밀번호가 함께 포함된 사례가 있어, 피싱·계정 탈취·재사용 비밀번호 악용 위험이 커질 수 있다는 점이 문제로 보입니다.
또한 이메일 단독 유출 비중이 높아 보이스피싱, 피싱메일, 스미싱 등 2차 공격에 악용될 가능성도 있습니다.
암호화되었다는 설명이 있더라도, 이용자 입장에서는 불안 해소와 재사용 비밀번호 변경이 필요하다는 점이 남습니다.

[MITRE ATT&CK] 세 전술만으로 보는 공격 이야기

lastcard — Sat, 25 Jul 2026 08:59:55 +0900

◎ 개요

- 실무에서 랜섬웨어나 내부 침해를 분석해 보면, 공격 흐름이 크게 세 단계를 반복하는 것을 자주 확인하게 됩니다.

Execution: 공격 코드가 실제로 실행되는 지점.
Lateral Movement: 공격자가 내부에서 다른 시스템으로 확산하는 단계.
Credential Access: 계정·비밀번호를 탈취해 이후 공격을 위한 “열쇠”를 확보하는 단계.

- ATT&CK v19.1 매트릭스를 기준으로 보면, Enterprise 도메인에 Execution 20개, Credential Access 17개, Lateral Movement 9개 기술이 정의되어 있으며, 대부분의 침해 시나리오가 이 세 전술을 중심 축으로 삼습니다.

- 이번 글은 이 세 전술에 해당하는 대표 Technique들을 표로 정리하고, 그에 맞춘 탐지 포인트 + 대응 플레이북 단계를 함께 제시하는 형태입니다.

◎ ATT&CK 매핑표 (Execution / Lateral / Credential)

- 아래 표는 하나의 “전형적인 윈도우/AD 기반 침해 시나리오”에서 자주 등장하는 TTP를 세 전술 기준으로 묶은 예시입니다.

실제 환경에서는 이 표를 조직에 맞게 줄이거나 늘려서 쓰면 좋습니다.

Tactic	Technique ID	Technique 이름 (요지)	대표 로그/신호	주 탐지 포인트
Execution	T1059.001	Command and Scripting Interpreter: PowerShell	프로세스 생성, Script Block, 명령줄	-enc, Base64, 다운로드·실행, 비정상 부모 프로세스
Execution	T1204.002	User Execution: Malicious File	메일 첨부 실행, 브라우저 다운로드 실행	메일/브라우저 프로세스에서 직접 실행되는 파일
Execution	T1218	Signed Binary Proxy Execution (LOLBins)	certutil.exe, rundll32.exe, 기타 LoLBins	정상 바이너리지만 비정상 명령줄·네트워크 활동
Lateral Movement	T1021.001	Remote Services: RDP	4624 LogonType 10, RDP 세션, 원격 로그인	비정상 시간/소스IP/계정, RDP 직후 실행 행위
Lateral Movement	T1021.002	Remote Services: SMB/Admin Shares	SMB 연결, net use, Admin 공유 접근	비정상 호스트 간 파일 복사·도구 전송
Lateral Movement	T1570	Lateral Tool Transfer	원격 호스트로의 툴·스크립트 전송	RDP/SMB 직후 Mimikatz·툴 배포 흔적
Credential Access	T1003.001	OS Credential Dumping: LSASS Memory	LSASS 프로세스 메모리 접근, 덤프 파일	procdump.exe·rundll32.exe로 LSASS 덤프 시도
Credential Access	T1555.003	Credentials from Web Browsers	브라우저 저장 자격 증명 접근	브라우저 DB 파일 읽기·복사, 비인가 도구 접근
Credential Access	T1110	Brute Force	인증 실패 횟수·패턴	특정 IP/계정 대상 반복 실패·성공 조합

이 매핑은 REvil 등 랜섬웨어 분석과 ATT&CK 기반 랜섬웨어 가이드에서 자주 등장하는 축을 단순화한 것입니다.

- 여기에 Initial Access, Defense Impairment, Impact 등을 추가하면 전체 체인이 완성되지만, 이번 글에서는 Execution·Lateral·Credential만 집중해서 보겠습니다.

◎ Execution 플레이북

Execution 플레이북은 “이상 실행을 어떻게 감지하고, 어떤 순서로 대응할 것인가”를 정의하는 문서입니다.
SOC 플레이북 예시들은 보통 Identify → Contain → Eradicate → Recover → Lessons Learned 구조를 권장합니다.

- 탐지 포인트

> 로그 소스

엔드포인트: 프로세스 생성, Script Block, 명령줄, 부모·자식 프로세스.
메일/브라우저: outlook.exe, winword.exe, chrome.exe, acrobat.exe에서 직접 생성된 하위 프로세스.

> 주요 룰/쿼리 방향

T1059.001 PowerShell: -enc, FromBase64String, IEX, DownloadString 포함 명령줄.
T1204.002 User Execution: 메일·오피스·PDF 프로세스가 cmd.exe, powershell.exe, wscript.exe를 자식 프로세스로 생성.
T1218 LOLBins: certutil.exe로 HTTP 다운로드, rundll32.exe로 비정상 DLL 로드.

- 대응 단계 (예시)

> Identify

이상 실행 이벤트 탐지 후, 사용자·호스트·명령줄·부모 프로세스 정보를 확인합니다.
동일 사용자/호스트에서 최근 유사 실행 패턴이 반복되는지 헌팅합니다.

> Contain

프로세스가 악성으로 의심되면 즉시 종료하고, 호스트를 네트워크에서 격리합니다.
동일 바이너리·스크립트가 다른 호스트에도 배포되었는지 확인합니다.

> Eradicate & Recover

악성 실행 파일 및 스크립트 삭제, 스케줄러·서비스 등록 여부 확인.
시스템 무결성·백업 상태를 점검하고, 필요시 클린 이미지로 재배포합니다.

> Lessons Learned

어떤 Execution 룰이 사건을 처음 포착했는지 기록하고, 오탐/미탐 원인을 분석해 룰을 개선합니다.
해당 Technique(T1059.001, T1204.002, T1218)에 대한 Coverage/Fidelity 점수를 Scorecard에 반영합니다.

◎ Lateral Movement 플레이북

Lateral Movement는 공격자가 내부에서 “어디로 어떻게 넘어갔는지”를 파악하는 데 핵심입니다.
플레이북 예시들은 이 단계를 별도 시나리오로 분리해, 이상 로그인·원격 세션·툴 전송 중심으로 정리합니다.

- 탐지 포인트

> 로그 소스

인증 로그: AD / 윈도우 Security 이벤트 (4624/4625 등).
RDP/SMB/WMI/WinRM: 원격 세션·서비스 로그, 네트워크 연결.

> 주요 룰/쿼리 방향

T1021.001 RDP: 비정상 시간·국가·소스 IP에서 LogonType 10 다발 발생.
T1021.002 SMB/Admin Shares: 관리용 공유로의 파일 복사와 툴 배포 패턴.
T1570 Lateral Tool Transfer: RDP/SMB 직후 mimikatz.exe 등 툴이 새로 나타나는 파일 생성·실행.

- 대응 단계 (예시)

> Identify

특정 계정/소스 IP에서 다수 호스트로 RDP/SMB 접속이 발생했는지 집계합니다.
접속 직후 실행된 프로세스(예: PowerShell, Mimikatz, 백업 도구 변조)를 타임라인으로 정리합니다.

> Contain

의심 계정의 세션을 강제 종료하고, 계정 잠금 또는 비밀번호 재설정을 수행합니다.
영향을 받은 호스트를 네트워크에서 제한하거나, 세분화된 세그먼트로 이동합니다.

> Eradicate & Recover

측면 이동 경로에서 배포된 도구·스크립트를 제거합니다.
해당 기간 동안 변경된 권한·그룹·서비스·작업 스케줄러 설정을 복구·검증합니다.

> Lessons Learned

어떤 Lateral Movement 탐지 로직이 공격 흐름을 발견했는지, 어디서 놓쳤는지 기록합니다.
RDP/SMB 사용 정책, 관리 계정 사용 규칙, 네트워크 세그멘테이션 정책을 재검토합니다.

◎ Credential Access 플레이북

Credential Access는 이후 모든 단계를 열어주는 전술이기 때문에, 별도의 고위험 플레이북으로 다루는 편이 좋습니다.
많은 IR 플레이북은 LSASS 덤프, Pass-the-Hash, 브라우저/암호 저장소 탈취를 별도 시나리오로 분류합니다.

- 탐지 포인트

> 로그 소스

EDR: LSASS 메모리 접근, 프로세스 덤프, 디버그 권한 획득.
OS 이벤트: 권한 상승, SeDebugPrivilege 사용, 비정상 도구 설치·실행.

> 주요 룰/쿼리 방향

T1003.001 OS Credential Dumping: LSASS Memory — procdump.exe, rundll32.exe, mimikatz.exe가 lsass.exe에 접근하는 행위.
T1555.003 Credentials from Web Browsers — 브라우저 DB파일(Login Data 등)을 비인가 도구로 복사·읽기.
T1110 Brute Force — 동일 IP/계정에 대한 반복 실패 후 성공 조합.

- 대응 단계 (예시)

> Identify

LSASS 메모리 접근 알림 발생 시, 해당 호스트·계정·도구를 즉시 확인합니다.
같은 시간대에 다른 Credential 관련 이벤트가 있는지(브라우저 DB 접근, 레지스트리 기반 저장소 조회 등) 확인합니다.

> Contain

해당 호스트를 네트워크에서 격리하고, 잠재적으로 유출된 계정에 대해 강제 비밀번호 변경 및 세션 무효화를 수행합니다.
외부에서 유출된 자격 증명이 사용되었을 가능성에 대비해, 동일 계정으로 다른 시스템 접근이 있었는지 조사합니다.

> Eradicate & Recover

악성 도구·스크립트·레지스트리 설정을 제거하고, 시스템 로그 정책이 정상인지 확인합니다.
MFA 확대, 패스워드 정책 강화, 세션 재사용 제한 등 추가적인 방어 정책을 적용합니다.

> Lessons Learned

Credential Access 탐지 신호가 실제 사고에 얼마나 빠르게 이어졌는지(탐지→조치 시간)을 측정합니다.
자격 증명 보호 및 모니터링 관련 정책·툴·로그 소스를 보완합니다.

◎ 한 장짜리 요약 매핑 + 플레이북 흐름

- 마지막으로, 이 세 전술을 한 장짜리로 묶으면 다음과 같은 구조가 됩니다.

> Execution

목표: “이상 실행”을 최대한 빠르고 정확하게 잡는다.
핵심 Technique: T1059.001, T1204.002, T1218.
기본 플레이북: 이상 실행 → 프로세스·타임라인 분석 → 호스트 격리 → 악성 코드 제거 → 룰 개선.

> Lateral Movement

목표: “어디까지 번졌는지”를 빠르게 파악하고 확산을 차단한다.
핵심 Technique: T1021.001, T1021.002, T1570.
기본 플레이북: 이상 RDP/SMB 패턴 → 세션·계정·도구 상관분석 → 계정·호스트 격리 → 경로 복구 → 네트워크·정책 개선.

> Credential Access

목표: “열쇠를 뺏겼는지”를 최우선으로 확인하고 봉쇄한다.
핵심 Technique: T1003.001, T1555.003, T1110.
기본 플레이북: LSASS/자격 증명 접근 탐지 → 계정·호스트 격리 → 비밀번호·세션 재발급 → MFA·정책 강화.

- 이렇게 세 전술 기준으로 매핑표와 플레이북을 묶어 두면, SOC나 IR 팀에서 “어떤 경보가 어떤 ATT&CK 전술에 속하는지”, “그 전술에서 우리가 무엇을 해야 하는지”를 빠르게 공유할 수 있습니다.

- 결국 목표는 Execution–Lateral–Credential 세 축만으로도 공격 이야기를 설명하고, 탐지·대응·개선까지 하나의 흐름으로 운영하는 것입니다.

2026.07.?? 포천 대진대학교 문자 발송 시스템 해킹 및 개인정보 유출 요약

lastcard — Fri, 24 Jul 2026 18:06:55 +0900

1. 개요

2026년 7월 초 포천 소재 대진대학교의 시스템이 외부 침입을 받아 개인정보가 유출된 사고가 발생한 것으로 알려져 있습니다.
학교 측은 내부 조사 과정에서 문제를 인지한 뒤, 7월 23일경 구성원들에게 긴급 안내 문자와 공지문을 통해 개인정보 유출 사실과 사과의 뜻을 전달하였습니다.
유출 경로는 문자메시지 발송에 사용되던 내부 시스템과 관련 파일로 파악되고 있으며, 이에 따라 관련 시스템에 대한 외부 접속이 차단된 상태라고 설명하고 있습니다.

2. 피해 범위

현재까지 확인된 피해 대상에는 대진대학교 교직원의 개인정보가 포함되는 것으로 학교 공지에서 밝히고 있습니다.
학생 및 외부인(졸업생, 기타 관계자 등)에 대한 정보 유출 여부와 구체적인 규모·범위는 아직 정밀 조사가 진행 중으로, 최종적인 피해 인원과 데이터 건수는 확정되지 않은 상황입니다.
이 때문에 실제 피해 규모가 어느 정도인지 구성원이 정확히 파악하기 어렵다는 점이 지적되고 있습니다.

3. 유출 항목

현재 조사 결과에 따르면, 유출된 정보의 주요 항목은 문자 발송 시스템에서 사용되던 성명과 전화번호입니다.
학교 측은 금융 정보나 주민등록번호 등 민감한 정보가 포함된 추가 유출은 없다고 설명하고 있으며, 유출 항목이 상대적으로 제한적이라는 점을 강조하고 있습니다.
다만 성명과 전화번호는 스팸 및 사회공학 공격에 악용될 수 있는 기본 식별 정보라는 점에서 보안상 위험성을 내포하고 있습니다.

4. 원인

유출 경로는 문자메시지 발송 시스템에서 사용하던 파일 및 그 시스템에 대한 외부 침입으로 추정되고 있습니다.
구체적인 침해 기법(취약점 악용, 계정 탈취, 구성 관리 미흡 등)에 대해서는 공개된 정보가 제한적이어서, 기술적 공격 방식이나 내부 통제 수준에 대한 상세한 분석은 아직 어려운 상태입니다.
다만 개인정보 보호 당국이 다른 대학 사례에서 지적해온 바와 같이, 접근 통제 미흡, 암호화 부족, 로그·모니터링 부재 등 일반적인 안전조치 의무 위반 가능성을 검토해야 할 것으로 보입니다.

5. 대응

사고 인지 이후 대진대학교는 문자 발송 시스템의 외부 접속을 전면 차단하고, 추가 유출 방지를 위한 긴급 조치를 시행한 것으로 알려져 있습니다.
동시에 교직원 및 학생을 대상으로 개인정보 유출 사실 안내와 사과문을 게시하여, 사고 경과와 현재까지 확인된 내용, 향후 조사·재발 방지 계획 등을 설명하고 있습니다.
관계 기관과의 협조를 통해 정밀 조사를 진행하면서 피해 범위를 특정하고, 필요한 경우 추가 통지 및 보호 조치를 취하겠다는 입장을 밝히고 있습니다.

6. 문제점

첫째, 현재까지 피해 규모와 범위에 대한 정보가 충분히 공개되지 않아 구성원이 자신의 피해 여부를 명확히 판단하기 어렵다는 점이 문제로 지적됩니다.
둘째, 문자 발송 시스템에 저장된 개인정보가 외부 침입에 의해 유출된 점은 해당 시스템의 접근 통제, 데이터 최소 수집·보관 원칙, 암호화 및 로그 관리 등이 적절히 이행되었는지에 대한 의문을 제기합니다.
셋째, 성명과 전화번호만 유출되었다고 하더라도, 이를 악용한 피싱·스미싱, 사회공학적 공격의 가능성이 존재하므로 피해자 보호와 후속 안내(의심 문자·전화에 대한 경계, 신고 절차 안내 등)가 보다 구체적으로 이루어질 필요가 있습니다.

2025.11.?? 국군의무사령부 산하 군 병원 모바일 의료영상 저장전송 시스템(PACS) 해킹 및 의료정보유출 요약

lastcard — Fri, 24 Jul 2026 08:56:18 +0900

1. 개요

국군의무사령부 산하 6개 군 병원(고양·양주·포천·구리·강릉·대구)과 연계된 모바일 PACS에 대해 2025년 11~12월 사이 비인가자가 침투·접속한 정황이 확인되었습니다.
PACS는 X선, CT, MRI 등 군 장병 및 민간 내원객의 의료 영상을 저장·전송하여, 격오지 등에서도 모바일 기기로 진료 지원을 할 수 있도록 설계된 의료 영상 아카이브 및 공유 체계입니다.
국방부·사이버작전 관련 기관의 합동 분석 결과, 비인가자는 PACS가 탑재된 서버 및 응용프로그램에 우회 접속하여 의료 영상 데이터에 광범위하게 접근한 것으로 파악되었습니다.
침투 사실은 2026년 4월 중앙보안감사 및 추가 합동조사를 통해 본격적으로 인지·확정되었고, 관련 내용은 2026년 5~7월 사이 대외적으로 알려지면서 군 의료정보 보호 체계 전반에 대한 우려가 제기되었습니다.

2. 피해 범위

합동조사 결과 비인가자가 접근한 데이터 용량은 약 8GB로, PACS 내 X선·CT·MRI 등 의료 영상 자료 약 1,000장에 해당하는 규모로 분석되었습니다.
침투 당시 해당 모바일 PACS에는 장성·장교·부사관·병사 및 민간인 내원객을 포함하여 약 115만 명분의 의료 영상 데이터가 축적되어 있었던 것으로 알려져, 잠재적으로 매우 광범위한 대상이 위험에 노출된 상태였습니다.
각 피해 병원은 군 장병과 민간 내원객 모두가 이용하는 기관으로, 단순 진단 정보뿐 아니라 군 인사·지휘체계 내 주요 직위자의 의료 정보까지 포함되었을 가능성이 제기되고 있습니다.
비인가자가 실제로 어떤 개인의 영상 데이터를 열람·다운로드했는지에 대한 세부 로그는 충분히 확보되지 않았으며, 국방부는 대규모 유출 가능성을 배제하지 않고 있습니다.

3. 유출 항목

해당 모바일 PACS에 저장·연동된 항목은 군 병원을 방문한 대상자의 이름, 성별, 나이, 영상촬영일시, 영상 정보(X선, CT, MRI 등 의료 영상 파일)입니다.
즉, 일반 인적 식별 정보(이름 등)와 성·나이 같은 준식별 정보, 그리고 구체적인 질병·상해 상태에 직결될 수 있는 의료 영상이 결합된 형태로 존재하여, 민감정보 보호 측면에서 고위험군에 해당하는 데이터입니다.
조사 결과, 비인가자는 PACS 내 영상 자료가 저장된 영역에 직접 접근해 여러 장의 의료 영상을 조회 가능한 상태를 만든 것으로 분석되며, X선·CT·MRI 파일 자체를 포함한 데이터 블록에 대한 비인가 접속이 확인되었습니다.
다만 개별 환자 단위로 어느 누구의 병명·상병 코드까지 노출되었는지에 대한 구체적인 매핑 정보는 조사 중으로, 현재 단계에서 확인된 항목은 영상 기반 의료 데이터와 기본 인적 정보 수준입니다.

4. 원인

합동조사 결과에 따르면, 비인가자는 원격에서 PC를 이용하여 의무사 웹 서비스와 연계된 특정 통신 포트를 통해 모바일 PACS 애플리케이션으로 우회 침투한 것으로 드러났습니다.
보안상 외부에서 닫혀 있어야 할 포트가 2025년 11월부터 2026년 3월까지 장기간 개방 상태였고, 이를 통해 외부 단말이 PACS 관련 애플리케이션에 직접 연결될 수 있는 구조적 취약점이 존재했습니다.
접속 로그 분석 결과, 여러 해외 국가의 IP를 경유한 접속 흔적이 발견되어, 접속 위치와 주체를 은폐하기 위한 전형적인 해킹 수법이 사용된 것으로 판단되고 있습니다.
국방부는 침투 주체와 구체적 목적을 최종적으로 특정하지는 못했으나, 군 병원 의료 시스템을 겨냥했다는 점에서 단순 금전적 목적뿐 아니라 군 장병 개인 정보 수집 등 안보 목적 가능성도 배제하기 어렵다고 평가하고 있습니다.
또한 중앙보안감사가 실시되기 전까지 의무사 내부에서 해당 취약 포트 및 비인가 접속 정황을 인지하지 못한 점, 그리고 PACS 보안 담당 인력 및 체계가 부족했다는 전문가 지적이 있어, 전반적인 정보보호 거버넌스·모니터링 부재도 원인으로 거론되고 있습니다.

5. 대응

침투 가능성이 확인된 이후 국군의무사령부와 국방부는 모바일 PACS 시스템 운용을 전면 중단하였으며, 2026년 4월 14일부터 서비스 중단 조치를 시행하여 수개월째 운영을 멈춘 상태입니다.
의무사는 군 전문기관 및 한국인터넷진흥원, 개인정보보호위원회에 조사를 의뢰하여 비인가 접속 경위·규모·실제 유출 여부를 규명하는 절차를 진행하고 있습니다.
국방부는 사이버 관련 부대와 방첩 관련 기관, 국군의무사를 포함한 합동조사팀을 구성하여 망 연계 장치 로그 분석, 포트 상태 점검, 내부 관리 체계 조사 등을 수행하였고, 그 결과 개인정보 유출 가능성이 크다는 결론을 국방부에 보고하였습니다.
각 군 병원은 방문 이력이 있는 대상자에게 비인가 정보 접근 시도 사실을 통지하고 있으며, 향후 조사 결과에 따라 추가적인 통보 및 보호 조치를 시행할 예정이라는 입장을 밝힌 상태입니다.
동시에 의무사는 모바일 PACS의 보안 취약점을 인지한 이후, 관련 취약점을 보완 조치 중이며, 국방부는 조사 결과를 토대로 재발 방지 대책을 추진하겠다고 밝혀 군 의료정보 시스템 전반에 대한 보안 강화 계획을 진행하고 있습니다.

6. 문제점

첫째, 민감한 군 의료데이터를 처리하는 시스템에서 외부 접속 포트가 수개월간 개방되어 있었고, 침투 사실조차 상당 기간 파악하지 못한 점은 군 정보보호 체계의 상시 모니터링·취약점 관리 기능이 매우 미흡했음을 보여줍니다.
둘째, PACS에 약 115만 명분의 의료 영상이 누적된 상태에서, 해당 시스템의 보안성·접속 통제·로그 분석 체계가 충분히 갖춰지지 않아 광범위한 개인정보가 사실상 무방비 상태에 놓였던 구조적 위험이 드러났습니다.
셋째, 비인가자가 실제로 열람·다운로드한 구체적 정보 범위를 아직까지 명확히 특정하지 못해, 피해자·잠재 피해자에게 제공되는 정보가 제한적이고, 사후 대응 및 권리 구제 측면에서도 불확실성이 큰 상황입니다.
넷째, 군 의료정보가 일반 개인정보보다 훨씬 민감한 정보에 해당함에도 불구하고, 전담 보안 인력 및 시스템 수준이 이에 상응하는 수준으로 확보되지 않았다는 전문가의 지적은, 군 의료·복지 분야 IT 시스템이 전반적으로 보안 투자에서 후순위로 밀려왔을 가능성을 시사합니다.
마지막으로, 군 병원이 민간인도 이용 가능한 기관이라는 특성상, 군 장병뿐만 아니라 일반 국민의 민감정보까지 위험에 노출될 수 있었던 점, 그리고 군 특성상 안보 목적의 정보 수집 가능성이 제기되는 상황은 향후 군·공공 의료 시스템에 대한 신뢰 저하와 법·제도적 보안 강화 요구를 더욱 증폭시키는 요인이 되고 있습니다.

[MITRE ATT&CK] 실전 탐지 압축편

lastcard — Fri, 24 Jul 2026 08:41:39 +0900

◎ 개요

실무에서는 전술을 넓게 잡기보다, 가장 자주 터지고 가장 먼저 막아야 하는 구간부터 압축해서 보는 편이 효율적입니다.
그중 Execution, Lateral Movement, Credential Access는 대부분의 침해사고에서 반복적으로 등장하므로, 이 세 축만 잘 잡아도 탐지 품질이 크게 올라갑니다.
핵심은 “로그가 있어야 보이고, 쿼리가 있어야 잡히며, 상관분석이 있어야 믿을 수 있다”는 점입니다.

◎ Execution

- Execution은 공격이 실제로 시작되는 지점이므로 가장 먼저 잡으셔야 합니다.

대표적으로 PowerShell, LOLBin, Suspicious Child Process, Encoded Command 같은 패턴이 자주 쓰입니다.

- Splunk SPL 예시

index=win* (Image="*\\powershell.exe" OR Image="*\\pwsh.exe" OR Image="*\\cmd.exe")
(CommandLine="*-enc*" OR CommandLine="*FromBase64String*" OR CommandLine="*IEX*" OR CommandLine="*DownloadString*")
| stats count by host, user, Image, CommandLine, ParentImage
| sort - count

이 쿼리는 ATT&CK의 T1059.001 PowerShell 계열 탐지에 적합합니다.
Splunk 측 자료도 프로세스 실행, 자격 증명 접근, 측면 이동을 보려면 관련 로그 수집이 선행되어야 한다고 설명합니다.
실무에서는 여기에 ParentImage가 winword.exe, outlook.exe, acrobat.exe인 경우를 추가로 강조하시면 좋습니다.

- Elastic KQL 예시

process.name:(powershell.exe or pwsh.exe or cmd.exe) and
process.command_line:(* -enc* or *FromBase64String* or *IEX* or *DownloadString*)

Elastic 쪽 탐지 규칙 저장소도 hunting README를 통해 ATT&CK 기반 헌팅 흐름을 권장합니다.
Execution은 오탐이 많아지기 쉬우므로, 단일 문자열보다 부모 프로세스와 네트워크 연결을 함께 보시는 편이 좋습니다.

◎ Lateral Movement

- Lateral Movement는 내부 확산 단계입니다.

여기서는 RDP, SMB, WMI, WinRM 같은 원격 서비스 사용과 성공 로그인 이후의 행위를 함께 봐야 합니다.
단순히 로그인 성공만 보면 정상 관리행위와 섞이기 쉬우므로, 세션 연쇄를 보는 것이 중요합니다.

- Splunk SPL 예시

index=wineventlog EventCode=4624 LogonType=10
| stats count values(src_ip) as src_ip values(host) as host by user, LogonType
| where count > 5

이 쿼리는 T1021.001 RDP 기반 측면 이동의 출발점을 보는 기본형입니다.
다음 단계로는 짧은 시간 내 동일 계정의 여러 호스트 접속, 그리고 접속 직후 powershell.exe나 cmd.exe 실행 여부를 함께 붙이시면 좋습니다.

- Elastic KQL 예시

event.code:4624 and winlog.event_data.LogonType:"10"

이후 상관분석은 별도 EQL 또는 rule chain으로 붙이는 편이 좋습니다.
예를 들어 같은 사용자와 소스 IP에서 10분 이내 여러 호스트에 접속한 뒤 원격 프로세스 실행이 나타나면 우선순위를 높이시면 됩니다.

◎ Credential Access

- Credential Access는 이후 확산과 권한 상승의 문을 여는 단계라서 매우 중요합니다.

대표적으로 LSASS 접근, 프로세스 메모리 덤프, 브라우저 저장 자격 증명, 키로깅, registry 기반 credential harvesting이 있습니다.
여기서는 행위 기반 탐지가 핵심이며, 단순 파일명 차단만으로는 부족합니다.

- Splunk SPL 예시

index=win* (Image="*\\procdump.exe" OR Image="*\\rundll32.exe" OR Image="*\\mimikatz.exe")
(CommandLine="*lsass*" OR CommandLine="*sekurlsa*" OR CommandLine="*logonpasswords*" OR CommandLine="*comsvcs.dll*")
| stats count by host, user, Image, CommandLine, ParentImage

이 쿼리는 T1003.001 OS Credential Dumping: LSASS Memory를 겨냥한 기본 패턴입니다.
Splunk와 여러 ATT&CK 기반 탐지 리소스는 Credential Access를 별도 축으로 다뤄야 한다고 강조합니다.
실무에서는 procdump.exe뿐 아니라 EDR이 잡는 메모리 접근 이벤트, 디버그 권한 사용, 비정상 LSASS 핸들 오픈까지 같이 보셔야 합니다.

- Elastic KQL 예시

process.name:(procdump.exe or mimikatz.exe or rundll32.exe) and
process.command_line:(*lsass* or *sekurlsa* or *logonpasswords* or *comsvcs.dll*)

Credential Access는 오탐보다 미탐이 더 치명적일 수 있으므로, 탐지 시 경보를 높게 두고 바로 메모리 포렌식 또는 EDR 타임라인 확인으로 이어지게 설계하시는 편이 좋습니다.

◎ 운영 팁

- 이 세 전술은 따로 보지 말고 연결해서 보셔야 합니다.

예를 들어 PowerShell Execution이 먼저 나오고, 그 뒤 RDP 로그인, 이후 LSASS 접근이 발생하면 공격 체인이 상당히 강하게 의심됩니다.
즉, 단일 룰보다 “실행 → 이동 → 자격 증명 탈취”의 연쇄를 만드는 상관분석이 훨씬 중요합니다.

- 운영 우선순위는 이렇게 잡으시면 좋습니다.

먼저 Execution 룰로 초기 실행을 잡습니다.
다음으로 Lateral Movement 룰로 내부 확산을 추적합니다.
마지막으로 Credential Access 룰로 권한 장악 시도를 차단합니다.

- Elastic을 쓰신다면 hunting 중심 쿼리를 따로 모아 두고, Splunk를 쓰신다면 tstats나 datamodel 기반 상관분석을 추가하시면 좋습니다.

- ATT&CK 매핑 기준으로는 각 룰에 Technique ID를 함께 붙여 두셔야 나중에 커버리지와 갭 분석이 쉬워집니다.

◎ 정리

Execution, Lateral Movement, Credential Access는 탐지 실무에서 가장 먼저 압축해 봐야 할 세 전술입니다.
PowerShell과 LOLBin으로 시작된 실행, RDP나 원격 서비스로 이어지는 내부 이동, 그리고 LSASS나 저장 자격 증명 접근으로 이어지는 탈취 패턴을 한 세트로 묶어 보시면 됩니다.
Splunk SPL과 Elastic KQL 예시를 그대로 시작점으로 삼고, 조직의 로그 소스와 자산 구조에 맞게 부모 프로세스, 계정, 소스 IP, 세션 연쇄를 붙여 가시면 실전성이 높아집니다.