보안 규칙만으론 막지 못했다…ShinyHunters의 PeopleSoft 공격 재개

ShinyHunters가 Oracle PeopleSoft의 취약점을 다시 대규모로 악용하고 있습니다. 구글 산하 맨디언트와 구글 위협 인텔리전스 그룹(GTIG)은 2026년 5월 27일~6월 9일 교육기관을 주로 노렸던 공격 이후, 같은 취약점인 CVE-2026-35273을 이용한 공격이 재개됐으며 표적도 전 세계 여러 산업으로 확대됐다고 밝혔습니다. 715

이번 소식은 보안 장비 규칙을 추가하는 것만으로는 패치 적용을 대신할 수 없다는 점을 보여줍니다. 또 ShinyHunters가 FBI 인사 정보를 탈취했다는 주장은 PeopleSoft 공격과 연결해 단정하기 전에, 확인된 사실과 미확인 주장을 구분해야 합니다.

어떻게 공격을 확대했나

맨디언트는 ShinyHunters를 추적명 UNC6240으로 지칭하며, 이번 활동을 취약점의 재차 대규모 악용으로 설명했습니다. 앞선 공격은 대학 등 교육기관이 주요 표적이었지만, 이후에는 여러 산업과 지역으로 대상 범위가 넓어졌습니다. 다만 공개된 자료에는 국가별 또는 업종별로 확인된 피해자 전체 목록이 제시돼 있지 않습니다. 715

문제가 된 CVE-2026-35273은 PeopleSoft의 환경 관리 구성 요소와 관련된 취약점입니다. 맨디언트는 5월 말부터 6월 초까지의 공격이 이 취약점을 이용한 활동과 일치한다고 밝혔습니다. 15

웹 방화벽 규칙은 왜 충분하지 않았나

일부 조직은 취약한 요청을 차단하기 위해 웹 애플리케이션 방화벽(WAF) 규칙을 적용했지만, 공격자는 URL 인코딩을 활용해 해당 규칙을 우회한 것으로 보도됐습니다. 14 맨디언트와 GTIG도 공격자가 기존 WAF 규칙을 피하도록 익스플로잇을 수정했다고 설명했습니다. 7

핵심은 방화벽 규칙이 취약점 자체를 고치는 조치가 아니라는 점입니다. 규칙이 변형된 요청을 알아채지 못하면 공격이 통과할 수 있고, Oracle 패치를 적용하지 않은 시스템은 여전히 취약한 상태로 남습니다. Oracle은 앞선 공격 이후 6월 10일 보안 업데이트를 내놨습니다. 14

FBI 자료 탈취 주장은 어디까지 확인됐나

ShinyHunters는 FBI를 침해해 현재와 과거 직원 등 다수의 인사 정보를 훔쳤다고 주장했습니다. FBI는 FBIjobs.gov에 영향을 준 무단 활동 주장에 대해 인지하고 있으며 조사 중이라고 밝혔습니다. 2

로이터는 공개된 데이터 샘플에 일부 FBI 요원의 이름과 주소, 담당 업무가 포함된 것으로 보인다고 전했습니다. 그러나 샘플의 일부 내용이 그런 것으로 보인다는 사실만으로 해킹 주장의 전체 규모나 정보 유출 경로가 확인되는 것은 아닙니다. 특히 이 FBI 주장과 CVE-2026-35273을 통한 PeopleSoft 공격이 같은 침해였다는 점도 제공된 자료로는 확정할 수 없습니다. 2

구글 맨디언트와 GTIG가 확인한 것은 PeopleSoft 취약점 악용의 재개와 표적 확대입니다. 반면 FBI 자료 탈취의 구체적 범위와 침입 경로는 별도의 검증이 필요한 사안입니다. 제공된 보도 자료에서는 이 주장에 대한 Oracle의 구체적인 입장은 확인되지 않습니다. 127