ShinyHunters, EY 해킹 주장…진실과 과장 사이에서 가려야 할 것들

2026년 7월 27일, 악명 높은 데이터 갈취 조직 ShinyHunters가 다크웹 유출 사이트에 게시글을 올려 글로벌 회계·컨설팅 법인인 언스트앤영(Ernst & Young, EY)을 침해했다고 주장했습니다. 이들은 EY가 사용하는 제3자 IT 지원 플랫폼의 공급망을 공격해 직원 자격 증명과 민감한 파일을 획득했다고 밝혔습니다. ShinyHunters는 '최종 경고' 데드라인을 2026년 7월 31일로 설정하며, EY가 이 날짜까지 협상에 나서지 않으면 모든 훔친 데이터와 파일을 유출하거나 최고 입찰자에게 팔겠다고 위협했습니다. 게시글에는 *"이것은 2026년 7월 31일까지 연락을 취하라는 최종 경고입니다. 그렇지 않으면 데이터를 유출하고 최고 입찰자에게 판매할 것입니다."*라고 적혀 있었습니다.

사이버보안 분석가들이 신중해야 하는 이유

전문가들은 여러 이유로 ShinyHunters의 주장에 의문을 제기하고 있습니다.

• 증거 부족. 이번 유출 사이트 게시글에는 침해를 입증할 만한 샘플 데이터나 스크린샷이 포함되지 않았습니다. 이는 ShinyHunters가 주장을 뒷받침하기 위해 일반적으로 샘플을 공개하던 방식과는 다른 이례적인 행보입니다.
• 기존 사고에 편승했을 가능성. ShinyHunters가 실제로 발생한 EY의 제3자 침해 사고(아래 참조)에 자신들의 이름을 붙여 악명을 높이려는 '밴드웨거닝'(기회주의적 동참)을 시도했을 수 있습니다. 이는 갈취 조직이 평판을 쌓기 위해 실제 해킹 사고에 대한 허위 주장을 하는 알려진 패턴입니다.
• '위협-갈취' 파이프라인. 주장이 거짓이라 할지라도, 단순히 큰 조직의 이름을 거론하는 것만으로도 평판에 타격을 주고 고객과 파트너 사이에 혼란을 야기할 수 있습니다.

EY가 이미 공개한 별도의 제3자 침해 사고

ShinyHunters의 주장 이전에 EY는 내부 지원 티켓에 사용되는 제3자 IT 서비스 관리(ITSM) 플랫폼과 관련된 별도의 확인된 데이터 침해 사고를 이미 공개한 바 있습니다. 주요 내용은 다음과 같습니다.

• 침해는 2026년 4월 23일에 발견되었습니다. 공격자는 2026년 3월 28일부터 4월 12일까지 15일 동안 해당 공급업체 관리 헬프데스크 시스템에 접근했습니다.
• 침입자는 고객의 세금 및 금융 정보가 포함된 문서를 다운로드했으며, 여기에는 주민등록번호, 운전면허번호, 금융 계좌 정보, 세금 신고 정보가 포함되어 있었습니다.
• EY는 2026년 7월에 캘리포니아, 메인주, 그리고 최소 두 개의 다른 주 규제 기관에 공식적인 통지를 제출했습니다.
• 이 침해 사고와 관련해 EY를 상대로 한 집단 소송이 최소 1건 제기되었습니다.

EY가 확인한 제3자 침해 사고와 ShinyHunters의 주장은 동일한 사건이 아닙니다. 전자는 EY가 이미 공개한 문서화된 사건이고, 후자는 연결 여부가 불확실한 입증되지 않은 주장입니다.

2026년 ShinyHunters의 갈취 패턴

ShinyHunters는 2026년 가장 활발한 데이터 탈취 및 갈취 조직 중 하나로, 일관된 '침해, 탈취, 요구, 유출 또는 판매' 모델을 사용해 왔습니다. 2026년 주요 캠페인은 다음과 같습니다.

대상	시기	세부 내용
Salesforce Experience Cloud 피해 기업	2026년 3월	잘못 설정된 Aura 엔드포인트를 악용하여 Qantas, Allianz Life, LVMH, Adidas, Google, Workday 등 수백 개 조직을 공격
Instructure Canvas LMS	2026년 5월	Free-for-Teacher 계정의 XSS 취약점을 이용해 10일 간격으로 두 차례 침해, 약 3.6TB 데이터(2억 7500만 명 이상의 학생 기록) 탈취. FBI가 공개 경고 발령
유럽 평의회(Council of Europe)	2026년 6월	297GB(429,000개 이상의 파일)의 인사 및 운영 데이터 탈취 주장, 6월 16일까지 유출 위협
코닥(Kodak)	2026년 6월	220만 건의 고객 개인정보(PII) 탈취 주장, 6월 18일 유출 데드라인 설정. 이후 코닥이 침해 사실 확인
Abbott Laboratories	2026년 7월	유출 사이트에 Abbott을 게시하며 7월 18일 데드라인 설정, 이후 7월 21일로 연기
Ernst & Young	2026년 7월	공급망 침해 주장, 데드라인 7월 31일 (현재로서는 입증되지 않음)

이 그룹의 주요 공격 방식은 암호화 기반 랜섬웨어가 아닌 보이스 피싱(vishing), 자격 증명 탈취, OAuth 토큰 남용, 공급망 침해에 의존합니다. 또한 분석가들은 ShinyHunters가 대금을 지불한 피해자(특히 PowerSchool 사례)를 재갈취한 사례도 있다고 지적하며, 협상이 매우 위험한 전략이 될 수 있다고 경고합니다.

FBI, Mandiant, EclecticIQ는 모두 ShinyHunters를 금전적 동기를 가진 '갈취-서비스' 집단으로 추적하며 경고를 발령했습니다. 이들은 AI 기반 사회 공학 및 SaaS 플랫폼 악용을 통해 빠르게 활동을 확장하고 있습니다.