샤이니헌터스, 오라클 피플소프트 제로데이로 100곳 이상 해킹…교육기관 초토화

구글의 위협 인텔리전스 그룹(GTIG)과 자회사 맨디언트가 약 2주간 이어진 대규모 사이버 공격의 실체를 공식 확인했다. 유명 해킹 그룹 '샤이니헌터스(ShinyHunters)'가 오라클 피플소프트(PeopleSoft)의 심각한 제로데이 취약점을 악용해 전 세계 100곳이 넘는 조직을 침해한 것이다. 이번 사건으로 특히 대학을 비롯한 교육 기관들이 직격탄을 맞았으며, 수십만 명에 달하는 학생들의 민감한 개인정보가 다크웹에 그대로 유출됐다.

패치도 없었다: 취약점 CVE-2026-35273의 정체

이번 공격의 핵심은 오라클 피플소프트 피플툴즈(PeopleTools)의 환경 관리(Environment Management) 구성 요소에서 발견된 취약점, CVE-2026-35273이다. 이 취약점은 CVSS 심각도 점수 10점 만점에 9.8점을 기록할 정도로 치명적이다 . 왜 그럴까? 공격자가 별도의 인증 절차나 사용자 상호작용 없이도 HTTP/HTTPS를 통해 원격에서 코드를 실행(RCE)할 수 있기 때문이다. 즉, 인터넷에 연결된 취약한 피플소프트 서버만 있으면 누구든 시스템을 장악할 수 있었다는 뜻이다 .

공격은 주로 환경 관리 허브(PSEMHUB) 엔드포인트를 노렸다. 구글은 해커들이 /PSEMHUB/hub 또는 /PSIGW/HttpListeningConnector와 같은 경로에 악의적인 POST 요청을 보내는 것을 포착했다 . 피플툴즈 8.61과 8.62 버전이 이 공격에 취약했으며, 무엇보다 공격이 진행된 시점(2026년 5월 27일 ~ 6월 9일)이 오라클이 공식 보안 권고문을 발표한 6월 10일보다 빨랐기에, 사실상 무방비 상태에서 제로데이 공격이 그대로 통한 셈이다 .

샤이니헌터스의 치밀한 작전: 규모와 표적

구글 맨디언트가 'UNC6240'으로 추적하는 이 해킹 그룹의 활동은 광범위하면서도 정교했다. 그들은 전 세계적으로 약 300개의 피플소프트 인스턴스를 감염시켰고, 100곳 이상의 조직이 피해를 입었다 . GTIG는 공격이 진행 중이던 그 순간에도 100개가 넘는 노출된 조직에 직접 연락을 취해 위험을 알렸다 .

눈에 띄는 점은 공격 대상이 뚜렷했다는 것이다. 확인된 피해자의 68%가 고등 교육기관, 특히 미국 소재 대학들이 집중적으로 표적이 됐다 . 샤이니헌터스는 사람들의 신뢰를 얻기 위해 교묘한 위장술도 썼다. 공격자는 서버에 지속적으로 접근하기 위해 메시센트럴(MeshCentral)이라는 원격 관리 도구를 심었는데, 파일명을 meshagent64-azure-ops.exe처럼 마이크로소프트 애저(Azure) 정품 서비스처럼 보이도록 위장하고, 명령 제어(C2) 서버의 도메인도 애저 서비스를 그대로 모방한 azurenetfiles.net을 사용했다 . 이렇게 탈취한 방대한 데이터는 2026년 6월 9일, 그들의 전용 유출 사이트(DLS)에 공개되었다 .

노팅엄 대학교: 50만 학생 기록 유출이라는 참사

이번 공격의 실체는 영국 노팅엄 대학교(University of Nottingham)의 사례를 통해 참혹하게 드러났다. 이 대학은 공격을 맨 처음 공식 인정한 피해자로, 학생 기록 시스템이 뚫려 수십 기가바이트(GB)에 달하는 데이터가 유출됐다고 인정했다 .

보고된 바에 따르면 무려 45만 4,600명에서 최대 50만 명에 이르는 재학생 및 졸업생의 개인정보와 학적 기록이 통째로 빠져나갔다 . 유출된 정보에는 학생들의 집 주소, 전화번호, 생년월일 등 민감한 개인 식별 정보가 대거 포함됐다. 안타깝게도 교직원의 은행 계좌 정보나 연구 데이터는 포함되지 않았지만, 이렇게 탈취된 정보는 곧바로 샤이니헌터스의 유출 사이트에 올라왔고, 나아가 개인정보 유출 여부를 확인해주는 유명 서비스인 'Have I Been Pwned'에도 색인될 정도로 빠르게 확산했다 .

아직 패치가 없다면? 지금 당장 취해야 할 5가지

오라클은 2026년 6월 10일 뒤늦게 긴급 보안 경보를 발령했지만, 애석하게도 첫 대응은 완전한 소프트웨어 패치가 아닌 임시 방편이었다. 만약 당신이 오라클 피플소프트를 사용하는 조직의 보안 담당자라면, 구글과 오라클이 한목소리로 권고하는 다음 5가지 조치를 지금 당장 실행해야 한다 :

1. EMHub 서비스 비활성화 혹은 제거하기: 여러 대의 서버로 구성된 환경이라면 환경 관리 허브(EMHub) 서비스를 비활성화하자. 만약 단일 서버에서 모든 걸 운영하는 중이라면, 아예 PSEMHUB 애플리케이션을 제거하는 것이 가장 안전하다 .
2. 외부 접근 원천 봉쇄하기: 방화벽이나 접근 제어 목록(ACL)을 사용해 공격 대상이 된 /PSEMHUB/* 및 /PSIGW/HttpListeningConnector 경로로 들어오는 모든 외부 접근을 차단해야 한다 .
3. 접근 로그 샅샅이 뒤지기: 보안 담당자는 PIA 웹로직(WebLogic) 접근 로그를 즉시 점검해, /PSEMHUB/hub 및 /PSIGW/HttpListeningConnector로 향하는 외부 IP 주소의 POST 요청이 있었는지 확인해야 한다. 이는 이미 침해당했는지 알 수 있는 유일한 단서다 .
4. 웹쉘(Web Shell) 흔적 찾기: 피플소프트 파일 시스템 내부, 특히 /webserv/applications/peoplesoft/PSEMHUB.war/ 경로 아래에 공격자가 심어둔 수상한 .jsp 파일이 없는지 꼼꼼히 살펴야 한다 .
5. 이상 징후 모니터링하기: PSEMHUB 경로 안에 logs, persistantstorage, scratchpad 등의 수상쩍은 디렉토리가 생성됐는지 확인하라. 또한, 피플소프트 서버에서 외부로 나가는 SMB 트래픽이 포착된다면 데이터 유출이 진행 중이라는 강력한 신호이므로 즉시 분석해야 한다 .

이러한 조치는 어디까지나 화재 진압을 위한 임시 소방 활동이다. 피플툴즈 8.61 혹은 8.62 버전을 사용하는 모든 조직은 오라클의 추가 공식 보안 업데이트가 나오는 대로 최우선으로 적용해야만 근본적인 재발 위험을 막을 수 있다는 점을 명심하자 .