베를린 시, 시 행정 네트워크 데이터 탈취 해커의 협박 요구 거부

베를린 시 정부는 지난 8월 시 행정 네트워크 침해 사건 이후 협박을 받고 있음을 공식 확인하고, 협박자들의 요구에 응하지 않겠다고 밝혔다.

같은 발표에서 포렌식 조사 결과, 이동·교통·기후보호·환경 담당 상원부처 소관 영역에서 추가적인 데이터 유출이 확인됐으며, 유출 시점은 2026년 8월 7일부터 8월 12일 사이로 특정됐다.

유출 범위와 내용은 현재 조사 중이며, 상원 수상실은 개인정보나 그 밖의 비공개 데이터가 탈취 대상에 포함됐을 가능성을 배제할 수 없다고 밝혔다.

상원 수상실에 따르면 해당 부처는 8월 7일 최초 유출을 인지했으며, 이후 7일이 지난 8월 14일 네트워크에서 차단됐다.

베를린 시는 유출된 데이터의 규모를 수치로 공개하지 않았다. 현재 유통되는 유일한 항목별 내역은 공격자 측의 자체 주장으로, 8월 28일에 색인된 유출 사이트 게시물에서 5.79TB의 데이터와 12,076명의 개인정보를 탈취했다고 주장하고 있다.

8월 29일 기준으로 상원이 이번 사건에 대해 발표한 두 차례의 자료에는 개인정보가 포함됐을 가능성이 있는 당사자들을 위한 안내가 담겨 있지 않았다.

베를린 공식 포털의 기계번역 영문판에 따르면, 카이 베그너 베를린 시장은 붉은 시청사(Rotes Rathaus)에서 열린 임시 상원 회의 후 "베를린 주가 협박을 당하고 있다"고 밝혔다.

상원 수상실 성명은 주 형사경찰, 검찰, 연방 보안기관이 용의자를 수사 중이라고 밝혔으며, 공격 배후 단체는 특정하지 않았다.

Der Spiegel은 8월 28일 최초로 Rhysida를 배후로 지목했으며, 해당 그룹의 다크넷 유출 사이트 게시물과 대응에 관여한 보안 관계자들을 근거로 제시했다. The Hacker News는 유출 사이트 모니터링 서비스를 통해 8월 29일, 8월 28일자로 Rhysida의 유출 사이트에 "Berlin, Germany"라는 제목의 항목이 추가된 것을 확인했다.

해당 게시물은 5.79TB의 데이터와 약 144만 개의 파일을 스캔했다고 주장하며, 피해자를 상원이나 특정 부처가 아닌 "독일 베를린"으로만 표기했다. 게시물에는 몸값 금액이 명시되지 않았으며, 11개의 파일 유형 중 가장 큰 범주는 지도 및 지리데이터 파일 124,823개로, 주장된 전체 파일 수의 약 4분의 1을 차지한다.

미국 사이버보안·인프라보안국(CISA), 연방수사국(FBI), 다주정보공유분석센터(MS-ISAC)는 Rhysida 그룹의 공격 방식에 관한 공동 권고문을 통해 다음과 같은 초기 침투 경로를 문서화했다.

• 외부 노출 원격 서비스의 유효 계정 탈취: 공격자들이 탈취한 유효 자격증명으로 내부 VPN(가상사설망) 접속 지점에 인증하며, 특히 기본적으로 MFA(다중 인증)가 활성화되어 있지 않은 조직을 표적으로 삼는다.
• Zerologon(CVE-2020-1472): Microsoft의 Netlogon 원격 프로토콜에 존재하는 권한 상승 취약점으로, Microsoft가 2020년 8월 11일 패치를 배포했다.
• 피싱: 피해 네트워크에 침투하는 성공적인 경로로 기록됐다.

이 권고문은 2023년 11월, CISA와 FBI가 Rhysida의 이중 협박 공격을 처음 경고했을 당시 발표된 것이다. 권고문은 "FBI와 CISA는 몸값 지불을 권장하지 않는다"고 명시하고 있는데, 지불이 데이터 복구를 보장하지 않으며 공격자가 더 많은 조직을 표적으로 삼도록 부추길 수 있기 때문이다.

기관들은 알려진 취약점 패치 우선 적용, 모든 서비스에 MFA 활성화, 랜섬웨어 확산 방지를 위한 네트워크 분리를 권고하고 있다.

같은 문서는 Microsoft가 Storm-0832로 추적하는 Vice Society와 Rhysida 배포 행위자 간의 유사성에 관한 오픈소스 보고서를 언급하며, Check Point가 2023년 분석한 Vice Society와의 연관성을 소개하고 있다.

모니터링 서비스에는 8월 29일 기준 Rhysida의 피해자가 280개 조직으로 집계됐으며, 이 중 독일 내 피해자는 2026년 5월 슈투트가르트 시 행정청, 2025년 6월 국제 원조 단체 Welthungerhilfe 등 9개다. 목록에는 2024년 9월 색인된, 시애틀-타코마 국제공항을 운영하는 시애틀항만청(Port of Seattle)도 포함돼 있다.

상원 수상실은 베를린 주 개인정보보호위원과 연방정보보안청(BSI)에 지속적으로 상황을 보고하고 있다고 밝혔다. The Hacker News가 확인한 결과, 8월 29일 기준으로 베를린 개인정보·정보자유 위원실에서 이번 사건에 관한 별도 성명은 없었다.

이리스 슈프랑어 내무상원의원은 현재까지 확인된 바로는 9월 20일 의회 선거(Abgeordnetenhaus) 관련 영역에서 데이터가 유출되지 않았으며, 보안 담당자들은 선거 환경을 안전하다고 판단하고 있다고 밝혔다.

베를린은 8월 17일 포렌식 조사를 통해 주 네트워크 침해가 확인됐으며 영향을 받은 두 부처가 그 이전 주 금요일부터 격리됐다고 처음 공개했다.

8월 19일 기자회견에서 베그너 시장은 이번 사건이 심각한 상황이며 현재도 그러하다고 밝히면서, 현재까지의 정보를 기준으로 민감한 데이터는 주 네트워크를 벗어나지 않았다고 강조했다.

두 부처가 네트워크에서 분리된 동안 주거 급여 신청 및 지급 서비스가 중단됐다. 모든 상원 부처는 8월 23일 네트워크에 재연결됐으며, 주 네트워크에 대한 포렌식 조사와 스캐닝은 계속되고 있다.

Manchester Airports Group, 고객 데이터 도난 확인

맨체스터, 런던 스탠스테드, 이스트미들랜즈 공항을 운영하는 Manchester Airports Group(MAG)은 8월 27일, 미인가 제3자가 세 공항의 주차, 라운지, Fast Track 예약 및 공항 내 WiFi 가입 관련 고객 데이터를 탈취했다고 밝혔다.

MAG 대변인은 공식 성명에서 "어떤 시점에도 승객 안전이나 항공 보안은 침해되지 않았다"고 말하며, 공항 운영과 주차 서비스는 정상적으로 운영되고 있다고 덧붙였다.

탈취된 데이터에는 이메일 주소, 전화번호, 차량 번호판, 우편번호가 포함되며, MAG는 자사나 침해된 시스템에 고객의 금융·결제 정보가 저장되어 있지 않다고 밝혔다. MAG의 성명은 해당 시스템을 MAG와 구별되는 별도 시스템으로 설명했다.

MAG의 고객 정보 페이지는 이번 사건이 "공항 운영 시스템과 무관하다"고 명시하며, 승객들에게 평소대로 공항으로 이동할 것을 안내했다.

8월 29일 기준으로, 온라인 예약 관리(Manage My Booking) 서비스는 예방 조치로 접근이 중단된 상태다. 향후 72시간 이내 예약 변경이 필요한 경우, 평일 오전 9시~오후 5시 사이에 고객 서비스 번호 0208 163 8001로 연락하면 처리받을 수 있다.

언론에 보도된 약 870만 명 피해 고객 수치는 회사 대변인이 언론에 전달한 내용에서 비롯됐으며, MAG의 공식 자료에는 피해자 수가 명시되지 않았다.

MAG는 피해 고객에게 직접 연락을 취했으며, 영국 국가사이버보안센터(NCSC)의 데이터 침해 가이드라인을 안내하면서 의심스러운 이메일·문자·전화에 주의를 기울일 것을 당부했다.