독일 베를린 시 행정망이 랜섬웨어 조직 '리시다(Rhysida)'의 공격을 받아 실제 데이터가 외부로 유출된 사실이 확인됐습니다. 공격자는 약 5.79TB, 144만 개 파일을 탈취했다고 주장하며 30비트코인(BTC)의 몸값을 요구했지만, 베를린 시장은 "협박에 굴복하지 않겠다"고 선언했습니다. 유출된 자료에는 이름·이메일·IBAN(국제은행계좌번호)·비밀번호·인사기록·급여정보는 물론 상수도 관련 중요 인프라 보안 평가 자료까지 포함됐다고 공격자 측은 주장하고 있습니다. 리시다는 2023년부터 정부·의료·교육·제조·IT 분야를 대상으로 '데이터를 먼저 빼낸 뒤 몸값을 요구하는' 이중 협박 방식을 써온 조직입니다. 현재 베를린 경찰·검찰·독일 연방정보보안청(BSI)이 공조 수사 중이며, 행정 시스템은 보안점검 후 복구됐습니다.
랜섬웨어 조직 리시다(Rhysida)가 2025년 8월 7~12일 사이 독일 베를린 시 행정망('베를린 주 네트워크')을 침해해 도시개발·건설·주택 부서 및 교통·기후·환경 부서의 데이터를 외부로 유출했다. 공격자는 5.79TB·144만 개 파일 탈취를 주장하며 30 BTC의 몸값을 요구했다.
개인정보(이름·이메일·전화번호·IBAN·비밀번호), 인사·급여·계약·재무 자료, 상수도 인프라 보안 평가 자료, 독일 연방참의원 관련 문서 등 고도로 민감한 정부 자료가 유출됐을 가능성이 있다. 정확한 유출 범위는 포렌식 조사 진행 중이다.
리시다의 과거 공격 패턴상 탈취된 정상 계정을 이용한 VPN·원격접속 서비스 침투, 피싱, 공개 취약점 악용이 주된 침투 경로로 알려져 있으나 이번 베를린 공격의 구체적 침투 경로는 아직 공개되지 않았다.
베를린 당국은 8월 14일 피해 부서를 행정망에서 즉시 분리했고, 보안점검 후 8월 23일 재연결했다. 베를린 경찰·검찰·BSI·주 범죄수사청이 수사 중이며, 베를린 데이터보호 감독기관에도 상황이 공유됐다. 베를린 시장은 몸값 지불 거부를 공식 선언했다.
리시다는 이중 협박(데이터 탈취 후 공개 위협) 방식을 사용하므로, 랜섬웨어 탐지 이전 단계인 데이터 유출 구간(네트워크 트래픽 이상 감지, DLP)에 대한 모니터링이 핵심이다. VPN·원격접속 서비스의 계정 탈취 방어(MFA 강제 적용, 비정상 접속 탐지)가 1차 방어선이다.
본문
독일 베를린 정부 행정망에서 발생한 사이버공격으로 실제 데이터가 외부로 유출된 사실이 확인됐다. 랜섬웨어 조직 리시다(Rhysida)는 공격 배후를 자처하며 5.79TB 규모의 데이터를 확보했다고 주장했지만, 베를린 당국은 정확한 유출 규모와 데이터 내용에 대해서는 조사를 계속하고 있다.
베를린 주정부는 지난 8월 17일 행정망인 '베를린 주 네트워크'가 사이버공격을 받은 사실을 처음 공개했다. 조사 과정에서 도시개발·건설·주택 부서와 교통·기후·환경 관련 부서가 영향을 받은 사실이 확인됐다.
당국은 추가 피해를 막기 위해 8월 14일 저녁 두 부서를 행정망에서 분리했다. 베를린 경찰과 검찰, 독일 연방정보보안청(BSI, Bundesamt für Sicherheit in der Informationstechnik) 등이 조사에 참여했다.
초기 조사 당시 베를린 정부는 민감한 데이터가 외부로 빠져나갔다는 증거가 확인되지 않았다고 밝혔다. 하지만 추가 디지털 포렌식 조사에서 실제 데이터 유출 정황이 확인됐다.
베를린 정부가 8월 28일 공개한 조사 결과에 따르면 교통·기후·환경 관련 부서에서 8월 7일부터 12일 사이 데이터가 외부로 유출됐다. 네트워크가 차단된 8월 14일보다 앞선 시점이다.
현재까지 유출된 데이터의 정확한 양과 내용은 확인되지 않았다. 개인정보와 외부에 공개되지 않은 행정자료가 포함됐을 가능성도 조사하고 있다.
랜섬웨어 조직 리시다는 8월 28일 자체 데이터 유출 사이트에 베를린을 피해 기관으로 등록하고 공격 배후를 자처했다.
리시다는 베를린 행정망에서 약 5.79TB, 144만 개에 이르는 파일을 확보했다고 주장했다. 다만 이 수치는 공격자가 공개한 주장으로, 베를린 정부가 확인한 수치는 아니다.
공격자가 공개한 내용에는 정부 행정자료와 법률·재무·계약·인사·인프라·보건·지도 관련 자료가 포함돼 있다고 주장했다.
이름과 이메일 주소, 전화번호, 국제은행계좌번호(IBAN)를 비롯해 계정정보와 데이터베이스 계정, 결제 시스템 관련 자료, 비밀번호 저장소 등의 정보도 확보했다고 주장했다.
인사기록과 급여정보, 행정처분 관련 자료, 이메일 보관자료, SQL 데이터베이스 자료, 신분증과 은행 관련 정보도 포함됐다고 공격자는 밝혔다.
특히 베를린 상수도와 관련된 중요 인프라 보안 평가 자료와 독일 연방참의원(Bundesrat) 위원회 관련 문서 등 민감한 정부 자료도 포함돼 있다는 것이 리시다 측 주장이다.
베를린 정부는 이 같은 세부 자료 목록을 공식 확인하지 않았다. 현재 디지털 포렌식 조사를 통해 실제 유출 자료의 범위와 민감도를 확인하고 있다.
베를린 정부는 공격자로부터 금전을 요구하는 협박도 받고 있다고 밝혔다.
베를린 시장은 8월 28일 특별회의 이후 "베를린은 협박에 굴복하지 않을 것"이라며 공격자의 요구를 받아들이지 않겠다는 입장을 밝혔다.
베를린 주 범죄수사청과 검찰, 독일 연방 보안기관들이 공격자를 추적하고 있다. 개인정보 유출 가능성과 관련해 베를린 데이터보호 감독기관과 독일 연방정보보안청(BSI)에도 조사 상황이 공유되고 있다.
공격자가 요구한 금액은 베를린 정부가 공식 공개하지 않았다. 독일 현지 보도에서는 리시다가 탈취했다고 주장하는 데이터를 공개하거나 판매하지 않는 조건으로 30비트코인(BTC)을 요구했다는 내용이 나왔다.
리시다는 피해 기관의 데이터를 먼저 빼낸 뒤 금전을 요구하고, 협상이 이뤄지지 않으면 데이터를 공개하는 이중 협박(double extortion) 방식을 사용하는 랜섬웨어 조직이다.
미국 사이버보안·인프라보안국(CISA)과 연방수사국(FBI) 등이 공개한 공동 분석자료에 따르면 리시다는 2023년부터 정부기관과 의료·교육·제조·IT 분야 등을 대상으로 공격을 이어왔다.
과거 공격에서는 탈취한 정상 계정을 이용해 외부 원격접속 서비스와 VPN에 접근하거나 피싱, 공개된 취약점을 공격에 활용한 사례가 확인됐다. 다만 이번 베를린 공격에서 어떤 경로가 사용됐는지는 아직 공개되지 않았다.
사이버공격으로 중단됐던 두 행정부서는 보안점검을 거쳐 8월 23일 베를린 행정망에 다시 연결됐다. 베를린 정부는 행정 시스템 운영을 재개했지만 전체 네트워크에 대한 포렌식 조사와 보안점검은 계속 진행하고 있다.
오는 9월 20일 예정된 베를린 하원의원 선거 시스템에 대한 우려도 제기됐지만, 현재까지 선거 관련 데이터가 유출됐다는 증거는 확인되지 않았다.
이리스 슈프랑어(Iris Spranger) 베를린 내무장관은 현재 조사 결과 선거 관련 시스템에서 데이터 침해가 확인되지 않았으며, 선거를 지원하는 기술 환경도 안전한 상태라고 밝혔다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
