Elsevier 도메인, 잠시 LAPSUS$ "Chapter II" 페이지로 강제 리다이렉트

네덜란드 학술 출판사 Elsevier 소속 도메인 3개와 웹 포털이 "LAPSUS$ GROUP, Chapter II" 브랜드가 적힌 페이지로 사용자를 리다이렉트하는 사건이 발생했다. 해당 페이지에는 FBI를 조롱하는 서명된 성명과 다음 피해자를 예고하는 카운트다운이 포함돼 있었다.

Cloudskope 연구원들에 따르면, 리다이렉트는 2026년 9월 21일 오후 7시 49분(CT 기준)부터 오후 10시 9분 이전에 해제될 때까지 최소 78분간 지속됐다.

Elsevier는 아직 사건 경위나 사용자의 로그인 자격증명 또는 기타 데이터 탈취 여부에 대해 공식 입장을 밝히지 않았으나, 피해를 입은 도메인과 포털은 "정상화"돼 현재 접근 및 이용이 가능한 상태다.

피해 도메인

강제 점거된 Elsevier 도메인 3개는 다음과 같다:

• Elsevier.com (회사 메인 웹사이트)
• Evolve.elsevier.com (간호·보건 계열 교육용 로그인 포털 및 학습관리 시스템)
• Submit.elsevier.com (연구자들이 동료 심사(peer review)를 위해 논문 원고를 업로드하는 포털)

사용자들은 다음 공지가 표시된 페이지로 리다이렉트됐다.

Cloudskope 연구원들은 이번 리다이렉트가 "DNS 레코드, CDN 리다이렉트 규칙, 또는 이를 관리하는 계정에 대한 DNS 또는 CDN 엣지 단의 변경을 통해 이루어진 것"으로 보고 있다.

"중국어 포럼 게시글에서 공격자가 Elsevier의 Cloudflare 리다이렉트 규칙을 변경했다고 주장하고 있으나, 이를 확인하지는 못했다"고 연구원들은 덧붙였다.

현재 Elsevier 측에 사건 경위에 관한 질의를 보낸 상태이며, 답변을 받으면 내용을 업데이트할 예정이다.

부활하는 브랜드

Lapsus$ Group은 Microsoft, Okta, Nvidia, Uber 등 대형 기술 기업을 대상으로 한 갈취형 공격으로 알려져 있으며, 일부 멤버들의 체포 및 유죄 판결 이후 2022년 말부터 사실상 활동을 중단한 것으로 여겨졌다.

그럼에도 잔여 멤버 일부는 2025년 Scattered Lapsus$ Hunters 집단에 합류한 것으로 추정되며, 이 조직은 고프로파일 데이터 침해 및 갈취 시도를 이어갔다.

한편 2026년에는 Lapsus$ 브랜드를 내건 유출 사이트가 미국 헬스케어 기업 Virta Health, Vodafone Germany, AYA Bank 등을 새로운 피해 조직으로 지목했다.

이번 성명은 해당 그룹이 다시 강력하게 활동 중이며, "연간 매출 500억 달러 이상, 전 세계적으로 강력한 존재감을 가진 글로벌 기업"을 표적으로 삼았거나 삼을 계획임을 시사하는 것으로 보인다.

이 주장의 진위 여부는 아직 확인되지 않았다.

같은 페이지를 이달 초 분석한 Securonix 연구원들은 "현재까지 검토한 증거 중 어느 것도 2021~2022년 LAPSUS$ 원조 클러스터와의 인적 연속성을 입증하지 못했다"고 밝혔다.