사이버 범죄 그룹 ShinyHunters가 미국 연방수사국(FBI)을 해킹해 현직·전직 FBI 요원과 입사 지원자들의 민감한 정보를 탈취했다고 주장했습니다. 이 그룹은 Oracle PeopleSoft 소프트웨어의 새로운 제로데이(아직 공개되지 않은 보안 결함) 취약점을 이용해 원격으로 시스템을 장악하고 FBI 채용 사이트를 변조했다고 밝혔습니다. 유사한 취약점인 CVE-2026-35273은 2026년 6월에 이미 랜섬웨어 캠페인에 실제로 악용된 사실이 확인되어 CISA 실제 악용 목록(KEV)에 등재된 상태입니다. FBI는 FBIjobs.gov에 대한 무단 접근 주장을 인지하고 수사 중이라고 밝혔습니다. 보안 전문가들은 이번 사건이 기술적 취약점 공략을 넘어 계정·인증·서드파티 연동 경로를 노리는 공격이 증가하고 있음을 보여주는 사례라고 경고했습니다.
ShinyHunters 그룹이 FBI 시스템을 침해해 거의 모든 FBI 요원 및 입사 지원자 데이터를 탈취했다고 주장했습니다. Oracle PeopleSoft 제로데이 취약점을 이용한 원격 코드 실행(RCE)으로 FBI 채용 사이트(FBIjobs.gov)를 변조했다고 밝혔습니다.
FBI 현직·전직 요원 및 입사 지원자들의 민감한 개인정보가 유출 위험에 처했으며, FBI 채용 사이트가 일시 변조됐습니다. 같은 공격 그룹이 Clop 랜섬웨어 조직의 다크웹 사이트까지 탈취해 영향력을 과시했습니다.
Oracle PeopleSoft Enterprise PeopleTools의 인증 없이 핵심 기능에 접근할 수 있는 제로데이 취약점이 악용됐습니다. 연관 취약점인 CVE-2026-35273은 랜섬웨어 캠페인에 이미 실제 악용이 확인됩니다.
FBI는 FBIjobs.gov에 대한 비인가 접근 주장을 인지하고 현재 수사 중이라고 공식 발표했습니다.
Oracle PeopleSoft를 운영하는 모든 기관은 CVE-2026-35273 관련 패치를 즉시 점검·적용해야 합니다. 또한 헬프데스크 사회공학(social engineering), 악성 OAuth 앱, SaaS 연동 토큰 탈취 등 ID·인증 경로를 겨냥한 공격에 대비해 접근 통제와 서드파티 신뢰 관계를 전면 재검토해야 합니다.
본문
Ravie Lakshmanan 2026년 9월 23일 | 데이터 침해 / 사이버 범죄
사이버 공갈 그룹 ShinyHunters는 화요일, 미국 연방수사국(FBI)을 침해해 현직 및 전직 FBI 직원들의 데이터를 탈취했다고 주장했습니다.
그룹은 다크웹 사이트에 올린 성명에서 "우리는 FBI를 침해했다. 거의 모든 FBI 요원과 FBI에 취업을 신청한 사람들에 관한 매우 민감한 데이터를 보유하고 있다"며 "특수 요원이든 다른 직책이든 관계없다. 침해된 FBI 서비스는 형사 사법(CJ), 인사(HR), Medlink 등이다"라고 밝혔습니다.
이 소식은 404 Media가 처음 보도했습니다. ShinyHunters는 FBI가 2026년 5월에 발표한 공공 서비스 안내문(PSA)에 대한 보복으로 FBI를 표적으로 삼았다고 밝혔습니다. 해당 안내문에서 FBI는 이 위협 행위자가 온라인 학습 관리 시스템(LMS)인 Canvas를 겨냥했다고 상세히 설명하며 피해자들에게 몸값을 지불하지 말 것을 촉구한 바 있습니다.
공격자들은 자신들의 '맞불 PSA'에서 이를 "실질적인 허위 주장"이라고 규정하며 "귀 기관 수준의 기관이 우리 활동을 '방해'하려는 시도로 이러한 허위 정보를 유포하는 모습을 보고 매우 실망했다. 그 시도는 결국 실패로 끝났다"고 덧붙였습니다.
그룹은 자신들이 분산형 조직 The Com의 일부라는 주장도 일축하며 "정보 보안 업계가 만들어낸 선전이며, 전직 FBI·법무부(DOJ) 관리들을 세뇌시켜 이 헛소리를 공식화하게 만든 것"이라고 주장했습니다.
ShinyHunters 대변인은 The Register에 그룹이 Oracle PeopleSoft의 새로운 제로데이 취약점을 악용해 원격 코드 실행(RCE)을 달성하고 FBI 채용 사이트를 "This site has been seized by ShinyHunters(이 사이트는 ShinyHunters에 의해 압수됐습니다)"라는 배너로 변조했다고 밝혔습니다. 현재 해당 사이트는 "정기 유지보수 중. 사이트 업데이트를 점검하고 있습니다!"라는 메시지를 표시하고 있습니다.
현재 PeopleSoft의 인증 전 RCE 제로데이에 관한 구체적인 세부 정보는 공개되지 않은 상태입니다. 그러나 ShinyHunters는 2026년 6월에 유사한 취약점(CVE-2026-35273)을 무기화해 기업 네트워크에 침투하고 피해자를 협박한 바 있습니다.
FBI는 Reuters에 공유한 성명에서 "FBIjobs.gov에 영향을 미치는 무단 활동에 관한 주장을 인지하고 현재 수사 중"이라고 밝혔습니다.
이번 공개는 이 고프로파일 해킹 그룹이 Clop(Cl0p로도 불림) 랜섬웨어 조직의 다크웹 유출 사이트를 탈취한 이후에 나왔습니다.
해당 공지에는 "당신의 브랜드를 지키고 내 손에 죽지 않으려면: [...] 당신이 얼마나 부자인지 보여줘라"며 "내 순자산의 2.333%는 8자리 금액이다. 그 정도는 낼 수 있기를 바란다, 그것이 요구 사항이며 협상 가능하다. 전쟁실 화이트보드 앞에 상관들을 세워라. 시간이 흐른다, 멍청아. 무례함에 양해를 구한다"는 내용이 담겼습니다.
Cato Networks의 위협 인텔리전스 부사장 Etay Maor는 "ShinyHunters의 FBI 침해 주장은 법 집행 기관과 사이버 범죄 그룹 간의 지속적인 대결에서 이례적으로 도발적인 행동이며 반드시 심각하게 받아들여야 한다"고 말했습니다.
"위협 행위자들이 기업을 표적으로 삼는 사례는 수없이 보았고, 국가 또는 국가 연계 그룹이 법 집행 기관을 침해한 전례도 있습니다. 2015년 OPM 침해 사건이 가장 대표적인 사례입니다. 그러나 사이버 범죄 브랜드가 FBI 침해를 공개적으로 주장하는 것은 차원이 다른 일입니다."
"작은 작전상 단서 하나는 그룹 게시물의 9월 23일 타임스탬프인데, 미국에서는 9월 22일에 뉴스가 나왔습니다. 해당 타임스탬프가 그룹의 실제 운영 환경을 반영한다면 아시아 지역의 활동을 가리킵니다. 결정적인 귀속 증거는 아니지만 수사관들이 기술적 증거와 함께 살펴볼 세부 사항입니다."
Maor는 또한 ShinyHunters를 검거·체포·포럼 폐쇄에도 살아남아 방법을 진화시키고 새로운 운영자를 끌어들임으로써 회복력을 입증한 범죄 브랜드로 묘사하며, 이 그룹이 "고정된 사람들이나 인프라의 집합체" 이상임을 시사했습니다.
"최근 그룹의 전략은 단순히 기술적 경계를 돌파하는 것보다 헬프데스크 사회공학, 악성 OAuth 애플리케이션, 탈취한 SaaS 연동 토큰을 통한 신뢰할 수 있는 ID 경로 남용을 강조하는 방향으로 변화했습니다. 이것이 이번 사건의 더 큰 교훈입니다. 공공 부문 기관을 포함한 모든 조직은 공격자들이 점점 더 악용하는 ID와 서드파티 신뢰 관계를 보호해야 합니다."
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
