해킹 그룹 ShinyHunters가 오라클 PeopleSoft의 제로데이 취약점(공식 패치가 나오기 전에 발견돼 악용되는 취약점)을 이용해 미국 FBI의 채용 포털을 뚫었다고 주장하면서, FBI 직원 및 지원자 수만 명의 개인정보와 의료기록까지 탈취했다고 밝혔습니다. 이로 인해 FBI의 채용 관련 웹사이트들은 아직도 접속이 되지 않고 있습니다. 공격자들은 돈을 요구하는 대신, 자신들에게 몸값을 지불하지 말라고 권고한 당국의 발표를 반박하기 위해 공격 사실을 공개했다고 주장했습니다. 보안업체 Mandiant 분석에 따르면 이 취약점(CVE-2026-35273)은 이미 CISA의 실제 악용 취약점 목록에 등재된 사안으로, 공격자들은 기존 방화벽 차단 규칙을 우회하는 새로운 방법(URL 인코딩)까지 개발해 교육·기술·의료·정부 등 여러 분야를 추가로 공격하고 있습니다. 패치를 적용하지 않고 방화벽 규칙에만 의존한 기관들이 특히 위험한 상황입니다.
ShinyHunters 해킹 그룹이 오라클 PeopleSoft 취약점(CVE-2026-35273)을 악용해 FBI 채용 포털과 AWS GovCloud 서버를 침해하고 직원·지원자 개인정보 및 의료기록을 탈취했다고 주장했다.
FBI 채용 관련 웹사이트가 여전히 다운됐으며, 수만 명의 개인정보와 민감 부서 배치 정보 등이 유출됐을 가능성이 있다.
PeopleSoft의 인증 누락 취약점을 이용했고, 공격자는 방화벽(WAF)의 문자열 차단 규칙을 URL 인코딩으로 우회해 기존 패치·방어 조치를 무력화했다.
오라클은 긴급 패치와 함께 취약 엔드포인트에 대한 네트워크 접근 제한을 권고했으며, 방화벽 규칙만으로는 충분하지 않다고 경고했다.
PeopleSoft를 사용하는 기관은 방화벽 규칙 적용 여부와 무관하게 반드시 공식 패치를 적용해야 하며, 이미 적용했더라도 우회 가능성을 점검해야 한다.
본문
FBI의 채용 지원자용 온라인 포털(apply.fbijobs.gov)과 특수요원 지원자용 포털(fbijobs.gov/special-agents)이 사이버 갈취 그룹 ShinyHunters에 의한 것으로 보이는 침해 이후 여전히 이용할 수 없는 상태다.
지난주 미국의 국내 정보 및 보안 기관인 FBI는 FBI 직원들의 개인정보를 침해했다는 ShinyHunters의 주장을 조사 중이라고 확인했다.
ShinyHunters는 The Register에 아직 구체적으로 특정되지 않고 확인되지 않은 오라클 PeopleSoft 제로데이 취약점을 악용해 해당 포털을 침해했다고 밝혔다.
이들은 또한 FBI가 AWS GovCloud에서 관리하는 서버도 침해해 현직·전직·지원 예정 FBI 직원들의 인사 파일을 탈취했다고 주장했다.
돈을 노린 것이 아니라고 이들은 말했다: 이번 공격과 매우 공개적인 공개 방식은, 몸값을 지불하지 말라고 피해 조직들에게 권고한 최근의 공공 서비스 발표에서 ShinyHunters에 제기된 주장에 반박하기 위한 것이라고 설명했다.
이 그룹은 수만 명에 달하는 FBI 요원 및 입사 예정자들의 개인정보뿐만 아니라, 전자의 경우 의료 정보까지 손에 넣었다고 주장하고 있다.
BBC에 따르면, 이 그룹은 여러 플랫폼에 접근했다고 주장한다: FBIJobs, 직원 및 지원자에 대한 신원 조회를 처리하는 FBI BEAST, 의료 기록을 저장하는 FBI MedLink, 수사 정보를 담고 있는 FBI BICS다.
또한 Reuters에 따르면, 유출된 문서 중에는 "잘 알려지지 않았거나 민감한 FBI 부서에서의 FBI 직원 역할에 대한 데이터를 제공하는" 문서도 포함되어 있다.
"Reuters는 모든 직무 배치가 진짜이거나 최신 정보인지 확인할 수는 없었지만, 유출된 데이터를 가진 8명의 경력 세부사항이나 직함을 법원 서류, 뉴스 기사, LinkedIn의 공개 프로필, 또는 Instagram과 같은 사이트의 온라인 게시물에 있는 정보와 대조하는 데 성공했다"고 해당 매체는 밝혔다.
ShinyHunters는 FBI가 "허위 주장"을 철회하지 않으면 탈취한 정보를 공개하겠다고 위협했다.
CVE-2026-35273의 재악용
지난 금요일, Google Cloud / Mandiant의 분석가와 침해사고 대응팀은 ShinyHunters가 2026년 5월과 6월에 제로데이로 처음 악용했던 오라클 PeopleSoft 취약점(CVE-2026-35273)을 다시 한번 악용하고 있는 방식에 대한 기술 보고서를 발표했다. 당시 이 취약점은 주로 학술 기관을 표적으로 삼는 데 이용됐다.
당시 오라클은 긴급 패치를 적용할 것을 권고했으며, 이를 적용할 수 없는 경우 PeopleSoft 애플리케이션 및 웹 서버에 대한 네트워크 접근을 신뢰할 수 있는 내부 네트워크로 제한하는 등의 임시 완화 조치(취약한 엔드포인트에 대한 외부 접근을 네트워크 경계 또는 방화벽 수준에서 차단하는 것 포함)를 취할 것을 권고했다.
"웹 애플리케이션 방화벽(WAF)의 본문 검사 규칙에만 의존하는 것은 충분하지 않다. 이러한 제어는 우회될 수 있기 때문이다"라고 Mandiant는 당시 밝혔다.
그리고 그들의 말이 맞았다: 분석가들에 따르면, ShinyHunters는 취약한 Environment Management Hub(PSEMHUB) 엔드포인트를 차단하는 웹 애플리케이션 방화벽(WAF) 규칙을 우회하기 위해 기존 익스플로잇을 수정했으며, 표적 범위를 고등교육, 기술, IT 서비스, 의료, 농업, 운송, 정부 기관으로 확대했다.
"위협 행위자는 요청 경로의 문자 하나를 URL 인코딩함으로써 이러한 문자열 기반 WAF 규칙을 우회했다. /PSEMHUB/ 대신 */%50SEMHUB/*를 요청하는 방식이다. 이를 통해 위협 행위자는 자신들의 운영자가 WAF 규칙으로 노출 문제를 완화했다고 믿었을 시스템에서도 해당 엔드포인트에 도달할 수 있다"고 Mandiant의 분석가들은 밝혔다.
"이번 캠페인은 [ShinyHunters]가 공개된 방어 지침에 적응해, WAF 규칙은 구현했지만 취약점을 패치하지 않은 조직들을 표적으로 삼았음을 보여준다."
접근 권한을 확보한 후, 이 갈취 그룹은 웹쉘, 정상적인 RMM(원격 관리) 도구인 MeshAgent를 배포하고 파일리스(fileless) 방식의 명령 실행을 수행한다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
