해킹 그룹 ShinyHunters가 Oracle PeopleSoft에서 발견한 제로데이(패치가 없는 신규 취약점)를 이용해 미국 FBI 시스템에 침입했다고 주장했습니다. 이들은 원격 코드 실행(RCE: 인터넷을 통해 서버를 마음대로 조종할 수 있는 공격)이 가능한 취약점으로 FBI 내부망과 AWS GovCloud(정부용 클라우드)에 접근해 현직·전직 FBI 직원 및 취업 지원자 정보를 포함한 2~3TB 분량의 데이터를 탈취했다고 밝혔습니다. FBI는 침입을 탐지한 직후 관련 시스템을 즉시 오프라인으로 전환한 것으로 알려졌습니다. ShinyHunters는 같은 취약점을 포춘 500대 기업 등 다른 조직에도 현재 사용 중이라고 주장해, Oracle PeopleSoft를 운영하는 모든 기관의 긴급 대응이 필요합니다. 현재까지 Oracle은 해당 취약점의 존재를 공식 확인하지 않았으며, BleepingComputer가 Oracle과 Mandiant에 확인을 요청한 상태입니다.
ShinyHunters가 Oracle PeopleSoft 제로데이 RCE 취약점을 악용해 FBI 시스템에 침입, 측면 이동(lateral movement)으로 FBI 관리 AWS GovCloud까지 접근했다고 주장. FBI 채용 사이트(apply.fbijobs.gov)가 그룹 로고로 변조됐으며 일부 샘플 데이터의 정확성이 제3자 언론에 의해 부분 확인됨.
FBI 직원·전직 직원·취업 지원자의 PII(개인식별정보)/PHI(건강정보) 포함 최대 3TB 데이터 유출 주장. FBI Criminal Justice, HR, Medlink 등 주요 내부 서비스 침해 주장. 동일 취약점이 교육기관 및 포춘 500대 기업에도 이미 사용 중이라고 위협.
Oracle PeopleSoft에서 발견된 미패치 제로데이 취약점(RCE). ShinyHunters는 공격 흔적을 지워 취약점 분석을 어렵게 했다고 주장.
FBI는 침입 탐지 후 즉시 영향받은 시스템 전체를 오프라인 전환. BleepingComputer는 Oracle 및 Google Cloud Mandiant에 취약점 존재 여부 확인 중. ShinyHunters는 FBI FLASH 보고서 수정을 1주일 내 요구하며 불이행 시 데이터 공개 여부에 대해서는 '노 코멘트' 입장.
Oracle PeopleSoft를 운영 중인 기업·기관은 Oracle 공식 보안 권고를 즉시 모니터링하고, 이상 접근 로그를 점검해야 합니다. 패치가 없는 제로데이이므로 네트워크 접근 제어 강화와 측면 이동 차단이 당장 취할 수 있는 최선의 대응입니다.
본문
ShinyHunters 갈취 조직이 새로운 Oracle PeopleSoft 제로데이 취약점을 이용해 FBI 시스템을 침해하고 내부 서비스에 접근해 직원 및 취업 지원자의 민감한 데이터를 탈취했다고 주장했습니다.
해당 위협 행위자들은 BleepingComputer에 이 취약점이 원격 코드 실행(RCE)을 허용한다고 밝혔으며, 월요일 밤 이를 이용해 FBI 시스템에 접근한 뒤 FBI가 관리하는 AWS GovCloud 인프라로 측면 이동했다고 전했습니다.
ShinyHunters는 현직 및 전직 FBI 직원, 취업 지원자 정보와 기타 내부 기록을 포함해 2~3TB의 데이터를 탈취했다고 주장했습니다.
또한 이번 침입 과정에서 FBI Criminal Justice, HR, Medlink 및 기타 추가 서비스도 침해했다고 주장했습니다.
ShinyHunters는 현재 같은 제로데이를 포춘 500대 기업을 포함한 다른 조직에도 악용 중이라고 추가로 밝혔습니다.
BleepingComputer는 주장된 제로데이, 측면 이동, 또는 탈취 데이터 규모를 독자적으로 확인하지 못했습니다.
다만 ShinyHunters는 BleepingComputer에 FBI 채용 사이트(apply.fbijobs.gov)가 그룹의 Umbreon 포켓몬 로고와 FBI 직원·지원자 정보가 침해됐다는 메시지로 변조된 스크린샷을 공유했습니다.
변조 메시지에는 "이 사이트는 SHINYHUNTERS에 의해 장악되었습니다. '19년부터 당신들 시스템을 루팅해 왔죠 ;)"라고 적혀 있었습니다.
변조된 것으로 주장되는 FBI 채용 웹사이트
출처: ShinyHunters
메시지는 FBI 직원 및 지원자의 민감한 개인식별정보(PII)와 건강 관련 정보가 탈취됐다고 추가로 주장했습니다.
변조된 사이트의 메시지는 "현직 및 전직 FBI 직원의 민감한 PII/PHI와 모든 지원자 정보를 포함한 FBI의 모든 데이터가 침해됐습니다"라고 적혀 있었습니다.
"우리는 여기서 주장하는 것보다 훨씬 더 많은 것을 보유하고 있습니다. 이 사안에 주목해 주셔서 감사합니다."
ShinyHunters는 BleepingComputer에 FBI가 침입을 빠르게 인지하고 즉시 영향받은 시스템을 오프라인으로 전환했으며, 현재 FBI 채용 사이트는 점검 중이라는 메시지를 표시하고 있다고 전했습니다.
그룹은 또한 FBI가 침입을 탐지한 후 복수의 FBI 네트워크 접근이 동시에 차단됐다고 주장했습니다.
"말 그대로 모든 것의 플러그를 뽑아버렸어요," ShinyHunters는 말했습니다.
위협 행위자들은 공격 중에 탈취했다고 주장하는 두 개의 샘플 레코드를 BleepingComputer와 공유했으며, 여기에는 FBI 인원과 연관된 것으로 주장되는 데이터가 포함됐습니다.
한 레코드는 이전 BreachForums 수사에 관여한 FBI 특수 요원과 연관된 정보가 담겼다고 주장됐으며, 다른 레코드는 FBI 국장 Kash Patel과 연관된 정보가 포함됐다고 주장됐습니다.
BleepingComputer는 해당 레코드에 포함된 개인 정보를 공개하지 않으며, 그 진위 여부나 출처를 독자적으로 확인하지 못했습니다.
404 Media가 약 5,000개의 추정 FBI 직원 레코드가 담긴 샘플을 받아 이번 침해 의혹을 처음 보도했습니다.
동 매체는 샘플 내 일부 정보가 정확하다고 확인했으며, 여기에는 동일한 이름을 가진 사람들에 해당하는 전화번호와 미국 법무부 직원과 연관된 번호가 포함됐다고 밝혔습니다.
주장되는 PeopleSoft 제로데이
ShinyHunters는 현재 패치되지 않은 Oracle PeopleSoft의 새로운 제로데이 취약점을 통해 초기 접근 권한을 얻었다고 주장합니다.
"우리가 0day를 악용한 Oracle 제품은 PeopleSoft입니다. 어제 또 다른 취약점을 발견했고, 즉시 FBI에 악용했습니다," ShinyHunters가 BleepingComputer에 밝혔습니다.
그룹은 또한 제로데이를 식별하기 어렵게 만들기 위해 침해된 서버에서 활동 흔적을 지우려 했다고 주장했습니다.
ShinyHunters는 교육 분야를 표적으로 삼은 뒤, 현재 동일한 PeopleSoft 취약점을 이용해 기업 및 포춘 500대 기업을 표적으로 삼고 있다고 BleepingComputer에 밝혔습니다.
ShinyHunters는 탈취된 FBI 데이터가 초기 PeopleSoft 침해 이후 접근한 시스템에서 나왔다고 주장합니다.
이 시스템에는 직원 및 지원자 정보 저장에 사용된 FBI의 AWS GovCloud 환경이 포함된 것으로 주장됩니다.
BleepingComputer는 새로운 PeopleSoft 취약점이나 관련 악용 활동을 인지하고 있는지 확인하기 위해 Oracle과 Google Cloud의 Mandiant 위협 인텔리전스 팀에 연락했습니다.
FBI 보고서에 대한 보복
ShinyHunters는 이후 자신들의 데이터 유출 사이트에 장문의 성명을 게시해, 이번 공격이 2026년 5월 공개된 ShinyHunters를 다룬 FBI FLASH 보고서에 대한 보복이라고 주장했습니다.
FBI 공격에 관한 ShinyHunters 성명
출처: BleepingComputer
그룹은 ShinyHunters 행위자들이 민감한 정보에 대한 접근 권한을 과장하거나, 피해자와 그 가족을 괴롭히거나, 스와팅(swatting) 공격을 수행하거나, 타협 자료를 허위로 보유했다고 주장한다는 내용에 이의를 제기했습니다.
위협 행위자들은 해당 혐의를 부인했으며, 자신들이 데이터 침해, 암호화폐 절도 공격과 자주 연루되고 법 집행 기관 및 보안 연구원들이 자주 언급하는 느슨한 사이버 범죄 커뮤니티인 "The Com"의 일부라는 주장도 부인했습니다.
성명에서 ShinyHunters는 FBI에 FLASH 보고서를 수정하거나 삭제할 것을 1주일의 기한을 주면서, 이 요구가 금전적 동기에 의한 것이 아니며 갈취가 아니라고 주장했습니다.
FBI가 보고서 변경을 하지 않을 경우 탈취된 FBI 데이터를 공개할 것인지 묻자, ShinyHunters는 답변을 거부했습니다.
"노 코멘트," 위협 행위자가 BleepingComputer에 말했습니다.
BleepingComputer가 ShinyHunters 갈취 조직의 주요 대표자에게 이번 일이 미국 정부의 자신들 체포를 위한 압박 증가로 이어질 것이 우려되지 않느냐고 묻자, "신경 쓰지 않는다"고 답했습니다.
공격에 관여한 또 다른 ShinyHunters 멤버에게 같은 질문을 하자, 위협 행위자는 무관심한 태도를 보였습니다.
"그들이 나에게 개인적으로 할 수 있는 일이 많지 않다고 생각합니다," 해당 제휴 조직원이 전했습니다.
"내가 틀렸다면, 그렇다면 어쩔 수 없죠. 나는 이것이 가져올 수 있는 결과를 정확히 알고 내 선택을 했으며, 어떤 결과가 따르더라도(만약 있다면) 받아들일 준비가 되어 있습니다."
주장되는 PeopleSoft 제로데이가 ShinyHunters와 이전에 알려지지 않은 Oracle 취약점 악용이 연결된 첫 번째 사례는 아닙니다.
Clop의 2025년 Oracle E-Business Suite 데이터 탈취 캠페인 당시, ShinyHunters는 "Scattered Lapsus$ Hunters"라는 그룹의 일원으로서 이후 Oracle이 실제 공격에 사용된 것과 일치한다고 확인한 개념 증명(PoC) 익스플로잇을 유출했습니다.
ShinyHunters는 이후 BleepingComputer에 해당 익스플로잇이 원래 자신들 것이었으며 Clop 랜섬웨어 조직이 무단으로 입수했다고 밝혔습니다.
그 분쟁은 ShinyHunters가 Clop의 데이터 유출 사이트를 침해하고 변조해 서버 데이터와 Tor 어니언 서비스의 개인 키를 탈취했다고 주장하면서 지난 주 다시 수면 위로 올랐습니다.
그룹은 이후 Clop을 자신들의 유출 사이트에 추가하고 랜섬웨어 조직을 갈취하겠다고 위협했으며, 이 공격이 Oracle E-Business Suite 캠페인 당시 행해진 것으로 주장되는 위협에 대한 보복이라고 밝혔습니다.
BleepingComputer는 FBI, Oracle, Google Cloud의 Mandiant 위협 인텔리전스 팀에 주장된 침해와 PeopleSoft 제로데이에 관해 연락했으며, 답변이 올 경우 이 기사를 업데이트할 예정입니다.
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
