해킹 조직 샤이니헌터스(ShinyHunters)가 미국 연방수사국(FBI)의 채용 사이트를 해킹해 현직·전직 직원과 입사 지원자 정보 2~3TB를 훔쳤다고 주장했습니다. 공격에는 오라클 PeopleSoft라는 기업용 인사관리 소프트웨어의 심각한 취약점(CVE-2026-35273)이 사용됐으며, 이 취약점은 로그인 없이도 원격에서 시스템을 마음대로 조작할 수 있는 위험도 9.8점짜리 결함입니다. FBI는 비인가 접근 주장을 인지하고 조사 중이라고 밝혔지만, 내부망 침투나 대규모 데이터 유출은 아직 공식 확인되지 않았습니다. 같은 조직이 지난 6월에도 이 취약점을 이용해 전 세계 100개 이상 기관을 공격한 전력이 있어, PeopleSoft를 운영하는 모든 기관은 즉시 패치 적용 여부를 점검해야 합니다.
해킹 조직 샤이니헌터스가 FBI 채용 사이트(FBIjobs.gov)의 오라클 PeopleSoft 취약점(CVE-2026-35273)을 악용해 시스템에 침투하고, AWS GovCloud 환경으로 횡적 이동 후 약 2~3TB 규모의 직원·지원자 데이터를 탈취했다고 주장했다. 사이트 변조 화면도 일시 표시됐으며 현재 사이트는 운영 중단 상태다.
FBI 현직·전직 직원 및 입사 지원자 개인정보 유출 가능성이 제기됐으며, 인사시스템·MedLink·CJIS 등 복수의 FBI 서비스 접근도 주장됐다. 다만 2~3TB 탈취 및 내부망 침투 전체는 아직 독립적으로 검증되지 않았다.
CVE-2026-35273은 Oracle PeopleSoft PeopleTools 8.61·8.62에 존재하는 인증 우회(Missing Authentication) 결함으로, 인증 없이 원격 코드 실행(RCE)이 가능하다. CVSS 9.8의 치명적 취약점으로, 패치 공개(2026년 6월 10일) 전에 제로데이 상태로 악용됐다.
오라클은 2026년 6월 10일 긴급 보안 권고를 발표하고 PeopleTools 8.61·8.62 패치를 제공했다. FBI는 조사에 착수했으며, 오라클·구글은 즉각적인 패치 적용과 외부 인터넷에서의 PeopleSoft 관리 인터페이스 접근 제한을 권고하고 있다.
PeopleSoft를 운영하는 기관은 CVE-2026-35273 패치 적용 여부를 즉시 확인하고, 인터넷에 노출된 PeopleSoft 관리 인터페이스를 점검·차단해야 한다. 해당 취약점은 이미 실제 공격에 사용된 것이 CISA KEV에도 등재돼 있어 즉각 대응이 필요하다.
본문
해킹·갈취 조직 샤이니헌터스(ShinyHunters)가 미국 연방수사국(FBI)의 채용 시스템을 해킹하고 현직·전직 직원과 입사 지원자 관련 데이터 2~3TB를 탈취했다고 주장했다. 다만 FBI는 현재 관련 주장을 조사하고 있다고 밝혔으며, 실제 침해 범위와 데이터 유출 규모는 독립적으로 확인되지 않았다.
샤이니헌터스는 FBI 채용 사이트인 FBIjobs.gov의 지원자 시스템에서 오라클 피플소프트(Oracle PeopleSoft)의 새로운 제로데이 취약점을 발견해 공격했다고 주장했다. 공격자는 해당 취약점을 이용하면 인증 없이 원격 코드 실행(RCE)이 가능하며, 이를 통해 서버에 침투했다고 설명했다.
공격 이후 FBI 채용 사이트에는 한때 샤이니헌터스가 사이트를 장악했다는 내용의 변조 화면이 표시된 것으로 전해졌다. 이후 해당 사이트는 유지보수를 이유로 운영이 중단됐다.
"AWS GovCloud까지 횡적 이동…2~3TB 탈취" 주장
샤이니헌터스는 단순히 외부에 노출된 채용 사이트를 변조하는 데 그치지 않고, 침해한 서버를 발판으로 FBI가 관리하는 AWS 거브클라우드(AWS GovCloud) 환경까지 횡적 이동했다고 주장했다.
이 과정에서 현직·전직 FBI 직원과 입사 지원자 관련 정보를 포함해 약 2~3TB의 데이터를 내려받았다는 것이 공격자 측 주장이다. 인사시스템과 메드링크(MedLink), 형사사법정보서비스(CJIS) 등 복수의 FBI 서비스에도 접근했다고 주장했다.
다만 이 같은 주장 상당 부분은 아직 검증되지 않았다. 블리핑컴퓨터는 공격자에게서 일부 샘플을 전달받았지만 출처와 진위를 독립적으로 확인하지 못했다고 밝혔다. 404미디어 역시 약 5,000건의 FBI 직원 관련 샘플을 입수해 일부 전화번호 등 정보가 실제 인물 정보와 일치한다고 확인한 것으로 전해졌지만, 이것만으로 FBI 내부망 침해나 2~3TB 전체 데이터 탈취 주장이 입증된 것은 아니다.
FBI는 "FBIjobs.gov에 영향을 미친 비인가 활동과 관련된 주장을 인지하고 있으며 현재 조사하고 있다"고 밝혔다. 현재까지 FBI는 내부 시스템 침해 여부나 데이터 유출 규모를 공식 확인하지 않았다.
공격 목적은 돈 아닌 'FBI 발표 철회'
이번 사건에서 눈에 띄는 부분은 공격자의 요구다.
샤이니헌터스는 기존 공격에서 탈취한 데이터를 공개하지 않는 조건으로 수백만 달러 규모의 금전을 요구해왔지만, 이번 FBI 공격과 관련해서는 돈을 요구하지 않는다고 주장했다.
대신 지난 5월 FBI가 발표한 샤이니헌터스 관련 보안 경보의 일부 내용을 철회하거나 수정하라고 요구했다. 해당 FBI 경보는 샤이니헌터스가 피해자와 가족에게 위협성 문자메시지나 전화를 보내고 일부 사건에서는 스와팅(swatting)을 사용한다고 설명했다. 공격자가 실제로 보유하지 않은 민감한 사진이나 영상 등을 갖고 있다고 거짓 주장할 가능성도 경고했다.
샤이니헌터스는 이러한 내용이 사실과 다르다고 반박하며 FBI에 해당 내용을 수정하거나 삭제하라고 요구하고 있다. 블리핑컴퓨터에 따르면 이들은 FBI에 일주일의 기한을 제시했지만, 요구가 받아들여지지 않을 경우 탈취했다고 주장하는 데이터를 공개할 것인지에 대해서는 답변하지 않았다.
PeopleSoft 제로데이 공격 전력 있어
샤이니헌터스가 이번 공격에 사용했다고 주장하는 새로운 PeopleSoft 취약점은 현재까지 오라클의 공식 보안 권고나 CVE가 공개되지 않았다. 따라서 실제 새로운 제로데이 취약점이 존재하는지는 추가 확인이 필요하다.
다만 샤이니헌터스가 PeopleSoft 제로데이를 실제 공격에 사용한 전력은 확인돼 있다.
구글 위협 인텔리전스 그룹(GTIG)과 맨디언트는 지난 6월 샤이니헌터스로 추적되는 UNC6240이 오라클 PeopleSoft PeopleTools의 취약점 'CVE-2026-35273'을 제로데이 상태에서 악용했다고 밝혔다.
CVE-2026-35273은 인증되지 않은 원격 공격자가 네트워크를 통해 PeopleSoft 시스템에서 코드를 실행할 수 있는 취약점으로 CVSS 점수는 9.8이다. 오라클은 지난 6월 10일 긴급 보안 권고를 발표하고 PeopleTools 8.61과 8.62에 대한 패치와 대응책을 제공했다.
GTIG 조사에 따르면 당시 공격은 5월 27일부터 6월 9일까지 진행됐으며, 취약한 PeopleSoft 서버를 운영하는 전 세계 100개 이상의 조직에 공격 가능성이 통보됐다. 이 가운데 약 68%는 대학 등 고등교육기관이었다.
이번 FBI 사건에서 언급된 취약점이 CVE-2026-35273과 다른 새로운 취약점인지, 실제로 패치되지 않은 제로데이인지 여부는 아직 확인되지 않았다.
현재로서는 FBI 채용 시스템에서 비인가 활동 정황이 제기돼 FBI가 조사에 착수한 것은 확인됐지만, 샤이니헌터스가 주장하는 FBI 내부망 침투와 AWS GovCloud 횡적 이동, 2~3TB 규모 데이터 탈취, 새로운 PeopleSoft 제로데이 존재 여부는 추가 검증이 필요한 상황이다.
피플소프트를 운영하는 기관들은 이번 주장과 별개로 기존 CVE-2026-35273 패치 적용 여부와 인터넷에 노출된 피플소프트 관리 인터페이스를 점검할 필요가 있다. 오라클과 구글 역시 해당 취약점이 인증 없이 원격 코드 실행으로 이어질 수 있다며 신속한 패치와 외부 접근 제한을 권고하고 있다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
