랜섬웨어 사고에 교원그룹 비상…아직도 확인 안된 '고객정보 유출'

[Weekly Threat] 쿠팡 자체조사 또 도마에·北 위협 고도화

보안사고는 '일상'입니다. 이번 주 국내외에서 발생한 주요 사이버 위협과 사건·사고를 소개합니다. 최신 소식이 궁금하다면, '위클리 쓰렛(Weekly Threat)'을 확인해 보세요. <편집자주>

[디지털데일리 김보민기자] 교원그룹이 랜섬웨어 사고로 비상사태에 돌입했다. 주요 계열사에서 랜섬웨어 침해와 데이터 유출 정황이 발견되자 관계기관도 조사에 돌입했다. 다만 고객정보 유출 여부는 미궁 속에 빠졌다. 교원그룹은 정밀 조사를 진행하고 있는 만큼 확답을 하기 어렵다는 입장이다.

이러한 분위기 속 대규모 개인정보 유출 사고가 발생한 쿠팡도 도마에 올랐다. 개인정보보호위원회는 자체 조사 결과를 홈페이지에 공지한 쿠팡을 대상으로 중단을 촉구했고, 정부 주도 조사에 필요한 자료를 성실히 제출하라고 경고했다.

올해 사이버 공격이 예년보다 거세질 것이라는 전망도 쏟아지고 있다. 특히 라자루스, 김수키, APT37 등 북한과 연계된 공격 그룹의 활동이 활발해질 가능성이 커졌다는 분석이 나왔다. 공격자들은 특히 내부 신뢰를 악용해 시스템에 침투하는 수법을 보이고 있는 것으로 나타났다.

◆ 랜섬웨어 확인 후 일주일…고객정보 유출엔 "조사 중" 되풀이

교원그룹은 10일 오전 8시경 랜섬웨어 피해 정황을 발견했다. 이후 개인정보위를 비롯해 관계 기관에 신고를 마치고 세부 조사를 받고 있는 상황이다. 최대 화두인 고객정보 유출 여부에 대해서는 말을 아끼고 있다.

교원은 16일 고객정보 유출 여부와 관련해 "국내 최고 수준의 보안전문업체와 함께 크로스(Cross) 방식으로 정밀 조사를 진행하고 있다"며 "조사 기간이 소요되더라도 정확한 결과를 도출하는 것이 기업 본연의 책임이자 고객 보호를 위한 최우선 가치"라고 말했다.

고객정보 유출을 확정 짓지 못하는 이유도 설명했다. 교원그룹은 "랜섬웨어 사고 특성상 침입 경로가 복잡하고 단순한 시스템 접근 흔적만으로 유출 여부를 단정하기 어렵다"며 "정밀 포렌식 과정과 로그 훼손 가능성 등 다양한 요소를 검증해야 한다"고 말했다. 이어 "이 과정은 보안 사고 조사에서 많은 시간이 소요될 수 있는 사안"이라고 덧붙였다.

기업을 노린 랜섬웨어 공격은 내부 기밀자료나 사용자 정보를 인질 삼아 돈을 요구한다는 특징이 있다. 교원그룹은 구체적인 조사 결과가 나오면 공유하겠다는 입장을 재확인하면서 "조사 단계에 있는 사안 특성을 감안해 확인되지 않은 내용에 대한 언급은 지양하고 있다"고 강조했다.

◆ 쿠팡 자체조사 논란…정부 "왜곡된 정보로 혼란 초래" 비판

쿠팡이 2025년 12월 자체조사 결과를 깜짝 발표한 것을 두고 비판도 이어지고 있다. 개인정보위는 14일 "공식 조사를 통해 확인되지 않은 왜곡된 정보로 국민에게 혼란을 초래하고 정보주체 권리 행사를 어렵게 할 우려가 있다"며 쿠팡이 홈페이지에 관련 공지를 내릴 것을 촉구했다. 개인정보위는 쿠팡이 앱과 웹 내 개인정보 유출 조회 기능을 마련하고 배송지 명단에 포함된 사람에 대해 유출 통지를 진행할 것도 요청했다.

조사에 필요한 자료 제출이 미흡하다는 점도 꼬집었다. 자료 제출 요구에 대해 쿠팡이 응하지 않거나 지연하는 행위가 반복되고 있고, 해당 행위가 조사 방해에 해당될 수 있다는 취지다. 개인정보위는 추후 제재 처분이 이뤄질 경우 가중 요건으로 작용할 수 있다고 예고하며 재발 방지를 촉구했다.

'탈팡' 흐름도 이어지고 있다. 차규근 의원(조국혁신당)이 금융감독원을 통해 확보한 쿠팡 결제 내역에 따르면 개인정보 유출 사태 전후로 쿠팡 일평균 매출액은 약 7% 감소했다. 일평균 결제 건수도 7.07% 줄어든 것으로 나타났다.

◆ "은밀하게 정찰하고, 단계적으로 공격하고"…진화하는 북한발 위협

국가 배후 사이버 공격 중 특히 북한발 위협을 주의해야 한다는 경고도 나왔다. 보안 전문기업 로그프레소는 '2025 북한 연계 APT 공격 분석 회고' 보고서를 통해 북한 연계 사이버 공격이 장기간 은밀한 정찰과 단계적 공격 실행을 중심으로 진화했다고 진단했다. 공격자는 악성코드를 즉시 실행하지 않고 C2 서버와 통신하며 필요한 시점에 공격 모듈을 내려보내는 방식으로 탐지를 회피했다.

특히 국방·북한 연구기관, 금융위원회, 카드사, 보안기관, 글로벌 IT 기업 등을 사칭한 문서와 파일을 활용해 사용자 실행을 유도하는 공격을 추진했다. 이러한 방식은 조직 내부 보안 인식과 업무 프로세스를 직접 노리는 '신뢰 기반 공격'으로, 이러한 공격으로 인해 기업 중요 정보가 유출되는 경영 리스크로 이어질 수 있어 주의가 필요하다고 보고서는 지적했다.

- Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지 -