교원그룹 랜섬웨어 사고…“554만 고객 정보 유출 가능성, 배제할 수 없어”

교원그룹 랜섬웨어 감염 사고를 둘러싸고 회사가 보유한 554만명 고객의 정보 유출 여부에 관심이 집중되고 있다. 교원그룹이 비정상 트래픽에서 데이터 외부 이동 가능성을 시사하는 정황을 확인했다고 밝힌 가운데, 보안 전문가들은 “트래픽 흔적만으로 고객 정보 유출을 확정할 수는 없지만, 무엇이 어디서 나갔는지 확인하기 전까지 가능성을 배제하기도 어렵다”고 본다.

교원그룹에 따르면, 사고는 1월 10일 오전 8시경 사내 일부 시스템에서 발생했다. 회사는 이상 징후를 인지한 뒤 내부 시스템 접근을 차단하고 망을 분리하는 방식으로 대응했다. 이후 해커로 의심되는 외부 IP를 특정해 트래픽 로그를 확보했고, 분석 과정에서 특정 시점에 데이터 이동량이 비정상적으로 많았던 흔적을 확인했다.

교원그룹 관계자는 “단순 접속이나 스캔 수준이 아니라 데이터가 실제로 오간 것으로 해석될 수 있는 트래픽이라는 전문가 의견이 나와 외부 유출 가능성을 전제로 신고했다”고 말했다. 또 “언론에 언급된 554만명은 유출 인원이 아니라 회사가 보유한 고객 정보 규모를 신고 과정에서 제출한 수치”라고 설명했다.

다만 교원그룹은 현재 운영에는 큰 차질이 없다고 밝혔다. 회사 측은 백업 체계를 통해 영향을 받은 시스템을 복구해 서비스는 정상 운영 중이며, 금전 요구 같은 협박 국면도 확인되지 않았다고 설명했다.

전문가들이 특히 주목하는 지점은 ‘유출 여부’ 자체보다 ‘어떤 서버에서 어떤 데이터가 나갔는지’다. 박용규 한국인터넷진흥원(KISA) 디지털위협대응본부 위협분석단장은 “랜섬웨어는 데이터 암호화만 하는 경우도 있고, 데이터 유출과 함께 발생하는 경우도 있다”며 “사고 성격을 구분하려면 감염된 시스템의 성격과 분석 결과를 종합적으로 봐야 한다”고 말했다.

민간 보안업계에서도 비슷한 관점이 나온다. 한 안티랜섬웨어 전문 보안업체 관계자는 “비정상적인 대용량 트래픽이 확인되면 유출 가능성을 열어두고 조사하는 게 일반적”이라며 “다만 개인정보를 담은 서버인지, 일반 파일 서버인지에 따라 의미가 달라질 수 있다”고 강조했다.

또 다른 안티랜섬웨어 전문업체 관계자는 이번 사고를 들며 최근의 공격 양상을 ‘이중·삼중 갈취’로 설명했다. 이 관계자는 “요즘은 데이터를 빼간 뒤 암호화를 하고, 추가로 공개 협박까지 겹치는 방식이 흔하다”며 “(교원그룹에서도) 비정상 트래픽이 발견됐다면 무언가 정보가 나갔을 가능성을 배제하기 어렵고, 결국 어떤 서버에서 어떤 데이터가 나갔는지 확인하는 것이 핵심”이라고 말했다.

교원그룹은 현재 KISA와 복수의 외부 보안 전문업체와 함께 로그 복구, 데이터 무결성 점검, 침투 경로 분석을 진행하고 있다고 밝혔다. 유출 범위와 개인정보 포함 여부가 확인되면 관련 절차에 따라 빠르게 고객에게 알린 후 필요한 조치를 하겠다는 입장이다.

글. 바이라인네트워크
<곽중희 기자> god8889@byline.network