오라클이 대기업의 급여 및 인사 관리에 사용되는 자사 피플소프트 소프트웨어에서 치명적인 보안 취약점(vulnerability)을 발견했다고 기업 고객들에게 경고했습니다. 이번 경고는 샤이니헌터스라는 사이버 범죄 그룹이 해당 취약점을 악용하여 대규모 해킹 캠페인을 벌였다고 주장한 직후에 나왔습니다. 오라클은 아직 이 취약점에 대한 패치를 제공하지 않은 상태입니다.
샤이니헌터스는 피플소프트 서버를 사용하는 100개 이상의 조직을 침해했다고 주장했으며, 구글 소유의 보안 회사 맨디언트는 이 오라클 취약점이 샤이니헌터스 그룹이 피플소프트 고객을 대상으로 한 해킹 캠페인에 악용하고 있는 것과 동일한 버그임을 확인했습니다. 이 버그는 인증(authentication) 과정 없이 인터넷을 통해 악용될 수 있는 제로데이(zero-day) 취약점으로, 오라클은 고객들에게 즉각적인 완화 조치를 적용할 것을 권고했습니다. 맨디언트는 주로 미국에 있는 100개 이상의 글로벌 조직에 이 사실을 통보했으며, 이 중 약 3분의 2가 고등 교육 기관인 것으로 밝혀졌습니다. 일부 조직은 성공적으로 공격을 차단하거나 취약점을 해결했지만, 다른 조직들은 데이터 유출을 겪었으며, 도난당한 데이터는 샤이니헌터스의 데이터 유출 웹사이트에 게시되었습니다.
이번 사건은 기업들이 사용하는 핵심 소프트웨어의 보안 관리가 얼마나 중요한지 다시 한번 일깨워줍니다. 특히 피플소프트와 같이 민감한 인사 및 급여 정보를 다루는 시스템의 취약점은 막대한 개인 정보 유출로 이어질 수 있어 심각성이 큽니다. 샤이니헌터스 그룹은 과거에도 세일즈포스(Salesforce), 게인사이트(Gainsight), 인스트럭처(Instructure) 등 여러 기업용 소프트웨어의 취약점을 노려 데이터를 탈취하고 몸값을 요구하는 수법을 사용해왔습니다. 이러한 공격은 기업들에게 소프트웨어 공급망 전반에 걸친 보안 강화와 신속한 취약점 대응 체계 구축의 필요성을 강조합니다.