[단독] KT알티미디어 공격한 해커, 탈취 데이터 공개

랜섬웨어 조직 킬린, 다크웹에 RFP 등 탈취 추정 데이터 사진 12장 게시

KT 자회사 KT알티미디어를 공격한 랜섬웨어 그룹이 한 달여간 KT알티미디어에 대한 협박 수위를 높여온 것으로 확인됐다.

27일 본지 취재를 종합하면 랜섬웨어 그룹 '킬린(Qilin)'은 자신들의 다크웹 사이트에 지난달 피해자로 등록했던 KT알티미디어 정보를 최근 업데이트한 것으로 확인됐다. 구체적으로 킬린은 KT알티미디어를 해킹해 탈취한 내부 데이터 중 12장의 데이터를 캡처해 올렸다.

랜섬웨어 그룹 킬린이 KT알티미디어 관련 게시물을 다크웹 사이트에 업로드하며 내부 자료로 보이는 12장의 캡처본을 업로드했다. 협상 기간도 연장해 26일 오후 11시 기준 3시간여 남은 모습.(사진=다크웹 캡처)

킬린이 협박 수위를 높이며 일부 사진을 공개한 것으로 풀이된다. 탈취된 데이터에는 제안요청서(RFP), 소프트웨어 보안 취약점 관리에 대한 공급자 요구사항 등 내부 정보도 포함된 것으로 확인됐다.

구체적으로 ▲셋톱박스 공급업체가 요구하는 보안 관련 요구사항을 정리한 RFP 파일 ▲프로젝트 운영 관련 인프라 설계·구성표 ▲셋톱박스 장비의 성능 시험 문서 ▲OTT의 백엔드 엔지니어링 구성도 ▲서버 관련 파일 ▲일반 채널 방송 프로그램 스케줄 정보 ▲소프트웨어 구성도 등의 파일을 공개했다.

앞서 킬린은 지난달 말 KT알티미디어를 공격했을 당시, 금전 지불 기한을 성정해 놓고 협상에 응하라는 식으로 회사를 협박했다. 하지만 당시 해킹에 성공했다는 어떠한 샘플 데이터도 공개하지 않았다. 이에 어느 정도로 해킹 공격이 이뤄졌는지 알 수 없었지만 킬린이 탈취한 데이터 일부를 공개하면서 해킹 피해가 구체화됐다.

KT알티미디어 공격 관련 킬린 다크웹 사이트에 협상 기한이 끝난 모습. (사진=다크웹 캡처)

킬린은 이런 내부 데이터를 공개하면서 추가적으로 데이터를 공개하기 전에 협상에 응하라는 식으로 금전 지불 기한을 연장했다. 다만, 27일 오후 3시께 킬린이 요구하는 금전 지불 기한이 종료됐음에도 현재까지 별다른 추가 데이터는 공개되지 않았다.

KT알티미디어는 KT그룹의 IPTV·OTT 플랫폼과 광고·콘텐츠 유통 등 디지털 미디어 서비스와 관련된 소프트웨어(SW)를 공급하는 미디어 솔루션 계열사다. 지난달에 KT알티미디어는 공격 사실을 확인하고 한국인터넷진흥원(KISA) 등에 신고 후 조사에 들어간 것으로 전해졌다.

한편 지니언스가 킬린을 분석한 보고서에 따르면, 킬린은 초기 접근 시 메일을 통한 스피어 피싱이나 노출된 원격접속 및 관리 솔루션의 취약점을 악용하는 것으로 알려졌다. 이에 테스트 스펙이나 RFP가 유출된 점을 감안하면 협력사 또는 고객사와 KT알티미디어 간 관계를 노린 스피어피싱을 통해 공격이 이뤄졌을 가능성도 제기된다.