블리핑컴퓨터는 Nissan이 Oracle PeopleSoft 제로데이 취약점 악용 공격으로 직원 데이터가 외부로 유출됐다고 공식 인정했다며, 글로벌 애플리케이션 공급망 취약성이 제조·자동차 산업 인사 정보 보호의 핵심 리스크로 부상했다고 전함
- BleepingComputer는 “Nissan discloses employee data breach linked to Oracle zero-day attacks” 기사에서, 자동차 제조사 Nissan이 Oracle PeopleSoft 기반 인사 시스템을 겨냥한 ShinyHunters 공격 캠페인의 연쇄 피해로 직원 데이터 유출을 겪었음을 공식적으로 인정했다고 보도한다. 공격자는 Oracle 애플리케이션 서버의 알려지지 않은 제로데이 취약점을 악용해 PeopleSoft 인스턴스에 무단 접속한 뒤, Nissan과 다른 기업의 인사 데이터베이스에 저장된 직원 이름, 주소, 사회보장번호에 준하는 식별 정보, 급여 관련 기록 등을 대량으로 탈취하여 외부에 판매하는 공급망형 공격을 수행했다.
- 기사에 따르면 Nissan은 조사 결과 자사 네트워크 내부의 직접적인 보안 설정 오류가 아니라, Oracle PeopleSoft 애플리케이션 자체의 제로데이 취약점이 공격 경로였음을 확인했고, 해당 취약점을 악용한 ShinyHunters 그룹이 미국 NAIC(전미 보험 감독관 협회) 등 여러 조직을 동시에 침해한 후 일부 공공 데이터만 공개했지만, 실제 탈취된 데이터에는 더 광범위한 민감 정보가 포함되었을 가능성이 있다고 경고했다. BleepingComputer는 Oracle이 이후 패치를 배포했지만, 다수 기업과 공공기관이 PeopleSoft 인스턴스를 최신 상태로 유지하지 못하고 있어 추가 피해가 발생할 위험을 지적했다.
- BleepingComputer와 관련 기사들은 ShinyHunters가 Oracle PeopleSoft 공급망을 집중적으로 노린 이유로, 많은 대기업과 공공기관이 인사·급여·복지 시스템을 PeopleSoft에 의존하고 있으며, 해당 시스템이 AWS·Azure·온프레미스 데이터센터 등 다양한 인프라에 걸쳐 구축되어 있어 하나의 제로데이로 광범위한 피해를 낼 수 있다는 점을 꼽는다. 공격자는 Oracle 애플리케이션 계층을 통해 Microsoft SQL Server나 Oracle Database에 접근해 인사 테이블을 직접 조회할 수 있었고, 이 과정에서 Nissan 외에도 금융·보험·교육 분야 조직의 직원과 고객 데이터가 연쇄적으로 탈취되었다고 분석한다.
- 이 사건은 한국의 제조업·자동차·공공기관이 Oracle PeopleSoft, SAP HCM, 국내 HR SaaS 등 외부 공급자 애플리케이션에 의존하는 인사 시스템 구조를 재점검해야 함을 시사한다. 한국 대기업과 공공기관의 인사·급여 시스템이 특정 글로벌 애플리케이션 공급자의 제로데이 취약점에 집단적으로 노출될 경우, 대량의 직원 주민등록번호·계좌번호·급여 정보가 동시에 유출되어 국가 차원의 개인정보 보호와 산업 보안에 치명적인 타격을 줄 수 있다. 따라서 정부는 공공 HR 시스템과 주요 대기업의 인사 시스템에 대해 Oracle·SAP 등 공급자의 패치 정책을 상시 모니터링하고, 제로데이 공격 징후가 발견될 경우 즉각적인 차단·점검 절차를 강제할 수 있는 규제 프레임워크를 마련해야 한다.
- Nissan 사례는 또한 한국의 공급망 보안 정책에서 “애플리케이션 레벨 제로데이”를 별도 관리 대상으로 삼아야 함을 보여준다. 현재 한국의 보안 규제는 OS와 네트워크 장비 취약점에 집중되는 경향이 있으나, Oracle PeopleSoft와 같은 복잡한 애플리케이션 스택의 제로데이 취약점이 인사·재무·공공 서비스 등 핵심 비즈니스 영역을 직접 타격할 수 있다. 이에 따라 정부는 NIST SP 800-218 등 소프트웨어 공급망 보안 가이드라인을 국내 표준으로 도입하고, Oracle·SAP·Microsoft·Google Cloud 같은 글로벌 공급자와 정보 공유 체계를 구축해 제로데이 위험을 빠르게 인지·대응하는 체계를 강화해야 한다.
한국 정책 담당자는 Oracle·SAP 등 글로벌 애플리케이션 공급자 기반 HR·재무 시스템을 사용하는 공공기관과 대기업에 대해 제로데이 취약점 대응 계획과 공급망 보안 점검 의무를 부과하는 규제를 검토할 필요가 있다.
주요 용어: 제로데이 취약점(공급자가 아직 패치를 제공하지 못한 상태에서 공격자에게만 알려져 악용되는 보안 결함), PeopleSoft(Oracle이 제공하는 인사·급여·재무 관리용 엔터프라이즈 애플리케이션 제품군), ShinyHunters(데이터 탈취와 판매를 주된 활동으로 하는 해킹 그룹으로 여러 기업과 기관의 계정·데이터 침해 사건에 연루되어 있음)
출처: BleepingComputer