MOVEit 파일전송 소프트웨어 클롭(Clop) 랜섬웨어 대량 해킹 사태

러시아어권 랜섬웨어·갈취 조직 클롭(Clop)이 기업용 대용량 파일 전송 소프트웨어 MOVEit Transfer의 SQL 인젝션 제로데이 취약점(CVE-2023-34362)을 이용해 전 세계 인터넷에 노출된 서버들에 은밀히 침투하기 시작했다. 공격자들은 'LEMURLOOT'라는 이름의 웹셸을 서버에 심어 관리자 권한을 확보한 뒤 각 기관의 데이터베이스에서 대량의 파일을 빼돌렸다. 이 공격은 취약점이 공개되기 전부터 은밀히 진행돼 초기에는 피해 사실조차 인지되지 못했다. MOVEit는 금융사·정부기관·대학 등 민감한 데이터를 다루는 조직들이 광범위하게 사용하는 소프트웨어여서 파급력이 컸다. 이후 이 사건은 단일 취약점 악용으로는 역대 최다 피해 기관을 낸 사건으로 기록됐다.

MOVEit 개발사인 프로그레스소프트웨어가 MOVEit Transfer와 MOVEit Cloud에서 실제 악용되고 있는 제로데이 취약점을 공식 인정하고 보안 권고문을 발표했다. 회사는 고객사들에 즉시 인터넷 접속을 차단하고 긴급 패치를 적용하라고 권고했지만, 이미 다수 서버가 그 이전부터 침해된 뒤였다. 이 공지로 사태의 심각성이 처음 외부에 알려지면서 보안업계와 각국 정부기관이 긴급 대응 체계를 가동했다. 그러나 공격자들이 취약점 공개 며칠 전부터 광범위하게 데이터를 탈취해 둔 상태였기 때문에 패치만으로는 이미 발생한 유출을 막을 수 없었다. 이후 이 사건은 소프트웨어 공급망 보안의 구조적 취약성을 보여주는 대표 사례로 꼽히게 됐다.

미국 연방수사국(FBI)과 사이버보안·인프라보안청(CISA)이 MOVEit 취약점 악용 사태에 대한 공동 사이버보안 권고문(AA23-158A)을 발표하며 전 세계 기관에 공식 경보를 발령했다. 두 기관은 클롭 조직의 공격 수법과 침해지표(IOC)를 상세히 공개해 각 기업과 기관이 자체 시스템의 침해 여부를 점검할 수 있도록 지원했다. 이 권고문에서 당국은 이번 공격이 러시아와 연계된 것으로 추정되는 조직적 사이버 범죄 집단의 소행이라고 명시했다. 정부 차원의 공식 경보 발령은 이 사건이 단순한 개별 기업의 보안사고가 아니라 국가안보 차원의 대응이 필요한 대규모 사태임을 보여준 상징적 조치였다. 이후 각국 정보보호 당국도 비슷한 경보를 잇달아 발령했다.

프로그레스소프트웨어가 MOVEit Transfer에서 또 다른 SQL 인젝션 취약점(CVE-2023-35036)을 새로 확인하고 업데이트된 보안 권고와 함께 추가 패치를 배포했다. 하나의 취약점을 막는 사이에 유사한 결함이 잇따라 발견되면서 이 소프트웨어의 보안 설계 전반에 대한 우려가 커졌다. 보안 연구자들은 짧은 기간 동안 여러 개의 심각한 취약점이 노출된 것은 이례적이라며 코드베이스 전반에 대한 정밀 점검이 필요하다고 지적했다. 기업 고객들은 잇단 패치 적용에 따른 시스템 중단과 업무 차질을 겪어야 했다. 이 사건은 이후에도 추가 취약점이 계속 발견되는 장기전의 신호탄이 됐다.

클롭 조직이 자신들의 다크웹 유출 사이트에 데이터를 탈취했다고 주장하는 기업들의 명단을 순차적으로 게시하기 시작했다. 조직은 아직 실제 데이터를 공개하지는 않았지만, 명단에 오른 기업들에 협상에 응하지 않으면 데이터를 유출하겠다고 압박했다. 이는 랜섬웨어 조직이 시스템을 암호화하는 대신 데이터 탈취와 공개 협박만으로 금전을 갈취하는 이른바 '노 인크립션' 갈취 전략을 대규모로 구사한 사례로 주목받았다. 명단에는 금융사, 보험사, 대학, 정부기관 등 업종을 가리지 않는 다양한 조직이 포함돼 파장이 확산됐다. 일부 기업은 협상 대신 즉각적인 피해 사실 공개를 택하며 클롭의 갈취 전략에 정면 대응했다.

영국 항공사 브리티시항공, 공영방송 BBC, 약국 체인 부츠, 에너지 기업 쉘 등 각국 대기업들이 MOVEit를 이용하는 협력업체를 통해 데이터가 유출됐다고 잇달아 확인했다. 미국에서는 에너지부 산하 기관들과 오리건주 차량관리국(DMV)에서 운전자 약 10만1000명분의 정보가 노출된 사실이 드러나 정부기관까지 피해 범위가 확대됐음이 확인됐다. 대부분의 피해는 해당 기관이 직접 MOVEit를 쓰지 않더라도 급여 처리, 인사관리 등을 위탁한 협력업체가 이를 사용하면서 간접적으로 발생했다. 이는 하나의 소프트웨어 취약점이 공급망을 타고 전혀 무관해 보이는 여러 산업으로 확산될 수 있음을 보여준 사례였다. 피해 기관 목록은 이후에도 계속 늘어나며 사태의 전모가 서서히 드러났다.

프로그레스소프트웨어가 MOVEit Transfer에서 새로 발견된 세 건의 취약점(CVE-2023-36934, CVE-2023-36932, CVE-2023-36933)을 추가로 공개했다. 이 가운데 하나는 인증 절차 없이도 악용이 가능한 심각한 등급의 SQL 인젝션 결함으로 분류돼 보안업계에 다시 한번 긴장감을 불러일으켰다. 한 달여 사이 벌써 다섯 번째 취약점 공개로, 해당 소프트웨어를 계속 사용해도 되는지에 대한 기업들의 근본적 의문이 제기됐다. 프로그레스소프트웨어는 자체 코드 감사를 강화하고 외부 보안업체와 협력해 전수 점검에 나섰다고 밝혔다. 그러나 이미 실추된 신뢰를 회복하기까지는 상당한 시일이 필요할 것이라는 전망이 나왔다.

사이버보안 업계 분석에 따르면 클롭 조직이 2023년 7월 한 달 동안 전 세계에서 발생한 전체 랜섬웨어 공격의 3분의 1가량을 차지하며 가장 활발히 활동한 위협 조직으로 부상했다. 이는 MOVEit 취약점 하나를 대량으로 악용한 결과로, 개별 표적을 하나씩 공략하던 기존 랜섬웨어 공격 방식과 달리 하나의 소프트웨어 취약점으로 수백 개 기관을 동시다발적으로 공격하는 새로운 유형의 위협을 상징적으로 보여줬다. 보안 전문가들은 이런 '대량 악용형' 공격이 앞으로 랜섬웨어 조직들의 표준 전략으로 자리잡을 수 있다고 경고했다. 클롭은 이 사건을 통해 벌어들인 갈취 수익이 수천만 달러에 이를 것으로 추정된다는 분석도 나왔다. 이 사건은 미국 재무부가 클롭 관련 인물에 대한 현상금을 내걸게 되는 계기가 됐다.

사태 발생 넉 달여 만에 MOVEit 취약점으로 인한 피해가 전 세계 2700여 개 기관, 개인정보 유출 규모는 약 9300만 명분에 이르는 것으로 집계됐다. 이는 단일 취약점 악용 사건으로는 기록상 가장 많은 조직이 피해를 본 사례로 평가된다. 피해 기관에는 금융기관, 항공사, 대학, 병원, 각국 정부기관이 모두 포함돼 업종을 가리지 않는 전방위적 피해가 확인됐다. 이번 사태를 계기로 미국을 비롯한 각국에서는 소프트웨어 공급망 보안 규제를 강화하려는 움직임이 본격화됐다. 다수의 피해 기업과 개인들은 프로그레스소프트웨어와 자사를 상대로 한 손해배상 소송을 잇달아 제기하며 법적 책임 공방으로 이어졌다.