美 보험감독자협회(NAIC), 오라클 피플소프트 제로데이發 섀이니헌터스 해킹 사건

2026년 5월 27일부터 해킹조직 섀이니헌터스(ShinyHunters)는 기업용 전사적자원관리(ERP) 소프트웨어인 오라클 피플소프트의 피플툴즈 8.61·8.62 버전에 존재하던 신규 취약점(추후 CVE-2026-35273으로 지정)을 제로데이 상태로 악용하기 시작했다. 이들은 기존에 알려진 여러 취약점을 사슬처럼 엮은 이른바 가젯 체인 기법을 활용해 방화벽 등 기본 보안 장치를 우회하고 시스템에 침투했다. 이 공격은 오라클이 취약점을 인지하고 긴급 패치를 배포하기까지 약 2주간 발각되지 않은 채 진행됐다. 그 사이 전 세계 100여 개 기관의 300여 개 피플소프트 인스턴스가 이미 공격에 노출된 것으로 추후 파악됐다. 섀이니헌터스는 최근 오라클 제품군을 잇따라 표적으로 삼아온 해킹조직 연합 '스캐터드 라프서스 헌터스'와 연계된 것으로 알려져 있다.

6월 10일, 오라클은 피플소프트 피플툴즈의 치명적 취약점(CVSS 9.8)에 대한 긴급 보안 업데이트를 배포하며 공식적으로 문제를 인정했다. 이 시점에 이미 대학을 비롯한 전 세계 100여 개 기관의 300여 개 시스템이 섀이니헌터스의 공격을 받은 것으로 확인됐으며, 특히 학사·인사 정보를 다루는 대학 기관들의 피해가 두드러졌다. 보안 연구자들은 오라클이 취약점을 인지하기까지 약 2주간의 공백이 있었고, 그 사이 공격자들이 자유롭게 시스템에 접근할 수 있었다는 점에서 대응이 늦었다는 지적을 내놓았다. 이 취약점은 이후 CVE-2026-35273으로 공식 등록됐다. 이번 사태는 닛산, 쿠보타, 아플락 등 다양한 업종의 대형 기관들도 함께 피해를 입은 대규모 공급망 성격의 해킹으로 확대됐다.

6월 11일, 미국 각 주(州) 보험 감독 당국들의 협의체인 전미보험감독자협회(NAIC)는 자체적으로 운영하는 오라클 피플소프트 시스템에서 승인되지 않은 제3자의 접근 정황을 처음으로 포착했다. NAIC는 보험사 재무보고, 등급평가 자료 등 민감한 규제 데이터를 다루는 기관인 만큼, 침해 사실이 확인되자 즉시 내부 보안팀과 외부 전문가를 동원한 조사에 착수했다. 이는 오라클이 긴급 패치를 배포한 지 하루 만에 벌어진 일로, 패치 배포와 실제 피해 확인 사이의 시차가 매우 짧았다는 점에서 공격이 이미 광범위하게 진행되고 있었음을 보여줬다. NAIC는 조사 초기 단계부터 관련 사실을 규제 당국 및 회원 기관들과 공유하며 투명한 대응을 시도했다. 이후 조사 결과는 6월 중순 공식 발표로 이어졌다.

6월 12일, 미국 사이버보안·기반시설안보국(CISA)은 오라클 피플소프트 취약점 CVE-2026-35273을 알려진 악용 취약점(KEV) 목록에 공식 등재했다. 이는 해당 취약점이 이미 실제 공격에 광범위하게 활용되고 있어 연방기관들이 최우선으로 패치해야 한다는 의미로, 사안의 심각성을 방증하는 조치였다. CISA의 등재는 NAIC를 포함한 미국 내 공공·민간 기관들이 긴급 보안 조치에 나서는 계기가 됐다. 보안 업계는 오라클 제품을 사용하는 전 세계 수많은 기관이 유사한 위험에 노출돼 있다고 경고하며 즉각적인 패치 적용을 촉구했다. 이 사건은 특정 소프트웨어의 취약점 하나가 얼마나 광범위한 공급망 피해로 번질 수 있는지를 보여주는 대표 사례로 이후 여러 보안 컨퍼런스에서 다뤄졌다.

6월 17일 NAIC는 자체 조사 결과를 바탕으로 피플소프트 시스템 침해 사실을 공식적으로 대외에 공개했다. NAIC는 이 발표에서 섀이니헌터스가 시스템에 접근했다는 사실을 인정하면서도, 유출 범위와 구체적 피해 내용에 대해서는 신중한 태도를 유지했다. 이 공개는 오라클의 패치 배포 이후 일주일 만에 이뤄진 것으로, 유사한 피해를 입은 다른 100여 개 기관들도 비슷한 시기에 잇따라 침해 사실을 공개하기 시작했다. 보험업계는 규제 기관 자체가 해킹 피해를 입었다는 사실에 우려를 나타내며, 보험사들이 NAIC에 제출한 민감한 재무·규제 정보의 안전성에 대한 의문을 제기했다. NAIC는 이후에도 지속적으로 조사 진행 상황을 업데이트하겠다고 약속했다.

섀이니헌터스는 6월 25일 전후로 NAIC로부터 탈취했다고 주장하는 3.1테라바이트, 파일 수로 10만5000여 개에 달하는 데이터를 자신들의 유출 사이트에 게시하며 SERFF·OPTins·UCAA·EDP 등 NAIC가 운영하는 여러 규제 시스템에 접근했다고 주장했다. 이에 대해 NAIC는 공식 입장을 통해 유출된 자료가 원래 공개돼 있던 보험사 법정 재무보고서, 투자 신용등급 자료, 오래된 로그·설정 파일 등에 국한된다고 해명했다. NAIC는 특히 직원 개인정보, 전자자금이체 정보, 위험기준자기자본(RBC) 자료, 보험계약자 정보, 설계사 정보, 행사 등록 결제 정보 등 민감한 데이터는 전혀 접근되지 않았다고 강조하며 진화에 나섰다. 그러나 섀이니헌터스의 주장과 NAIC의 해명 사이에는 여전히 유출 범위에 대한 인식 차이가 존재해, 정확한 피해 규모를 둘러싼 논란은 계속됐다. 이 사건은 랜섬웨어 조직 클롭(Cl0p)과도 연계된 것으로 알려진 스캐터드 라프서스 헌터스 연합이 벌인 2026년 최대 규모의 공급망 해킹 사례 중 하나로 기록됐다.