우버, 10대 해커의 사회공학 공격으로 내부 시스템 전면 침해당한 사건

뉴욕타임스는 우버의 컴퓨터 시스템이 해커에 의해 침해당했다고 최초로 보도했다. 우버는 이 공격이 악명 높은 해킹 조직 랩서스(Lapsus$)와 연계된 것으로 추정된다고 밝혔다. 랩서스는 이미 같은 해 마이크로소프트, 시스코, 삼성, 엔비디아, 옥타 등 다수의 대형 IT 기업을 해킹한 전력이 있는 조직으로, 이번 우버 침해 역시 그 연장선상에 있다는 분석이 나왔다. 해커는 침입 직후 우버 내부 슬랙 채널과 사내 도구 화면에 노골적인 이미지를 게시하며 침해 사실을 스스로 과시했다.

조사 결과 해커는 다크웹에서 구매한 우버 협력업체(컨트랙터) 직원의 유출된 로그인 정보를 이용해 최초 접근권을 확보한 것으로 드러났다. 이후 해당 계정의 2단계 인증을 뚫기 위해 짧은 시간에 반복적으로 인증 요청을 발송하는 이른바 'MFA 피로 공격(MFA fatigue)' 수법을 사용했다. 결국 지친 피해자가 실수로 인증 요청 하나를 승인하면서 해커는 우버 인트라넷에 정상적으로 접속할 수 있었다. 이 수법은 기술적 취약점이 아닌 인간 심리를 이용한 사회공학 공격의 전형적 사례로 보안 업계에 큰 경각심을 불러일으켰다.

내부망에 진입한 해커는 우버의 VPN에 접속하는 데 성공했고, 이 과정에서 파워셸(PowerShell) 스크립트 안에 하드코딩된 관리자 계정의 로그인 정보를 우연히 발견했다. 이 계정은 우버가 사용하는 권한관리 솔루션 사이코틱(Thycotic)의 관리자 권한을 갖고 있어, 해커는 사실상 우버의 거의 모든 민감 시스템에 접근할 수 있는 최고 수준의 권한을 확보하게 됐다. 이를 통해 슬랙, 구글 워크스페이스, 아마존웹서비스(AWS) 등 핵심 사내 인프라에 광범위하게 접근한 것으로 확인됐다. 이는 초기의 단순한 계정 탈취가 전사적 시스템 장악으로 확대된 결정적 전환점이었다.

우버는 초기 조사 결과를 발표하며 해커가 결제카드 정보나 승차 이력 등 고객의 민감한 개인정보가 저장된 프로덕션 시스템과 데이터베이스에는 접근하지 못한 것으로 파악됐다고 밝혔다. 다만 해커는 사내 슬랙 메시지 일부와 재무팀이 송장을 관리하는 내부 도구의 정보에는 접근하거나 이를 다운로드한 것으로 확인됐다. 우버는 이 발표를 통해 피해 규모가 최악의 시나리오보다는 제한적이었음을 강조하려 했으나, 기업 내부 시스템 전반이 뚫렸다는 사실 자체만으로도 큰 신뢰 타격을 입었다. 사이버보안 업계에서는 이번 사고를 대기업 내부망 보안의 구조적 허점을 드러낸 사례로 지목했다.

보안 연구자들과 언론은 이번 공격의 배후로 '티팟(Tea Pot)' 또는 '티팟우버해커(teapotuberhacker)'라는 온라인 별명을 쓰는 인물을 지목했다. 그는 앞서 랍서스가 마이크로소프트, 시스코, 로빈후드 등을 해킹할 때도 연루된 것으로 추정되는 인물이었다. 이후 그가 같은 시기 게임업계를 겨냥한 대형 유출 사건과도 관련이 있다는 정황이 속속 드러나면서, 단일 인물이 여러 대기업을 잇달아 무너뜨린 사건으로 업계에 큰 충격을 줬다. 이 별명은 이후 몇 주간 사이버보안 뉴스의 핵심 키워드가 됐다.

영국 런던시경(City of London Police)은 국가사이버범죄수사대(NCCU)의 지원을 받아 9월 22일 저녁 옥스퍼드셔 지역에서 해킹 혐의를 받는 17세 소년을 체포했다. 경찰은 이 소년이 우버 침해뿐 아니라 같은 시기 발생한 게임업체 락스타 게임즈의 'GTA6' 소스코드 유출 사건과도 연관이 있는 것으로 의심된다고 밝혔다. 두 사건 모두 동일 인물 또는 조직에 의해 저질러졌을 가능성이 제기되면서 랍서스 그룹의 실체 규명에 속도가 붙었다. 미성년자라는 점에서 신원은 공개되지 않았다.

런던시경은 9월 24일 체포된 17세 용의자가 보석조건 위반 2건과 컴퓨터 부정사용(Computer Misuse) 혐의 2건으로 정식 기소됐다고 확인했다. 이는 앞서 3월 랍서스 관련 혐의로 체포된 뒤 보석으로 풀려났던 인물이 다시 범죄를 저지른 것으로 추정되는 정황과 맞물려 있었다. 실제로 같은 해 3월 런던 경찰은 랍서스 연루 혐의로 16세에서 21세 사이의 용의자 7명을 체포한 바 있어, 이번 사건이 그 조직의 잔존 세력에 의한 재범일 가능성이 제기됐다. 이 기소로 우버와 락스타를 잇달아 뒤흔든 해킹 사건의 실체가 상당 부분 드러났다.

우버는 사건 이후 내부 시스템 접근 통제를 강화하고 협력업체 계정 관리 체계를 재정비하는 등 후속 보안 조치를 발표했다. 회사는 이번 사고가 다단계인증 자체의 결함이 아니라 인증 피로를 악용한 사회공학 공격에서 비롯됐다는 점을 명확히 하며, 향후 피싱에 강한 인증 방식 도입 등을 검토하겠다고 밝혔다. 이 사건은 이후 여러 보안 업계 보고서에서 MFA 피로 공격의 대표 사례로 인용되며, 기업들이 인증 시스템을 재설계하는 계기가 됐다. 우버의 주가와 평판에도 단기적으로 부정적 영향을 미쳤다.