코닥 ShinyHunters 침해가 드러낸 이중 협박 랜섬웨어 대응 설계

코닥 침해에서 확인된 이중 협박의 압박 방식

2026년 6월 코닥은 ShinyHunters(UNC6240)의 무단 접근으로 약 220만 건의 고객 개인정보가 탈취됐음을 공식 인정했다. 공격자는 6월 18일을 몸값 지불 기한으로 제시하고, 기한 안에 응하지 않으면 전체 데이터를 공개하겠다고 협박했다. 코닥은 외부 사이버보안 전문가를 투입해 포렌식 조사를 진행했고, 피해자 통보를 준비하는 단계로 알려졌다.

ShinyHunters는 2020년부터 활동을 시작한 사이버 범죄 그룹이다. Microsoft, AT&T, Ticketmaster 등 글로벌 대기업을 대상으로 수십억 건의 개인정보를 탈취해 온 경력이 있으며, 2024년 Snowflake 플랫폼 침해 사건의 배후로 지목됐다. UNC6240은 이 그룹을 추적할 때 쓰이는 내부 코드명이다.

이 사건에서 언급된 침해 범위는 이름, 이메일, 주소, 거래 이력으로 추정되는 고객 개인정보다. 단순한 시스템 암호화가 아니라 데이터 탈취와 공개 위협을 결합했다는 점이 대응의 초점을 바꾼다.

데이터 탈취부터 공개 협박까지 이어지는 공격 경로

이중 협박은 파일을 암호화해 복호화 대가를 요구하던 랜섬웨어 방식에서 더 나아간다. 공격자가 데이터를 외부로 가져간 뒤 공개를 조건으로 추가 압박을 가하기 때문에, 백업으로 복구할 수 있어도 사고가 종결되지 않는다.

초기 접근에는 Credential Stuffing이나 피싱에 따른 계정 탈취, VPN·RDP·SaaS 플랫폼 취약점 악용, 공급망 침해를 통한 간접 접근이 사용될 수 있다. 이후에는 Living-off-the-Land(LoTL) 기법으로 탐지를 피하고, Kerberoasting이나 Pass-the-Hash를 포함한 Active Directory 권한 상승을 통해 핵심 데이터베이스 서버를 찾는다.

외부 유출 단계에서는 Rclone, MEGAsync, AWS S3 같은 클라우드 스토리지가 활용될 수 있다. HTTPS나 DNS tunneling 같은 암호화 채널, 압축과 분할 전송은 유출 탐지를 어렵게 만든다. 마지막에는 데이터 암호화와 복호화 키 요구, 탈취 데이터 공개 협박, 다크웹 경매 또는 랜섬웨어 전용 유출 사이트(Leak Site) 운영이 결합된다.

신고 기한 안에서 사고 대응을 연결하는 방법

데이터 유출이 의심되면 초기 평가, 격리, 증거 보존, 포렌식, 신고와 통보가 따로 움직여서는 안 된다. GDPR Article 33과 국내 개인정보보호법 제34조는 모두 72시간 이내 감독기관 신고를 의무화하고 있다.

⤢✕

외부 DFIR(Digital Forensics & Incident Response) 전문가는 대규모 침해에서 내부 대응팀을 보완한다. 변호사-의뢰인 특권(Attorney-Client Privilege) 아래 조사를 진행해 조사 결과의 법적 보호를 고려할 수 있고, Mandiant, CrowdStrike, Palo Alto Unit 42 같은 전문 DFIR 업체가 포렌식을 맡을 수 있다. 내부 IT팀의 이해관계에서 떨어진 원인 분석과 GDPR, CCPA, 개인정보보호법 관련 대응 조언도 이 협업 범위에 포함된다.

조사 과정에서는 초기 침입 경로를 확정하고, 평균 197일인 체류 기간(Dwell Time)을 분석하며, 유출 데이터의 종류와 규모를 산정해야 한다. IoC(Indicators of Compromise)를 수집·공유하고 공격자의 TTP(Tactics, Techniques, Procedures)를 문서화하는 작업도 뒤따른다.

유출 징후를 잡기 위한 DLP와 행동 분석

220만 건의 데이터가 외부로 빠져나가는 과정에서 탐지하지 못했다면, 유출 경로를 보는 아키텍처 자체를 점검해야 한다. 엔드포인트, 네트워크, 클라우드, CASB를 이어 계층을 나누면 각 지점에서 다른 신호를 확보할 수 있다.

[엔드포인트 DLP] → [네트워크 DLP] → [클라우드 DLP] → [CASB]
      ↓                   ↓                 ↓              ↓
 파일 접근 모니터링   트래픽 분석       SaaS 모니터링   섀도우IT 탐지

엔드포인트 DLP에서는 민감 데이터(PII) 파일의 접근·복사 이벤트를 기록하고, USB 및 외부 스토리지 연결 차단 정책이나 대용량 파일 압축·암호화 행위 알림을 적용한다. 네트워크 DLP는 베이스라인 대비 임계값을 통해 비정상적인 대용량 데이터 전송을 탐지하고, Rclone·MEGAsync 같은 미승인 클라우드 스토리지 접속을 차단하며, TLS 인스펙션으로 암호화 채널의 데이터를 검사한다.

UEBA(User and Entity Behavior Analytics)는 사용자 행동 베이스라인을 만든 뒤 이상 행동을 찾는다. 야간·주말의 대규모 데이터 접근을 자동 알림으로 처리하고, 머신러닝 기반으로 내부자 위협과 계정 탈취를 탐지하는 역할을 맡는다.

데이터는 민감도에 따라 나누고 접근 권한을 함께 설계해야 한다.

등급	분류	예시	접근 제어
Level 4	극비(Top Secret)	결제정보, 비밀번호 해시	최소 권한 + MFA 필수
Level 3	기밀(Confidential)	고객 PII, 주소	역할 기반 접근(RBAC)
Level 2	내부(Internal)	임직원 정보, 내부 문서	VPN + 인증 필요
Level 1	공개(Public)	마케팅 자료	제한 없음

그룹별 전술이 협상 판단에 미치는 영향

구분	ShinyHunters (UNC6240)	Cl0p	LockBit 3.0
주요 전술	Credential 기반 침투, 클라우드 플랫폼 악용	제로데이 취약점(MOVEit, GoAnywhere)	RaaS(서비스형 랜섬웨어)
이중 협박	O (데이터 유출 사이트 운영)	O (Cl0p Leaks 사이트)	O (LockBit Leaks)
선호 타깃	클라우드 SaaS, 대규모 B2C 기업	파일 전송 솔루션 취약점 보유 기업	의료, 금융, 제조 중소기업
평균 요구 금액	수백만 달러	수천만 달러	수십만~수백만 달러
협상 패턴	단호한 협박, 데이터 공개 실행	협박 후 일부 데이터 선공개	협상 여지 있음
2026 트렌드	AI 기반 피싱 고도화	제로데이 확보 역량 강화	분산화, 소규모화

몸값 지불 여부는 단순히 요구 금액과 복구 비용을 비교하는 문제가 아니다. 미국 OFAC 제재 대상 그룹과의 협상은 법적 위험을 수반하며, ShinyHunters는 일부 구성원이 미국 법무부 기소 이력을 보유한 것으로 언급된다. 지불 전 법률 자문이 필요하다.

백업 상태에 따른 복구 가능성, 지불 비용, 고객 신뢰 손상에 따른 장기 비용, 사이버 보험(Cyber Insurance) 커버리지를 함께 분석해야 한다. 지불은 추가 공격의 동기를 제공해 재범 가능성을 높일 수 있고, 지불 뒤에도 데이터 삭제는 보장되지 않는다. FBI, CISA 등 수사기관과의 협력이 우선 권고되는 이유다.

개인정보 유출 신고와 통보 기록을 남기는 체계

GDPR Article 33/34는 개인의 권리·자유에 위험이 있을 때 72시간 안에 감독기관(DPA)에 신고하도록 요구한다. 고위험 침해에는 정보주체 개별 통보 의무가 있으며, 신고 지연 시 최대 1천만 유로 또는 전 세계 연간 매출 2%의 과징금이 부과될 수 있다.

국내 개인정보보호법 제34조는 1천 명 이상 정보주체의 개인정보가 유출되면 72시간 안에 개인정보보호위원회에 신고하도록 한다. 피해 최소화 조치 뒤에는 정보주체에게 개별 통보해야 하며, 지연 신고는 최대 3천만 원의 과태료와 형사처벌 가능성으로 이어질 수 있다.

220만 건의 통보는 발송 자체보다 대상 식별과 증빙 관리가 핵심이다.

피해자 220만 명 식별
    ↓
이메일 주소 유효성 검증 (반송률 최소화)
    ↓
개인화된 통보 메시지 작성 (침해된 데이터 종류 명시)
    ↓
배치 발송 (스팸 필터 회피, 대용량 처리)
    ↓
미도달 건 대체 수단(SMS, 우편) 처리
    ↓
발송 완료 기록 보존 (규제 증빙용)

고객에게는 침해 사실과 유출된 데이터 종류를 명확하고 솔직하게 알리고, 무료 신용 모니터링 서비스를 12~24개월 제공할 수 있다. 비밀번호 변경과 피싱 주의 같은 구체적인 행동 지침, 전용 헬프라인과 FAQ 페이지도 필요하다.

규제기관에는 72시간 안에 초기 신고를 내고, 미확정 사항은 추가 보고 예정으로 기재한다. 조사 진행 상황을 정기적으로 업데이트하고 재발 방지 대책을 구체적으로 제시해야 한다. 미디어와 대중을 대상으로는 단일 공식 창구를 두고 확인된 사실만 발표하며, 외부 DFIR 업체의 의견 인용으로 신뢰성을 보완한다.

사고 대응 체계에 남는 보안 운영 과제

PDRR(Protection-Detection-Response-Recovery) 모델은 사고 대응 체계를 보호, 탐지, 대응, 복구로 연결한다. 보호에는 사전 예방 통제, DLP, 접근 제어가 포함되고, 탐지에는 SIEM, EDR, UEBA, 위협 인텔리전스가 놓인다. 대응은 CSIRT, 포렌식, 격리 조치로 구성되며, 복구는 RTO/RPO 기반 복구와 재발 방지를 포괄한다.

NIST SP 800-61의 사고 대응 생명주기는 준비(Preparation), 탐지·분석(Detection & Analysis), 억제·근절·복구(Containment, Eradication & Recovery), 사후 활동(Post-Incident Activity)으로 이어진다. 개인정보보호법에서는 제34조의 개인정보 유출 통지·신고, 제29조의 암호화·접근통제·로그 관리를 포함한 안전조치 의무, 제28조의 기술적·관리적 보호조치가 관련된다.

2026년의 대응 방향으로는 LLM 기반 위협 인텔리전스 자동 분석, 머신러닝을 이용한 데이터 유출 행위 실시간 탐지, AI-driven SOAR(Security Orchestration, Automation & Response)를 통한 대응 자동화가 거론된다. 제로 트러스트 아키텍처(ZTA)는 “Never Trust, Always Verify” 원칙 아래 내부 이동을 차단하고, Micro-segmentation과 지속적 검증(Continuous Verification) 기반 접근 제어를 사용한다.

랜섬웨어 지불 커버리지는 축소되는 추세이고, 사전 보안 통제 수준에 따라 보험료를 차등화하며, 사고 대응 계획(IRP) 수립 여부를 보험 가입 요건으로 삼는 변화도 이어진다. SaaS 플랫폼 보안 감사(Third-Party Risk Management), SSPM(SaaS Security Posture Management) 도구 도입, Snowflake 침해의 교훈으로 제시된 클라우드 MFA 전면 적용 역시 같은 맥락에 있다. 미국 FBI와 Europol의 랜섬웨어 그룹 추적·기소 강화, 암호화폐 추적 기술 발전에 따른 자금 흐름 추적도 함께 진행되고 있다.

Sources

Kodak official statement on unauthorized access incident (2026.06)
ShinyHunters / UNC6240 threat actor profile — Mandiant Threat Intelligence
NIST SP 800-61 Rev. 2: Computer Security Incident Handling Guide
GDPR Article 33/34: Personal Data Breach Notification Requirements
개인정보보호법 제34조: 개인정보 유출 등의 통지·신고
CrowdStrike 2026 Global Threat Report: Ransomware Trends
Snowflake platform breach analysis — ShinyHunters TTPs (2024-2025)
CISA Ransomware Guide: Double Extortion Mitigation Strategies
Palo Alto Networks Unit 42: Ransomware Groups Comparison Analysis 2026