국내 기관·학회 무더기 해킹한 '샤오치잉' 누구?

[아이뉴스24 김혜경 기자] 설 연휴 전후로 10여 곳이 넘는 국내 학술단체 홈페이지가 사이버 공격을 받았다. 중국 연계 해커집단의 소행으로 알려진 가운데 추가 공격이 예고된 만큼 각별한 주의가 요구된다.

25일 보안업계에 따르면 '샤오치잉(Xiaoqiying, 晓骑营)'이라고 자칭하는 해커집단은 대한건설정책연구원을 비롯해 12개 국내 기관‧학회를 대상으로 홈페이지 변조 공격 등을 감행했다.

현재까지 홈페이지 해킹이 확인된 곳은 건설정책연구원을 비롯해 ▲우리말학회 ▲한국고고학회 ▲한국학부모학회 ▲한국교원대학교 유아교육연구소 ▲한국보건기초의학회 ▲한국사회과수업학회 ▲한국동서정신과학회 ▲대한구순구개열학회 ▲한국시각장애교육재활학회 ▲제주대학교 교육과학연구소 ▲한국교육원리학회다.

앞서 지난 22일 한국인터넷진흥원(KISA)은 보안공지를 통해 "중국의 미상 해커조직이 대한건설정책연구원을 해킹하고 내부 연구원 정보를 유출하면서 2천여개 홈페이지를 해킹하겠다고 선언했다"며 "공격자는 지난 21일 오전 10시께 국내 홈페이지 해킹을 통해 대규모 공격을 예고했다"고 전했다.

KISA 측은 "추가 공격이 우려되므로 각 기업은 이슈 발생 시 정보를 공유해달라"고 강조했다. 사이버 공격 예고 이후 이종호 과학기술정보통신부 장관도 KISA 인터넷침해대응센터(KISC)를 방문해 사이버 공격 대응 현황과 비상대응 체계를 점검한 바 있다.

샤오치잉은 자신들이 운영하는 텔레그램 채널을 통해 피해 기관과 탈취한 데이터 목록 등을 게재하면서 "관련 웹사이트의 데이터베이스를 삭제하고 있다. 복원하려면 우리에게 연락하라"고 전했다.

이들은 다음 목표물로 KISA를 지목하기도 했다. KISA 관계자는 "아직까지 발견된 추가 피해는 없다"고 말했다.

보안업계 일각에서는 이들 조직의 전신을 '텅셔(Tengshe, 腾蛇)'라는 해커집단으로 추정하고 있다. 현재로서는 중국 연계 해커집단으로 보고 있지만 모방 여부 관련해서는 좀 더 들여다 봐야 한다는 것.

국내 한 보안전문가는 "텅셔는 2021년부터 활동을 시작했고 지난해 5월쯤 국내 의료 관련 한 협회를 공격한 바 있다"며 "지난해 12월 말 이름을 바꿨는데 텅셔 해체 과정에서 탈퇴한 멤버들이 새로운 리더와 결성한 조직이 샤오치잉"이라고 설명했다.

이들이 사이버 공격을 공개적으로 알린 것은 지난 7일이다. 자신들이 운영하는 홈페이지를 통해 "한국을 겨냥한 새로운 작전을 준비하고 있다"며 데이터 탈취를 예고한 바 있다.

이 전문가는 "친중국 해커로 보이지만 자신들은 중국 정부 지원은 받지 않는다고 주장하고 있다"며 "리브랜딩 이후 새로운 텔레그램 채널을 만들었고 이달 초 자신들이 새로 만든 홈페이지에 공격을 예고했지만 대부분 인지하지 못했다. 21일 건설정책연구원 공격 건을 계기로 알려지게 된 것"이라고 말했다.

이들은 이날 오후 텔레그램을 통해 "한국 정부는 지금까지 12개 기관만 피해를 입었다고 밝혔지만 우리가 삭제한 데이터베이스와 사이트는 이보다 훨씬 많다"고 주장했다.