해커가 루마니아 토지 등기 데이터베이스를 삭제

 (news.risky.biz)
5P by GN⁺ | ★ favorite | 댓글 3개
  • 해커가 ANCPI에 침입해 금품 요구가 실패하자 토지 등기 데이터베이스와 백업을 삭제하면서 루마니아 부동산 시장이 일주일간 사실상 멈춤
  • 공격자는 유효한 자격 증명으로 진입해 내부 시스템을 파악한 뒤 데이터를 삭제했으며, ANCPI 이메일 서버와 공식 앱·웹사이트도 중단됨
  • 공증인은 신규 부동산 거래를 등록할 수 없고, 시민은 소유권 증명서와 상세 토지 기록을 발급받을 수 없는 상태가 됨
  • 7월 14일 데이터 삭제와 함께 사고가 공개됐고, 다음 날 직원 자격 증명·내부 문서·IT 네트워크 정보가 해킹 포럼에서 판매되기 시작함
  • ANCPI는 웹사이트를 복구하고 전체 네트워크를 처음부터 재구축 중이며, 공격자의 주장과 달리 오프라인 백업 사본을 보유했을 가능성이 있음

침입과 데이터 삭제

  • 해커가 루마니아의 지적·부동산 등기 기관인 ANCPI에 침입해 금품을 요구했으나 실패하자 국가 토지 등기 데이터베이스를 삭제함
  • 소식통에 따르면 공격자는 정상 자격 증명으로 진입한 뒤 내부 시스템을 파악하고 시스템과 백업을 삭제함
  • ANCPI 이메일 서버도 이번 사고로 중단됨

멈춰선 부동산 시장

  • 공식 앱과 웹사이트가 일주일 동안 오프라인 상태에 놓이면서 루마니아 부동산 시장 전체가 정지함
    • 공증인은 신규 거래를 등기할 수 없음
    • 시민은 소유권 증명서나 상세 토지 기록을 발급받을 수 없음

유출 데이터와 공격자

  • 해커가 데이터 삭제를 시작한 7월 14일 사고가 공개됐으며, 다음 날 탈취 데이터 일부가 해킹 포럼에서 판매되기 시작함
  • 게시된 자료에는 직원 자격 증명, 내부 문서, 기관 IT 네트워크 세부 정보가 포함됨
  • 데이터는 ByteToBreach라는 계정이 게시함
    • ByteToBreach는 같은 해 스웨덴 전자정부 포털을 비롯해 여러 정부기관과 유명 기업을 침해한 해커로 알려짐
    • 보안업체 KELA는 2025년 12월 이 인물이 알제리에 있을 가능성을 제시했으며, ANCPI 사고 후 프로필을 갱신해 알제리 오란 출신 Zakaria Mahdjoub으로 신원을 공개함

복구와 전면 재구축

  • ANCPI는 웹사이트를 복구한 뒤 전체 네트워크를 처음부터 재구축하고 있다고 공지함
  • 공격자는 백업까지 삭제했다고 주장했지만, ANCPI는 오프라인 사본을 보유했던 것으로 보임

각국 토지 등기기관을 노린 공격

함께 보면 좋은 글 β

tribela   [-]

Mr. Robot 시즌 1이 생각나네요. 거기선 오프라인 백업까지 모두 망가뜨려버렸죠

답변달기
loblue   [-]

해커뉴스에 한국 정부 데이터센터 화재 사재 사건도 언급됐네요 ㅋ

답변달기
GN⁺   [-]
Hacker News 의견들

  • 해킹 이후 당국은 웹사이트를 복구하고 기관의 전체 네트워크를 처음부터 재구축한다고 발표함. 해커가 백업을 삭제했다고 주장했지만 오프라인 사본이 있었던 것으로 보여 모든 것이 사라진 것은 아닌 듯함
    토지 소유권을 증명할 수 없게 될 사회적 파장을 걱정했는데, 최악의 상황은 피할 수 있을 것으로 보임

    • 아버지의 고향인 인구 5만 명 규모의 도시에서도 1982년 대홍수로 토지대장 문서가 소실됐음. 변호사였던 아버지에게 들으니 소유권 증빙과 주민 증언을 토대로 자료를 재구축했다고 함
      먼저 직접적인 증거를 적용하고 이후 증언과 이의신청 기간을 활용했음. 100% 복구할 수 없고 허위 청구도 일부 있었겠지만, 이웃끼리 서로 아는 작은 도시에서는 재난 규모를 고려할 때 최선의 해법이었음
    • 과거 Xerox 스캔 오류 사건 때문에 공식 스캔 문서가 무효화됐던 일을 기억해야 함. 이미 스캔된 문서의 유효성도 법적으로 다툴 수 있는 세상에 살고 있음
    • 네트워크 상태를 고려하면 오프라인 사본도 최신 상태와는 거리가 멀 가능성이 높아 여전히 대혼란의 여지가 있음
    • 오프라인 백업만 남았다면 모든 거래 직후 백업하지는 않으므로 최소 일주일가량의 토지 등기 거래가 누락됐을 가능성이 큼
      특정 최신 거래를 지우는 것이 목적이었다면 성공했을 수 있고, 다른 기록까지 대량 삭제함으로써 이후 소유권 분쟁에서 그럴듯한 부인도 가능해짐. 자기 기록만 지우면 조작이 발견됐을 때 용의자 범위가 매우 좁아짐
    • 스트레스가 심한 직장에서 일할 때 버전 관리 시스템 손상뿐 아니라 퇴사자가 마지막에 훼손할 가능성도 걱정했음. 그래서 매달 코드를 복사해 “promotion”이라고 적은 매체를 책상에 보관함
      누군가 책상을 뒤졌다면 협박 자료로 오해했다가 코드만 보고 실망했을 듯함

  • ANCPI는 애플리케이션을 Romania Government Cloud로 이전하기 시작했으며, Special Telecommunications Service(STS)가 조정해 7월 22일 수요일까지 완료할 예정이라고 발표함
    이전 후 공인 기관이 애플리케이션과 데이터를 검사해 시스템 상태와 추가 조치에 관한 보고서를 작성하고, 이를 바탕으로 복구 예상일을 발표할 계획임. 서비스는 운영 우선순위에 따라 단계적으로 재개됨
    ANCPI는 여러 장소에 보관된 백업으로 데이터베이스를 재구축 중이며, 다중 저장 위치 덕분에 중복성과 사이버 보안 사고 후 복구 능력을 확보했다고 밝힘. 모든 취약점을 해결할 때까지 영향받은 시스템을 격리하고 관계 당국과 형사 수사를 진행 중이지만 아직 공식 결론은 공개할 수 없다고 함

    • 전 직장 동료는 상업용 부동산 물류 회사에서 매주 보안 데이터센터의 백업 디스크를 꺼내 은행 안전금고로 운반했음
      하지만 은행은 데이터센터에서 두 블록, 사무실에서도 6~8블록밖에 떨어지지 않아 대형 재난이 세 곳 모두를 덮칠 수 있었음. 소유주 집에 둔 두 번째 사본만 유일하게 지리적으로 분리돼 있었음
    • 정부 기관이 Government Cloud로 이전해 문제를 해결하겠다는 발표를 하니 오히려 가망이 없어 보임. 같은 실수를 반복해 고치겠다는 뜻이나 마찬가지임
      잘못을 인정하고 시스템을 동결한 뒤 독립적인 전문가의 도움을 받아야 함. 최근 루마니아에서 토지를 매매한 이들의 행운을 빎

  • 루마니아 지인들에게 들은 바로는 근본 원인이 부패와 연고 계약임. 정부가 측근에게 IT·데이터 계약을 주고, 이들이 실질적인 보안 작업을 하지 않아 이런 일이 벌어짐

    • 루마니아에서 부패는 대체로 특정 업체만 맞출 수 있는 맞춤형 계약이나 노골적인 자금 유출로 이뤄짐. 이번에는 저임금 직원과 기껏해야 누군가의 무능한 조카 정도가 관여했을 것으로 예상함
      웹사이트의 웹 루트에 .authorized_keys 파일을 둘 이유가 전혀 없는데도 그렇게 했음. 맞춤형 계약은 한 업체만 충족할 수 있도록 지나치게 구체적인 조건을 거는 방식임. 한 지방정부가 버스를 구매하면서 일반 차종보다 짧은 최대 길이를 요구했는데, 공교롭게도 의사결정권자의 친척이 정확히 그 규격의 차량을 수입하고 있었음
    • 다른 동유럽 국가에서도 이런 일이 만연함. 공익에 관심 있는 이들이 이를 해결할 현실적인 방법이 궁금함
    • 온라인에 공개된 사고 정보를 바탕으로 누군가 설명용 대시보드를 만들었음: https://ancpi-atac.mariuscomper.uk/en/
    • 부패만의 문제는 아님. 가까운 친척이 수천 명 규모의 정부 기관에서 새 애플리케이션 구축을 담당했는데, 조직 전체에 요구사항을 작성하거나 설계·시험·배포할 사람이 없었음
      일부 공무원의 급여는 괜찮지만 IT 분야는 민간이 훨씬 많이 지급하므로 조금이라도 유능하면 대부분 민간으로 감. 결국 비IT 인력이 계약과 관련 문제를 모두 처리했고 결과도 좋지 않았음. 같은 일정에 예산의 약 10%만으로도 제대로 수행할 수 있는 사업이었음
      지인이 참여한 다른 루마니아 정부 IT 사업은 실제 가치의 5~10배가 들었고 여러 단계의 하도급을 거쳤음. 유능한 인력은 10명도 안 됐지만 낙찰 업체는 100명 이상 비용을 청구했고, 실제 인원도 잠시 동안 최대 70명 정도였음. 특히 의사결정 직책의 유능한 인력 부족이 핵심 원인이었음
    • 기사에 따르면 소식통들은 해커가 유효한 자격 증명을 사용해 침입했다고 밝힘

  • 보안 업체 KELA는 해커가 알제리 Oran 출신 Zakaria Mahdjoub이라고 신원을 공개함
    악의적인 해커라면 러시아 해커들처럼 자국과 적대 관계이거나 범죄인 인도 협정이 없는 국가만 노릴 것 같지만, 알제리와 루마니아 사이에는 범죄인 인도 조약이 있음: https://periodicos.processus.com.br/index.php/egjf/article/v...

    • 아니면 작전 보안(OpSec) 만 제대로 지키면 됨

  • 배터리 화재로 백업 없는 약 900TB 규모 데이터센터가 삭제된 한국 정부 데이터센터 사고가 떠오름
    외부 백업 없이 사라진 기능을 이어 붙이는 작업은 데이터 복구라기보다 포렌식 고고학에 가까웠을 것임. 마지막으로 들었을 때는 손실된 서비스와 데이터의 약 4분의 1을 복구한 상태였음
    [1] https://www.intermediagroup.org/south-korea-data-loss/

  • 세르비아의 토지등기 데이터베이스도 두 달째 작동하지 않고 있음. LRD 지원팀의 일반적인 시스템 장애 안내 외에는 정부 발표가 전혀 없어, 같은 공격을 당한 게 아니길 바람

  • 백업이 시스템과 함께 삭제됐다면 같은 네트워크에서 접근 가능했다는 뜻임. 공격자가 접근할 수 있는 백업은 백업이 아님
    오프라인 사본이 있어 다행이지만, 이 정도로 중요한 시스템이라면 운에 기대지 말고 정기적으로 오프라인 백업해야 함

    • 엄밀히 정의된 용어는 아니더라도 그것은 백업이라고 보기 어려움. 실제 오프라인 백업도 있었다니 다행이지만, 그 사실은 가짜 백업이 아무 의미가 없었고 사고 기록에 넣을 가치조차 없었음을 더 분명히 해줌
    • 추가 전용(append-only) 백업 시스템을 사용하면 공격자가 접근 가능한 환경에서도 기존 백업 삭제를 막을 수 있음

  • 허술한 비밀번호 관행과 정책, 2단계 인증이나 물리 토큰 부재가 침해에 기여한 것으로 보임. 공격자로 추정되는 인물이 올린 게시물과 화면에는 P@ssw0rd 같은 널리 알려지고 쉽게 추측 가능한 비밀번호가 나타남
    <https://spear.cx/Thread-Selling-RO-Thy-arss-shall-be-spanked...>
    <https://drive.google.com/file/d/1iZc93XfViOk7izusgIG1ni7Kmsx...>
    처음에는 ExoticPearTree가 근거 없이 여기서 제시했음: <https://news.ycombinator.com/item?id=48978836>. 진부할 정도로 어리석은 관행을 비판하려면 상투적이고 근거 없는 비난처럼 보이지 않도록 충분한 증거를 제시해야 함

    • 내게 첫 2단계 인증 장치는 직장에서 지급받은 것이었지만 친구들에게는 World of Warcraft용이었고, 은행이 이를 제공하기까지는 몇 년이 더 걸렸음. 침해 사고가 날 때마다 이 사실이 떠오름
      Blizzard는 한 해 행사 참가자 전원에게 하드웨어 토큰을 나눠줬음. 이후 스마트폰 인증이 가능해졌고 Blizzard가 의무화하지는 않았지만, 거의 모든 길드가 특히 간부들에게 사용을 요구했음

  • 호주의 Torrens 등기 제도에서는 종이 문서가 더 이상 권위 있는 원본이 아님. 사망자의 상속 재산 권리증을 등기소에 제출하면 데이터베이스를 갱신한 뒤 문서를 보관하며, 돌려달라고 요청하면 효력 상실 도장을 찍어 반환함
    직접 이 절차를 밟아봤으니 알고 있음. 이제 “3, 2, 1”을 외칠 사람들을 기다림

  • 얼마 전 슬로바키아에서도 같은 일이 벌어졌음

    • 2025년 1월 슬로바키아 토지등기소가 해킹당해 신원 미상의 공격자가 데이터베이스를 암호화하고 공개되지 않은 7자리 금액의 몸값을 요구함
      전국 부동산 시장이 약 한 달간 마비됐고, 백업과 종이 문서로 모두 복원해 정상 운영을 재개하기까지 몇 달이 걸렸음. 슬로바키아 역사상 최대 사이버 공격이었지만 배후는 아직 공개되지 않았고 수사도 진행 중임. 총리를 포함한 정부 인사들은 증거 없이 즉시 우크라이나를 지목하는 데 열을 올렸음
    • 당시 보도 자료는 다음과 같음
      “1T+ in assets are frozen as Slovakia's Land Registry faces ransomware attack” <https://spectator.sme.sk/politics-and-society/c/news-digest-...> (2025년 1월 9일), HN 토론: <https://news.ycombinator.com/item?id=42650343>
      “Ransomware Attack Paralyzes Slovakian Land Registry, Souring Slovakia-Ukraine Relations” <https://dailysecurityreview.com/security-spotlight/slovakian...> (2025년 1월 14일)
      “Slovakia Hit by Historic Cyber-Attack on Land Registry” <https://www.infosecurity-magazine.com/news/slovakia-hit-by-l...> (2025년 1월 10일)
      이 사건은 우크라이나와 연계된 것으로 보임
    • 어떻게 해결했는지 궁금함
답변달기