- Oracle은 Oracle Cloud의 SSO 로그인 서버 침해 및 600만 명의 계정 데이터 도난을 부인했으나, 여러 회사와의 확인을 통해 위협 행위자가 공유한 데이터 샘플이 유효함을 확인함
- 'rose87168'라는 인물이 Oracle Cloud 서버를 침해했다고 주장하며, 600만 사용자에 대한 인증 데이터와 암호화된 비밀번호를 판매하기 시작함. 이 위협 행위자는 도난당한 SSO 및 LDAP 비밀번호를 복호화할 수 있다고 주장하며, 이를 복구하는 데 도움을 줄 사람에게 데이터를 공유하겠다고 제안함.
- 위협 행위자는 데이터베이스, LDAP 데이터, 그리고 침해로 영향을 받은 것으로 추정되는 회사 및 정부 기관의 140,621개 도메인 목록이 포함된 여러 텍스트 파일을 공개함. 일부 회사 도메인은 테스트용으로 보이며, 회사당 여러 도메인이 존재함.
- 위협 행위자는 BleepingComputer에 "login.us2.oraclecloud.com" 서버에 호스팅된 텍스트 파일의 Archive.org URL을 공유함. 이 파일은 위협 행위자가 Oracle 서버에 파일을 생성할 수 있음을 나타내며, 실제 침해를 시사함.
- 그러나 Oracle은 Oracle Cloud의 침해가 없었다고 부인하며, 사건에 대한 추가 질문에 응답하지 않음. Oracle은 "Oracle Cloud의 침해는 없었다. 공개된 자격 증명은 Oracle Cloud의 것이 아니다. Oracle Cloud 고객은 침해나 데이터 손실을 경험하지 않았다"고 BleepingComputer에 전함.
- 이 부인은 BleepingComputer의 발견과 모순됨. BleepingComputer는 위협 행위자로부터 추가 샘플을 받고 관련 회사에 연락하여 데이터의 진위를 확인함. 익명을 조건으로 데이터를 확인한 회사 대표들은 LDAP 표시 이름, 이메일 주소, 이름 등 식별 정보가 정확하며 자신들에게 속한다고 확인함.
- 위협 행위자는 Oracle과의 이메일 교환을 BleepingComputer에 공유함. 한 이메일에서는 위협 행위자가 Oracle의 보안 이메일(secalert_us@oracle.com)로 서버 해킹을 보고함.
- 다른 이메일 교환에서는 위협 행위자가 Oracle의 @proton.me 이메일 주소를 사용하는 사람과의 대화를 공유함. BleepingComputer는 이 이메일 주소의 신원이나 이메일 교환의 진위를 확인할 수 없어 이메일 주소를 삭제함.
- 사이버 보안 회사 Cloudsek는 "login.us2.oraclecloud.com" 서버가 2025년 2월 17일 기준으로 Oracle Fusion Middleware 11g를 실행 중인 Archive.org URL을 발견함. Oracle은 침해 소식이 보도된 후 이 서버를 오프라인으로 전환함.
- 이 소프트웨어 버전은 CVE-2021-35587로 추적되는 취약점에 영향을 받았으며, 인증되지 않은 공격자가 Oracle Access Manager를 손상시킬 수 있음. 위협 행위자는 이 취약점이 Oracle 서버 침해에 사용되었다고 주장함.
- BleepingComputer는 이 정보에 대해 Oracle에 여러 차례 이메일을 보냈으나 응답을 받지 못함.