알림

2026년 9월 다크웹 위협 행위자 동향 보고서는 딥웹 및 다크웹에서 활동하는 위협 행위자와 공식 발표된 사이버 공격 사고를 중심으로 정리되었다. 일부 내용은 사실 관계를 독립적으로 확인할 수 없다고 명시되었다.

주요 이슈

• 일부 핵티비스트 그룹들은 일본 지역의 금융기관, 대학, 일반 기업, 연구기관 웹사이트를 대상으로 DDoS 공격을 주장했다. 또 다른 위협 그룹은 중동 지역 정부기관 및 산하기관 웹사이트를 대상으로 공격을 주장했다. 다만 이들 내용은 모두 위협 행위자의 일방적 주장으로, 실제 서비스 장애 발생 여부는 확인되지 않았다.
• 일본 지역에서는 공식적으로 공개된 침해 사고가 연이어 확인되었다. 차량 공유 서비스를 제공하는 기업은 웹 시스템 비인가 접근으로 수백만 건의 개인정보 유출을 발표했으며, 정부 공동 정보시스템은 VPN 취약점 악용에 따른 비인가 접근으로 개인정보 유출 가능성을 공개했다. 또한 운송, 전자상거래·티켓 예매, 호텔·숙박 등 다양한 분야의 기업들이 랜섬웨어 공격 또는 비인가 접근 피해 사실을 발표했다.

-네팔 지역에서는 IT 서비스 제공업체를 대상으로 한 랜섬웨어 공격으로 다수의 증권사 거래 시스템에 장애가 발생했으며, 주식시장 거래가 일시 중단되는 피해가 보고되었다.

• 미국에서는 연방 법집행기관이 채용 시스템 침해 및 직원 개인정보 유출 주장에 대한 조사를 진행 중이라고 발표했다. 또한 에너지 기업과 헬스케어 IT 기업은 각각 외부 시스템 침해 및 제3자 공급망 계정 탈취로 인한 개인정보 유출 사실을 공개했다.
• 유럽에서는 AI 개발 기업이 소스코드 판매 주장 이후 제기된 비인가 접근 의혹에 대해 공식 입장을 발표했으며, 보안 기업은 이전에 발생한 비공개 소스코드 유출 사고를 공식 확인했다.
• 특정 위협 행위자는 네덜란드에서 체포된 용의자와의 연관성을 부인했다. 한편 네덜란드 수사기관은 해당 해킹 조직 수사와 관련된 체포 사실을 공식 확인했으며, 또 다른 유명 사이버 범죄 조직은 활동 재개와 신규 피해자 공개 계획을 예고했다.
• 사이버 범죄 포럼에서는 기업 네트워크 접근 권한 구매 게시물이 확인되었으며, 별도의 범죄 커뮤니티에서는 공격 도구 개발자를 모집하는 게시물이 관측되었다. 또한 신규 데이터 강탈 조직의 활동이 확인되었고, 안드로이드 금융 악성코드 개발·운영 이력이 있는 위협 행위자에 대한 정보도 공유되었다.
• 전 세계 법 집행기관은 해킹 조직 관련 용의자 체포, 랜섬웨어 가담자에 대한 실형 선고, 사이버 범죄 공모자 처벌, DDoS 서비스 인프라 압수, 봇넷 차단, 정부기관 해킹 사건 관련 용의자 검거 등 사이버 범죄 대응 활동을 지속했다.

결론

일본 지역에서는 핵티비스트들의 DDoS 공격 주장과 함께 정부기관, 교통·모빌리티, 운송, 전자상거래, 숙박 분야 조직들을 대상으로 한 실제 침해 사고가 같은 시기에 확인되었다. 핵티비스트의 공격 주장은 대부분 독립적인 검증이 어려운 만큼, 공식적으로 발표된 침해 사고와 구분하여 평가할 필요가 있다. 또한 네팔에서 발생한 IT 서비스 제공업체 침해 사례와 같이, 단일 인프라 또는 서비스 공급업체의 침해가 다수 기관과 기업의 서비스 중단으로 확산될 수 있어 공급망 및 제3자 벤더에 대한 보안 점검이 중요하다. 한편 주요 사이버 범죄 조직의 활동 재개 예고와 신규 데이터 강탈 조직의 등장, 사이버 범죄 포럼 내 초기 접근 권한 거래 및 공격 인력 모집 활동은 초기 침투 자산 거래 시장과 신규 위협 그룹 동향에 대한 지속적인 모니터링 필요성을 보여준다. 또한 법 집행기관의 도메인 압수, 봇넷 차단, 용의자 체포 및 범죄자 처벌 사례가 지속적으로 확인됨에 따라 사이버 범죄 대응 및 수사 동향에 대한 추적 역시 요구된다.