2021년부터 활동한 LAPSUS$가 2026년 9월 재부상을 예고했다. 삼성전자·Okta 등 대표 침해와 MITRE 매핑으로 정체를 짚는다.
2022년 3월, 영국 런던 경찰이 16~21세 용의자 7명을 체포하면서 끝난 줄 알았던 해킹집단 LAPSUS$가 2026년 9월 다시 움직였다. AhnLab ASEC의 다크웹 모니터링에서 이 그룹이 "Chapter II"를 자처하며 신규 피해자 공개를 예고한 정황이 포착된 것이다. LAPSUS$는 악성코드 하나 없이 전화 한 통, 뇌물 하나로 세계적 기업의 내부망을 뚫어온 집단이라 재부상 소식만으로도 보안 업계가 주목한다. 이 글은 LAPSUS$의 정체와 대표 침해 사례, 그리고 한국이 왜 이 그룹을 남 일로 볼 수 없는지를 정리한다.
LAPSUS$는 2021년 중반부터 활동을 시작한 사이버 범죄 집단이다. MITRE ATT&CK는 이 그룹을 G1004로 등록하고 "2021년 중반 이후 활동해온 사이버 범죄 위협 집단으로, 대규모 사회 공학 및 갈취 작전을 전문으로 하며 랜섬웨어 없이도 파괴적 공격을 수행한다"고 설명한다. 마이크로소프트는 이 그룹을 DEV-0537, 이후 Strawberry Tempest로 명명했다.
소속 국가는 명확히 특정되지 않았다. 2022년 체포된 용의자 다수가 영국과 브라질 출신 10대였다는 점에서, 국가 배후 조직이 아니라 느슨하게 연결된 개인 해커 네트워크로 분석된다. 2025년 8월에는 ShinyHunters·Scattered Spider와 연합한 "Scattered Lapsus$ Hunters"라는 브랜드로 재편된 정황이 보안 업계에 보고됐다. ASEC이 언급한 "Chapter II"는 이 연합체 형태로 재편된 이후의 활동을 가리키는 것으로 추정된다.
LAPSUS$의 시그니처는 기술적 취약점이 아니라 사람을 노리는 것이다. 헬프데스크 직원에게 전화를 걸어 비밀번호를 재설정시키거나, 협력업체 직원에게 금전을 제시해 계정 접근권을 사는 방식을 반복해왔다. 통신사 내부자를 매수해 SIM 스와핑을 실행하는 것도 이 그룹의 특징이다.
타깃 산업은 특정 분야에 국한되지 않는다. IT 인증 서비스(Okta), 반도체(Nvidia), 스마트폰 제조사(삼성전자), 통신사(T-Mobile), 차량 호출 서비스(Uber)까지 업종을 가리지 않고 침해했다. 공통점은 하나같이 수억 명 규모의 이용자를 둔 대형 기업이라는 점이다.
운영 시그니처도 독특하다. 대부분의 해킹집단이 침해 사실을 숨기는 것과 달리, LAPSUS$는 텔레그램 채널에 탈취 자료를 직접 공개하고 피해 기업을 공개적으로 조롱한다. 몸값 요구보다 공개 망신을 통한 압박이 이 그룹의 주된 갈취 수단이다.
인력 조달 방식도 계속 진화하고 있다. 보안 매체 Help Net Security는 2026년 2월 이 계열 그룹이 텔레그램에서 여성 인력을 대상으로 통화당 500~1,000달러를 제시하며 보이스피싱 조직원을 모집하는 정황을 포착했다고 보도했다. 정형화된 해킹 조직이라기보다 필요할 때마다 외주 인력을 사고파는 범죄 네트워크에 가깝다는 뜻이다.
Okta 침해(2022년 1월): 공격자는 Okta 고객지원 협력업체 Sitel(Sykes) 직원의 컴퓨터에 원격 데스크톱으로 접근해 5일간 내부망에 머물렀다. 이 사고로 Okta 고객 366곳이 영향을 받은 것으로 확인됐다. Okta는 사고 발생 2개월 뒤인 3월에야 LAPSUS$가 공개한 스크린샷을 통해 침해 사실을 인지했다.
Nvidia 침해(2022년 2월): 직원 7만 1,000여 명의 이메일 주소와 NTLM 해시값이 유출됐다. 유출된 자격증명 다수가 이후 크래킹되어 해킹 커뮤니티에 유포됐다. 함께 탈취된 코드 서명 인증서 2개는 이후 악성코드 서명에 악용된 사례가 보고됐다.
삼성전자 침해(2022년 3월): 아래 한국 관련 사례에서 자세히 다룬다.
T-Mobile 침해(2022년 3~4월): 보안 연구자 브라이언 크렙스가 공개한 내부 대화 로그에 따르면, 공격자는 직원 계정을 여러 차례 탈취해 소스코드 저장소 3만여 개를 내려받았다. T-Mobile은 고객 정보나 정부 관련 정보는 유출되지 않았다고 밝혔다.
Uber 침해(2022년 9월): 공격자는 다크웹에서 구매한 협력업체 직원의 VPN 계정정보로 로그인을 반복 시도해 MFA 승인 요청을 계속 발생시켰다. 이후 왓츠앱으로 IT 지원팀을 사칭해 해당 직원에게 승인을 요청했고, 결국 슬랙과 사내 재무 도구까지 접근했다.
LAPSUS$는 다른 해킹집단과 달리 자체 개발 악성코드가 거의 없다. 대신 이미 존재하는 합법적인 원격 접근 도구(RDP, AnyDesk 등)와 다크웹에서 구매한 접근권한을 조합해 침투한다. 초기 접근권 확보에는 Redline Stealer 같은 정보 탈취형 악성코드로 만들어진 로그를 접근권 브로커에게서 사들이는 방식이 관측됐다.
텔레그램은 이 그룹에서 이중 역할을 한다. 내부 조율 채널이면서 동시에 피해 사실을 공개하는 홍보 창구로도 쓰인다. 악성코드 대신 사람과 신뢰관계를 무기로 삼는다는 점이 이 그룹을 전형적인 APT나 랜섬웨어 조직과 구분 짓는 특징이다.
LAPSUS$의 침투 과정을 단계별로 나눠보면 각 단계마다 남기는 흔적이 다르다. 아래 killchain은 MITRE ATT&CK G1004 페이지에 등록된 공식 기법 ID를 각 단계에 매핑한 것이다.
정찰 단계(T1589 · T1597)는 다크웹 유출 데이터베이스와 소셜미디어에서 직원 신상을 수집하는 과정이라 침해 전 단계에서는 로그로 남지 않는 경우가 많다. 반면 헬프데스크 사칭(T1684 · T1598)은 동일 발신 번호나 유사한 화법이 반복되는 통화 기록으로 사후 추적이 가능하다.
SIM 스와핑과 MFA 알림 폭탄(T1451 · T1621)은 짧은 시간에 다중 인증 요청이 몰리는 패턴으로 인증 로그에 흔적을 남긴다. 이후 관리자 권한을 추가하는 계정 조작(T1098)은 IAM 감사 로그의 권한 변경 이벤트로 확인된다. 마지막 데이터 파괴·계정 접근 차단(T1485 · T1531)은 대량의 파일 삭제나 계정 잠금이 짧은 시간에 몰려 발생하는 이상 징후로 드러난다.
2022년 3월 4일, LAPSUS$는 삼성전자에서 탈취했다고 주장하는 약 190GB 분량의 데이터를 세 개 파일로 나눠 토렌트에 공개했다. 유출 자료에는 갤럭시 기기 트러스트존(TrustZone)에 탑재되는 모든 신뢰 애플릿의 소스코드와 QSEE, TEEGris 등 각 TEE 운영체제별 코드가 포함된 것으로 알려졌다.
삼성전자는 이후 자체 분석 결과 갤럭시 기기 운영 관련 일부 소스코드가 유출됐지만 고객이나 임직원의 개인정보는 포함되지 않았다고 밝혔다. 일부 보도에서는 협력사인 퀄컴 관련 데이터가 함께 유출됐을 가능성도 제기됐다.
삼성전자 사례는 LAPSUS$가 미국 실리콘밸리 기업만 노리지 않는다는 것을 보여준 사건이었다. 2026년 9월 재부상 예고가 사실로 이어진다면, 국내 대기업의 협력업체 직원이나 고객센터 인력도 동일한 사회공학 수법의 표적이 될 수 있다는 뜻이다. 특히 헬프데스크 사칭과 SIM 스와핑은 한국의 통신사·대기업 조직 구조에서도 통할 수 있는 수법이라 국내 보안팀 차원의 인지가 필요하다.
삼성전자 사건 이후에도 국내 기업이 이 계열 그룹의 표적에서 완전히 벗어났다는 근거는 없다. LAPSUS$가 업종을 가리지 않고 협력업체·콜센터 인력을 노려온 이력을 감안하면, 반도체·전자 산업 비중이 큰 한국 기업 생태계 전반이 잠재적 표적군에 포함된다고 보는 편이 현실적이다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.