2025.12.31 인하대학교 랜섬웨어 사고

요약

• 2025년 12월 28일 발생한 인하대 학사정보시스템 마비 사고의 배후로 랜섬웨어 그룹 '건라(Gunra)'로 식별.
• 단순한 시스템 암호화를 넘어 탈취한 데이터를 다크웹에 공개하며 금전을 요구하는 '이중 갈취(Double Extortion)' 수법이 동원된 것으로 확인

 

피해규모

• 데이터 탈취: 건라 측은 인하대 내부 자료 약 650GB를 확보했다고 주장하며 다크웹에 샘플 데이터를 게시.
• 유출 항목: 학생 및 교직원의 이름, 휴대전화 번호, 주민등록번호, 이메일 주소뿐만 아니라 증명사진, 학점, 등록금 내역, 동창회 명부 등 민감한 정보가 대거 포함.
• 시스템 장애: 홈페이지 및 학사정보시스템이 약 14시간 동안 전면 마비되었으며, 현재는 사고 전날 백업 데이터를 통해 복구된 상태임.
• 사회적 영향: 2025년 8월 SGI서울보증 해킹 등 국내 주요 기업 및 기관을 연달아 공격해 온 그룹의 소행으로 밝혀지며 추가적인 2차 피해 우려가 확산.

 

원인

• 공격 주체: 2025년 4월 최초 발견된 '건라(Gunra)' 그룹으로, 과거 악명 높았던 'Conti' 랜섬웨어의 소스코드를 기반으로 변종을 제작해 공격에 활용.
• 기술적 특징: ChaCha20 및 ChaCha8 암호화 알고리즘을 사용하여 파일을 빠르게 암호화하고, 윈도우의 볼륨 섀도 복사본(시스템 복원 지점)을 삭제하여 자가 복구를 원천 차단.
• 침투 경로: 주로 보안이 취약한 VPN(가상 사설망)이나 RDP(원격 데스크톱 프로토콜) 계정 정보를 탈취하여 내부망에 침입한 후 권한을 상승시키는 방식을 사용하는 것으로 분석.
• 관리적 결함: 대규모 데이터(650GB)가 외부로 유출되는 과정에서 트래픽 이상 징후를 실시간으로 탐지하고 차단하는 보안 모니터링 체계의 한계가 노출.