미국 법무부, X 사이버 공격 이후 해커 그룹들에게 경계령 발령

토드 블랜치 법무장관은 법무부가 이번 주 X명의 사용자에게 원치 않는 비밀번호 재설정 이메일을 대량으로 보낸 사이버 범죄자들을 추적하고 있다고 밝혔습니다.

해당 플랫폼 측은 공격이 제때 차단되어 계정이 해킹당하지 않았다고 주장합니다.  

X에 대한 비밀번호 재설정 공격

2026년 9월 2일, 토드 블랜치 법무장관은 X사에 "수십만 명의 X사 사용자"가 비밀번호 복구 과정을 통한 계정 탈취 시도로 피해를 입었다고 밝혔습니다. 그는 X사가 공격을 제때 차단하여 사용자 계정 유출을 막았다고 칭찬했습니다. 

블랑쉬는 수사관들이 "범인들을 trac위해 X와 긴밀히 협력하고 있다"고 덧붙였다 

이번 공격은 9월 1일 사용자들이 계정 초기화 메시지를 대량으로 수신하고 있다는 글을 올리면서 처음 알려졌습니다. 일부 사용자의 경우 오전 9시 30분(미국 동부시간)경 짧은 시간 동안  약 10통의 이메일이 수신되었다고 합니다

해당 메시지들은 공식 이메일 주소([email protected])에서 발송되었고, 재설정을 완료하는 데 필요한 6자리 코드가 포함되어 있어 회사에서 보낸 것처럼 보였습니다. 하지만 X 엔지니어인 미둘 싱하이는 회사에서 해킹의 흔적을 발견하지 못했다고 밝혔습니다. 그는 또한 많은 양의 이메일을 보낸 것에 대해 사과했습니다. 

싱하이는 이번 공격이 XMoney하며, 공격자들이 "이제 @XMoney가 널리 사용 가능해졌으므로 계정에 무단으로 접근할 수 있다고 생각하는 것 같다"고 추측했습니다.

X는 이전에 해킹당한 적이 있나요? 

이후로 수년간 유출된dent 2025년 4월, "ThinkingOne"이라는 닉네임을 사용하는 자칭 데이터 애호가가 201,186,753개의 X 관련 기록이 담긴 34GB 파일을상태였습니다. 

ThinkingOne이 악용한 취약점은 2022년 버그 바운티 보고서에서 발견되었으며, 공격자가 이메일이나 전화번호를 사용하여 사용자를 검색할 수 있도록 허용했습니다.

이러한 이력 때문에 X의 최근 공격자들이 'dent스터핑'이라는 기법을 사용했을 가능성이 제기되고 있습니다. 이 기법은 자동화된 도구를 사용하여 탈취한 사용자 이름-비밀번호 쌍을 로그인 시스템에 대입하여 테스트하는 방식입니다. 

신용dent정보 도용은 소셜 미디어 해킹의 31%를 차지하며, 도난당한 신용 카드 쌍은 240억 개 이상 유통되고 있는 것으로 알려져 있습니다. 한 X 표적 봇넷을 발견한 연구원들은 해당 봇넷이 12분 동안 722,763개의dent카드를 테스트하는 것을 관찰했습니다.

미국 당국은 사이버 범죄 단속을 강화하고 있으며 해킹에 대한 집중적인 감시를 확대하고 있습니다. 8월 말, 법무부와 연방수사국(FBI)은 중국 정부의 지원을 받는 해킹 그룹이 NASA, 연방준비제도, 미국 상원 등을 공격하는 데 사용한 해킹 플랫폼인 QScan과 QTRouter를 법원 승인을 받아 압수했다고 발표했습니다. 

며칠 후인 9월 2일, 당국은 크라우드스트라이크(CrowdStrike)와 섀도서버 재단(Shadowserver Foundation)과 협력하여 샐리티(Sality)를 해체했습니다.

이 글을 읽고 계시다면 이미 앞서 나가고 계신 겁니다. 뉴스레터를 구독하시면 더욱 유익한 정보를 받아보실 수 있습니다.