2026년 10월, 일본 최대의 IT 인프라 기업인 GMO 인터넷 그룹이 운영하는 윈도우 가상 사설 서버(VPS) 서비스 ‘오나마에닷컴 데스크톱 클라우드’에서 사상 초유의 대규모 해킹 침해 사고가 발생했습니다. 공격자가 고객 가상 서버 환경에 악성 프로그램을 심고 금융 인증 정보를 탈취한 정황이 확인되자, GMO 측은 10월 21일 새벽 피해 확산을 방지하기 위해 전체 26,739대의 VPS 서버를 강제 셧다운하는 극약처방을 내렸습니다. 이어 10월 27일에는 공격자 조직이 탈취한 정보의 과시 및 협박을 목적으로 개설한 불법 사이트 ‘CORONAMNG.STORE‘의 존재가 드러나며 금융 시장과 보안 업계에 초비상이 걸렸습니다. 이번 사건의 경과와 공격 수법, 그리고 2차 피해의 위험성을 정밀 분석합니다.
1. 침해 사고 경과와 피해 규모
오나마에닷컴 데스크톱 클라우드는 메타트레이더(MT4/MT5) 기반의 FX 자동매매(EA) 프로그램을 24시간 중단 없이 구동하기 위해 수많은 투자자들이 애용하던 일본 내 독보적 1위 VPS 플랫폼이었습니다.
- 10월 19일~20일: 비인가 외부 통신 발생 및 미확인 실행 파일 발견 등 이용자 제보와 관제 모니터링을 통해 대규모 침투 정황 포착.
- 10월 21일 04:00: 침해 범위가 인프라 전반에 걸친 것으로 판단되어 계약된 26,739대의 전 서버 일시 정지 및 관리 콘솔 차단 단행.
- 10월 24일~26일: 포렌식 조사 결과, 백도어를 통해 가상머신 내에 저장되어 있던 증권·외환 브로커 계좌 로그인 ID, 비밀번호, API 키 유출 확인.
- 10월 27일: 해커 그룹이 협박성 메시지와 데이터 샘플을 게시한 웹사이트 ‘CORONAMNG.STORE’를 개설, 당국과 GMO의 긴급 경보 발령.
2. 지능형 공격 수법과 인프라 장악 메커니즘
이번 사태의 핵심은 개별 사용자의 비밀번호 탈취가 아닌, 하이퍼바이저 또는 중앙 가상화 오케스트레이션 관리망이 침해되었을 가능성입니다. 침투한 공격자는 일괄 배포 스크립트를 통해 수만 대의 윈도우 게스트 OS 내부에 상주하는 크리덴셜 하베스터(자격 증명 수집기)를 심었습니다. 이 악성코드는 LSASS 프로세스 메모리, 웹 브라우저 캐시, 바탕화면에 보관된 텍스트 메모 등을 정밀 스캔하여 외환 거래 계정 정보를 집중 탈취했습니다.
3. 공격자 도메인 ‘CORONAMNG.STORE’의 실체와 위험성
10월 27일 식별된 CORONAMNG.STORE는 해커들이 기업을 압박하고 유출된 데이터의 가치를 과시하기 위해 개설한 불법 다크넷 연계형 웹사이트입니다.
해당 사이트에 절대 접속해서는 안 되는 3가지 이유
- 드라이브 바이 다운로드(웹 기반 악성코드 감염): 사이트 접속 시 브라우저 취약점을 파고들어 방문자의 로컬 PC를 좀비화하거나 랜섬웨어에 감염시킬 위험이 매우 높습니다.
- 접속자 IP 및 디지털 핑거프린트 수집: 방문자의 네트워크 정보를 채증하여 향후 추가 공격이나 표적 피싱 메일 발송의 타깃으로 활용할 수 있습니다.
- 피싱 및 데이터 사칭 사기: 해당 사이트를 모방해 “유출 여부를 확인해 준다"며 추가 개인정보를 요구하는 2차 사기 사이트가 기승을 부리고 있습니다.
4. 클라우드 금융 자산 보안의 근본적 교훈
이번 사건은 아무리 거대한 인프라 제공업체라도 관리망이 무너지면 가상 환경 내의 모든 금융 데이터가 무방비로 노출된다는 클라우드 컴퓨팅의 한계를 명백히 보여주었습니다. 금융권의 강제적 2단계 인증(2FA) 적용과 안전한 키 관리(KMS) 도입이 선택이 아닌 생존의 필수 조건임을 일깨워주고 있습니다.