서울 여의도순복음교회와 서초구 사랑의교회의 교인정보가 해외 공격자 서버에서 발견됐습니다. 보안업체 오아시스시큐리티 분석 기준으로 두 교회를 합쳐 교인정보 약 105만 건, 헌금 기록 약 33만 건이며, 교회 측은 아직 규모를 확정하지 않았어요.

금융사 7곳 연쇄 해킹이 알려진 지 며칠 만에 나온 사고인데, 이번에는 헌금 내역처럼 종교와 경제 사정을 함께 드러내는 자료가 포함됐습니다.

여의도순복음교회·사랑의교회 로고 여의도순복음교회·사랑의교회 로고 — 출처: 여의도순복음교회 · 사랑의교회

사건 경과

침해 정황 경과 타임라인 침해 정황 경과 타임라인 — 출처: 오아시스시큐리티 분석 · 여의도순복음교회 입장문 기반 자가 렌더

사이버 위협 인텔리전스 기업 오아시스시큐리티가 해킹 공격에 사용된 IP를 추적하다 해외 공격자 서버를 발견했고, 그 안에서 공격 도구·기록·계정 정보와 함께 두 교회의 자료를 확인했습니다. 서버의 기록상 자료는 8월에 탈취된 것으로 보이며, 보안업체는 9월에 보안 당국에 침해 정황을 신고했어요.

이후 한국인터넷진흥원(KISA)이 두 교회에 관련 사실을 통보했고, 10월 6일 SBS 단독 보도로 알려졌습니다. 여의도순복음교회는 입장문에서 KISA로부터 교회 정보시스템과 관련한 개인정보 유출 의심 정황을 통보받았다며 관계기관·보안 전문가와 사실관계를 확인하고 있다고 밝혔어요. 두 교회는 관계기관 신고와 비상대책팀 구성에 착수했습니다.

  • 발견 경로: 보안업체가 공격 인프라를 추적하다 공격자 서버에서 확인
  • 공격 시기: 8월(공격자 서버 기록 기준)
  • 교회 확인: 여의도순복음교회가 KISA 통보 사실을 인정, 규모는 미확정
  • 추가 정황: 다른 교회 197곳에 대한 로그인 시도 기록, 실제 유출 확인은 두 교회뿐

유출 추정 규모

공격자 서버에서 발견된 교회 자료 건수 공격자 서버에서 발견된 교회 자료 건수 — 출처: 오아시스시큐리티 분석 기반 자가 렌더

여의도순복음교회 쪽은 최근 2년 사이 갱신된 교인정보 약 96만 건과 헌금 기록 약 33만 건, 전자결재 문서 약 6만 8,000건, 내부 메신저 대화 1만 4,706건 등 모두 47.3GB 규모예요. SBS는 헌금 내역이 1993년부터 2019년까지에 걸쳐 있다고 보도했습니다.

사랑의교회 쪽에서는 교인 약 8만 9,000명과 담임목사를 포함한 임직원 286명의 정보가 확인됐어요. 이 건수는 공격자 서버에 있던 파일에서 집계한 값이라, 실제 피해자 수는 중복 제거와 교회 측 확인을 거쳐야 정해집니다.

구분 여의도순복음교회 사랑의교회
교인정보 (건) 약 96만 약 8만 9,000
확인된 항목 이름·주소·연락처 등 이름·주소·전화번호
헌금 기록 (건) 약 33만 보도 없음
내부 문서 전자결재·메신저 임직원 정보·사진

아직 확인되지 않은 것

주민등록번호 포함 여부는 보도마다 다릅니다. 파이낸셜뉴스·지디넷코리아는 여의도순복음교회 교인정보에 이름과 주민등록번호가 포함돼 있다고 썼고, SBS는 이름·주소·전화번호만 언급했어요. 계좌번호나 카드 정보가 포함됐다는 보도는 없습니다.

침입 경로

외부 시스템에서 내부로 번지는 침해 개념 컷 외부 시스템에서 내부로 번지는 침해 개념 컷 — 출처: 개념 컷 · agy 자가 생성

두 교회 모두 인터넷에서 접근할 수 있는 시스템 하나에 침입해 권한을 확대하고 연결된 내부 시스템까지 접근한 구조입니다.

단계 여의도순복음교회 사랑의교회
첫 진입 웹셸 업로드 미리 확보한 계정
첫 시스템 ERP 서버 그룹웨어 서버
권한 확대 DB 관리자 권한 IDOR 취약점
확산 연결된 내부 서비스 통합 로그인으로 ERP

웹셸(web shell)은 웹 서버에 업로드한 스크립트로, 공격자가 브라우저 요청만으로 서버 명령을 실행하게 만드는 도구예요. 여의도순복음교회는 이 방식으로 전사적자원관리(ERP) 서버에 침입한 뒤 데이터베이스 관리자 권한을 얻은 것으로 분석됐습니다.

사랑의교회는 사전에 확보한 것으로 추정되는 계정으로 그룹웨어에 로그인했고, IDOR(다른 이용자의 자료 번호만 바꿔 요청하면 다른 이용자 자료에 접근되는 접근 통제 결함)를 이용해 다른 이용자 정보와 관리자급 계정까지 얻었어요. 그룹웨어와 ERP가 통합 로그인(SSO)으로 연결돼 있어 ERP까지 접근이 이어졌습니다.

미국 종교 서비스와의 연결

오아시스시큐리티는 미국의 한 종교 콘텐츠·스트리밍 서비스 침해 때 확보된 외부 저장 서버(MinIO)의 관리자 계정이 국내 교회 자료를 저장·전송하는 데 쓰인 정황을 확인했습니다. 한 번 확보한 인프라를 다른 종교기관 공격에 재사용한 연속 캠페인일 가능성을 뒷받침하는 정황이에요. 그 미국 서비스의 이름은 공개되지 않았습니다.

확정과 추정

한국인터넷진흥원 로고 한국인터넷진흥원 로고 — 출처: KISA

이 사건에서 당사자가 공식으로 확인한 것은 KISA가 유출 의심 정황을 교회에 통보했다는 사실 하나입니다. 건수·항목·침입 경로는 보안업체가 공격자 서버를 분석한 결과이고, 교회 측은 미확인 내용은 판단할 수 없다는 입장이에요.

내용 근거 상태
KISA 유출 의심 통보 교회 입장문 확정
건수·항목·침입 경로 보안업체 분석 추정
AI 활용 하위 에이전트 표현 추정
금융권과 같은 공격자 수법 차이(관계자) 근거 없음

AI 활용 가능성은 SBS가 공격자 서버에서 하위 에이전트라는 표현과 수백 건의 분석 문서가 나왔다고 보도하면서 제기됐어요. 반면 머니투데이는 수법이 최근 금융권 AI 해킹과 달라 다른 공격자로 보인다는 관계자 설명을 전했습니다. 금융권 사고와 같은 주에 알려졌지만 같은 사건으로 판단할 근거는 아직 없습니다.

헌금 내역이 민감한 이유

개인정보 보호법 제23조는 사상·신념에 관한 정보를 민감정보로 정해 처리를 제한합니다. 특정 교회의 교인 명단과 헌금 기록은 종교를 드러내고, 헌금 액수와 기간은 가계 사정까지 짐작하게 해요. 이름·연락처만 유출된 사고와 달리 교인을 겨냥한 맞춤형 사칭이나 협박에 악용될 수 있는 이유입니다.

같은 법 제34조와 시행령은 유출을 알게 된 개인정보처리자가 72시간 안에 정보주체에게 알리고, 1,000명 이상이면 개인정보보호위원회나 KISA에 신고하도록 정하고 있어요. 교회도 교인정보를 처리하는 개인정보처리자라 이 의무를 집니다. 두 교회가 교인 개별 통지를 언제 할지는 아직 발표되지 않았어요.

교인이 할 일

교인 조치 정리 카드 교인 조치 정리 카드 — 출처: 자가 렌더

내 정보가 포함됐는지 개인이 직접 조회할 방법은 없습니다. 교회가 통지할 때까지는 유출을 전제로 사칭 연락을 경계하는 수밖에 없어요.

🔗 링크 첨부 - https://www.msafer.or.kr

🔗 링크 첨부 - https://privacy.kisa.or.kr

교회·비영리단체 운영자가 볼 것

두 사고 모두 첫 진입이 인터넷에 노출된 업무 시스템 하나였으므로, 운영자는 외부에서 접근 가능한 ERP·그룹웨어 목록부터 점검해야 합니다. 웹 서버의 업로드 경로에 실행 파일이 생성되지 않는지 감시하고, 그룹웨어 요청마다 요청자가 그 자료의 주인인지 서버에서 검사하는지(IDOR) 점검해야 합니다. 통합 로그인으로 연결된 시스템은 한 계정의 권한으로 어느 시스템까지 접근 가능한지도 따로 확인해야 해요.

참고 출처