European Space Agency (ESA) 데이터 침해 사건 #

기사 정보 #

출처: SecurityWeek, The Register, BleepingComputer, CyberInsider
작성일: 2026-01-02 (첫 번째 침해 공개), 2026-01-08 (두 번째 침해 공개)
링크:
카테고리: 데이터 유출 / 정부 부문 침해 / 우주 산업 보안

핵심 요약 #

유럽우주국(ESA)이 2주 간격으로 두 차례 사이버 침해를 공개했다. 첫 번째는 12월 외부 서버 침해로 200GB 데이터 유출, 두 번째는 9월부터 지속된 침해로 500GB의 우주선 운영 절차, 하청업체 기밀 문서 등이 탈취되었다. 공격자들은 미패치 공개 CVE를 악용했으며, 실시간 시스템 접근이 여전히 가능하다고 주장했다.

사건/이슈 배경 #

무슨 일이 일어났는가? #

첫 번째 침해 (2025년 12월): 2026년 1월 2일, ESA는 기업 네트워크 외부에 위치한 서버들이 침해되었음을 확인했다. 이는 ‘888’이라는 온라인 닉네임을 사용하는 해커가 BreachForums 사이버범죄 웹사이트에서 ESA로부터 훔친 것으로 주장되는 데이터 판매를 제안한 후 발표되었다.

공격자는 12월 18일 ESA 시스템에 침입했다고 주장하며, 약 일주일 동안 ESA의 JIRA 및 Bitbucket 서버에 접근했다고 밝혔다. 약 200GB의 데이터를 탈취했으며, 여기에는 개인 Bitbucket 저장소의 모든 내용이 포함되었다고 주장했다.

두 번째 침해 (2025년 9월부터 지속): 2026년 1월 7일, The Register는 ‘Scattered Lapsus$ Hunters’라는 위협 그룹이 훨씬 더 심각한 침해를 공개했다고 보도했다. 이 그룹은 2025년 9월 공개 CVE를 악용하여 ESA 서버에 초기 접근을 확보했으며, 500GB의 매우 민감한 데이터를 탈취했다고 주장했다.

더욱 우려되는 것은, 공격자들이 악용한 보안 취약점이 여전히 패치되지 않았으며, 실시간 시스템에 대한 지속적 접근이 가능하다고 주장한 점이다. ESA가 적어도 일주일 전에 침해 사실을 알고 샘플 데이터도 다운로드했다고 밝혔다.

누가 관련되었는가? #

공격자/위협 주체:
- 첫 번째 침해: ‘888’ (BreachForums에서 활동, Monero로 데이터 판매 제안)
- 두 번째 침해: ‘Scattered Lapsus$ Hunters’
피해자:
- European Space Agency (ESA) - 파리 본부, 23개 회원국, 약 3,000명 직원, 2025년 예산 76.8억 유로 (약 90억 달러)
간접 피해자:
- ESA 협력 업체 및 하청업체: SpaceX, Airbus Group, Thales Alenia Space, OHB System AG, Teledyne
- ESA 회원국들의 우주 프로그램 (그리스 국가 우주 프로그램 포함)

원인 분석 #

기술적 원인 #

공개 CVE 악용 (두 번째 침해):
- 공격자들은 2025년 9월 공개된 CVE를 악용하여 초기 접근 확보
- 구체적인 CVE 번호나 취약점 세부사항은 공개되지 않음
- 중요: 해당 취약점이 2026년 1월 시점에도 여전히 패치되지 않음
측면 이동 (Lateral Movement):
- 초기 침입 후 ESA 네트워크 내부로 측면 이동
- 내부 데이터 공유 플랫폼 발견 및 침투
- 이 플랫폼은 다양한 ESA 소속 우주 정거장 및 임무 파트너들이 기밀 데이터 교환에 사용
외부 서버 침해 (첫 번째 침해):
- ESA 기업 네트워크 외부에 위치한 서버들 침해
- Bitbucket 및 JIRA 서버 접근
- 이러한 서버들은 과학 커뮤니티 내 비밀이 아닌 협업 엔지니어링 활동 지원

관리적/절차적 원인 #

패치 관리 실패:
- 공개 CVE에 대한 패치가 2025년 9월부터 2026년 1월까지 최소 4개월간 적용되지 않음
- 이는 “공개된” 취약점임에도 불구하고 방치되었음을 의미
네트워크 분리 부족:
- 외부 협업 서버가 내부 민감 데이터에 접근할 수 있는 구조
- 기업 네트워크와 협업 서버 간 적절한 분리 및 접근 제어 부재
침해 탐지 지연:
- 9월부터 시작된 침해를 최소 12월까지 탐지하지 못함 (3개월 이상)
- 공격자가 일주일간 JIRA/Bitbucket에 접근했음에도 실시간 탐지 실패
데이터 분류 및 보호:
- ESA는 유출된 데이터가 “비밀이 아닌(unclassified)” 것이라고 주장
- 그러나 공격자들은 우주선 운영 절차, 하청업체 기밀 문서 등 매우 민감한 정보를 탈취했다고 주장
- 데이터 분류와 실제 민감도 간 불일치 가능성

인적 원인 #

기사에서 피싱이나 사회공학 같은 인적 요인은 언급되지 않음. 공격은 기술적 취약점 악용으로 시작된 것으로 보임.

영향 및 파급효과 #

직접적 영향 #

첫 번째 침해 (200GB):

소스 코드
CI/CD 파이프라인
API 토큰 및 접근 토큰
기밀 문서
구성 파일 (Configuration files)
Terraform 파일
SQL 파일
하드코딩된 자격증명
개인 Bitbucket 저장소 전체 덤프

두 번째 침해 (500GB):

우주선 관련:
- 운영 절차 (Operational procedures)
- 전체 서브시스템 문서
- 엔지니어링 사양
- 환경 테스트 보고서
- 시스템 요구사항 명세서 (SRS)
- 검증 및 통합 절차
ESA 임무 관련:
- Earth Observation (EO) 위성 군집
- 그리스 국가 우주 프로그램
- Next Generation Gravity Mission (NGGM)
- FORUM (Far-infrared Outgoing Radiation Understanding and Monitoring) Earth Explorer Mission
- TRUTHS (Traceable Radiometry Underpinning Terrestrial- and Helio-Studies)
하청업체 기밀 정보:
- SpaceX의 제한된 rideshare 문서
- Airbus Group, Thales Alenia Space, OHB System AG, Teledyne의 기밀 사양
- 여러 ESA 파트너의 서명된 환경 및 비적합성 보고서

간접적 영향 #

국제 우주 협력 신뢰 저하:
- ESA는 23개 회원국의 정부간 조직
- 하청업체 기밀 정보 유출로 SpaceX, Airbus 등 파트너들의 신뢰 손상
- 향후 민감한 프로젝트에서 데이터 공유 꺼려질 가능성
국가 안보 위협:
- 우주 기술은 군사적 응용 가능
- 우주선 운영 절차나 시스템 사양 유출은 적대국에게 전략적 정보 제공 가능
경쟁 우위 상실:
- ESA의 첨단 우주 기술 및 임무 계획 노출
- 중국, 러시아 등 경쟁 우주 프로그램에 기술적 이점 제공 가능
지속적인 위험:
- 공격자들이 여전히 시스템에 접근 가능하다고 주장
- API 토큰, 접근 토큰, 자격증명 유출로 추가 침해 가능성

예상 피해 규모 #

금전적 피해 규모는 공개되지 않음
ESA의 2025년 예산은 76.8억 유로 (약 90억 달러)
데이터 판매 시도: 첫 번째 침해에서 공격자가 Monero로 판매 제안 (구체적 금액 미공개)

예방 및 대응 방안 #

사전 예방 방법 #

취약점 관리 강화:
- 공개 CVE에 대한 신속한 패치 적용 (24-72시간 이내)
- 자동화된 취약점 스캐닝 및 패치 관리 시스템 구축
- 패치 우선순위 결정 프로세스 (CVSS 점수, 인터넷 노출 여부 등)
네트워크 분리 및 제로 트러스트:
- 협업 서버와 내부 민감 시스템 간 강력한 네트워크 분리
- 최소 권한 원칙 (Principle of Least Privilege) 적용
- 제로 트러스트 아키텍처 도입 (모든 접근 요청 검증)
데이터 보호:
- 민감 데이터 암호화 (저장 및 전송 시)
- API 토큰 및 자격증명을 코드나 구성 파일에 하드코딩하지 않음
- 비밀 관리 시스템 (Secrets Management) 사용 (HashiCorp Vault, AWS Secrets Manager 등)
- 토큰 자동 순환 (Automatic rotation)
침해 탐지 강화:
- SIEM (Security Information and Event Management) 구축
- 비정상 행위 탐지 (Anomalous behavior detection)
- 파일 무결성 모니터링 (File Integrity Monitoring)
- 대량 데이터 유출 탐지 시스템

사고 발생 시 대응 방안 #

즉각 대응 (ESA 실제 조치):
- 포렌식 보안 분석 시작
- 잠재적으로 영향받은 장치 보안 조치 구현
- 모든 관련 이해관계자에게 통지
- 사법 당국에 통보 및 형사 조사 개시
침해 범위 확인:
- 침해된 시스템 및 데이터 정확히 파악
- 공격 타임라인 재구성 (초기 침입 ~ 탐지까지)
- 측면 이동 경로 추적
즉각적 완화:
- 침해된 서버 격리 또는 오프라인 전환
- 모든 API 토큰, 접근 토큰, 자격증명 무효화 및 재발급
- 침해 경로 차단 (패치 적용, 방화벽 규칙 업데이트 등)
파트너 통지:
- 영향받은 하청업체 (SpaceX, Airbus 등)에 신속히 통지
- 구체적으로 어떤 데이터가 유출되었는지 공유
- 협력하여 추가 피해 방지

재발 방지 대책 #

보안 거버넌스 강화:
- ESA는 “robust framework and governance structure"를 유지한다고 밝혔지만, 반복되는 침해는 실효성 부족을 시사
- 최고정보보안책임자(CISO) 역할 강화
- 정기적인 보안 감사 및 침투 테스트
공급망 보안:
- 협력 업체 및 하청업체와의 데이터 공유 시 암호화 및 접근 제어 강화
- 제3자가 접근하는 시스템에 대한 지속적 모니터링
- 계약에 보안 SLA 및 침해 통지 의무 명시
교육 및 문화:
- 직원 대상 보안 인식 교육 (특히 하드코딩된 자격증명 위험성)
- “Security by Design” 문화 조성
- 보안 사고 보고 채널 활성화
역사로부터 학습:
- ESA는 2011년 관리자 및 FTP 자격증명 유출, 2015년 SQL 인젝션으로 8,000개 이상 패스워드 유출, 2024년 온라인 스토어 결제 스키밍 공격 등 반복적인 침해 이력
- 과거 사고의 근본 원인 분석 및 체계적 개선 필요

개인 인사이트 #

배운 점 #

“공개 CVE ≠ 패치됨”: 가장 충격적인 것은 공개된 CVE가 최소 4개월간 패치되지 않았다는 점이다. 많은 조직이 제로데이는 두려워하지만, 실제로 더 많은 침해는 “알려진” 취약점을 통해 발생한다. 공개 CVE는 공격자에게 “레시피"를 제공하는 것과 같으며, 패치하지 않는 것은 문을 활짝 열어두는 것이다.
“비밀이 아님(unclassified)” ≠ “민감하지 않음”: ESA는 유출된 데이터가 “비밀이 아닌” 협업 활동이라고 주장했지만, 공격자들은 우주선 운영 절차, SpaceX 기밀 문서, 시스템 요구사항 명세서 등을 탈취했다고 주장한다. 이는 데이터 분류와 실제 비즈니스 가치 간 불일치를 보여준다. 많은 조직이 “공식적으로 기밀"이 아니라는 이유로 중요한 지적 재산권을 과소평가한다.
하드코딩된 자격증명의 위험: 유출된 데이터에 “하드코딩된 자격증명"이 포함되어 있다는 것은 치명적이다. 이는 개발자들이 여전히 코드나 구성 파일에 패스워드를 직접 입력하고 있음을 의미한다. 이는 기초적인 보안 실수이며, 비밀 관리 시스템 사용은 더 이상 선택이 아니라 필수다.
우주 산업의 사이버 보안 취약성: 우주 산업은 첨단 기술의 집합체지만, 사이버 보안은 뒤처져 있을 수 있다. ESA의 반복적인 침해 이력 (2011, 2015, 2024, 2025)은 조직 문화나 보안 투자에 근본적 문제가 있음을 시사한다. 우주 시스템은 국가 안보와 직결되므로, 사이버 보안은 “있으면 좋은” 것이 아니라 “필수"다.
공급망의 복잡성: ESA 침해로 SpaceX, Airbus, Thales 등 다수의 하청업체 기밀 정보도 유출되었다. 이는 한 조직의 보안 실패가 전체 생태계에 파급 효과를 미친다는 것을 보여준다. 우주 산업은 국제적 협력이 필수적이지만, 이는 공격 표면도 확대한다.
지속적 접근의 위험: 공격자들이 여전히 시스템에 접근 가능하다고 주장한 것은 매우 우려스럽다. 이는 ESA가 침해 범위를 완전히 파악하지 못했거나, 백도어가 설치되었거나, 추가 취약점이 존재함을 시사한다. 침해 대응에서 가장 중요한 것은 공격자를 완전히 축출하는 것인데, 이것이 실패한 듯 보인다.
반복되는 침해 패턴: ESA는 2011년 자격증명 유출, 2015년 SQL 인젝션, 2024년 결제 스키밍, 2025년 두 차례 침해 등 지속적으로 공격받아왔다. 이는 단순히 “운이 나쁘다"가 아니라 체계적 보안 결함을 나타낸다. 조직 문화, 보안 투자, 거버넌스에 근본적 변화가 필요하다.

느낀 점 #

이 사건은 “우주 경쟁"이 단순히 기술 경쟁이 아니라 “사이버 경쟁"이기도 함을 보여준다. 우주 기술은 국가의 위신과 안보를 상징하지만, 그 기반이 되는 IT 인프라가 취약하다면 모든 것이 무너질 수 있다.

특히 우려되는 것은 ESA의 반복적인 침해 이력이다. 한두 번은 사고일 수 있지만, 15년간 지속적으로 공격받는다는 것은 구조적 문제다. 아마도 우주 과학자들은 로켓과 위성에는 전문가지만, 사이버 보안에는 충분한 관심이나 자원이 배정되지 않았을 가능성이 있다.

또한 이 사건은 “데이터 주권"과 “국제 협력” 간 긴장을 드러낸다. ESA는 유럽 23개국의 협력체이고, SpaceX (미국), Airbus (유럽), Thales (프랑스) 등 다양한 국가의 업체와 협력한다. 이런 국제적 협력은 혁신을 촉진하지만, 보안 관점에서는 복잡성을 증가시킨다. 누가 데이터를 소유하고, 누가 보호 책임을 지는지 명확하지 않을 수 있다.

마지막으로, 이 사건은 “우주 자산의 사이버 취약성"에 대한 경각심을 불러일으킨다. 만약 공격자가 지상 시스템뿐만 아니라 실제 위성이나 우주선의 운영 시스템에 접근한다면 어떻게 될까? 위성을 무력화하거나, 궤도를 변경하거나, 심지어 무기화할 수도 있다. 우주 사이버 보안은 더 이상 미래의 문제가 아니라 현재의 긴급한 과제다.