X 사이버 공격 후 법무장관 토드 블랑치가 해커 그룹에 경계령을 내렸습니다

토드 블랑치 법무장관은 이번 주 X 사용자를 대상으로 요구되지 않은 비밀번호 재설정 이메일을 폭격했던 사이버 범죄자들을 법정이 추격하고 있다고 밝혔습니다.

플랫폼은 공격이 제때 차단되었기 때문에 계정이 침해되지 않았다고 주장합니다.  

X의 비밀번호 재설정 공격

9월 2, 2026, 법무장관 토드 블랑치는 X에 “수십만 명의 X 사용자”가 비밀번호 복구 절차를 통해 계정을 하이재킹하려는 조직적인 시도에 영향을 받았다고 밝혔습니다. 그는 회사가 공격을 제때 차단하고 사용자 계정이 침해되는 것을 방지한 점을 높이 평가했습니다. 

블랑치는 조사관들이 “X와 긴밀히 협력하여 범죄자를 추적하고 있다”고 덧붙였습니다. 

공격은 9월 1일 재설정 메시지의 파도가 도착했다는 사용자들의 게시물을 통해 처음 알려졌습니다. 일부 수신함에는 약 10통의 이메일이 9:30 동부 표준시(EST)를 중심으로 짧은 시간 동안 수집된 것으로 보고되었습니다. 

이 메시지들은 공식 이메일([email protected])에서 발송되었고 재설정을 완료하는 데 필요한 6자리 코드를 포함하고 있어 진위처럼 보였습니다. 그럼에도 불구하고 X 엔지니어 미두랄 싱하이(Mridul Singhai)는 회사에 침해 징후가 발견되지 않았다고 말했습니다. 그는 또한 이메일 수량에 대해 사과했습니다. 

싱하이는 이 공격을 X 머니(X Money), 7월에 일반에게 공개된 일론 머스크의 결제 상품과 연결 지으며, 공격자들이 “@XMoney가 널리 이용 가능해지면서 계정에 무단으로 접근할 수 있다고 믿고 있다”고 제안했습니다.

X는 이전에 해킹당한 적이 있습니까? 

2025년 4월 발생한 사고 이후 X의 데이터는 수년간 유출되어 왔습니다. 이 사고에서 ‘ThinkingOne’이라는 닉네임을 사용한 자칭 데이터 애호가는 34GB의 ⟦N1⟧ X 레코드 201,186,753 X 레코드가 포함된 파일를 포함하여 이름, 이메일 주소, 사용자 이름 및 팔로워 수를 담은 파일을 게시했습니다. 

ThinkingOne이 악용한 취약점은 2022년 버그 바운티 보고서에서 비롯된 것으로, 공격자가 이메일이나 전화번호를 사용하여 사용자를 검색할 수 있게 했습니다.

이러한 역사 때문에 X의 최근 공격자들이 자격 증명 스푸핑(credential stuffing)이라는 기법을 사용했을 가능성이 제기되고 있습니다. 이는 자동화 도구를 사용하여 도용된 사용자 이름-비밀번호 쌍을 로그인 시스템에 대입하는 방식입니다. 

자격 증명 스푸핑은 소셜 미디어 해킹의 31%를 차지하며, 유통 중인 도용된 쌍은 240억 개가 넘습니다. X 전용 봇넷을 발견한 연구원들은 12분 동안 722,763개의 자격 증명을 테스트하는 것을 목격했습니다.

미국 당국은 사이버 범죄 단속을 강화하고 해킹에 대한 집중도를 높이고 있습니다. 8월 말 법무부(DOJ)와 FBI는 중국 국가 지원 그룹이 중국 국가 후원 그룹 NASA, 연방준비제도(Fed), 미국 상원 등을 대상으로 사용한 두 가지 해킹 플랫폼인 QScan과 QTRouter의 법원 승인 압수를 발표했습니다. 

그로부터 며칠 후인 9월 2일, 크라우드스트라이크(CrowdStrike)와 섀도우서버 재단(Shadowserver Foundation)과 협력한 당국은 살리티(Sality)를 해체했습니다. 이 러시아 기반 봇넷은 23년 동안 운영되며 1,100만 개 이상의 기계를 감염시킨 것으로 보고되었습니다.