여의도순복음교회가 10월 7일 보도자료를 내고, 한국인터넷진흥원(KISA)으로부터 전날 오후 3시 교회 정보시스템 침해 사고 발생 정황을 통보받은 직후 긴급 보안 점검에 착수하고 외부 보안 전문기관과 유출 의심자료와 시스템 접속기록 등을 분석했다고 밝혔다.
교회는 유출 의심자료 7건 가운데 교구 전입·전출 이력, 직분 임명 내역, 침례 이력 등 6건에는 개인정보가 포함되지 않았으며, 성도 정보 변경 이력 1건에서 일부 개인정보가 포함된 사실을 확인했다고 설명했다.
성도 정보 변경 이력에는 총 85만 명의 이름과 생년월일, 변경 내용 등이 들어 있으며, 이중엔 주민등록번호 변경 이력 2,629건, 전화번호 변경 이력 3,964건, 주소 변경 이력 7,202건도 포함됐다고 교회는 전했다.
교회는 관련 법령과 절차에 따라 해당 성도들에게 유출 사실을 통보 중이라고 밝혔다.
사이버 위협 인텔리전스 기업 오아시스시큐리티가 해외 공격자 서버에 저장된 공격 도구와 기록, 계정 정보 등을 분석하는 과정에서 국내 대형 교회 2곳의 관련 자료를 확인하고, 여의도순복음교회와 사랑의교회가 사이버 공격에 노출된 정황이 있다고 밝혔다.
업체는 여의도순복음교회의 경우 공격자가 웹쉘을 이용해 전사적자원관리(ERP) 시스템 서버에 침투한 뒤 데이터베이스 관리자 권한을 확보하고 다른 내부 시스템과 연결된 서비스로 접근 범위를 넓힌 정황이 있다고 설명했다.
업체는 인사·회계 시스템과 그룹웨어, 데이터베이스 같은 핵심 업무 시스템들이 서로 어떻게 연결돼 있고 인증·권한 체계는 어떤지 함께 점검할 필요가 있다고 밝혔다.
오아시스시큐리티가 해외 공격자 서버에서 여의도순복음교회 관련 교인 헌금 기록 약 33만 건과 최근 2년간 업데이트된 교인정보 약 96만 건, 전자결재 문서 약 6만8천 건, 내부 메신저 대화 기록 1만4,706건 등 약 47.3GB 규모의 자료를 확인했다고 밝혔다.
업체는 공격자가 웹쉘로 ERP 서버에 침투해 MSSQL 데이터베이스의 sysadmin 권한을 확보한 뒤 내부 NAS와 파일 서버까지 접근 범위를 넓혀 외부 MinIO 인프라로 전송한 정황이 있다고 설명했다.
업체는 미국 종교 콘텐츠·스트리밍 서비스 침해 과정에서 확보된 계정이나 관련 인프라가 이후 국내 교회를 겨냥한 공격에도 활용됐을 가능성이 있다고 분석했지만, 이러한 정황만으로 각 공격의 주체가 동일하다고 단정하기는 어렵다고 밝혔다.