✅ 보고서 제목: 위협 그룹 프로파일링 - Scattered Lapsus$ Hunters(SLSH 그룹)
✅ 보고서 요약:
- Scattered Lapsus$ Hunters 그룹(이하 SLSH 그룹)은 2025년 8월 텔레그램 기반으로 활동을 시작한 사이버 범죄 그룹입니다.
- 소셜 엔지니어링 기법을 활용해 Salesforce를 공격 후 여러 주요 기업의 데이터를 유출하였으며, 갈취 목적의 데이터 갈취 서비스(EaaS, Extortion-as-a-Service)를 운영하고 자체 RaaS(Ransomware-as-a-Service)를 운영한 정황이 확인됩니다.
- 기존에 알려진 악명 높은 그룹 Scattered Spider, ShinyHunters, Lapsus$의 연합체입니다.
📌 Scattered Lapsus$ Hunters 그룹은 어떤 조직인가요?
- SLSH 그룹은 Scattered Spider, ShinyHunters, Lapsus$의 연합체로, 세 그룹 모두 미국과 영국 기반의 청소년 사이버 범죄 네트워크 The Com과 관련이 있는 것으로 알려졌습니다.
- SLSH 그룹의 주요 멤버로 Shiny, sevy, rey, alg0dm, unc3944 등의 유저가 식별되었습니다.
- SLSH를 사칭하여 사기 행위를 시도하는 유저가 존재했으며, 텔레그램 활동 및 비트코인 주소를 바탕으로 사칭 채널과 해당 채널 운영자 @shinyspiders 유저를 식별했습니다.
📌 Scattered Lapsus$ Hunters 그룹의 주요 특징
- 금전적 동기를 기반으로 행동하며, 특정 국가나 업권을 구분하지 않은 채 전방위적 기업을 대상으로 공격을 감행했습니다.
- SLSH 그룹은 세 개의 그룹에서 사용된 전술을 혼합하여 사용하는 것으로 나타났으며, 이는 세 개의 개별 그룹이 연합을 통해 더욱 위협적인 조직으로 거듭났음을 보여주었습니다.
📌 주요 활동
- SLSH 그룹은 Vishing 캠페인과 Salesloft Drift OAuth 토큰 탈취를 통해 Google Salesforce에 접근하여 여러 기업의 데이터를 탈취했습니다.
- 한국 기업 Wemade, HMM, SKTelecom에 대한 공격을 주장했으며, 그 외 여러 국가의 주요 기업을 대상으로 한 공격과 데이터 유출을 주장했습니다.
📌 딥다크웹 포럼에서의 활동
- SLSH 그룹은 첫 공식 텔레그램 채널을 Breachforums 포럼 브랜드의 파생 포럼인 breachforums[.]hn 포럼을 통해 홍보했습니다.
- 탈취한 피해 기업의 데이터를 텔레그램 채널이나 전용 DLS(Data Leak Site) 뿐만 아니라 Breachstars 포럼과 같은 해킹 포럼에서도 유출하는 등 딥다크웹 포럼 환경에도 익숙한 것으로 보여집니다.
📌 텔레그램 채널 운영 패턴
- 공개적인 주요 활동은 텔레그램 채널을 통해 이루어졌으며, 피해 기업에서 탈취한 데이터를 지속적으로 유출하고 협상을 유도하는 메시지를 게시하여 피해 기업을 압박했습니다.
- 특히 텔레그램에 피해 기업과의 협상을 유도하는 메시지를 게시하고, 협상에 응하지 않을 경우 데이터를 유출하거나 판매하겠다는 위협성 메시지를 반복적으로 게재하며 피해 기업을 공개적으로 조롱하거나 압박하는 전술을 구사했습니다.
- SLSH 그룹이 운영하던 텔레그램 채널들은 반복적인 폐쇄와 생성을 겪었으며, 협력 관계의 채널들에 게시글을 포워딩하여 상호 연결된 네트워크로 영향력을 확장하고자 했습니다.
📌 Scattered Lapsus$ Hunters 그룹의 수익 모델
- SLSH 그룹의 브랜드를 활용해 신뢰나 평판을 내세워 갈취 서비스 모델을 구축했습니다.
- EaaS(Extortion-as-a-Service)프로그램을 운영하며 피해 기업을 협박하고, 다른 사이버 범죄 그룹과 협력하여 데이터 유출, 협박 및 협상의 과정을 대신 수행하기도 합니다.
- ShinySp1der라는 이름의 랜섬웨어를 개발하여 RaaS(Ransomware-as-a-Service)를 운영하려고 했던 정황이 확인되었습니다.
- SLSH 그룹에 대한 상세한 내용과 분석팀의 인사이트가 궁금하다면, 아래 링크를 통해 문의해주세요.
✅ 위협 탐지 권장 사항 및 조치 방안:
- 주요 구성원들의 체포를 이유로 2025년 10월 20일 활동 중단을 공지하였지만, 2025년 11월 21일 새로운 텔레그램 채널을 개설 후 활동을 이어가겠다고 선언했습니다.
- 따라서 추가적인 위협을 조기에 탐지하고 대응하기 위해 관련 인프라와 위협 행위자의 동향을 지속적으로 모니터링하며, 위협 인텔리전스 분석 및 대응 프로세스를 고도화해야 합니다.
🧑💻 보고서 작성자: S2W TALON
👉 보고서 전문 문의하기: https://s2w.inc/ko/contact
*해당 보고서는 별도 문의 가능하며, S2W의 플랫폼 구독 시 전문으로 제공됩니다.