✅ 보고서 제목:
위협 행위자 프로파일링: hize_hacker (a.k.a. @ULOSE)

📌 hize_hacker는 어떤 위협 행위자인가요?

• 2024년 6월 28일, 다크웹 해킹 포럼 Leakbase에 Iburaham.muhame 이라는 닉네임으로 가입하여 포럼 활동을 시작했습니다.
  • Leakbase 포럼 외에 Darknet Army, BHF, Leakzone, Darkforums 포럼 등 기타 DDW 포럼에서도 활동 중인 이력이 확인되었습니다.
    • 다수의 유저네임을 사용하며, 포럼별로 여러 계정을 생성해 각 계정에서 단기간 활동하는 특징이 있습니다.
  • 데이터 유출 및 판매를 위한 텔레그램 채널을 운영하였으며, 해당 채널에 탈취한 데이터의 샘플을 업로드했습니다.
  • ULOSE라는 DLS(Dedicated leak site)를 운영하며, 기존에 각 해킹 포럼에서 공유했던 피해 기업들의 탈취 데이터를 모아 유출하고 있습니다.

📌 hize_hacker의 활동 패턴

• 주로 한국을 대상으로 공격을 수행하며, 영어 및 한국어를 사용하여 탈취 데이터 판매 게시글을 업로드합니다.
• 국내 기업 및 기관 중에는 병원(2025-07-26), 부동산 시험 교육기관(2025-08-03), 항공기 부품 제조 기업(2025-09-08), 법무법인(2025-09-22), 대부업(2026-03-10), 대부업(2026-03-25), 제약 기업(2026-04-06)이 대상이 되었습니다.
• 게시물 및 댓글 작성 시간 등 활동 시간 분석 결과, UTC+9 기준으로 18시에서 익일 0시까지 주로 활동하였으며, 특히 22시에 활동 빈도가 가장 높은 것으로 나타났습니다.
  • 주 공격 대상 및 활동 시간으로 보아 한국에서 활동하고 있을 가능성이 높습니다.

📌 hize_hacker의 공격 패턴

• hize_hacker는 한국 기업의 대규모 데이터 탈취, 유출을 통해 수익을 창출하며, 자체 DLS인 ULOSE를 기반으로 데이터 판매 활동을 지속하는 데이터 갈취형 위협 행위자로 추정됩니다.
  • 동일 피해기업의 유출 데이터를 유사한 시기에 게시하고 동일한 샘플을 공유한 정황을 고려할 때 랜섬웨어 그룹 Gunra의 Affiliate 또는 협력 관계에 있었을 가능성이 있습니다.

✅ 위협 탐지 권장 사항 및 조치 방안

• hize_hacker 유저는 주로 한국을 대상으로 공격을 수행하며, 대용량 데이터를 탈취한 후 이를 판매하여 금전적 이득을 취하는 것을 주된 목적으로 하는 것으로 추정됩니다. ULOSE라는 DLS 사이트를 직접 운영하고 있는 것으로 확인되며, 이는 랜섬웨어 및 데이터 갈취(Extortion) 그룹에서 일반적으로 관찰되는 활동 양상과 유사한 특징을 보입니다.
  • 향후 암호화 도구를 활용한 공격 수행이나 RaaS(Ransomware-as-a-Service) 운영 등을 통해 조직적인 공격 활동으로 발전할 가능성이 존재하므로 지속적인 모니터링이 필요합니다.
• 침투 증빙 스크린샷에서 피해 기업의 PDM 및 DB 서버에 직접 접근하여 데이터를 탈취한 정황이 확인되나, 접속 과정 및 사용된 공격 도구에 대한 자료가 없어 구체적인 초기 침투 경로와 공격 기법은 식별하기 어렵습니다.
  • 서버 접근을 최소 권한 원칙과 네트워크 분할로 제한하고, 침입 탐지 시스템으로 비정상 접근을 실시간 모니터링해야 합니다.