시나리오

Public
Institution

2023년, 미국 에너지부와 여러 연방기관은 MOVEit Transfer 파일전송 솔루션 취약점을 악용한 글로벌 공격의 영향을 받았고, DOE 산하 2개 조직의 데이터 손상 피해를 입었습니다.

핵심은 공공기관 본체만이 아니라, 기관이 사용하는 외부 파일전송·공급망 연결 구간까지 공격면이 열려 있었다는 점입니다.

• 외부 파일전송 솔루션을 포함한 공격면 식별
• 공급망형 침투 시나리오 설계 및 검증
• 사고 발생 시 CERT 연계 대응

HEXA LABS는 외부 파일전송 솔루션과 연계 시스템까지 포함한 공격면을 진단하고, 공급망 기반 침투 시나리오와 CERT 대응 체계를 함께 설계합니다.

Financial
Services

미국 대형은행 중 하나인 Capital One은 2019년 1억 600만 명 규모의 개인정보 노출 사고를 겪었고, 이로 인해 1억 5000만 달러의 피해가 발생했습니다.

공격자는 SSRF 취약점을 이용해 AWS 액세스 키에 접근, 임시 자격증명을 얻어 S3 버킷 목록을 조회한 뒤 개인정보 데이터를 복사했습니다.

• 취약점 체이닝 기반 공격 시나리오
• 데이터 접근·유출 경로까지 포함한 하이엔드 모의해킹 서비스
• WAF/프록시/메타데이터 서비스 노출 여부 검증

HEXA LABS는 클라우드 구성, IAM 권한, 데이터 저장소 접근 경로를 함께 검증해 단순 취약점 점검을 넘어 실제 유출 가능성까지 확인합니다.

Energy

2025년 미국 에너지 당국은 일부 중국산 태양광 인버터와 배터리에서 알 수 없는 통신 장치를 발견했고, 이 장치가 방화벽을 우회해 원격 조작에 사용될 수 있다는 우려가 제기됐습니다.

핵심은 발전 설비 자체보다, 인프라 자체가 하나의 공격 표면이 된다는 점입니다. 친환경 에너지 인프라는 분산형 자산과 원격 제어 구조가 결합되어 있기 때문에, 숨은 통신 기능이나 공급망 취약점 하나가 운영 리스크로 이어질 수 있습니다.

• 재생에너지 인프라에 대한 공격면 식별
• CERT 연계 대응 및 재발 방지 체계 수립
• 운영 연속성을 고려한 단계적 보안 검증

HEXA LABS는 인버터, 배터리, 원격관리 경로를 함께 검증해 친환경 에너지 인프라의 숨은 공격면을 식별합니다. 또한 운영 연속성을 고려한 단계적 모의해킹과 CERT 연계 대응을 통해, 서비스 중단 없이 실제 위협 가능성과 재발 방지 체계를 함께 점검합니다.

Manu-
facturing

미국의 대형 생활용품 제조사인 Clorox는 2023년 해킹으로 인한 네트워크 마비, 생산 라인 중단으로 대량의 품절 사태와 심각한 사업 차질을 겪었습니다.

이로 인해, 사고로 인한 시스템 복구 비용은 한화로 약 674억6300만원, 공급망 장애와 영업 중단으로 인한 총 손실 규모는 한화로 약 5234억원으로 집계되었습니다.

• 생산 시스템 영향 여부를 보는 단계적 진단
• 서비스 중단을 최소화하는 운영 환경 모의해킹
• 사고 대응 및 재발 방지 체계 수립

HEXA LABS는 사람·계정·운영 프로세스를 함께 검증해 생산 중단 없이 공격 시나리오를 테스트하고, 사고 대응과 재발 방지 체계까지 설계합니다.