세계 최대 사모펀드 중 하나인 아폴로 글로벌매니지먼트(Apollo Global Management)가 클라우드 시스템 해킹으로 개인정보가 유출됐다고 확인했다. 회사는 캘리포니아주 법무장관실에 제출한 통지서에서 해커들이 7월 6일부터 10일까지(현지시각) 사회적 공학(social engineering·사람의 심리를 이용해 정보를 빼내는 기법) 공격으로 클라우드 환경에 침입했다고 밝혔다. 이름, 생년월일, 자택 주소를 포함한 연락처, 사회보장번호(SSN)가 유출된 것으로 파악됐다. 이번 사건은 구글 보안 연구진이 사모펀드·금융 대기업을 겨냥한 대규모 해킹 캠페인을 경고한 지 한 달 만에 확인된 것이어서 파장이 커지고 있다.

침해 경위와 유출된 개인정보

아폴로의 인사총괄 매튜 브레이트펠더(Matthew Breitfelder)는 통지서에서 해커들이 사회적 공학 공격으로 회사 클라우드 환경에 접근했다고 설명했다. 유출된 정보에는 이름, 생년월일, 자택 주소가 포함된 연락처, 사회보장번호가 담겼다.

회사는 유출된 개인정보가 정확히 누구의 것인지는 밝히지 않았다. 아폴로 소속 직원일 수도 있고, 아폴로가 투자한 포트폴리오 기업 관계자의 정보일 수도 있다는 것이다. 아폴로는 9,380억달러(약 1,308조원, 1달러 1,395원 기준)에 달하는 자산을 운용하는 세계 최대 사모펀드 중 하나다. 공개된 규제 신고자료에 따르면 아폴로 직원은 2026년 2월 기준 약 5,000명이다.

아폴로 대변인 지오바나 팔보(Giovanna Falbo)는 테크크런치(TechCrunch)의 문의에 즉답하지 않았다. 해커에게 대가를 지불했는지 여부를 포함한 세부 질문에도 응답하지 않았다.

팰컨·헬릭스·핑크·리댁트, IT지원 사칭한 해커들

이번 침해는 구글 보안 연구진이 경고했던 해킹 캠페인과 맞닿아 있다. 구글에 따르면 이 해커들은 팰컨(Falcon), 헬릭스(Helix), 핑크(Pink), 리댁트(Redact) 등 다양한 이름으로 활동한다. 이들은 주로 사회적 공학 공격에 의존한다. 직원에게 전화를 걸어 IT 헬프데스크나 지원팀 직원을 사칭하는 방식이다.

목표는 직원이 가짜 로그인 페이지에 비밀번호와 다단계 인증(MFA) 코드를 입력하도록 속이는 것이다. 이렇게 확보한 정보로 해커들은 기업 네트워크에 접근한다. 데이터를 탈취한 뒤에는 몸값을 요구하거나 유출 사이트에 정보를 공개하겠다고 위협하는 방식으로 기업을 압박한다. 구글에 따르면 일부 공격에서는 몸값이 최대 75만달러에 달했다.

블랙스톤·베인캐피털도 노린 광범위한 공격

아폴로 침해가 확인되기 몇 주 전, 구글 보안 연구진은 금융기관과 사모펀드를 겨냥한 광범위한 갈취 캠페인을 경고했다. 로이터 보도에 따르면 해커들은 아폴로뿐 아니라 블랙스톤(Blackstone), 브릿지워터(Bridgewater), 베인캐피털(Bain Capital) 등도 표적으로 삼았다. 다만 당시엔 이 기업들이 실제로 뚫렸는지는 불분명했다.

아폴로의 이번 확인으로 해당 캠페인이 실제 성공한 사례로 이어진 것으로 알려졌다. 금융권 전체를 겨냥한 조직적 공격이 현실화하고 있다는 우려가 커지는 배경이다.

소송 가능성 제기…남은 과제

소비자 법률 정보 사이트 클래스액션닷오알지(classaction.org)는 사회보장번호가 유출된 이번 사건과 관련해 집단소송 가능성을 조사 중이라고 밝혔다. 피해가 의심되는 이들의 제보를 받고 있다는 설명이다.

아폴로는 해커에게 몸값을 지급했는지, 정확히 몇 명의 정보가 유출됐는지 등 핵심 질문에는 아직 답하지 않고 있다. 사회보장번호까지 포함된 유출인 만큼 신원도용 등 2차 피해로 이어질 위험이 남아있다는 지적이 나온다.