PHP 치명적 취약점 악용한 공격 모의 포착
한국·미국·일본 등 정부·은행 우선 표적
北 라자루스 연계 가능성…직접 증거는 없어
[파이낸셜뉴스] 전 세계 웹사이트에서 널리 쓰이는 프로그래밍 언어의 치명적인 보안 취약점을 악용해 정부기관과 금융회사를 공격하려는 움직임이 포착됐다. 북한 해킹조직과 연관됐을 가능성이 제기되는 세력이 한국어로 공격 계획을 논의하고, 인공지능(AI)까지 활용해 준비한 것으로 파악됐다. 다만 북한의 직접적인 개입 여부는 확인되지 않았다.
24일 보안업계에 따르면 싱가포르 사이버보안 기업 사이퍼마(CYFIRMA)는 익명성이 보장되는 폐쇄형 네트워크에서 한국어를 사용하는 조직원들이 PHP의 보안 취약점을 이용한 사이버 공격을 준비하는 정황을 발견했다.
PHP는 웹사이트와 서버를 운영하는 데 널리 사용되는 프로그래밍 언어다. 이번에 발견된 'PHP2Shell' 취약점은 별도의 로그인이나 인증 절차 없이 조작된 요청만으로 서버에서 명령을 실행할 수 있는 결함이다. 보안 위험도 평가에서 10점 만점에 9.2점을 받아 치명적 수준으로 분류됐다.
공격 준비 세력은 정부기관과 은행 등 금융기관을 우선 표적으로 삼은 것으로 조사됐다. 제조업체와 물류·해운회사, 공항·항공 관련 기업, 온라인 거래 플랫폼, 무역회사, 건설사 등도 공격 대상에 포함됐다. 지역별로는 한국과 미국, 일본을 비롯해 호주, 대만, 인도, 싱가포르, 아랍에미리트(UAE), 사우디아라비아, 유럽연합(EU) 등이 거론됐다.
공격을 준비하는 과정에서는 AI도 활용됐다. 사이퍼마는 이들이 공개된 취약점 공격 코드를 수집한 뒤 자체 AI 모델로 공격 우선순위를 정하고, 실제 공격에 앞서 통제된 환경에서 작동 여부를 시험하는 등 체계적으로 준비했다고 설명했다.
사이퍼마는 이번 활동을 'June 2026 Minjun' 캠페인으로 명명하고 북한 배후 해킹조직인 라자루스 그룹과 연관됐을 가능성을 제기했다. 다만 북한 연계에 대한 분석 신뢰도는 '중간' 수준으로 평가했다.
실제 북한 조직의 개입을 단정하기 어렵다는 신중론도 나온다. 공격 계획에 한국어가 사용됐고 정부·금융기관을 주요 표적으로 삼았다는 점 등이 북한 연계의 근거로 제시됐지만, 라자루스와 직접 연결되는 악성코드나 공격 서버의 중복 흔적은 확인되지 않았기 때문이다.
한편 국내 보안 당국도 대응에 나섰다. PHP 개발팀은 지난 21일 취약점을 수정한 긴급 업데이트를 배포했다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 지난 22일 관련 보안 경보를 '주의' 단계로 발령하고 기업들에 보안 점검과 대응을 당부했다.
[email protected] 김경민 기자
※ 저작권자 ⓒ 파이낸셜뉴스, 무단전재-재배포 금지