주간 보안 Top 5 - 10.26 ~ 11.1

이번 주 한눈에 이번 주 사이버 보안 분야에서는 PHP2Shell 및 API 결함을 노린 고위험 취약점 공격과 AI 기술을 결합한 신종 랜섬웨어의 무차별 위협이 두드러졌습니다. 또한 대규모 가상자산 거래소 해킹과 백업 서버 침해로 인한 공급망 연쇄 유출 사고가 잇따르며 철저한 인프라 점검과 AI 보안 거버넌스 구축이 시급해졌습니다.

1. PHP2Shell 원격코드실행 고위험 취약점 전 세계 확산

분류 취약점·패치 · 주요 대상 서버 관리자 및 웹 개발자

선정 이유: PHP 환경을 위협하는 PHP2Shell 취약점이 CVSS 9.8점의 심각도를 기록하며 시놀로지 NAS, 워드프레스, 정부 기관 서버 등 전 세계 대규모 웹 인프라에 직접적인 위협이 되고 있기 때문입니다.

PHP 런타임 및 관련 압축 라이브러리(브로틀리)에서 원격으로 악성 코드를 실행할 수 있는 ‘PHP2Shell’ 취약점이 발견되어 글로벌 스캔 및 실제 침해 사고가 급증하고 있습니다. 시놀로지(Synology) NAS 제품군에서 CVSS 9.8점의 치명적인 결함이 확인되었으며, 국내 워드프레스와 그누보드 기반 사이트 약 46만 개 및 지니언스 분석 기준 내부망 PHP 장비의 96%가 위험에 노출되었습니다. 해외에서는 중국 연계 해커 조직이 이를 악용해 서버 25대를 장악하고 미국 정부 연계 네트워크까지 침해한 사례가 확인되었습니다.

공격자는 PHP의 입력값 검증 미흡 및 런타임 결함을 악용해 인증 없이 서버에 원격 명령을 직접 실행할 수 있습니다. 1단계로 스캔 도구를 통해 인터넷에 노출된 PHP 및 NAS 장비를 탐지하고, 2단계로 악의적인 웹셸(Webshell: 공격자가 원격으로 서버를 조종하기 위해 업로드하는 악성 스크립트 파일)을 생성하거나 시스템 명령을 직접 주입하여 서버 권한을 완전하게 탈취합니다. 검증 챌린지에서도 단 19시간 만에 실제 비트코인이 털리는 등 매우 실질적이고 즉각적인 위협임이 증명되었습니다. 원격코드실행(RCE: 원격에서 공격자가 대상 시스템에 임의의 코드를 실행시키는 공격 기법)은 시스템 최상위 권한을 넘겨줄 수 있는 가장 위험한 유형의 결함입니다.

기업 보안 담당자와 개발자는 지니언스, KISA 등의 권고에 따라 내부망에 연결된 공유기, NAS, 웹 서버 등 PHP 기반 인프라를 즉시 점검해야 합니다. 최신 보안 패치를 적용하는 것이 최우선이며, 즉시 패치가 어려운 환경이라면 가상패치(Virtual Patching: 애플리케이션 자체 수정 없이 WAF 등을 통해 공격 트래픽을 차단하는 기술) 및 웹방화벽(WAF) 규칙을 즉각 적용하고 외부 노출 포트를 최소화해야 합니다.

관련 기사

2. AI 활용 신종 랜섬웨어 조직 ‘n0n’의 전 세계 무차별 공격

분류 악성코드·공격기법 · 주요 대상 기업 보안 담당자 및 경영진

선정 이유: 생성형 AI 및 자동화 도구를 적극 악용해 월 1,000만 원 상당의 AI 비용을 지출하며 전 세계 및 한국 기업을 대상으로 막대한 피해를 입히는 공격 그룹이 출현했기 때문입니다.

AI 코딩 도구를 적극적으로 활용하여 공격을 자동화하는 신종 랜섬웨어 조직 ‘n0n(논)‘이 등장하여 전 세계적인 위협으로 떠올랐습니다. 이들은 공격 자동화를 위해 AI 도구에만 월 1,000만 원 상당의 예산을 투입하며 한국 기업을 비롯해 14개국 23개 조직을 집중적으로 공격했습니다. 이들이 요구한 총 몸값 금액은 4,000억 원에 육박합니다. 국내에서도 생성형 AI를 악용한 해킹 조직에 의해 90여 곳의 기업이 피해를 입고 820만 건의 개인정보가 탈취되어 공격자가 경찰에 검거되기도 했습니다.

공격 그룹 n0n은 생성형 AI를 활용해 수백 개의 악성 스크립트와 정밀한 침투 도구를 신속하게 대량 생성합니다. 기존에는 숙련된 해커가 수일에 걸쳐 작성하던 탐지 회피 코드나 정찰 스크립트를 AI를 통해 단 수분 만에 자동 생성하고, 시스템의 취약점을 빠르게 탐색하여 랜섬웨어를 유포하는 방식으로 공격 생산성을 극대화했습니다. 랜섬웨어(Ransomware: 시스템이나 데이터를 암호화한 뒤 인질로 잡고 금전을 요구하는 악성코드) 공격이 AI 기술과 결합하면서 기술적 진입장벽은 낮아진 반면, 공격의 정교함과 속도는 대폭 향상되었습니다.

보안 실무자는 AI 기반 자동화 공격 속도에 맞서기 위해 실시간 위협 탐지 및 대응 솔루션(EDR: 단말기에서 발생하는 이상 행위를 실시간 탐지·분석하는 솔루션)을 구축하고, 중요한 데이터에 대해서는 오프라인 백업(Air-gapped Backup: 네트워크와 완전히 분리된 오프라인 상태의 데이터 백업) 체계를 철저히 유지해야 합니다. 또한 정기적인 시스템 권한 점검과 함께 이상 트래픽 발생 시 즉각 계정을 차단할 수 있는 자동화 대응 시나리오를 마련해야 합니다.

관련 기사

3. 더존비즈온 백업서버 침해 및 협회·기업 연쇄 유출 피해

분류 공급망 · 주요 대상 기업 CISO 및 IT 인프라 관리자

선정 이유: 국내 대표 B2B 솔루션 기업의 백업 서버 해킹으로 인해 KLPGA, 춘천문화재단, 재원푸드 등 다수 고객사의 민감 정보가 잇따라 유출되는 전형적인 공급망 공격 피해가 발생했기 때문입니다.

더존비즈온의 APO 백업 서버에서 외부 비인가 침해사고가 발생하여 일부 암호화된 데이터가 외부로 반출된 정황이 확인되었습니다. 이 사고의 여파로 더존비즈온의 서비스를 이용하던 KLPGA(한국여자프로골프협회), 춘천문화재단, 재원푸드, 대형 통신사 관계사 위드유 등 다양한 회원사 및 고객사들이 임직원, 가맹점주, 회원들의 개인정보 유출 가능성을 공식 공지하고 조사를 진행하고 있습니다.

공격자는 백업 서버의 보안 약점을 타깃으로 삼아 내부망에 접근한 후, 저장되어 있던 암호화 데이터베이스(DB) 및 백업 파일에 접근하여 외부로 탈취했습니다. 백업 시스템은 원래 서비스 복구를 위한 핵심 자산이지만, 원본 서버보다 상대적으로 모니터링이 소홀하거나 접근 통제가 느슨한 경우가 많아 해커들의 주요 표적이 됩니다. 이는 공급망 공격(Supply Chain Attack: 신뢰받는 외주 소프트웨어나 서비스 제공업체의 인프라를 먼저 침해한 뒤 이를 통해 연결된 고객사 전체로 피해를 확산시키는 공격 방식)의 대표적인 형태입니다.

기업 보안 담당자는 서드파티(Third-party: 외부 위탁 및 연계 서비스 제공자) 시스템과 연결된 백업 인프라의 접근 제어를 강화해야 합니다. 백업 서버는 망분리 환경에 격리하고, 다중인증(MFA: 아이디/비밀번호 외에 추가 인증 수단을 거치는 절차)을 필수 적용해야 합니다. 또한 위탁업체 관리 감독을 강화하고 침해사고 발생 시 연계된 고객사에 즉시 통보할 수 있는 긴급 비상 연락 및 대응 프로세스를 정립해야 합니다.

관련 기사

4. 美 FBI, 바이낸스 8.4조 원 규모 해킹 공식 수사 착수

분류 침해사고·유출 · 주요 대상 가상자산 관계자 및 보안 전문가

선정 이유: 단일 사건으로 역대 최대 규모인 8조 4,000억 원에 달하는 가상자산 침해 사고가 발생함에 따라 미 수사당국이 직접 수사에 나서는 등 초대형 보안 이슈이기 때문입니다.

세계 최대 가상자산 거래소인 바이낸스(Binance)에서 무려 8조 4,000억 원(약 8.4조 원) 규모의 가상자산이 해킹으로 탈취당하는 전대미문의 침해사고가 발생했습니다. 이에 따라 미국 연방수사국(FBI)이 즉각 공식 수사에 돌입했으며, 도널드 트럼프 전 대통령 등 주요 정치권에서도 북한 등 국가 배후 해킹 조직의 소행 여부를 예의주시하고 있다고 언급했습니다.

이번 사고의 구체적인 침투 경로는 수사가 진행 중이나, 공격자는 거래소 내부의 핫월렛(Hot Wallet: 인터넷에 연결되어 거래가 즉각 처리되는 가상자산 지갑) 관리 권한이나 핵심 프라이빗 키(Private Key)를 탈취한 것으로 추정됩니다. 국가 지원을 받는 APT(Advanced Persistent Threat: 특정 대상을 목표로 지속적이고 지능적으로 시스템을 침투하는 정교한 공격 그룹) 조직들은 수개월에 걸쳐 핀포인트 피싱이나 악성코드로 내부 임직원 PC를 장악한 후 권한을 상승시켜 교묘하게 자금을 이체하는 수법을 주로 사용합니다.

가상자산 관련 기업 및 기관은 핫월렛 관리에 다중서명(Multi-Sig: 거래 승인을 위해 여러 개의 키를 필요로 하는 보안 기술) 체계를 필수적으로 적용하여 단일 키 유출만으로 자금이 유출되지 않도록 해야 합니다. 또한 대부분의 가상자산을 인터넷과 완전히 격리된 콜드월렛(Cold Wallet: 인터넷에 연결되지 않은 오프라인 가상자산 지갑)에 분산 보관해야 하며, 임직원 대상의 사회공학적 피싱 공격 대비 교육과 내부망 계정 권한 관리를 대폭 강화해야 합니다.

관련 기사

11.01 - 美 FBI, ‘8.4조원’ 바이낸스 해킹 공식 수사 돌입… 트럼프 “北 소행 여부 주시 중”

5. 현대이지웰 340만 회원 개인정보 유출 및 API 취약점 경고

분류 침해사고·유출 · 주요 대상 웹 애플리케이션 개발자 및 서비스 운영자

선정 이유: 340만 명이 사용하는 복지포인트 쇼핑몰과 진에어 등 주요 서비스에서 API 비정상 접근을 통한 고객 개인정보 유출 사고가 연속적으로 발생했기 때문입니다.

약 340만 명의 회원 기반을 보유한 복지포인트 쇼핑몰 ‘현대이지웰’에서 회원정보 조회 API(Application Programming Interface)에 대한 비정상 접근으로 대규모 개인정보 유출 사고가 발생했습니다. 이와 유사하게 항공사 진에어에서도 회원정보 조회 API를 노린 외부 공격으로 인해 고객 1,454명의 개인정보가 유출되는 사고가 함께 확인되는 등 API 관련 유출이 이어졌습니다.

공격자들은 웹 및 모바일 앱 뒤에서 작동하는 API 엔드포인트의 인증 및 권한 검증 약점을 악용했습니다. 특히 BOLA(Broken Object Level Authorization: 객체 수준 권한 부여 오류) 취약점이나 파라미터 변조 기법을 사용하여, 다른 사용자의 식별자(ID)를 순차적으로 대입하거나 자동화 스크립트를 통해 대량의 개인정보 응답값을 획득하는 방식으로 정보를 탈취했습니다. API(응용 프로그램 프로그래밍 인터페이스: 서로 다른 소프트웨어 간 데이터를 주고받게 해주는 매개체)는 적절한 권한 검증이 빠지면 매우 손쉽게 전체 데이터베이스가 노출될 수 있습니다.

개발팀과 보안팀은 모든 API 엔드포인트에 대한 철저한 세션 인증 및 객체 수준 권한 검증을 구현해야 합니다. 요청자 본인 데이터에만 접근할 수 있도록 가드레일을 설정하고, API 호출 주기에 대한 속도 제한(Rate Limiting: 일정 시간 내 요청 횟수를 제한하는 기술)과 비정상 대량 조회를 실시간으로 차단하는 API 보안 전용 솔루션을 도입해야 합니다.

관련 기사

이 정리는 10월 26일~11월 1일 수집된 보안 뉴스 105건 중에서 자동 선별되었습니다.