수년간 침투거점 뚫고 랜섬웨어 사다 쓰고…해킹 이렇게 한다 작성일 09-26 54 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">[韓 덮친 해킹 공포]④ 지능형 지속위협, AI 발전에 대응 어려워<br>IT공급망 복잡성에 초기침투 100% 방어불가…관리형 보안 관건</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="32BRZOsd1l"> <p contents-hash="3cc5265dbc959424c35cb4e3ff0b53813323434b04dde6e29044519487ef23de" dmcf-pid="0Vbe5IOJXh" dmcf-ptype="general"> [편집자주] 위협을 넘어 공포다. 해킹이 일상화되며 매일 사용하는 휴대폰과 신용카드 안전을 걱정해야할 처지다. 북한, 중국, 러시아발 해킹 공격은 국가기관 전체를 위협한다. 정부가 해킹과의 전쟁을 선포했지만 적을 알지 못하면 방어에 성공하기 어렵다. 해커 집단의 수법을 추적 분석하고 보안 강화를 위해 어떤 부분을 정비해야할지 다각도로 따져봐야 할 시점이다.</p> <figure class="figure_frm origin_fig" contents-hash="875c7a47ccbbfdd9b30a68c53b2c82c020506118e73ccd46bfaaf7a6cc26e8c8" dmcf-pid="p6Vn3SloHC" dmcf-ptype="figure"> <p class="link_figure"><img alt="ⓒ News1 DB" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202509/26/NEWS1/20250926062122180bieg.jpg" data-org-width="560" dmcf-mid="1bNxHmrRYT" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202509/26/NEWS1/20250926062122180bieg.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> ⓒ News1 DB </figcaption> </figure> <p contents-hash="0574b0271530b85553d511afe627ab591c2f27fd7119a092e5665c7ed96a03f1" dmcf-pid="UPfL0vSgtI" dmcf-ptype="general">(서울=뉴스1) 윤주영 기자 = 최근 국내서 발생한 굵직한 침해사고 상당수는 '지능형 지속 위협(APT)'으로 인한 결과다. 특정 기업·기관의 민감한 데이터를 훔치기 위해 수년간을 잠복하며 각종 악성코드·침투 지점을 설치해 두는 방식이다.</p> <p contents-hash="e7c0230f0d1b7ce16c2540be950b455c0dd3135c6b627126644c28e1d69d8d46" dmcf-pid="uQ4opTva1O" dmcf-ptype="general">26일 보안업계에 따르면 올해 4월 수면 위로 드러난 SK텔레콤(017670) 유심정보 서버 해킹도 APT 공격 사례다.</p> <p contents-hash="c6fd64c39af5fec4a9a7641590ab0fbebefde2946f7d4c60a0775a08347a05da" dmcf-pid="7x8gUyTNXs" dmcf-ptype="general">중국계 조직이 주로 쓰는 'BPF도어'라는 백도어 악성코드가 활용됐다. 공격자는 이를 달성하고자 4년 전부터 회사 관리·코어망에 초기 침투를 감행했다.</p> <p contents-hash="6fca77314bbd874c55018f5ab48559c6910109cae139840c3da3529149092b35" dmcf-pid="zM6auWyjXm" dmcf-ptype="general">2007년 APT가 처음 거론될 때만 해도, 방식은 지금보다 단순했다. 초기 침투는 지금처럼 '표적형 이메일' 방식으로 이뤄진다. 이후 '코니(Konni)'·'플러그X(PlugX)' 등 악성코드 빌더를 이용해 침투 서버 내 관리자 권한을 획득하는 수준이었다.</p> <p contents-hash="108e8a9d53717275975b771fb87f32e06ee0155679c60ef9fad2cf0bcb8399d6" dmcf-pid="qRPN7YWA1r" dmcf-ptype="general">하지만 △생성형 인공지능(AI) 등 최신 기술의 등장 △오픈소스형 공격도구 △IT 공급망 복잡성 등에 힘입어 APT가 진화했다. 침투 가능한 표면은 늘었고, 공격을 준비하는 비용은 대폭 줄었다.</p> <p contents-hash="528620bfedfa7f6c4c573ea672f2b83fc851929bc5542373984bd35da52c3c32" dmcf-pid="BeQjzGYcYw" dmcf-ptype="general">실제로 SK쉴더스 EQST에 따르면 지난해 상반기 최다 침해사고 유형(45%)이었던 '취약점 공격'도 APT 일환이다. 가상사설망(VPN), 라우터 등 네트워크 장비의 신규 취약점을 파고든 방식이 주를 이뤘다.</p> <figure class="figure_frm origin_fig" contents-hash="8d3d2c7ed1883e7b6955a54739d161755bb08665be8fb8effd7f7aa878391b16" dmcf-pid="bdxAqHGkXD" dmcf-ptype="figure"> <p class="link_figure"><img alt="김수키 그룹으로 추정되는 공격자가 대한민국 군 관계기관을 사칭한 피싱메일(왼쪽)과 첨부된 군무원증 가짜 시안의 딥페이크 판별 결과.(지니언스 시큐리티 센터 제공)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202509/26/NEWS1/20250926062123534hmrt.jpg" data-org-width="796" dmcf-mid="tWGs403IHv" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202509/26/NEWS1/20250926062123534hmrt.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 김수키 그룹으로 추정되는 공격자가 대한민국 군 관계기관을 사칭한 피싱메일(왼쪽)과 첨부된 군무원증 가짜 시안의 딥페이크 판별 결과.(지니언스 시큐리티 센터 제공) </figcaption> </figure> <p contents-hash="70da5b293a16cb0c36385ef9c02628c64ad0a46c896d8bdeb1e5c503beb05b52" dmcf-pid="KJMcBXHEXE" dmcf-ptype="general">APT 초기 단계인 '스피어피싱'도 생성형 AI 발전으로 인해 방어가 힘들어졌다.</p> <p contents-hash="d2ea8f2d6b78737c8f2212f9b010241bf4fa085e79892e475cfaf660e937a0e4" dmcf-pid="9Ejlxz7vHk" dmcf-ptype="general">지니언스(263860) 시큐리티 센터가 소개한 북한 정찰총국 산하 '김수키' 추정 공격이 이를 잘 보여준다. 올해 7월 공격자는 딥페이크로 가짜 군무원증 시안을 제작, 관련 기관에 피싱 메일을 보냈다. 업무 요청으로 착각한 기관 종사자가 첨부파일을 열면, 서버를 탈취하는 악성파일이 깔리게 된다.</p> <p contents-hash="9c2af175784db7c8544f7579a9860bcfdf41d09453e7b75b34f6e4ff6c584223" dmcf-pid="2DASMqzTXc" dmcf-ptype="general">다른 북한 조직인 '페이머스 천리마'도 AI 에이전트로 그럴듯한 영어 이력서를 작성, 지난해 위장취업 등에 활용했다. 북미·서유럽·동아시아 등에서 320곳 기업이 피해를 봤다.</p> <p contents-hash="b62c2d06c4164bfc3a2cde9647978ba039935213d74cb5f34cb2772c816e4f58" dmcf-pid="VwcvRBqy5A" dmcf-ptype="general">초기 침투에 성공하면 APT 그룹은 여러 백도어를 설치하며 내부망을 정찰한다. 핵심은 시스템을 원격으로 제어하기 위해 외부 명령용 서버와 연결 포인트를 만드는 것이다.</p> <p contents-hash="937b90eeb4bc022510fdbd6a749399338c087872b17567108b45e0d2e3f01027" dmcf-pid="frkTebBWXj" dmcf-ptype="general">SKT 유심해킹, 지난달 롯데카드 해킹 등에 쓰인 '웹셸' 공격이 대표적이다. 서버 명령 스크립트로 작은 악성코드 조각을 만든 뒤, 웹 서버 업로드 취약점을 파고들어 이를 심는 방식이다.</p> <p contents-hash="c85965c9d0e1abd04ee85de5fd55bc9f16321f59e676c501e72bfb8acce7b795" dmcf-pid="4mEydKbYYN" dmcf-ptype="general">웹셸 통로를 이용해 공격자는 보안 인증을 우회한 채 타깃 시스템에 접속할 수 있다. 이후 웹 서버에서 명령을 실행해 관리자 권한을 획득한다.</p> <p contents-hash="142082d800680b6800db18770303eed358623dc87705c1a19ac8a0f2ed8aa4e1" dmcf-pid="8sDWJ9KG5a" dmcf-ptype="general">데이터 반출 과정에서는 공격자가 보안 담당자 주의를 분산시키는 방해공작을 펼치기도 한다.</p> <p contents-hash="5ae3f67eb8d5da95a7d993e247b41fe2fe0556d628ba64c74cc08ab32f52767a" dmcf-pid="6OwYi29H5g" dmcf-ptype="general">APT 상당수는 국가 배후 조직에 의해 수행되는 정보전 양상을 띤다고 업계는 분석한다. 글로벌 보안기업 그룹아이비 연간 보고서에 따르면, 한국은 아시아·태평양 APT 주요 표적국가 상위 10위 안에 든다. 인접한 북한·중국과 안보적 긴장 관계에 놓여서다.</p> <figure class="figure_frm origin_fig" contents-hash="c6edb05c0b7fb80c9cd522f9456b4ed35e88d41531352dee0a2f41a4717d9348" dmcf-pid="PIrGnV2X5o" dmcf-ptype="figure"> <p class="link_figure"><img alt="해커가 컴퓨터를 해킹한 뒤 돈을 요구하는 '랜섬웨어' 공격을 당한 SGI서울보증 . 2025.7.15/뉴스1 ⓒ News1 박지혜 기자" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202509/26/NEWS1/20250926062125155gzsc.jpg" data-org-width="1400" dmcf-mid="F1Y7riJqHS" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202509/26/NEWS1/20250926062125155gzsc.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 해커가 컴퓨터를 해킹한 뒤 돈을 요구하는 '랜섬웨어' 공격을 당한 SGI서울보증 . 2025.7.15/뉴스1 ⓒ News1 박지혜 기자 </figcaption> </figure> <p contents-hash="ca01cac7b8fac3f10fb107c2c904c2d817b3f7c0f1eb270de20262b7925addbe" dmcf-pid="QwcvRBqyHL" dmcf-ptype="general">금전탈취만을 목적으로 한 랜섬웨어도 대응 자체는 힘들다. 개발 지식이 없어도 누구나 번들 형태의 랜섬웨어 공격 도구를 구매해서 쓸 수 있는 시대가 됐다. 이른바 '서비스형 랜섬웨어(RaaS)'다.</p> <p contents-hash="0c005e67941c56c5156a02f60ba1ad28f3e60528f44869902a5acc25a453dd36" dmcf-pid="xrkTebBWZn" dmcf-ptype="general">SK쉴더스는 지난해 글로벌 랜섬웨어 피해의 약 15%를 일으킨 '랜섬허브' 그룹을 사례로 들기도 했다. 랜섬허브는 제휴사에 수익 약 90%를 지급하는 등 파격적 방식으로 몸집을 키웠다.</p> <p contents-hash="e9fd0006fc9a381cbdaa7a2660b193c677236de6fdc194657b2e1dd2a917dd5a" dmcf-pid="yb7QGrwMYi" dmcf-ptype="general">최근 우리나라 웰컴금융그룹 계열사와 중소형 자산운용사를 공격한 러시아계 조직 '치린(Qilin)'도 RaaS 기반 조직이다. 다른 범죄자에게 자신들 랜섬웨어와 기타 도구를 제공하고 수익 15~20%를 챙긴다고 전해진다.</p> <p contents-hash="a5cb87d5f26e5c0e122efe4d565f2e05e38710d574ac9a737c0b50a9d6dffec7" dmcf-pid="WKzxHmrRGJ" dmcf-ptype="general">공격표면이 넓어졌기 때문에 APT든 랜섬웨어든 초기 침투를 100% 막기는 사실상 불가능하다. 서버 간 이상 트래픽을 잡아내는 '관리형 보안'(MDR), 다중인증 설루션 등이 보다 현실적 대안이다.</p> <p contents-hash="da1108bba7220e1c4fd01a5c56502058209203913f4dad9af24a6c362dfada03" dmcf-pid="Y9qMXsmeGd" dmcf-ptype="general">장기적으론 데이터 접근자를 끊임없이 검증하는 '제로트러스트' 모델로 인프라를 전환해야 한다. 다만 이를 위해 보안·망 장비를 상당 부분 교체해야 하고, 구체적 방법론도 개발 단계기 때문에 시간은 더 걸릴 전망이다.</p> <p contents-hash="cd42c59fbdce1c255d6a4eefb3f4b26aa1ded243c0971704264c942b41a2c865" dmcf-pid="G2BRZOsdte" dmcf-ptype="general">legomaster@news1.kr<br><br><strong><용어설명></strong><br><br>■ 스피어피싱<br>특정 개인, 그룹 또는 조직을 대상으로 하는 피싱 공격의 한 유형. 이런 개인화한 사기는 피해자를 속여 민감한 정보를 탈취하거나, 악성 소프트웨어를 내려받게 유됴한다.<br><br>■ 가상사설망(VPN)<br>Virtual Private Network. 가상사설망. 공용 네트워크에서 분리된 내부망에 접속할 수 있도록 도와주는 보안 서비스.<br><br>■ 랜섬웨어<br>랜섬웨어는 몸값(Ransom)과 소프트웨어(Software)의 합성어로, 시스템을 잠그거나 데이터를 암호화해 쓸 수 없도록 한 뒤 이를 인질로 금전을 요구하는 악성 프로그램이다.<br><br> </p> </section> </div> <p class="" data-translation="true">Copyright © 뉴스1. All rights reserved. 무단 전재 및 재배포, AI학습 이용 금지.</p> 관련자료 이전 '정호연과 9년 연애후 결별' 이동휘 "결혼 빨리 하려했지만..이젠 늦었다"(조째즈) 09-26 다음 문소리 “♥장준환 3만원 이상 선물한 적 없어”→귀걸이 프러포즈 공개(각집부부) 09-26 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
