“한국어 사용, 낯익은 전술도”…전세계 흔든 PHP 해킹 공포 뒤엔
사이퍼마가 공개한 한국어 사용 공격자 간 대화 자료. PHP 보안 취약점을 겨냥한 공격 대상 선정과 공개 코드 검토 등을 논의한 정황이 담겼다. 사이퍼마 캡처
전 세계 웹사이트에서 널리 쓰이는 프로그래밍 언어 PHP의 보안 허점을 악용해 각국 정부기관과 금융기관 등을 겨냥한 사이버 공격을 준비하는 정황이 포착됐다.
공격자들이 한국어로 대화를 나누고 북한 해킹조직 라자루스와 유사한 전술을 보인 것으로 분석됐다. 하지만 북한과의 직접적인 연관성을 뒷받침할 증거는 아직 확인되지 않았다.
24일 보안업계에 따르면 싱가포르 사이버보안 기업 사이퍼마(CYFIRMA)는 지난 23일 공개한 보고서에서 익명 네트워크인 I2P의 비공개 통신 채널을 통해 한국어를 사용하는 공격자들이 PHP의 보안 허점을 이용한 공격을 준비하는 정황을 포착했다고 밝혔다.
사이퍼마는 해당 활동을 ‘June 2026 Minjun’ 캠페인으로 명명했다.
PHP는 웹사이트의 로그인과 게시글 관리, 자료 처리 등 서버에서 이뤄지는 작업에 널리 쓰이는 프로그래밍 언어다. 이번에 발견된 문제는 특정 웹사이트의 오류가 아니라 PHP 자체의 보안 결함이다.
공격자가 로그인하지 않고도 이 허점을 악용해 서버에서 명령을 실행하거나 내부 정보를 빼낼 수 있어 위험성이 크다. 보안업계는 이 취약점을 ‘PHP2Shell’이라고 부른다.
사이퍼마에 따르면 공격자들은 이 보안 허점을 이용할 수 있는 방법을 조사하고, 인터넷에 공개된 공격 실험용 코드를 수집해 실제로 작동하는지 검증하는 방안을 논의했다.
인공지능(AI) 모델을 활용해 검토할 코드의 우선순위를 정하는 등 공격 준비에 AI를 활용한 정황도 확인됐다.
공격 대상에는 한국과 미국, 일본, 호주 등 여러 국가의 정부기관과 은행·금융기관이 우선적으로 포함됐다. 제조업과 물류·해운업, 공항·항공 분야, 온라인 거래 플랫폼, 무역회사, 건설사 등도 표적으로 거론됐다.
사이퍼마는 한국어 사용과 표적 선정 방식, 기존 웹 공격 전술 등이 북한 배후 해킹조직 라자루스의 활동 양상과 유사하다고 분석했다.
다만 공격 준비 정황에 대한 신뢰도는 높게 평가하면서도 라자루스와의 연계 가능성은 ‘중간’ 수준으로 판단했다.
보안업계에서는 북한 배후설을 단정하기 어렵다는 지적도 나온다.
한국어를 사용하거나 정부·금융기관을 공격 대상으로 삼았다는 사실만으로는 북한 조직의 개입을 입증하기 어렵고, 라자루스와 직접 연결되는 악성코드나 공격 인프라가 확인되지 않았다는 것이다. 실제 대규모 침해가 발생했는지도 확인되지 않았다.
한 보안 전문가는 “취약점 자체의 위험성과 공격 준비 정황은 우선순위를 두고 관찰·대응하되, 북한 조직의 개입 여부는 추가 검증이 필요한 정보로 분류하는 것이 적절하다”고 말했다.
한편 PHP 개발팀은 지난 21일 해당 보안 허점을 해결한 업데이트를 배포했다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 22일 관련 취약점에 대해 ‘주의’ 경보를 발령하고 기업들에 보안 조치를 안내했다.
고성표([email protected])