은행 등 겨냥한 PHP 공격 가능성 보고…라자루스 연계는 어디까지 확인됐나

싱가포르 사이버보안업체 사이퍼마(Cyfirma)는 한국어를 쓰는 공격자들이 PHP 취약점을 이용해 각국의 정부기관과 금융기관을 공격할 준비를 하는 정황을 포착했다고 밝혔다. 10월 24일 보도된 보고서가 다룬 것은 실제 대규모 침해가 아니라 취약점 악용을 준비하는 움직임이다.

사이퍼마는 이 활동에 ‘June 2026 Minjun’ 캠페인이라는 이름을 붙였다.

문제가 된 ‘PHP2Shell’은 특정 웹사이트의 오류가 아니라 웹사이트 로그인·게시물 관리·데이터 처리 등에 널리 쓰이는 PHP 자체의 보안 결함이다. 공격자는 로그인하지 않고도 이를 악용해 서버 명령을 실행하거나 내부 정보를 빼낼 수 있어 위험도가 높다고 평가됐다.

사이퍼마에 따르면 공격자들은 익명 네트워크 I2P의 비공개 소통 채널에서 취약점 악용법을 논의하고, 인터넷에 공개된 공격 코드(PoC)를 모아 실제 작동 여부를 시험하려 했다. 코드를 검토할 우선순위를 정하는 데 AI 모델을 활용한 흔적도 있었다.

우선 표적에는 한국·미국·일본·호주의 정부기관과 은행·금융기관이 포함됐다. 제조업, 물류·해운, 공항·항공, 온라인 거래 플랫폼, 무역회사, 건설업체도 잠재적 표적으로 거론됐다. 한국어 대화와 표적 선정 방식, 웹 공격 수법이 북한 배후로 여겨지는 라자루스 그룹의 활동과 닮았다는 것이 사이퍼마의 판단이다.

공격 준비 정황에 대한 신뢰도는 높게 평가했지만, 라자루스와의 연계 가능성은 ‘중간’으로 분류했다.

한국어 사용이나 정부·금융기관을 겨냥했다는 사실만으로 북한의 소행이라고 단정할 수는 없다. 라자루스와 직접 연결되는 악성코드나 공격 인프라는 확인되지 않았고, 대규모 침해가 실제로 발생했는지도 밝혀지지 않았다.

PHP 개발팀은 수요일 취약점을 수정한 업데이트를 공개했고, 과학기술정보통신부와 한국인터넷진흥원은 목요일 ‘주의’ 경보와 보안 안내를 냈다. 한 보안 전문가는 배후 단정보다 취약점과 공격 준비 징후에 대한 감시·대응을 우선해야 한다고 말했다.