PHP 공격 준비 정황과 국가안보실 긴급 대응

무슨 일인가

청와대는 국가안보실이 송기호 국가안보실 3차장 주재로 민·관·군 사이버안보 긴급대책회의를 열었다고 밝혔습니다. 회의에서는 웹사이트를 만드는 데 쓰이는 프로그래밍 언어 PHP의 보안 취약점과 분야별 대응 상황을 점검했습니다. 정부는 해킹 위험에 대응해 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 올렸습니다.

대응의 대상은 'PHP투셸(PHP2Shell)'로 불리는 보안 결함입니다. 송 차장은 이 결함을 악용하면 인증 절차 없이도 서버를 장악할 수 있으며, 해외에서 이미 공격 시도가 보고됐다고 설명했습니다. 다만 공격을 준비하거나 시도한 정황과 실제 침입에 성공한 피해는 구분해야 하며, 현재 실제 침해 사례가 확인된 것은 아닙니다.

글로벌 사이버 보안업체 사이퍼마는 공격자가 취약한 대상을 찾아 살피고, 공개된 공격 코드가 작동하는지 검증하는 활동을 관찰했다고 밝혔습니다. 사이퍼마가 제시한 표적에는 한국을 포함한 여러 나라의 정부와 은행·금융기관, 제조업체, 물류·항공업체 등이 들어 있습니다. 이는 공격자가 겨냥한 대상으로 제시된 범위이며, 해당 기관과 기업이 실제 피해를 봤다는 뜻은 아닙니다.

공격 주체가 누구인지는 확정되지 않았습니다. 사이퍼마는 23일 의심 활동에서 공격 출발지 IP 주소 17개를 추가로 찾았으나, 이 주소들만으로 북한 연계 채널과 직접 연결할 수는 없다고 설명했습니다.

정부가 논의한 조치는 PHP 보안 업데이트 적용과 즉시 설치하기 어려운 웹사이트의 임시 보호 방안입니다. 청와대는 PHP 측이 회의 전날 긴급 보안 업데이트를 공개했다고 밝혔으며, 회의 참석 기관들은 분야별 PHP 사용 현황도 점검했습니다. 과학기술정보통신부·국방부·국가정보원 등은 위협 정보와 대응 상황을 실시간으로 공유하며 공조하기로 했습니다.

배경과 경위

사이퍼마는 현지 시간 22일 비공개 경로에서 수집한 정보를 통해 전 세계의 취약한 웹 자산을 정찰하고 공격하려는 계획을 확인했다고 밝혔습니다. 웹 자산은 인터넷으로 접근할 수 있는 웹사이트와 서버 등을 뜻합니다. 이 설명은 특정 국가의 일부 기관만을 겨냥한 사건이 아니라, 같은 결함을 가진 여러 분야의 시스템이 표적이 될 수 있다는 경위를 담고 있습니다.

누가 무엇을 주장하나

사이퍼마(사이버 보안업체)

사이퍼마는 라자루스 관련 조직이 금전적 이익과 정보 수집을 함께 노린다고 설명했습니다. 서버 침입에 성공하면 접근 권한을 다른 해커에게 넘기거나 가상자산·계정 정보를 훔치는 데 이용할 수 있다며, 보안 패치 적용과 재시작을 권고했습니다. 이는 침입 이후 가능한 위험에 대한 설명으로, 이번에 그런 피해가 발생했다는 확인은 아닙니다.

청와대·송기호 국가안보실 3차장

청와대는 공공기관과 군의 PHP 사용률이 낮아 상대적으로 안전한 상황이라고 설명했습니다. 송 차장은 인증 없는 서버 장악이 가능한 취약점의 특성과 해외 공격 시도를 들어 조치 속도가 피해 규모를 좌우한다고 밝혔습니다. 민간·정부·군이 함께 신속하게 대응을 마쳐 달라고 요청했습니다.

확인된 사실과 엇갈리는 주장

매체에 따라 달랐던 점