PHP 전세계 연쇄 공격에도 신고 '0건' [AI 해킹 전방위 확산]

기업별 장비 규모 따라 침해 여부 확인에 시일 소요
방화벽 24대 관리자 권한 탈취…국내 피해 여부 불분명

▲AI 생성형 이미지

웹사이트 개발에 쓰이는 프로그래밍 언어 'PHP'의 보안 취약점을 악용한 해킹 공격이 여러 국가에서 확인됐지만 국내에서는 관련 침해사고 신고가 한 건도 접수되지 않은 것으로 조사됐다. 한국도 공격 대상으로 지목된 데다 취약 장비가 상당수 존재하는 것으로 나타나면서 정부의 피해 현황 파악과 대응체계가 시험대에 올랐다.

해당 취약점은 해커가 아이디와 비밀번호 없이 특수하게 조작된 요청을 보내 서버에서 임의의 명령을 실행할 수 있어 위험성이 높다. 공격에 성공하면 원격조종 파일인 웹셸(webshell)을 설치하거나 개인정보를 유출할 수 있다. 웹사이트 변조·마비 등의 피해로도 이어질 수 있다.

1일 과학기술정보통신부(과기정통부)와 한국인터넷진흥원(KISA)에 따르면 최근 발견된 프로그래밍 언어 PHP의 보안 취약점 'PHP2Shell'과 관련해 국내에서 접수된 침해사고 신고는 0건(10월 26일 기준)으로 집계됐다.

정부는 6시간 단위로 침해사고 신고 현황을 확인하고 있다. 주요 기반시설에는 유선으로 보안 조치 여부를 점검 중이다. 일부 기업과 기관 등에 시설은 추가 확인이 필요한 상황이다. 정부는 보안 권고와 취약점 점검을 이어갈 방침이다.

국내 기업 내부망에 보안 취약점에 노출된 장비가 상당수 존재하는 것으로 나타났다. 보안기업 지니언스가 자사 클라우드 기반 네트워크 접근제어(NAC) 플랫폼에 연동된 기업 고객 장비를 분석한 결과, 내부망에서 PHP를 실행하는 장비의 96%가 PHP2Shell 취약점에 노출됐다.

취약 장비의 78%는 공식 지원이 종료된 PHP 8.1 이하 버전을 사용했다. 장비 유형별로는 일반 서버가 24%에 그쳤다. 폐쇄회로(CC)TV·영상저장장치와 보안 솔루션이 20%, 사물인터넷(IoT) 기기가 17%를 차지했다. 종류조차 확인되지 않은 장비도 27%에 달했다.

해외에서는 PHP 보안 취약점을 악용한 침해 정황이 확인됐다. 이스라엘 사이버보안 기업 드림(Dream)의 보안 연구조직 드림 리서치에 따르면 지난달 23~24일 해커는 한국과 미국, 일본, 대만에 있는 방화벽 240대를 공격 대상으로 선정했다.

이 가운데 방화벽 24대의 최고 관리자 권한을 탈취했다. 미국 정부 관련 기관에서는 방화벽 2대가 공격당한 데 이어 내부 관리 서버 1대까지 침투하면서 전체 피해 장비는 25대로 늘었다. 해커는 방화벽을 통해 내부망에 접근한 뒤 기관 내 여러 방화벽을 관리하는 중앙 관리 서버까지 장악했다.

다만 민감 정보의 전체 유출 규모와 추가 피해 범위는 확인되지 않았다. 관리자 권한을 탈취당한 방화벽 24대 중 국내 장비가 포함됐는지도 불분명하다.

미국 정부는 지난달 26일 PHP 취약점 2건을 '알려진 악용 취약점(KEV)' 목록에 등재했다. 유럽연합과 영국·네덜란드·독일 등 주요국 사이버보안 기관도 해당 취약점을 '치명적'으로 평가하고 즉각적인 보안 업데이트와 취약 시스템의 인터넷 분리 등을 권고했다.

정부가 국내 기업과 기관의 취약 장비 규모와 실제 침해 여부를 확인하는 데는 시일이 걸릴 전망이다. 과기정통부 관계자는 "보유한 IT 장비 등 자산이 많은 기업일수록 취약점 점검과 피해 여부 확인에 시간이 더 걸릴 수 있다"며 "PHP는 웹 개발에 널리 사용되는 만큼 침해사고 발생 시 피해가 클 수 있어 예의주시하고 있다"고 말했다.