사진은 기사와 관련 없음. /게티이미지뱅크
사진은 기사와 관련 없음. /게티이미지뱅크
전 세계 웹 서버에서 널리 활용되는 프로그래밍 언어 'PHP'의 고위험 보안 취약점을 악용해 대규모 사이버 공격을 준비하는 정황이 포착됐다. 배후 세력으로는 북한 연계 해킹조직의 가능성이 제기됐으나, 직접적인 물증은 아직 확보되지 않았다.

24일 보안업계에 따르면 싱가포르에 본사를 둔 사이버 위협 인텔리전스 기업 사이퍼마는 최근 익명 폐쇄형 네트워크인 I2P 내 비공개 채널에서 한국어를 사용하는 조직원들이 글로벌 웹 서버 대상 공격을 모의한 사실을 포착했다고 보고서를 통해 밝혔다.

이들이 노리는 결함은 최근 보고된 PHP 실행 엔진의 보안 취약점 'PHP2Shell'이다. 해당 취약점은 공격자가 별도의 계정 인증 절차 없이 조작된 웹 요청을 전송하는 것만으로 서버 내 원격 명령을 실행할 수 있는 결함으로, 공통취약점평가시스템 평가에서 10점 만점 중 9.2점을 받아 '치명적' 등급으로 분류됐다.

사이퍼마는 이번 위협 활동을 '2026년 6월 민준(June 2026 Minjun)' 캠페인으로 명명하고, 이들이 북한 정찰총국 산하 해킹조직인 라자루스(Lazarus) 생태계에 속해 있거나 연계됐을 가능성을 제기했다. 조사에 따르면 공격자들은 정부 부처와 은행 등 금융회사를 최우선 타깃으로 설정했으며, 제조업·물류해운·항공·이커머스·무역·건설 분야도 공격 후보군에 올렸다. 공격 대상 국가에는 한국을 비롯해 미국, 일본, 호주, 대만, 싱가포르, 유럽연합(EU) 회원국 등이 포함됐다. 이들은 공개된 취약점 공격 코드를 수집한 뒤 자체 인공지능(AI) 모델을 활용해 활용성을 검증하는 등 공격 준비 과정을 체계화한 것으로 전해졌다.

다만 보안 전문가들은 공격 주체를 북한 조직으로 단정하기에는 이르다고 평가한다. 사이퍼마 역시 공격 준비 활동의 신뢰도는 높게 보면서도, 라자루스 연계성에 대한 판단 신뢰도는 '중간' 수준으로 책정했다. 한국어 사용 지시문과 과거 라자루스의 웹셸 공격 기법과의 유사성 외에, 북한 조직 특유의 악성코드나 중복된 서버 인프라 등 직접적인 연계 증거는 확인되지 않았기 때문이다. 현재까지 국내 기관이나 기업의 실제 침해 피해 사례도 보고되지 않았다.

한편 PHP 개발팀은 지난 21일 해당 보안 결함을 수정한 공식 업데이트 버전을 배포했다. 과학기술정보통신부와 한국인터넷진흥원은 관련 취약점 '주의' 경보를 발령하고, 기업 보안 담당자들에게 서버 내 엔진을 최신 패치로 갱신하고 의심스러운 명령 실행 이력을 점검할 것을 당부했다.

박상경 한경닷컴 기자 highseoul@hankyung.com