한국 정부·은행 노리나…북한 해킹조직 라자루스, 사이버 공격 준비 정황

북한 배후 해킹조직인 라자루스 그룹과 연관된 세력이 전 세계 웹사이트에서 널리 쓰이는 프로그래밍 언어 ‘PHP’의 치명적 보안 취약점을 악용해 대규모 사이버 공격을 준비하는 정황이 포착된 것으로 전해졌다. 한국 정부와 금융기관 등이 우선 표적으로 선정된 것으로도 알려졌다.

24일 연합뉴스에 따르면 싱가포르 사이버보안 기업 사이퍼마(CYFIRMA)는 익명성이 보장되는 폐쇄형 네트워크 ‘I2P’에서 한국어를 쓰는 조직원들이 PHP 취약점을 이용한 사이버 공격을 모의하는 정황을 포착했다.

이들은 PHP 취약점 ‘PHP2Shell’(CVE-2026-109618, CVE-2026-109619)을 이용해 전 세계 웹 서버를 공격하기 위한 사전 정찰과 구체적인 공격 계획을 논의한 것으로 파악됐다.

PHP2Shell은 공격자가 별도의 로그인이나 인증 절차를 거치지 않고 조작된 웹 요청만으로 서버에서 원격으로 명령을 실행할 수 있는 결함이다.

공통취약점평가시스템(CVSS)에서 10점 만점에 9.2점을 받아 ‘치명적’ 등급에 해당한다.

사이퍼마는 이번 공격 준비 활동과 관련된 조직이 북한 라자루스 그룹 생태계에 속하거나 연계됐을 가능성이 있다고 봤다. 다만, 북한 연계에 대한 분석 신뢰도는 ‘중간’(moderate) 수준으로 평가했다.

사이퍼마가 파악한 공격 계획에 따르면 이들은 정부기관과 은행을 비롯한 금융기관을 최우선 표적으로 선정했다.

제조업과 물류·해운업, 공항·항공 분야, 온라인 거래 플랫폼, 무역회사, 건설사 등도 공격 대상에 포함됐다.

지역별로는 한국과 미국, 일본, 호주, 대만, 인도, 싱가포르, 아랍에미리트(UAE), 사우디아라비아, 유럽연합(EU) 등이 우선 공격 대상이라고 봤다.

이번 공격 준비 세력을 북한 라자루스 그룹과 직접 연결하기에는 근거가 충분하지 않다는 지적도 있다.

한 보안 전문가는 연합뉴스에 “사이퍼마가 제시한 북한 연계 근거는 한국어로 이뤄진 공격 지시와 정부·금융기관 위주의 표적 선정, 과거 라자루스가 써온 웹셸 방식과 비슷한 공격 전술 정도”라며 “정작 라자루스 그룹과 직접 연결되는 악성코드나 공격 인프라의 중복 증거는 확인되지 않았다”고 말했다.

이어 “공개된 자료만으로 실제 북한 공격조직의 개입 여부를 독립적으로 검증하기는 어려운 측면이 있다”며 “취약점 자체의 위험성과 공격 시도 정황은 우선순위를 두고 관찰·대응하되, 북한 조직의 개입 여부는 추가 검증이 필요한 정보로 분류하는 게 적절하다”고 덧붙였다.

한편, 과학기술정보통신부와 한국인터넷진흥원(KISA)은 지난 22일 PHP 취약점과 관련해 ‘주의’ 경보를 발령했다. 기업들을 대상으로 보안 대응 수칙도 안내했다.