정부·은행·통신까지 겨눴다…북한 해킹조직, 한국 서버 30곳 공격

북한 연계 해킹조직 ‘라자루스’가 한국의 정부·금융·통신 등 주요 산업 분야를 겨냥해 사이버 공격을 시도한 정황이 포착됐다. 해커들이 한국의 인터넷주소(IP) 대역을 유망한 공격 대상으로 직접 언급한 데 이어 실제 표적 목록에서도 국내 서버와 도메인 30곳이 확인됐다.

15일 연합뉴스에 따르면 글로벌 위협 인텔리전스 기업 사이퍼마는 이달 초 발표한 ‘PHP2Shell 취약점 악용 실태’ 업데이트 보고서에서 북한 연계 해킹조직 라자루스의 한국 대상 사이버 공격 정황을 공개했다.

보고서에 따르면 해커들은 지난달 28일 다크웹의 폐쇄형 온라인 채널에서 공격 대상 국가를 논의하며 “한국, 일본, 미국, 태국, 인도네시아, 인도의 일부 IP 대역들이 꽤 유망해 보인다”고 언급했다. 단순히 무작위로 공격 대상을 찾는 것이 아니라 국가별 주요 산업의 서버를 선별해 침투를 시도한 것으로 분석됐다.

공격 대상은 정부 기관과 은행·금융기관, 통신, 핵심 인프라, 물류·항공, 제조, 온라인 거래 플랫폼 등 7개 산업군이다. 해커들은 이들 산업에서 사용하는 PHP 기반 웹 서버를 우선 공격 대상으로 삼았다.

실제 공격 대상 규모도 상당한 것으로 나타났다. 사이퍼마가 확보한 10개국 216개 노출 서버의 원본 표적 목록을 분석한 결과 국내 서버와 도메인은 총 30곳으로 집계됐다. 아시아·태평양 지역에서 일본과 미국 등에 이어 상위권에 해당하는 규모다.

이번 공격에는 PHP 취약점을 악용한 원격 침투 방식이 활용됐다. 공격자들은 윈도우 운영체제에서 구동되는 PHP 코어의 원격 코드 실행(RCE) 취약점인 CVE-2026-109618과 CVE-2026-109619를 노린 것으로 파악됐다.

사이퍼마에 따르면 공격자들은 사전에 감염시킨 21개 스캔 노드 IP를 거점으로 삼아 표적 서버에 웹셸(악성 스크립트)을 배포하려 했다. 이후 관리자 계정 정보를 탈취하고 내부망으로 침투 범위를 넓히는 수평 이동을 시도하면서 공격 대상을 총 581개 호스트로 확대했다.

사이퍼마는 추가 피해를 막기 위해 국내 표적 30곳의 IP 주소를 보고서에서 일부 가린 채 공개했다.

보안업계는 이번 공격에 사용된 취약점이 PHP 런타임 자체에 존재한다는 점에 주목하고 있다. 단순히 웹사이트 응용프로그램을 업데이트하는 것만으로는 대응이 어렵다는 설명이다.

사이퍼마는 보고서에서 “웹사이트 응용프로그램을 업데이트하는 것만으로는 방어할 수 없다”며 “시스템 관리자는 PHP 코어 자체에 보안 패치를 적용한 뒤 모든 웹 워커 프로세스를 완전히 재시작해야 웹셸 침투를 차단할 수 있다”고 권고했다.

이 기사의 배경지식, 한눈에 이해하는 해설판으로 이동

에디터 픽 추천기사

• "이 기사 어떻게 생각하세요?" … 매경 읽으며 물음에 화답해보세요

• ‘지방전기료 할인’ 정면충돌 … 1502억 절감 vs 부담 떠넘기기

• 호남팹이 불붙인 원전 논쟁 … "24기 더 세워야" "설비 이미 충분"

• 낮에 싸게 팔아도 … 기업들 전기 안쓰는 이유는

• "유가 여전히 높다" 석유 최고가격제 5차례 연속 동결

나만의 AI 비서

핵심요약 쏙

AI 요약은 OpenAI의 최신 기술을 활용해 핵심 내용을 빠르고 정확하게 제공합니다.
전체 맥락을 이해하려면 기사 본문을 함께 확인하는 것이 좋습니다

북한 연계 해킹조직 ‘라자루스’가 한국의 정부 및 주요 산업을 겨냥한 사이버 공격을 감행한 정황이 포착됐다.

사이퍼마의 보고서에 따르면, 해커들은 PHP 취약점을 악용해 정부 기관, 금융, 통신 등 7개 산업 분야를 주요 공격 대상으로 삼아 실제로 30개 국내 서버와 도메인을 확인했다.

이 공격은 단순한 웹사이트 업데이트로는 방어할 수 없는 복잡한 취약점에 기반하고 있으며, 시스템 관리자에게는 PHP 코어에 대한 보안 패치와 전체 웹 워커 프로세스 재시작이 필요하다는 권고가 나왔다.

AI 해설 기사

AI 해설은 뉴스의 풍부한 이해를 위한 콘텐츠로, 기사 본문과 표현에 차이가 있을 수 있습니다. 정확한 내용은 기사 본문을 함께 확인해 주시기 바랍니다.

북한 연계 해킹조직 라자루스가 국내 정부와 금융, 통신 등 주요 서버 30곳을 겨냥해 치명적인 PHP 취약점을 악용한 사이버 공격을 시도한 정황이 드러났어요.

Key Points

• 북한 연계 해킹조직 라자루스가 다크웹 채널에서 한국의 인터넷주소 대역을 유망한 공격 대상으로 지목하며 사이버 공격을 모의한 사실이 글로벌 보안기업 보고서를 통해 확인되었어요.
• 이번 공격에는 별도의 로그인 없이 원격으로 명령을 실행할 수 있는 치명적인 PHP 코어 취약점이 악용되었으며, 정부 기관과 은행, 통신 등 주요 산업군이 주된 표적이 되었어요.
• 보안업계는 단순한 웹사이트 응용프로그램 업데이트만으로는 방어가 불가능하므로, 시스템 관리자가 PHP 코어에 직접 보안 패치를 적용한 뒤 웹 워커 프로세스를 완전히 재시작해야 한다고 권고하고 있어요.
• 과거부터 이어져 온 북한 해킹조직의 국내외 주요 인프라 침투 시도가 여전히 계속되고 있는 만큼, 각별한 경각심과 함께 철저한 기술적 대비가 필요한 상황이에요.

1. 사건 개요: 무슨 일이 있었나?

북한과 연계된 것으로 알려진 해킹조직 '라자루스'가 우리나라의 정부 기관, 금융회사, 통신망 등 핵심 산업 분야를 겨냥해 대규모 사이버 공격을 준비하고 있는 정황이 드러났어요. 🕵️‍♂️💻🌐🔒

글로벌 위협 인텔리전스 기업인 사이퍼마의 보고서에 따르면, 해커들은 지난달 말 다크웹의 폐쇄형 채널에서 한국을 비롯한 여러 국가의 인터넷주소 대역을 주요 공격 목표로 직접 거론했어요. 이들은 웹사이트에서 널리 쓰이는 프로그래밍 언어인 'PHP'의 치명적인 보안 취약점을 악용해 서버를 원격으로 장악하려는 계획을 세운 것으로 파악되었답니다. 🔍⚠️🎯🛠️

실제로 해커들이 확보한 공격 표적 목록에는 우리나라의 서버와 도메인 30곳이 포함되어 있어 상당한 위협이 되고 있어요. 정부와 보안 당국은 이 같은 위험성을 인지하고 관련 취약점에 대한 경보를 발령하는 등 긴급 대응에 나선 상황이에요. 🚨🇰🇷🛡️👀

2. 심층 분석: 이 뉴스는 왜 나왔나?

북한 연계 해킹조직 '라자루스'가 한국의 정부, 금융, 통신 등 주요 산업 분야를 겨냥해 대규모 사이버 공격을 준비하는 정황이 포착되면서 보안 비상이 걸렸어요. 🕵️‍♂️💻🔐🌍

이번 공격 시도의 기술적 배경에는 전 세계 웹사이트에서 널리 쓰이는 프로그래밍 언어인 'PHP'의 치명적인 보안 취약점이 자리 잡고 있어요. 해커들은 별도의 로그인 없이도 원격으로 서버를 제어할 수 있는 PHP2Shell 취약점을 노렸으며, 단순한 웹사이트 업데이트로는 방어가 어려운 코어 자체의 결함을 악용해 위험성을 키웠어요. ⚠️🔧🌐📉

과거 북한 해킹조직들이 주로 가상화폐 탈취를 통한 자금 확보에 집중했던 것과 달리, 이번에는 국가 핵심 인프라와 정부 서버를 직접 타격 대상으로 삼았다는 점에서 심각성이 커요. 특히 다크웹 채널에서 한국의 IP 대역을 유망한 공격 목표로 직접 지목하고 실제 국내 서버와 도메인 30곳이 표적 목록에 포함된 사실이 확인되면서, 국가 간 사이버 안보 위협이 한층 더 고조된 국면을 맞이하고 있어요. 🎯🇰🇷🚨🛡️

3. 주요 경과: 지금까지의 흐름 (Timeline)

• 2019.09

  미국 재무부가 북한의 주요 해킹조직인 라자루스, 블루노로프, 안다리엘을 제재 명단에 올렸어요. 이들은 각국 정부, 금융기관, 인프라 시설 등을 겨냥해 사이버 공격을 벌여왔으며, 불법 자금 확보로 무기 개발을 지원해 온 것으로 드러났어요. 🕵️‍♂️💸🚫🔒

• 2022.05

  북한 해커조직이 한국의 군사 기밀과 가상화폐를 탈취하는 사건이 잇따라 발생했어요. 미 연방수사국(FBI)은 온라인게임 해킹 사건의 배후로 라자루스를 지목했고, 국내에서는 군 지휘통제체계 자료 유출 시도가 적발되기도 했어요. 💻⚔️🌐🚨

• 2023.01 - 2023.09

  북한 연계 해킹조직들이 전 세계 암호화폐 플랫폼을 무더기로 공격해 막대한 자금을 빼돌렸어요. 특히 라자루스는 가상화폐 거래소와 베팅 플랫폼 등을 주요 표적으로 삼아 대규모 외화벌이를 지속했어요. 📉🏴‍☠️💰🌍

• 2026.10

  과학기술정보통신부와 한국인터넷진흥원이 PHP 취약점과 관련해 '주의' 경보를 발령했어요. 보안기업 사이퍼마는 북한 연계 세력이 PHP 취약점인 'PHP2Shell'을 악용해 한국 등 글로벌 주요 국가의 정부와 금융기관을 노린 대규모 사이버 공격을 모의하고 있다고 밝혔어요. ⚠️🛡️🔍🧭

• 2026.11

  보안업계에 따르면 라자루스가 한국의 인터넷주소 대역을 유망한 공격 대상으로 지목한 사실이 확인됐어요. 국내 서버와 도메인 30곳이 실제 표적 목록에 포함된 것으로 드러나면서 철저한 보안 패치와 시스템 재시작 등 긴급 대응이 권고되었어요. 🚨💻🏢🔒

4. 다각도 분석: 누구에게 어떤 영향을 미칠까?

[소비자/개인]	북한 연계 해킹조직 '라자루스'가 정부, 금융, 통신 등 주요 산업 분야를 겨냥해 사이버 공격을 시도하면서 개인 사용자들의 불안감이 커지고 있어요. 🧐 이번 공격은 전 세계 웹사이트에서 널리 쓰이는 PHP 코어의 치명적인 취약점을 악용해 원격으로 침투하는 방식으로 이루어졌답니다. 💻 만약 개인이 이용하는 온라인 거래 플랫폼이나 금융기관, 통신망 등이 이러한 해킹 공격에 노출될 경우, 개인 정보 유출이나 금융 서비스 중단 같은 불편을 겪을 수 있어요. 🏦 따라서 평소보다 보안에 각별한 주의를 기울여야 하는 상황이에요.
[산업/기업]	국내 기업들과 산업계는 북한 해킹조직의 직접적인 표적이 되면서 비상이 걸렸어요. 🚨 글로벌 위협 인텔리전스 기업 사이퍼마의 보고서에 따르면, 해커들은 한국의 IP 대역을 유망한 공격 대상으로 꼽았고 실제 국내 서버와 도메인 30곳이 표적 목록에서 확인되었답니다. 📋 이번 공격은 정부 기관뿐만 아니라 은행, 통신, 물류·항공, 제조 등 다양한 산업군의 PHP 기반 웹 서버를 겨냥하고 있어요. 🏭 특히 웹사이트 응용프로그램만 업데이트하는 것으로는 방어할 수 없고, PHP 코어 자체에 보안 패치를 적용한 뒤 웹 워커 프로세스를 완전히 재시작해야 하는 까다로운 대응이 요구되고 있어요. 🛠️
[정부/시장]	정부와 보안 시장은 국가 핵심 인프라를 보호하기 위해 총력 대응에 나서고 있어요. 🛡️ 과학기술정보통신부와 한국인터넷진흥원(KISA)은 이미 PHP 취약점과 관련해 '주의' 경보를 발령하고 기업들에 보안 대응 수칙을 안내하며 방어 태세를 갖추고 있답니다. 🏛️ 해커들이 사전에 감염시킨 스캔 노드 IP를 거점으로 삼아 관리자 계정을 탈취하고 내부망으로 침투 범위를 넓히는 수평 이동을 시도하고 있어서, 정부와 유관기관은 추가 피해를 막기 위해 취약점 점검과 모니터링을 더욱 강화해야 하는 과제를 안고 있어요. 📈

5. 핵심 시사점: 그래서 무엇이 달라지는가?

북한 연계 해킹조직인 라자루스가 한국의 정부, 금융, 통신 등 주요 산업의 서버를 직접 겨냥해 사이버 공격을 준비하고 실제 표적 목록에 국내 서버와 도메인 30곳이 포함된 정황이 포착되었어요. 이는 단순한 무작위 공격이 아니라 국가별 핵심 인프라를 선별하여 침투하려는 구조적이고 치밀한 위협이 현실화되고 있음을 보여줘요. 💻🛡️🔍

특히 이번 공격에는 웹사이트 응용프로그램 업데이트만으로는 방어가 불가능한 PHP 코어 자체의 치명적인 취약점이 악용되었어요. 이에 따라 시스템 관리자가 직접 보안 패치를 적용하고 모든 웹 워커 프로세스를 완전히 재시작해야 하는 등 기존의 대응 방식과는 차원이 다른 기술적 조치와 철저한 대비가 요구되는 국면으로 접어들었어요. 🌐⚙️🔒

6. 향후 전망: 시나리오별 예측

• 현 상태 유지 및 안착 시나리오

  북한 연계 해킹조직 라자루스가 PHP 코어 취약점(CVE-2026-109618, CVE-2026-109619)을 악용해 한국의 정부, 금융, 통신 등 주요 서버 30곳을 겨냥한 사이버 공격 시도를 이어가는 가운데, 과학기술정보통신부와 한국인터넷진흥원(KISA)의 '주의' 경보와 보안 업계의 권고에 따라 각 기관이 시스템 관리 차원에서 대응에 나서는 상황이에요. 🛡️💻

  이 시나리오에서는 시스템 관리자들이 단순한 응용프로그램 업데이트를 넘어 PHP 코어 자체에 보안 패치를 적용하고 모든 웹 워커 프로세스를 완전히 재시작하는 방어 조치를 점진적으로 이행하게 돼요. 🔒✨ 이를 통해 웹셸 침투 시도를 차단하고 내부망으로의 수평 이동을 사전에 막아내는 기본적인 방어망이 현장에 안착할 수 있어요. 🌱

• 영향력 확대 및 가속 시나리오

  해커들이 감염된 21개의 스캔 노드 IP를 거점으로 삼아 공격 대상을 기존 581개 호스트 규모로 빠르게 확장하고, 국가별 주요 산업의 서버를 선별해 침투 속도를 높이는 상황이 심화되는 경우예요. ⚡🌐

  만약 취약점이 발견된 서버들이 신속하게 패치되지 않거나 관리자 계정 정보 탈취가 발생할 경우, 정부 기관과 은행뿐만 아니라 물류, 항공, 제조 등 7대 산업군 전반으로 피해 우려가 급격히 확산될 수 있어요. 📈⚠️ 이 과정에서 글로벌 위협 인텔리전스 기업 사이퍼마의 경고처럼 추가적인 표적 식별과 정찰 활동이 더욱 거세지면서 국가 차원의 사이버 경계 태세가 최고조에 달하게 돼요. 🚨

• 변수 발생 및 흐름 반전 시나리오

  PHP 런타임 자체에 존재하는 구조적 취약점의 특성으로 인해 일선 현장에서 완벽한 패치 적용과 프로세스 재시작에 물리적인 시간과 한계가 드러날 경우, 예상치 못한 보안 공백이 발생할 수 있어요. 📉🔍

  또한 사이퍼마 보고서에서 지적된 바와 같이 일부 공격 정황을 북한 라자루스 그룹과 직접 연결하기에 명확한 증거가 부족하다는 지적이 제기되거나, 공격 주체와 인프라에 대한 독립적인 검증 과정에서 변수가 생길 수 있어요. 🕵️‍♂️❓ 이로 인해 단발성 주의 경보를 넘어 근본적인 웹 런타임 보안 체계를 재구축해야 한다는 목소리가 커지며 방어 전략의 대수술이 불가피해질 수 있어요. 🛠️

[주요 용어 해설 (Glossary)]

• 라자루스

  북한 정찰총국 산하에 있는 것으로 알려진 대표적인 해킹 조직이에요. 이들은 전 세계를 대상으로 정부 기관, 금융 기관, 통신망 등을 겨냥해 다양한 사이버 공격을 감행해 왔어요. 과거 소니픽처스 해킹 사건이나 대규모 가상화폐 탈취 사건 등의 배후로 지목되면서 국제사회의 제재 대상이 되었어요. 최근에는 한국의 주요 서버와 도메인 등을 직접적인 공격 대상으로 삼는 정황이 포착되기도 했어요.

• PHP2Shell

  전 세계 웹사이트에서 널리 쓰이는 프로그래밍 언어인 PHP의 심각한 보안 취약점을 악용하는 공격 방식을 말해요. 공격자가 별도의 로그인이나 인증 절차를 거치지 않고도 조작된 웹 요청만으로 서버에서 원격으로 명령을 실행할 수 있는 치명적인 결함이에요. 공통취약점평가시스템에서 10점 만점에 9.2점을 받을 정도로 위험성이 매우 높아요. 시스템 관리자는 단순한 웹사이트 응용프로그램 업데이트를 넘어 PHP 코어 자체에 보안 패치를 적용해야 방어할 수 있어요.

• 위협 인텔리전스

  다양한 경로로 수집되는 사이버 공격과 관련된 정보들을 분석해서 조직이 미리 위험에 대비할 수 있도록 돕는 전문적인 보안 서비스를 뜻해요. 이번 기사에서는 글로벌 위협 인텔리전스 기업인 사이퍼마가 북한 연계 해킹조직의 공격 정황과 취약점 악용 실태를 담은 보고서를 발표하면서 언급되었어요. 보안 전문가들은 이러한 인텔리전스 보고서를 통해 해커들의 대화 내용이나 구체적인 표적 목록을 파악하고 대응 방안을 마련할 수 있어요.