北 배후 해킹 조직, PHP 공격 준비 정황 포착…정부·금융망 타깃?

미국 사이퍼마, 한국어 사용 조직의 공격 시도 정황 추적 PHP투셸 취약점 보유 타깃 선정 및 공격 검증 시도 라자루스 그룹 연관 가능성 염두…중간 수준 신뢰도 보안 패치 적용 시급…17일부터 위협 요소 탐지 필요 ⓒ뉴시스 글로벌 사이버 보안업체가 북한 해킹 조직으로 추정되는 일당이 ‘PHP투셸(PHP2Shell)’ 보안 결함을 악용한 공격 정황을 포착했다. 다만 실제 침해 사례가 확인된 건 아니다.24일 글로벌 사이버 보안·위협 인텔리전스 기업 사이퍼마(CYFIRMA)가 공개한 위협 경고에 따르면, 공격자가 PHP투셸의 취약점이 존재하는 공격 대상을 정찰하고 공개된 공격 코드를 활용하려고 검증하는 활동이 목격됐다.사이퍼마는 22일(현지 시간) 사이퍼마의 비공개 소스 데이터 수집을 통해 한국어를 사용하는 공격자가 비공개 익명 네트워크(I2P) 채널을 통해 PHP투셸 취약점을 보유한 모든 웹 접근 가능 자산에 전세계적인 정찰 및 공격 계획을 수립한 사실을 확인했다. 이 활동을 해당 채널 이름을 딴 ‘2026년 6월 민준 캠페인’으로 추적하고 있다. 사이퍼마는 해당 운영자가 북한의 라자루스 그룹과 연관돼 있다고 의심하고 있다. 중간 수준의 신뢰도 평가 상태다.◆韓 비롯 전세계 정부, 금융, 항공 등 겨냥…심각도 ‘매우 높음’이번 공격은 우리나라를 비롯해 미국, 일본, 태국, 인도네시아, 호주, 대만, 인도, 싱가포르, 아랍에미리트(UAE), 사우디아라비아, 유럽연합(EU) 전역의 정부, 은행 및 금융, 제조업, 물류 및 해운, 공항 및 항공, 온라인 거래 플랫폼, 무역 회사 및 건설 회사를 겨냥하고 있다.이번 공격 시도에 대한 심각도는 ‘매우 높음’이다. 해커가 로그인하지 않고도 조작된 요청을 웹 서버에 보내 악성코드를 실행할 수 있다는 점에서 위험성이 크다. 다만 구체적인 공격 개시일이나 실제 타깃 리스트는 확인되지 않았다.사이퍼마는 하루 뒤인 23일, 해커가 공격한 서버를 원격으로 제어하는 도구를 사용하거나 파일 업로드 과정의 정보를 악용하려는 의심 활동에서 추가 공격 출발지 IP 주소 17개를 확인했다. 하지만 그 자체만으로 이 주소들이 북한 연계 채널과 직접적으로 연결짓지는 못한다고 보고 있다.이번 사건은 사이퍼마가 관찰한 사례 중 공격자가 정부 및 금융기관을 우선적으로 표적으로 삼아 PHP2셸을 의도적으로 공격하려는 첫 시도다.◆보안 패치 적용 시급…“지난 17일부터 위협 요소 살펴야”사이퍼마는 취약한 사...