北 해킹조직 라자루스, 전 세계 사이버 공격 준비 정황 포착

PHP 보안 취약점 악용…정부·금융기관 등 주요 표적

북한 해킹조직과 연계된 것으로 추정되는 세력이 전 세계 정부기관과 금융기관 등을 겨냥한 대규모 사이버 공격을 준비하는 정황이 포착됐다. 다만 북한의 대표적인 해킹조직인 라자루스 그룹과 직접 연결되는 증거는 아직 확인되지 않았다.

픽사베이

24일 보안업계에 따르면 싱가포르 사이버보안 기업 사이퍼마(CYFIRMA)는 전날 발표한 보고서에서 한국어를 사용하는 해킹 세력이 프로그래밍 언어 'PHP'의 보안 취약점을 악용해 사이버 공격을 준비하고 있다고 밝혔다.

사이퍼마는 익명성이 보장되는 폐쇄형 네트워크 'I2P'에서 이들이 공격 계획을 논의하는 정황을 포착했다. 이들은 최근 발견된 'PHP2Shell' 취약점을 이용해 전 세계 웹 서버를 공격하기 위한 사전 정찰과 구체적인 공격 계획을 논의한 것으로 파악됐다.

PHP는 전 세계 웹사이트에서 널리 사용되는 서버용 프로그래밍 언어다. PHP2Shell은 별도의 로그인이나 인증 절차 없이 외부에서 서버의 명령을 실행할 수 있는 보안 결함이다. 공통취약점평가시스템(CVSS)에서 10점 만점에 9.2점을 받아 치명적 등급으로 분류됐다.

이들이 우선 공격 대상으로 선정한 곳은 정부기관과 은행 등 금융기관이다. 제조업과 물류·해운업, 항공업, 온라인 거래 플랫폼, 무역회사, 건설사 등도 표적에 포함됐다.

지역별로는 한국과 미국, 일본, 호주, 대만, 인도, 싱가포르, 아랍에미리트(UAE), 사우디아라비아, 유럽연합(EU) 등이 공격 대상으로 거론됐다.

공격을 준비하는 과정에서 인공지능(AI)을 활용한 정황도 확인됐다. 이들은 공개된 취약점 공격 코드를 수집한 뒤 자체 AI 모델로 공격 우선순위를 정하고 실제 활용에 앞서 통제된 환경에서 검증하는 방식으로 준비를 진행한 것으로 전해졌다.

사이퍼마는 이번 활동을 '2026년 6월 민준(June 2026 Minjun)' 캠페인으로 명명하고 해킹 세력이 북한 라자루스 그룹과 연계됐을 가능성을 제기했다. 다만 북한과의 연계 여부에 대한 분석 신뢰도는 '중간' 수준으로 평가했다.

보안업계에서도 신중한 판단이 필요하다는 지적이 나온다. 해킹 계획이 한국어로 논의됐고 공격 방식이 과거 라자루스의 수법과 유사하지만 이를 근거로 북한의 개입을 확정하기는 어렵다는 것이다. 특히 라자루스와 직접 연결되는 악성코드나 공격 인프라의 중복 증거는 확인되지 않았다.

유현석 기자 guspower@asiae.co.kr