북한 해킹조직, 전 세계 서버 581곳 노렸다…한국 정부도 겨냥

최승우 기자

입력 2026.11.15 10:50

사이퍼마 보고서, 한국 서버 표적 목록 확인
정부·금융·통신부터 제조·물류까지 대상 확대

북한 정찰총국과 연계된 것으로 알려진 해킹조직 라자루스(Lazarus) 계열로 추정되는 해커들이 한국의 정부기관과 금융회사, 통신·기반시설 등을 겨냥해 대규모 사이버 공격을 시도한 정황이 포착됐다. 해커들은 전 세계 인터넷 서버를 대상으로 공격 범위를 확대하고 있으며, 국내 서버 30곳도 표적 목록에 포함된 것으로 나타났다.

15일 글로벌 보안기업 사이퍼마(CYFIRMA)는 지난 4일 공개한 'PHP투셸 취약점의 실제 공격 악용 상황과 피해 위험 분석 보고서'를 통해 이같이 밝혔다.

보고서에 따르면 사이퍼마는 한국어를 사용하는 해킹조직이 익명 네트워크인 I2P에서 PHP 소프트웨어의 보안 취약점을 이용한 공격 계획을 논의한 사실을 확인했다. 이들은 정부 기관과 은행, 금융회사, 통신·기반시설 운영업체 등을 주요 공격 대상으로 선정했다. 제조업체와 물류·해운업체, 공항, 온라인 결제업체 등도 표적에 포함됐다.

사진은 해당 기사 내용과 직접적인 관계 없음. 픽사베이

공격에 활용된 취약점은 'PHP2Shell'로 불리는 두 가지 보안 결함(CVE-2026-109618, CVE-2026-109619)이다. PHP는 전 세계 웹사이트와 온라인 서비스의 서버 프로그램을 개발하는 데 널리 사용되는 프로그래밍 언어다. 해당 취약점을 악용하면 별도의 인증 절차 없이 원격에서 서버 명령을 실행할 수 있다. 두 취약점의 심각도는 10점 만점에 9.2점으로 평가됐다.

사이퍼마가 확보한 최초 공격 대상 목록은 10개국 216개 인터넷 연결 서버로 구성됐다. 국가별로는 미국 49곳, 일본 47곳, 인도 31곳, 한국 30곳 등이 포함됐다. 해커들은 21개의 침해된 서버를 경유해 공격 대상을 탐색했으며, 탐지와 차단을 피하기 위해 공격 속도를 낮추고 경유지를 교체하는 수법을 사용한 것으로 조사됐다.

특히 해커들은 10월 25일부터 29일 사이 취약점 악용을 시도했다고 주장했으며, 공격 대상 규모를 기존 216곳에서 581곳으로 확대했다고 밝혔다. 다만 581곳이라는 숫자는 해커들이 주장한 규모다.

사이퍼마는 공격을 준비한 조직이 북한의 국가 지원을 받는 라자루스 계열 해킹조직과 연관됐을 가능성을 높은 신뢰도로 평가했다. 한국어 사용자의 활동과 북한식 어휘, 과거 라자루스가 사용한 공격 인프라 및 금융기관을 겨냥한 수법 등이 근거로 제시됐다. 공격 목적은 정보 수집과 금전 탈취를 모두 포함하는 것으로 분석됐다.