북한 배후 해킹조직, 'PHP 보안 결함' 공격 정황…정부·금융망 겨냥

글로벌 사이버 보안업체가 북한 해킹 조직으로 추정되는 일당이 'PHP투셸(PHP2Shell)' 보안 결함을 악용한 공격 정황을 포착했다. 전 세계 웹사이트에서 쓰이는 프로그래밍 언어 PHP에서 보안 취약점이 발견된 가운데 기업과 기관의 대응이 요구되고 있다.

24일 글로벌 사이버 보안·위협 인텔리전스 기업 사이퍼마(CYFIRMA)가 공개한 위협 경고에 따르면 PHP투셸의 공격 대상을 정찰하고 공격 코드를 활용하려고 검증하는 해커의 활동이 목격됐다.

사이퍼마는 22일(현지 시각) 비공개 소스 데이터를 수집해 한국어를 사용하는 공격자가 비공개 익명 네트워크(I2P) 채널에서 PHP투셸 취약점을 보유한 웹 접근 가능 자산에 전 세계적인 정찰·공격 계획을 수립한 사실을 확인했다. 이 활동은 해당 채널 이름을 딴 '2026년 6월 민준 캠페인'으로 추적하고 있다.

사이퍼마는 운영자가 북한의 라자루스 그룹과 연관됐다고 평가하고 한국을 비롯해 미국, 일본, 태국, 인도네시아, 호주, 대만, 인도, 싱가포르, 아랍에미리트(UAE), 사우디아라비아, 유럽연합(EU) 전역의 정부, 은행과 금융, 제조업, 물류 및 해운, 공항 및 항공, 온라인 거래 플랫폼, 무역 회사와 건설 회사를 겨냥했다고 밝혔다.

사이퍼마는 지난 23일 해커가 공격한 서버를 원격으로 제어하는 도구를 사용하거나 파일 업로드 과정의 정보를 악용하려는 의심 활동에서 공격 출발지 IP 주소 17개를 확인했다. 사이퍼마가 관찰한 사례 중 공격자가 정부·금융기관을 표적으로 삼아 PHP2셸을 공격한 첫 사례다.
PHP는 워드프레스와 드루팔, 줌라, 마젠토 등 주요 웹사이트 제작·운영 도구에 사용되는 프로그래밍 언어다. 기업 홈페이지와 온라인 쇼핑몰은 물론 각종 웹서비스를 구동하는 데 활용된다. 보안회사 캘리프의 타이 즈엉 최고경영자(CEO)에 따르면 해당 취약점은 수십 년 전에도 지적됐다. 오픈AI와 캘리프가 지난 8월 GPT-5.6의 첨단 모델 '솔(Sol)'을 이용해 PHP 소스 코드를 점검하던 중 AI가 해당 취약점을 악용하는 방법을 알아냈다.

사이퍼마에 따르면 현재 PHP 언어를 사용하는 전 세계 웹사이트는 69.3%가량이다. 이 중에서 PHP 8.5.12, 8.4.27, 8.3.36 또는 8.2.35 미만의 버전을 사용하는 모든 조직이 취약한 상태다. 사이퍼마는 보안 패치 적용 후 재시작과 함께 지난 17일부터 위협 요소를 탐지할 필요가 있다고 조언했다. 특히 아파치(Apache) 웹 서버에서 PHP 프로그램을 직접 실행하는 환경은 공격에 노출될 위험이 커서 각별한 주의가 요구된다고 설명했다.

미국 NSA는 긴급 보안 권고를 내고 PHP를 사용하는 기업과 기관에 즉각적인 보안 패치 적용을 촉구했다. 당장 업데이트하기 어려운 시스템은 안전한 조치가 이뤄질 때까지 인터넷 연결을 차단하는 등 오프라인으로 전환할 것을 권고했다.

유럽연합(EU) 집행위원회와 유럽연합 사이버보안청(ENISA), CERT-EU 등도 PHP 기반 시스템에 대한 긴급 점검과 보안 업데이트를 촉구했다. 영국 국민보건서비스(NHS) 잉글랜드의 사이버보안 조직도 인증 절차 없는 원격 코드 실행과 민감한 메모리 정보 접근 가능성을 경고했다. 일본 정보처리추진기구(IPA) 역시 기업과 기관에 보안 업데이트를 촉구했다.

사이퍼마 측은 "라자루스 관련 해킹 조직이 금전적 이익과 정보 수집을 동시에 노리고 있다. 서버 침입에 성공하면 접근 권한을 다른 해커에게 넘기거나 가상자산을 탈취하고, 랜섬웨어 공격이나 계정 정보 탈취를 시도할 수 있다"며 "장기간 시스템에 숨어 기밀 정보를 수집할 가능성도 있다"고 설명했다.