국내 공공기관과 금융기관 홈페이지에 쓰이는 PHP에서 보안 우려가 제기됐다. /그래픽=신재민 편집위원


지방정부와 금융기관 홈페이지 운영에 쓰이는 소프트웨어에서 해커가 서버를 장악할 수 있는 심각한 보안 결함이 발견됐다. 이를 악용하면 개인정보를 빼내거나 홈페이지를 변조할 수 있음에도 노후 시스템을 외주 관리하는 지자체는 대응도 쉽지 않은 상태다.

북한 해킹조직과 관련된 공격 준비 정황도 포착됐다. 글로벌 보안기업 사이퍼마(CYFIRMA)는 지난 23일 익명 인터넷망에서 한국어를 사용하는 세력이 웹사이트 개발 언어인 PHP의 보안 결함을 이용해 공격을 준비하는 정황을 확인했다고 밝혔다. 정부와 금융기관 등이 공격 대상으로 거론됐다. 사이퍼마는 이들이 북한 해킹조직 라자루스와 관련됐을 가능성을 제기했지만 직접적인 증거는 확보하지 못했다.



보안 우려가 제기된 것은 웹사이트 개발 언어인 PHP를 서버에서 실행하는 소프트웨어다. 보안 결함을 악용하면 관리자 아이디나 비밀번호 없이도 서버에 악성 명령을 내릴 수 있다. 서버의 데이터베이스 접속정보가 유출되면 개인정보를 빼내거나 홈페이지를 불법 사이트로 연결할 수 있다. 다른 업무 시스템으로 침투할 수도 있다. 한국인터넷진흥원(KISA)은 내부망 침투와 인증정보 탈취 등을 경고했다.

국내 PHP 기반 웹사이트 상당수가 보안 업데이트 지원이 종료된 구버전을 사용하고 있는 것으로 조사됐다. 보안업체 말로리가 검색엔진 쇼단으로 조사한 결과 버전이 확인된 국내 PHP 서비스 5만6423건 중 89%가 8.1 이하 구버전이었다. 지난 21일 나온 보안 수정판도 이들 구버전에는 제공되지 않아 업그레이드나 별도 방어 조치가 필요하다.

공공부문에서는 지방정부에 PHP 시스템이 집중돼 있다. 행정안전부의 정보자원 통계에 따르면 공공부문 PHP 시스템 1027개 중 70.7%가 지자체와 지방교육자치단체에 있다. PHP 사용률은 중앙행정기관 2.39%, 광역지자체 6.31%, 기초지자체 8.52%였다. 박정현 더불어민주당 의원실에 따르면 2022년부터 2025년 7월까지 지자체 대상 해킹 시도는 약 4788만건에 달했다.



지방에서 PHP를 많이 사용한 배경에는 외주 개발 구조가 있다. 워드프레스·그누보드 등을 활용하면 홈페이지를 저렴하게 만들 수 있다. 하지만 업체가 바뀌거나 유지보수가 끊기면 오래된 프로그램이 그대로 남는다. 최신 버전으로 바꾸려면 기존 기능이 정상 작동하는지도 확인해야 한다.

곽진 아주대 사이버보안학과 교수는 "PHP는 인력 수급이 쉽고 오픈소스를 활용해 저비용으로 단기간에 구축하기 용이해 영세 외주사가 선호한다"며 "구축된 시스템이 예산 부족으로 고도화되지 못한 채 유지보수만 이어가고 있거나 관리 주체가 불분명해진 서버가 다수 존재할 가능성이 높다"고 했다.

금융권도 점검 대상이다. 전문가들은 대형 금융사가 2000년대 중반 이후 PHP 사용을 줄였지만 일부 시중은행과 저축은행, 상호금융은 여전히 관련 웹사이트를 운영한다고 설명했다.

황석진 동국대 교수는 "은행의 핵심 시스템은 별도 보안체계를 운영하지만 PHP 기반 웹서버가 공격받으면 고객 금융거래 관련 정보가 유출될 가능성을 배제할 수 없다"며 "계정 탈취 등 사기로 이어질 위험도 있다"고 말했다.

KISA는 보안패치가 지원되는 PHP 버전으로 전환하고, 즉각적인 조치가 어려우면 외부 접속 차단이나 서비스 중단까지 검토하도록 권고했다.