北 해킹조직 '라자루스', 정부·금융·통신 국내 서버 30곳 조준… "금융 탈취·첩보 수집"

북한 정찰총국과 연계된 대표적인 해킹조직 '라자루스(Lazarus)'가 한국의 정부 기관, 금융, 통신 등 주요 산업 분야를 겨냥해 대규모 사이버 공격을 시도한 정황이 포착됐다. 최근 금융권 전반에서 해킹 및 정보 유출 사고가 잇따르는 가운데 국가 핵심 인프라를 향한 북한의 사이버 위협이 최고조에 달하고 있다.

15일 정보통신기술(ICT) 업계에 따르면 글로벌 위협 인텔리전스 기업 사이퍼마(Cyfirma)는 이달 초 발간한 'PHP2Shell 취약점 악용 실태' 보고서를 통해 이같이 밝혔다.

보고서에 수록된 다크웹 내 해커들의 대화록에 따르면, 이들은 지난달 28일 공격 대상을 물색하는 과정에서 "한국, 일본, 미국, 태국, 인도네시아, 인도의 일부 IP 대역들이 꽤 유망해 보인다"며 한국을 구체적인 타깃으로 지목했다. 이들은 단순 무작위 해킹이 아닌 '금융 탈취와 첩보 수집'을 명확한 목적으로 삼았다.
실제로 해커들은 정부 기관, 은행·금융기관, 통신, 핵심 인프라, 물류·항공, 제조, 온라인 거래 플랫폼 등 주요 7대 산업군에서 사용 중인 웹 서버를 우선 공격 대상으로 설정했다. 사이퍼마가 확보한 원본 표적 리스트를 분석한 결과 아시아·태평양 지역에서 일본, 미국 등에 이어 국내 서버와 도메인 30곳이 실제 공격 표적 목록에 포함된 것으로 최종 확인됐다.


이번 공격에는 윈도우 운영체제 환경에서 구동되는 PHP 코어의 원격 코드 실행(RCE) 취약점(CVE-2026-109618, CVE-2026-109619)이 악용된 것으로 드러났다.

북한 해킹조직은 사전에 감염시킨 21개의 스캔 노드 IP를 거점으로 삼아 표적 서버에 웹셸(악성 스크립트) 배포를 시도했다. 이후 관리자 자격 증명을 탈취하고 내부망 수평 이동을 감행해 전체 타깃을 581개 호스트로 확대한 것으로 파악됐다.

사이퍼마는 피해 기관의 2차 침해를 막기 위해 보고서에 국내 표적 30곳의 IP 주소 일부를 마스킹 처리해 공개했다. 보안 업계 전문가는 "이번 취약점은 단순한 웹사이트 응용프로그램 업데이트만으로는 방어할 수 없다"며 "시스템 관리자가 PHP 코어 자체를 패치한 뒤 모든 웹 워커 프로세스를 완전히 재시작해야만 웹셸 침투를 차단할 수 있다"고 경고했다.

이번 북한 해킹조직의 국내 서버 타깃팅은 최근 국내 금융 및 전자금융업계를 강타한 연쇄 해킹 사태와 맞물려 더욱 큰 우려를 낳고 있다. 앞서 은행, 저축은행, 코인거래소, 전자금융업체 등 금융권 내 다수의 기업이 해킹 피해를 입고 개인정보가 유출되는 등 보안 취약점이 도마 위에 오른 바 있다.


임광복 글로벌이코노믹 기자 ac@g-enews.com