북한 해킹조직 연계 의심 세력, 대규모 사이버 공격 준비 정황

치명적 PHP 취약점 노린 해킹 세력…한국 등 10개 지역 겨냥

AI까지 동원해 사이버 공격 준비…한국 정부·금융기관 표적

전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP의 보안 취약점을 악용해 대규모 사이버 공격을 준비하는 정황이 포착됐다. 공격 주체가 북한 해킹조직 라자루스 그룹과 연관됐을 가능성이 제기됐지만, 직접적인 연계 여부는 확인되지 않았다.

24일 연합뉴스 보도에 따르면 싱가포르 사이버보안 기업 사이퍼마(CYFIRMA)는 익명 통신 네트워크 'I2P'에서 한국어를 사용하는 조직원들이 PHP 취약점을 활용한 사이버 공격을 논의한 정황을 포착했다.

이들이 공격에 활용하려 한 취약점은 'PHP2Shell'(CVE-2026-109618, CVE-2026-109619)이다. 별도의 로그인이나 인증 없이 조작된 웹 요청만으로 서버에서 원격 명령을 실행할 수 있는 결함이다. 공통취약점평가시스템(CVSS) 기준 10점 만점에 9.2점을 받아 심각한 보안 위협으로 분류됐다.

ⓒAI 이미지

사이퍼마는 해당 활동을 'June 2026 Minjun' 캠페인으로 명명했다. 분석 결과 공격 준비 세력이 북한 라자루스 그룹과 연계됐을 가능성이 있다고 판단했으나, 이에 대한 신뢰도는 '중간' 수준으로 평가했다.

공격 대상으로는 정부기관과 은행 등 금융기관이 우선 거론됐다. 제조업과 물류·해운업, 항공 분야, 온라인 거래 플랫폼, 무역·건설업체 등도 표적에 포함됐다. 주요 공격 대상 지역은 한국을 비롯해 미국, 일본, 호주, 대만, 인도, 싱가포르, 아랍에미리트(UAE), 사우디아라비아, 유럽연합(EU) 등으로 파악됐다.

공격 준비 과정에서 인공지능(AI)을 활용한 정황도 드러났다. 조직원들은 공개된 취약점 공격 코드를 수집한 뒤 자체 AI 모델로 활용 우선순위를 정하고, 실제 공격에 앞서 별도의 환경에서 검증하는 방식을 논의한 것으로 전해졌다.

다만 이번 공격 준비 활동을 북한 해킹조직과 직접 연결하기에는 추가적인 근거가 필요하다는 지적도 나온다. 한국어 사용과 공격 대상, 기존 라자루스 그룹의 전술과 유사하다는 점 외에 악성코드나 공격 인프라가 일치한다는 증거는 확인되지 않았기 때문이다.

보안업계에서는 PHP 취약점의 위험성과 실제 공격 가능성에 대비하는 한편, 공격 주체에 대해서는 추가 분석이 필요하다고 보고 있다.

한편 PHP 개발팀은 지난 21일 해당 취약점을 수정하는 긴급 보안 업데이트를 배포했다. 과학기술정보통신부와 한국인터넷진흥원(KISA)도 22일 관련 취약점에 대해 '주의' 경보를 발령하고 주요 기업에 보안 조치를 안내했다.