PHP 해킹, '패치'로 끝 아니다…협력사·중소기업 타고 번질라

[서울=뉴시스]남주현 기자 = 웹 프로그래밍 언어 'PHP'의 보안 취약점(PHP2Shell)과 관련해 주요 대기업들은 보안 패치와 점검을 진행해 현재까지 침해 사례가 없는 것으로 나타났다.

다만 구버전 PHP를 사용하는 중소기업과 협력사의 보안 공백 우려가 제기된다. 북한 연계 의심 조직이 이 취약점을 노린 공격을 준비한 정황도 포착됐다.

25일 재계에 따르면 삼성전자, SK, 현대차, LG, HD현대 등 주요 그룹은 현재까지 이번 취약점을 악용한 침해 사례가 확인되지 않았다고 밝혔다.

이들 기업은 웹서비스 대부분을 자바(Java) 등 PHP 외 언어로 운영하고 있어 PHP 기반 시스템이 많지 않은 것으로 파악됐다.

포스코그룹도 긴급대응반을 꾸려 PHP 기반 시스템에 대한 긴급 패치를 진행했다. GS그룹도 긴급 공지를 내고 일부 PHP 웹사이트에 보안 업데이트를 적용했다.

대기업 바깥은 상황이 다르다. 팔로알토네트웍스에 따르면 PHP2Shell에 취약할 수 있는 인터넷 노출 인스턴스는 전 세계 2260만 개가 넘는다.

PHP 8.1 이하 버전은 이번 긴급 패치를 받을 수 없어 지원 버전으로 업그레이드해야 하고, PHP 8.2 버전도 오는 12월 31일 지원이 끝난다.

취약점을 노린 공격 준비 정황도 포착됐다. 싱가포르 보안업체 사이퍼마(CYFIRMA)는 지난 23일 보고서에서 한국어를 사용하는 공격자들이 익명 네트워크에서 PHP2Shell을 이용한 공격 계획을 논의한 정황을 확인했다고 밝혔다.

사이퍼마는 북한 해킹조직 라자루스와의 연계 가능성을 제기했으나 신뢰도는 '중간' 수준으로 평가했다. 실제 침해 사례는 확인되지 않았다.

사이퍼마에 따르면 공격자들은 한국·미국·일본 등의 정부기관과 금융기관을 우선 표적으로 삼았고, 제조·물류·항공·건설 분야도 대상에 포함됐다. 공개된 공격 코드는 자체 AI 모델로 선별·검증한 것으로 분석됐다.

패치만으로는 안심하기 어렵다는 지적도 나온다. 공격 시도가 패치가 배포된 지난 21일 이전부터 관측됐기 때문이다.

사이퍼마는 패치를 마쳤더라도 지난 17일 이후 기록까지 거슬러 침해 흔적을 점검하라고 권고했다. 서버 메모리 정보가 노출될 수 있는 결함인 만큼 계정 인증정보와 보안 키도 교체해야 한다는 권고도 나온다.

보안업계에서는 협력사 서버에서 탈취된 인증정보가 원청 시스템 침투에 악용될 수 있다는 우려도 나온다. 대한항공과 아시아나항공은 PHP와는 무관하지만, 최근 외부 IT 수탁사인 아마데우스가 해킹을 당해 고객 정보가 유출됐다.

과학기술정보통신부와 한국인터넷진흥원(KISA)은 지난 22일 민간 분야 사이버위기 경보를 '주의'로 상향하고, 호스팅 서비스를 이용하는 소상공인에게 업체의 보안 업데이트 적용 여부를 확인하라고 안내한 상황이다.

배경훈 부총리 겸 과기정통부 장관은 지난 22일 통상적인 '수동 점검 후 수일 내 패치' 주기로는 공격을 막을 수 없다고 강조했다. 23일 국회 종합감사에서는 PHP 사태를 계기로 범부처 종합대책을 마련하겠다고 밝혔다.

재계 관계자는 "대응을 느리게 하면 취약점을 타고 공격이 들어가게 되는 만큼 평소 준비가 중요해지고 있다"고 말했다.


◎공감언론 뉴시스 [email protected]