NSHC 보고서 내용
NSHC(대표 최병규) 위협분석 연구소(TRLab)가 25일 공개한 ‘2025년 정보통신 산업 대상 글로벌 사이버 위협 동향 분석’ 보고서는 지난해 정보통신 산업을 노린 공격이 단순한 시스템 침해를 넘어 통신 인프라, VPN 및 원격접속 환경, 협업 플랫폼, 공급망 소프트웨어, 클라우드와 관리 서비스 전반을 겨냥하는 구조적 공격으로 전개됐다고 진단했다. 보고서는 정보통신 산업이 다른 산업의 서비스 운영을 떠받치는 ‘연결의 중심’이라는 점에서, 한 번의 침해가 단일 기업에 그치지 않고 다수 기관과 기업으로 연쇄 확산될 수 있다고 짚었다.
보고서에 따르면 2025년 한 해 동안 정보통신 산업과 직접 또는 실질적으로 관련된 주요 공격 이벤트는 모두 37건으로 식별됐다. 여기에 관여한 해킹 그룹 또는 미식별 위협 행위자는 22개였으며, 이 가운데 중국 정부지원 해킹 그룹으로 분류된 SectorB 계열이 20건으로 전체의 54.1%를 차지했다. 이어 미식별 위협 행위자 9건, 북한계 3건, 러시아계 2건, 사이버범죄 그룹 2건, 터키계 1건 순으로 나타났다. 보고서는 이를 두고 특정 범죄조직만의 문제가 아니라 국가 지원형 위협, 범죄형 위협, 공격 주체가 불명확한 위협이 동시에 작동하는 복합 위협 구조라고 평가했다.
특히 중국계 그룹의 움직임은 양적으로도 많았지만, 표적 선정 방식에서도 전략성이 두드러졌다고 보고서는 분석했다. SectorB108은 시스코 IOS XE 취약점을 악용해 네트워크 장비를 공략했고, SectorB110은 아웃룩 API 기반 명령제어와 스퀴두어, 섀도우패드, DLL 사이드로딩을 결합해 협업·메일·IIS 환경을 노렸다. SectorB109는 한국 VPN 공급망을 침해해 SlowStepper 백도어를 정상 업데이트 경로로 유포했고, SectorB74는 주니퍼 라우터에 TINYSHELL을 심어 네트워크 장비 자체를 장기 거점으로 바꿨다. 또 SectorB01은 포티넷 장비와 SAP 넷위버를 연계 공략했고, SectorB94와 SectorB86은 아이반티(Ivanti) 제품군 취약점을 이용했다. SectorB123은 VM웨어 v스피어 환경에 BRICKSTORM을 배치한 것으로 분석됐다. 보고서는 이런 사례가 중국계 공격이 같은 전술만 반복한 것이 아니라 ICT 핵심 계층별로 표적과 침투 방식을 세분화해 운용됐음을 보여준다고 설명했다.
북한계와 러시아계, 범죄형 그룹도 결코 주변 위협이 아니었다. 북한계 SectorA01은 웹3와 핀테크 기업 종사자를 겨냥해 가짜 채용 제안과 링크드인 기반 접근을 시도했고, BeaverTail과 InvisibleFerret 계열 악성코드를 배포한 것으로 분석됐다. ClickFix 기반 파이선 코드 유포와 이노릭스 에이전트 취약점 악용 정황도 확인됐다. 러시아계 SectorC05는 스크린커넥트(ScreenConnect)와 FortiClient EMS를 침해 발판으로 활용했고, SectorC34는 오래전에 공개된 시스코 스마트 인스톨 취약점을 2025년에도 계속 악용한 것으로 나타났다. 보고서는 최신 제로데이뿐 아니라 방치된 레거시 장비와 관리 솔루션도 여전히 실전 공격의 핵심 먹잇감이라는 점을 보여준다고 짚었다.
이번 분석에서 눈에 띄는 또 다른 지점은 ‘누가 공격했는가’ 못지않게 ‘어떤 자산과 행위가 반복됐는가’가 더 중요해졌다는 점이다. 미식별 위협 행위자가 9건이나 차지했다는 것은 공격자들이 공개 도구 재사용, 정상 서비스 기반 C2, 단기 인프라 회전, 인프라 은닉 등을 통해 전통적인 IOC 매칭 중심 방어를 무력화하고 있다는 의미이기 때문이다. NSHC는 해킹 그룹 이름보다 네트워크 장비 악용, 공급망 백도어, 협업 시스템 침해, 원격관리도구 설치, 비정상 API 통신 같은 TTP 반복 여부에 더 주목해야 한다고 봤다.
공격 대상 국가는 총 44개국으로 확인됐다. 상위 피해 국가는 미국 25건, 한국 12건, 홍콩 12건, 중국 11건, 일본 10건, 베트남 8건, 대만 8건이었다. 이어 싱가포르, 인도, 브라질, 독일이 각각 6건으로 집계됐다. 보고서는 이 수치를 단순히 “어느 나라가 많이 당했는가”의 문제가 아니라 “어느 나라가 글로벌 통신·클라우드·소프트웨어 공급망의 허브인가”로 읽어야 한다고 강조했다. 미국은 대형 ISP, 클라우드 운영 환경, MSP, 협업 플랫폼, 네트워크 장비 생태계가 밀집해 있어 상류 공급망 거점으로서 높은 전략적 가치를 가지며, 한국 역시 국산 VPN 공급망 침해와 국산 소프트웨어 취약점 악용, 인터넷 인프라 관련 공격이 함께 확인돼 단순 피해국을 넘어 다른 조직으로 공격이 확산될 수 있는 경유점 성격을 보였다는 것이다.
특히 한국에 대한 해석은 국내 업계가 곱씹어볼 대목이다. 보고서는 공공기관과 일반 기업이 동일한 국산 원격접속 솔루션, 전자문서 전송도구, VPN 제품, 협업 인프라를 광범위하게 사용하는 구조를 감안할 때, 단일 공급망 침해가 매우 넓은 범위의 연쇄 피해로 이어질 수 있다고 분석했다. 다시 말해 한국의 정보통신 생태계는 자체 시장 규모만으로 공격받는 것이 아니라, 많은 조직이 공유하는 연결 구조 때문에 공격자에게 더 매력적인 표적이 되고 있다는 것이다.
지역별로는 동아시아와 동남아를 포함한 아시아·태평양 비중이 가장 높았고, 북미와 유럽이 뒤를 이었다. 보고서는 아시아권이 단순 소비시장이 아니라 통신, 반도체, 클라우드, 소프트웨어 생태계가 고밀도로 집적된 디지털 허브이기 때문에 높은 공격 가치를 가진다고 설명했다. 홍콩, 대만, 일본, 중국, 베트남이 상위 피해국에 포함된 것도 같은 맥락이다.
취약점 측면에서는 총 36개 CVE가 확인됐다. 아이반티 제품군이 7개로 가장 많았고, 마이크로소프트 셰어포인트 4개, 시스코 IOS/IOS XE 3개, 포티넷 계열 3개, 리눅스 권한상승 계열 3개가 뒤를 이었다. 보고서는 공격자들이 사용자 단말보다 시스코, 주니퍼, 아이반티, 셰어포인트, 익스체인지, SAP, 스크린커넥트 등 조직 경계와 운영 핵심 계층의 취약점을 우선적으로 노렸다고 분석했다. 공격의 출발점이 개인 PC가 아니라 네트워크 흐름과 인증 구조, 협업 체계, 원격관리 체계를 통제할 수 있는 장비와 서버였다는 뜻이다.
시스코 IOS XE 계열 취약점은 대표 사례로 제시됐다. CVE-2023-20198과 CVE-2023-20273은 인증 우회와 권한 상승을 연계해 네트워크 장비 침해에 악용됐고, 오래전 공개된 시스코 스마트 인스톨의 CVE-2018-0171도 2025년에 다시 쓰였다. 주니퍼 장비를 겨냥한 TINYSHELL 배치 사례, 아이반티 Connect Secure·Policy Secure·EPMM 등 복수 제품군 취약점 악용도 반복적으로 등장했다. 셰어포인트의 ToolShell 계열 취약점과 익스체인지의 ProxyLogon, ProxyShell 계열은 협업 플랫폼과 메일 서버 장악에 활용됐다. SAP 넷위버, ConnectWise 스크린커넥트, FortiClient EMS, FortiSIEM, F5 BIG-IP, 팀시티(TeamCity)도 공급망 또는 운영 핵심성 측면에서 파급력이 큰 표적으로 지목됐다.
여기서 핵심은 최신 취약점과 오래된 취약점이 동시에 사용됐다는 점이다. SAP, 셰어포인트, 아이반티 같은 신규 고위험 취약점이 빠르게 공격에 악용되는 동시에, ProxyLogon, ProxyShell, 시스코 스마트 인스톨, DirtyCoW 같은 오래된 취약점도 여전히 실전에 쓰였다. 보고서는 이를 두고 보안팀이 신규 취약점 대응과 인터넷 노출 레거시 자산 제거를 동시에 수행해야 하는 현실을 보여주는 사례라고 진단했다. 단순히 CVSS 점수만 보고 패치 우선순위를 정하는 방식으로는 부족하며, 인터넷 노출 여부, 인증 전 악용 가능성, 운영 핵심성, 공급망 파급력까지 함께 반영해야 한다고 강조했다.
공격 도구 분석도 시사점이 뚜렷했다. 2025년 공격에서는 자체 제작 악성코드보다 공개 침투도구와 포스트 익스플로잇 도구, 정상 서비스, 원격관리도구가 함께 쓰이는 경향이 강했다. 가장 많이 식별된 도구는 frp였고, NPS, iox, HTran, chisel, rsockstun, Stowaway 같은 터널링·프록시 도구가 뒤를 이었다. 또 코발트 스트라이크(Cobalt Strike), 슬리버(Sliver), 미식(Mythic) 같은 포스트 익스플로잇 프레임워크와 미미카츠(Mimikatz), ProcDump, 임패킷(Impacket), WinRM, PuTTY 같은 자격증명 탈취·횡적 이동 도구도 반복적으로 등장했다. 보고서는 이제 “무슨 악성코드를 썼느냐”보다 “킬체인 각 단계에서 어떤 정상·비정상 도구를 결합했느냐”를 봐야 공격 흐름을 제대로 이해할 수 있다고 설명했다.
정상 서비스의 악용은 더 큰 문제로 지적됐다. 아웃룩 API, 깃허브(GitHub), 텔레그램 API, 페이스트빈(Pastebin), 드롭박스(Dropbox)가 명령제어 채널, 설정 저장소, 데이터 스테이징 경로로 사용됐다. 이는 악성 도메인 차단이나 평판 기반 차단 모델을 쉽게 우회할 수 있다는 뜻이다. 특히 아웃룩 API 기반 C2는 정상 메일과 클라우드 트래픽 속에 섞이기 때문에 탐지 난도가 매우 높다고 보고서는 분석했다. 같은 맥락에서 Atera Agent, RealVNC, 스크린커넥트, NSSM 같은 RMM·원격접속 도구도 지속성 확보와 정상 관리자 행위 위장에 적합해 공격자들이 적극 활용한 것으로 나타났다. 외주 유지보수와 원격 운영이 일상화된 ICT 산업 특성상, 비인가 RMM 설치를 정상 행위와 구분하지 못하면 장기 잠복을 허용할 수 있다는 경고다.
보고서는 2025년 ICT 대상 공격의 주요 특징을 일곱 가지로 압축했다. 국가 지원형과 범죄형 위협이 동시에 작동했고, 인터넷 노출 자산과 운영 핵심 계층이 집중 공격을 받았으며, 공급망과 연쇄 확산 구조가 강화됐다. 정상 서비스와 정상 도구의 공격 목적 전용이 늘었고, 최신·구형 취약점이 병행 악용됐다. 또 전통적 ICT 기업뿐 아니라 웹3, 핀테크, 외교·행정 등 ICT 의존도가 높은 인접 영역까지 위협이 번졌으며, 공격자들의 표적이 점점 ‘연결의 중심’으로 수렴하고 있다는 점도 핵심 변화로 꼽았다.
이에 따라 NSHC는 정보통신 산업의 보안 대응 방향도 크게 바뀌어야 한다고 제언했다. 가장 먼저 실제 외부에서 접근 가능한 인터넷 노출 자산 목록을 별도로 관리해야 하며, 불필요한 관리 인터페이스와 테스트 시스템, 임시 VPN, 레거시 웹 관리 포털은 제거하거나 최소한 접근통제를 강화해야 한다고 봤다. 여기에 공급망 보안, 제3자 접속 통제, 소프트웨어 무결성 검증, 원격관리도구 관리가 함께 이뤄져야 하고, 보안 운영은 IOC와 도구 차단 중심에서 벗어나 TTP, 행위 상관분석, 네트워크 가시성, 위협 헌팅 중심으로 전환돼야 한다고 강조했다.
2025년 정보통신 산업을 겨냥한 해킹 활동은 더 많은 악성코드가 등장한 해가 아니라, 더 전략적인 표적 선정과 더 높은 공급망 의존성, 더 은밀한 정상 서비스 활용, 더 빠른 취약점 무기화가 본격화한 해였다는 것이다.
댓글
0