“PHP 해킹 시도 수백만건”…취약점 공개 나흘 전부터 공격 시작

▲22일(현지시간) 화면에 'AI 해킹(AI Hacking)' 문구와 PHP 코드가 표시된 모습. 사진=로이터 연합뉴스

전 세계 웹사이트에 널리 쓰이는 프로그래밍 언어 PHP의 보안 취약점을 노린 해킹 시도가 수백만 건에 달한 것으로 나타났다. 취약점이 공식 공개되기 나흘 전부터 공격이 시작된 정황도 확인됐다. 일본과 유럽에서는 금융사와 항공사, 정부 기관 등이 해킹 피해를 막기 위해 일부 온라인 서비스를 중단했다.

24일 로이터통신 등 외신에 따르면, 아마존 최고정보보안책임자(CISO)인 CJ 모지스 보안공학 담당 부사장은 지난 22일(현지시간) 자사 보안 블로그를 통해 PHP 취약점이 공개되기 나흘 전인 17일부터 이를 악용하려는 공격 시도를 포착했다고 밝혔다.

아마존은 자체 사이버 공격 탐지 시스템인 '매드팟(MadPot)'을 통해 관련 공격을 확인했다. 최초 공격은 상업용 익명화 네트워크와 연관된 인터넷주소(IP)에서 발생했다. 취약점 공개 당일인 21일에도 서로 다른 네트워크를 이용한 공격이 추가로 포착됐다. 아마존은 여러 공격자가 관여했을 가능성이 있다고 보고 있다.

다만 공격자가 공개되지 않은 취약점 정보를 어떤 경로로 확보했는지, 실제 서버 침투에 성공했는지는 확인되지 않았다. 아마존은 취약점이 공개되고 보안 패치가 배포된 이후에도 불과 몇 시간 만에 새로운 공격 코드가 등장했다고 설명했다.

공격 시도는 취약점 공개 직후 급증했다. 글로벌 인터넷 인프라 기업 클라우드플레어의 매슈 프린스 최고경영자(CEO)는 소셜미디어 엑스(X)를 통해 “공식 발표 전 10시간 동안 수천 건의 공격 시도가 관측됐다"고 밝혔다. 프린스 CEO에 따르면 발표 45분 만에 공격 시도가 수만 건, 2시간 만에 수십만 건으로 늘었으며 이후 수백만 건에 달한 것으로 전해졌다. 다만 이는 실제 해킹 성공 건수가 아닌 공격 시도 건수다.

이번에 발견된 취약점은 'PHP2Shell'로 불리는 보안 결함 2건이다. 공격자가 별도의 인증 절차 없이 서버에서 임의의 코드를 실행할 수 있어 정보 유출이나 시스템 장악으로 이어질 수 있다. PHP 개발진은 지난 21일 이를 수정한 보안 업데이트를 배포했다.

해외에서는 해킹 피해를 막기 위한 서비스 중단이 잇따랐다. 일본 노무라증권과 전일본공수(ANA), 동일본여객철도(JR동일본)는 일부 온라인 서비스를 일시 중단했다. 일본 재무성과 기상청, 국세청 등 정부 기관도 예방 차원에서 웹서비스 운영을 제한했다.

유럽에서도 긴급 조치가 이어졌다. 프랑스 통신그룹 오랑주는 자회사들이 운영하는 PHP 기반 웹사이트와 애플리케이션의 접속을 차단했다. 핀란드 정부의 정보기술 서비스 제공기관 발토리는 중단된 공공 웹서비스에 보안 패치를 적용한 뒤 접속을 순차적으로 재개하고 있다.

국내에서도 정부가 대응에 나섰다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 지난 22일 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 격상했다. 주요 기업과 기관에 긴급 보안 조치를 안내하고 취약점 점검과 업데이트를 권고했다.

보안 패치가 배포됐지만 모든 웹사이트가 즉시 대응하기는 어려운 상황이다. 독일 디지털산업협회 비트콤의 펠릭스 쿨렌캄프 보안책임자는 “대형 업체들은 상당수가 업데이트를 마쳤지만 복잡한 정보기술(IT) 시스템을 운영하거나 규모가 작은 기관은 조치에 더 오랜 시간이 걸릴 수 있다"고 지적했다.

인공지능(AI) 기술의 발전으로 취약점 공개 이후 공격 도구가 만들어지는 속도도 빨라지고 있다. 모지스 부사장은 보안 취약점이 공개된 뒤 공격 코드가 개발되기까지 걸리는 시간이 크게 줄었다며 기업들이 보안 패치 적용 주기를 기존 7~30일 단위에서 시간 단위로 단축해야 한다고 강조했다.

김나현 기자 knh@ekn.kr