플레인비트 “공격자는 여전히 ‘관리의 빈틈’을 노린다”

“AI가 등장하고 새로운 방식의 공격이 많아졌지만, 실제 침해사고 현장에서는 외부에 열린 정상 웹사이트의 관리 기능과 취약한 인증, 패치하지 않은 취약점 등 여전히 관리가 부족한 지점을 노린 공격이 반복되고 있습니다.”

이현진 플레인비트(PLAINBIT) 책임연구원은 22일 서울 강남구 한국과학기술회관에서 열린 ‘2026 상반기 침해사고 정보공유 세미나’에서 올해 침해사고 원인분석 사례를 공유하며 이같이 말했다.

플레인비트는 올해 1~7월 KISA 침해사고 원인분석 서비스 과정에서 638건의 사고에 대응했다. 웹 대상 공격이 127건으로 가장 많았으며 서버 해킹 97건, 랜섬웨어 53건, 악성메일·이용자 단말 감염 29건 순이었다. 플레인비트는 사고 현장에 남은 로그와 파일, 시스템 실행 기록 등 디지털 데이터를 분석해 최초 침투와 권한 확보, 내부 전파, 최종 피해까지 공격자의 행위를 재구성했다.

정상 업무 가장해 사용자 속여

플레인비트에 따르면, 사용자를 노린 공격에서는 정상 업무를 가장한 방식이 주요 침투 수단이었다. 공격자는 채용 담당자에게 이력서로 위장한 악성파일을 보내 담당자가 첨부파일을 확인해 악성코드에 감염되도록 유도했다. 이후 공격자는 감염된 PC에서 웹 브라우저와 이메일, 파일전송 서버에 저장된 계정 정보를 수집했다. 클라우드 서비스와 외부 서버에 접속할 때 사용하는 자격증명도 탈취 대상에 포함됐다.

공격 과정은 여러 단계로 구성됐다. 악성코드를 컴퓨터 저장장치가 아닌 메모리에서 실행해 흔적을 줄이고, 정상 서비스를 명령제어 서버 주소를 전달하는 통로로 활용했다.

이 책임연구원은 “공격자가 필요했던 것은 사용자가 파일을 한 번 실행하도록 하는 것이었다”며 “복잡한 공격 과정도 이용자의 실행이 없었다면 시작되지 않았을 것”이라고 설명했다.

웹사이트 운영 위한 ‘정상 관리 기능’ 악용

웹사이트에서는 서비스를 운영하기 위해 마련한 정상 기능이 공격 통로가 됐다. 웹호스팅 업체는 고객이 사이트를 편리하게 운영할 수 있도록 웹 관리자 페이지와 데이터베이스(DB) 관리 도구를 제공한다. 파일 업로드 기능과 콘텐츠관리시스템(CMS), 웹 편집기, 원격 유지보수 기능도 함께 사용한다.

이 책임연구원은 “이들 기능은 사이트 운영에 필요하지만, 외부에 그대로 노출하면 공격자도 접근할 수 있다”며 “공격자는 파일 업로드 기능을 악용해 서버를 원격으로 조종하는 웹셸을 올리거나 관리자 계정을 탈취한다”고 설명했다.

[무료 웨비나] 복잡한 레거시 환경에서 AI를 안전하게 확장하고 비즈니스 혁신을 가속화하는 방법

일시 : 2026년 7월 23일 (목) 14:00 ~ 15:00

호스팅 업체가 처음 제공한 기본 계정과 비밀번호를 변경하지 않은 사례도 있었다. 다중인증(MFA)을 적용하지 않은 관리자 페이지는 추측하기 쉬운 비밀번호나 반복적인 로그인 시도에 노출될 수 있다. DB 관리 도구는 별도의 악성파일 없이도 정보 유출에 악용됐다. 공격자가 관리자 계정으로 로그인한 뒤 정상적인 데이터 내보내기 기능을 이용해 고객 정보를 내려받은 사례도 있었다.

이 책임연구원은 “악성코드나 공격 도구가 남지 않기 때문에 기업이 침해 여부를 알아차리거나 침투 경로를 분석하기 어려울 수 있다”고 짚었다.

일반적으로 웹서비스 화면은 이용자가 접속할 수 있도록 외부에 노출된다. 하지만 웹 관리자 페이지와 DB 관리 페이지, 원격 유지보수 기능까지 누구나 접근할 수 있도록 둬서는 안된다. 사이트 주소를 별도의 서브 도메인으로 운영하거나 기본값과 다른 포트를 사용해도 접근통제는 되지 않는다. 이런 경우, 공격자는 인터넷 주소와 포트를 자동으로 탐색해 어떤 관리 서비스가 작동하는지 찾을 수 있다.

이 책임연구원은 “기업은 외부에서 접근할 필요가 없는 관리 페이지를 차단하고, 외부 접근이 필요하다면 접속 가능한 IP와 이용자를 제한하고 다중인증을 적용해야 한다”며 “CMS와 웹 편집기의 종류와 버전도 확인해 보안 패치를 적용해야 한다“고 강조했다. 이어 “파일 업로드와 관리자 페이지, DB 관리 도구 등 운영을 위한 정상 기능이 공격자 관점에서는 공격 대상이 될 수 있다”고 짚었다.

외부에 노출된 서버 기능도 침투의 경로가 될 수 있다. 플레인비트가 분석한 사례에서는 마이크로소프트 에스큐엘 서버(Microsoft SQL Server·MS-SQL)가 외부에서 접근할 수 있는 상태였다. 기업은 기본 포트가 아닌 다른 번호를 사용했지만 공격자는 인터넷 탐색으로 해당 포트에서 어떤 서비스가 작동하는지 파악했다.

비표준 포트는 서비스의 위치를 바로 알아보기 어렵게 만들 수 있지만 접근 자체를 차단하지는 않는다. 공격자는 서버 계정을 확보한 뒤 운영체제 명령을 실행할 수 있는 관리 기능을 활성화했다. 서버에 저장된 자격증명을 수집하고 새로운 관리자 계정을 만들었다. 이후 정상 원격접속 프로그램을 설치해 재접속 통로를 확보했다. 네트워크 탐색 도구로 연결된 다른 서버를 찾고, 보안 기능을 끈 뒤 랜섬웨어를 실행했다. 마지막에는 시스템 로그를 삭제해 흔적을 지웠다.

여기서 랜섬웨어 감염은 공격자가 서버에 처음 들어온 시점이 아니었다. 계정 확보와 원격접속 통로 설치, 내부 탐색, 보안 기능 해제까지 마친 뒤 나타난 최종 행위였다.

이 책임연구원은 “공격자가 사용한 원격접속 프로그램과 네트워크 탐색 도구는 IT 담당자도 정상 업무에 사용하는 프로그램이었다”며 “정상 프로그램도 공격자가 사용하면 내부 정찰과 원격제어 수단이 될 수 있다”고 설명했다.

이어 “파일 이름이나 프로그램 종류만으로는 공격 여부를 판단하기 어려운 이유다. 어떤 계정이 언제 프로그램을 실행했는지, 평소 업무 목적과 맞는지 함께 확인해야 한다”며 “중요한 것은 파일명이나 프로그램의 기능이 아니라 누가, 언제, 어떤 목적으로 실행했는지”라고 강조했다.

가상화플랫폼, 한 곳 장악 후 여러 서버로 확산

플레인비트는 가상화 플랫폼을 제대로 관리해야 하는 이유도 설명했다. 가상화플랫폼은 여러 서버를 하나의 관리 지점에서 운영할 수 있어 기업의 관리 효율을 높이지만, 공격자에게는 한 번의 침투로 여러 시스템에 피해를 줄 수 있는 표적이 된다는 것이다.

플레인비트가 분석한 사고에서는 외부에 노출된 가상화 관리 서버가 알려진 취약점을 통해 침해됐다. 공격자는 관리 서버의 버전을 확인한 뒤 패치하지 않은 취약점을 악용했다. 가상화 관리 서버를 장악한 공격자는 내부 시스템을 탐색하고 가상서버가 사용하는 데이터 저장 공간을 삭제하거나 암호화했다. 관리 서버 아래에서 운영하던 여러 업무 서비스가 동시에 영향을 받았다.

이 책임연구원은 ”일반 서버 한 대를 암호화하는 것보다 여러 가상서버를 통제하는 관리 시스템을 장악하는 편이 공격자에게 효율적이다“라며 ”기업이 관리 지점을 통합할수록 해당 시스템의 접근통제와 취약점 관리가 중요해진다“고 설명했다.