북한 해킹세력의 'PHP 취약점 대량 악용'…금융·가상자산 업계 동시 침투

북한 국가 해킹조직 APT38이 보안 권고를 외면한 국내 금융기관과 가상자산 업체를 대규모로 침투하고 있다. PHP 구버전 취약점 방치, 피싱, 웹 공격이 결합된 정교한 수법으로 10만 건 이상의 개인정보와 암호자산이 위협받고 있으며, 기업의 기본적 보안관리 불이행이 위기를 가중하는 상황이다.

---

동시다발 공격의 현주소

금융사 16곳 동시 침해, 10만 건 개인정보 유출

금융위원회가 지난 10월 24일 발표한 자료에 따르면, 북한 해킹세력이 PHP 구버전의 알려진 취약점을 악용해 국내 금융기관 16곳을 침해했다. 약 10만 건의 개인정보가 유출된 이번 사건은 단순한 기술적 침해를 넘어 금융시스템의 신뢰도 문제로 대두되고 있다. 더욱 우려스러운 점은 KISA(한국인터넷진흥원)가 수년 전부터 권고해온 PHP 버전 업그레이드 권장사항을 대다수 기업이 무시한 채 취약점을 방치했다는 사실이다.

가상자산 업계 표적, 개인키 탈취 정교화

미 법무부가 공식 적발한 APT38의 가상자산 업계 공격은 더욱 정교했다. 피싱 메일과 웹 취약점을 복합적으로 악용해 거래소와 핀테크 기업 이용자의 개인키를 탈취하는 방식으로, 국내 주요 거래소와 결제 플랫폼도 피해를 입었다. 암호자산의 특성상 일단 탈취되면 회수 불가능한 점을 고려할 때, 이번 공격은 단순 정보 유출을 넘어 자산 손실로까지 이어질 수 있는 심각한 위협이다.

제약사 랜섬웨어 사건, 150억원 피해 규모

한편, 제약사에 대한 랜섬웨어 공격은 개인정보 유출뿐 아니라 업무 연속성 중단까지 초래했다. 150억원대의 금전적 피해에도 불구하고, 백업 시스템만으로는 랜섬웨어 완벽 차단이 불가능하며 단말 수준의 침입 차단이 필수라는 교훈을 남겼다.

---

공통 패턴: '정책-이행-대응의 3단계 방어 붕괴'

국정감사에서 지적된 바와 같이, 이번 침해사고들은 하나의 공통점을 드러낸다. 보안 정책 수립은 되어 있으나 현장 이행이 미흡하고, 감지 및 대응 능력이 부족하다는 것이다.

• 정책 부재 아님, 이행 불량: KISA 권고사항이 존재했으나 비용·편의성을 이유로 방치
• 기술적 취약점 과소평가: PHP 같은 '구형 기술'을 안전하다고 착각한 기업들의 인식 부족
• 단순 방어만으로는 부족: 백업, 방화벽 등 전통적 방어만으로 고급 지속형 위협(APT) 차단 불가능

---

기업·기관이 취해야 할 조치

1단계: 자산 현황 파악 및 긴급 취약점 점검
- 사용 중인 PHP 버전 즉시 확인, 권장 최신 버전으로 업그레이드
- 웹 애플리케이션 취약점 스캔(웹 취약점 진단) 실시
- 공급망 보안 (3자 솔루션 포함) 점검

2단계: 인적·기술적 다층 방어 구축
- 직원 피싱 대응 교육 강화
- 개인키·민감정보에 대한 다중인증(MFA), 암호화 적용
- EDR(엔드포인트 탐지 및 대응) 도입으로 단말 수준 모니터링

3단계: 사고 대응 체계 선제적 준비
- 침입 탐지·대응 계획(IR Plan) 수립 및 정기 훈련
- 백업의 고립(air-gap) 방식 검토
- 보안 인시던트 보고 체계 정비

---

ISMS-P 시험 포인트

항목	연계 내용
개인정보보호 관리체계 (ISMS-P)	이번 사건은 '기술적 보호조치 → 개인정보 처리 기록 관리 → 침해 사고 대응' 3단계 요구사항 부실의 결과. 특히 개인정보 보호정책 수립과 현장 이행 간극을 줄이고, 감시·탐지·대응 프로세스(통제 목표 5.1~5.4) 강화가 중요 평가 포인트임

---

결론

북한 APT38의 대규모 공격은 우연이 아니라 한국 기업의 보안 문화 미성숙을 표적화한 것이다. 기술 표준은 있으되 실행이 따르지 않는 악순환에서 벗어나려면, 경영진의 보안 투자 의지, 현장의 즉각적 이행, 전담 인력의 지속적 모니터링이 동시에 이루어져야 한다. 각 기관은 이번 사건을 자신의 문제로 인식하고 '며칠 내' 조치를 시작해야 한다.