매일 쓰는 인터넷뱅킹과 회사 홈페이지가 북한 해킹조직의 표적이 됐다는 소식에 불안해질 만합니다. 2026년 11월 15일 보도된 라자루스 한국 서버 공격 정황의 핵심은 국내 서버와 도메인 30곳이 표적 목록에 포함됐다는 사실이에요. 다만 30곳 모두 해킹에 성공했다거나 고객 정보가 유출됐다는 발표는 아닙니다. 홈페이지를 운영하는 입장이라면 피해 명단을 기다리기보다 서버의 PHP 보안 상태를 먼저 살피는 편이 좋겠습니다.
라자루스 한국 서버 공격 30곳의 실제 의미
글로벌 위협정보 기업 사이퍼마는 10월 29일 공개한 보고서에서 한국어를 사용하는 공격자들을 북한과 연계된 라자루스 계열로 높은 신뢰도를 두고 평가했습니다. 공격자들이 작성한 원본 목록에는 10개국의 인터넷 공개 서버 216곳이 담겨 있었는데요. 이 중 한국이 30곳으로 약 13.9%를 차지했습니다.
미국 49곳, 일본 47곳, 인도 31곳에 이어 한국은 네 번째로 많았습니다. 보안기업이 확보한 목록과 공격자들이 자체적으로 주장한 성과는 구분해서 읽어야 합니다. 특히 581개 호스트로 표적이 확대됐다는 숫자는 공격자 측의 주장으로, 독립적으로 검증된 피해 집계가 아니거든요.
| 구분 | 내용 | 확인 수준 |
|---|---|---|
| 원본 표적 | 10개국 216곳 | 보안기업 목록 확보 |
| 국내 표적 | 30곳 | 원본 목록에 포함 |
| 확대 범위 | 581개 호스트 | 공격자 주장 |
| 국내 침해 성공 및 유출 | 일괄 피해 집계 미확인 | 별도 조사 필요 |
출처: 사이퍼마 10월 29일 위협 분석 보고서.
개인적으로 가장 눈에 들어온 것은 공격 규모보다 숫자의 성격입니다. 표적이라는 사실만으로 피해 업체를 추정하다 보면 불필요한 혼란이 생기기 쉽죠. 사이퍼마 원문 보고서도 개별 서버의 침해 성공 여부를 별도의 검증이 필요한 사안으로 구분하고 있습니다.
북한 해킹조직 라자루스가 노린 산업과 공격 시점
라자루스는 북한 정찰총국과 연계된 것으로 알려진 해킹조직입니다. 금융 자산 탈취와 정보 수집을 목적으로 활동해 온 것으로 평가받는데요. 이번에도 금전적 이익과 첩보 수집이라는 두 가지 목적이 거론됐습니다.
정부기관, 금융기관, 통신, 핵심 기반시설, 물류·항공, 제조, 온라인 거래 플랫폼 등이 우선 표적 분야로 지목됐습니다. 이 분야 전체에서 피해가 발생했다는 발표는 아직 확인되지 않았습니다. 다만 서비스끼리 연결된 환경에서는 한 곳의 보안 문제가 거래처나 고객에게까지 영향을 줄 수 있다는 점이 걱정스럽네요.
출처: 사이퍼마 10월 29일 위협 분석 보고서의 시간대별 경과.
사이퍼마는 10월 22일 초기 경보를 냈고 10월 29일에는 표적 목록이 포함된 내용을 공개했습니다. 11월 4일에는 운영자 대응 방안도 별도로 소개했죠. 국내에서 11월 15일 뉴스가 나온 시점과 공격 준비가 관찰된 시점에는 차이가 있다는 점도 기억해 두면 좋겠습니다.
PHP 취약점은 왜 홈페이지 운영자에게 위험할까
PHP는 웹사이트에서 게시판, 회원 로그인, 상품 주문 등 여러 기능을 실행하는 데 쓰이는 개발 언어입니다. 워드프레스와 그누보드 같은 시스템도 기반 기술로 활용하죠. 이번 위협에서 문제가 된 것은 홈페이지 디자인이나 특정 플러그인이 아니라 PHP 자체의 보안 결함입니다.
사이퍼마는 취약점 두 건의 식별번호를 CVE-2026-109618과 CVE-2026-109619로 공개했습니다. 원격에서 악성 명령이 실행될 수 있는 결함으로, 공격에 성공하면 공격자가 서버에 악성 파일을 남기거나 저장된 정보에 접근할 위험이 생깁니다. 일반 이용자가 로그인 정보를 입력하지 않았더라도 운영 서버 쪽 결함은 존재할 수 있는 셈이에요.
보통 홈페이지를 최신 디자인으로 바꾸거나 관리자 비밀번호를 변경하면 보안도 좋아졌다고 생각하기 쉽습니다. 하지만 이번에는 화면에 보이는 프로그램과 서버에서 실제 실행되는 PHP가 다르다는 것이 함정이죠. 외주 업체가 홈페이지를 맡아 운영한다면 플러그인 업데이트 여부만 묻지 말고 실행 환경까지 점검해 달라고 요청하는 게 좋겠습니다.
홈페이지와 쇼핑몰의 PHP 보안 업데이트 기준
한국인터넷진흥원 보호나라가 안내한 수정 버전은 다음과 같습니다. 이번 취약점에 대한 기준이며, 실제로 업데이트할 때는 해당 계열에서 제공하는 최신 보안 패키지를 적용하는 편이 안전합니다. 운영체제 배포판 자체의 보안 수정 패키지는 표와 번호가 다를 수 있다는 점도 유의하세요.
| PHP 계열 | 수정 버전 기준 |
|---|---|
| 8.5 | 8.5.12 이상 |
| 8.4 | 8.4.27 이상 |
| 8.3 | 8.3.36 이상 |
| 8.2 | 8.2.35 이상 |
| 8.1 이하 | 배포판 보안 패치 또는 지원 계열 이전 검토 |
위 표는 보호나라 PHP 점검 서비스의 이번 두 취약점 관련 기준 가운데 주요 계열을 발췌한 것입니다. 실제 웹 요청을 처리하는 실행 환경에 수정 사항이 반영돼야 하며, 침해 징후가 없는 경우에는 업데이트 후 관련 작업 프로세스도 다시 시작해야 합니다. 패치 파일만 설치하고 이전 프로세스가 계속 동작한다면 조치가 끝나지 않은 셈입니다.
- 운영 중인 홈페이지와 테스트용 사이트의 PHP 사용 여부 파악
- 호스팅 업체에 수정 패키지 적용 여부와 적용 시각 문의
- 실제 웹서비스 실행 환경에 패치가 반영됐는지 검증
- 관리자 권한과 외부 연동 계정의 접근 범위 점검
- 지난 10월 17일 이후 서버 기록과 이상 징후 조사
특히 외주 운영 사이트는 담당 직원이 서버에 직접 접근할 수 없는 경우가 많습니다. 그럴 때에는 관리업체에 서비스명, 적용된 패키지 버전, 작업 프로세스 반영 여부, 침해 흔적 점검 결과를 문서로 요청해 보세요. ‘업데이트 완료’라는 한 줄 답변보다 나중에 보안 조치를 확인하기 훨씬 수월합니다.
이미 서버 해킹이 의심된다면 신고와 증거 보존부터
평소 없던 서버 오류가 반복되거나 알 수 없는 관리자 계정이 생긴 상황이라면 조치 순서가 달라집니다. 정상 서버의 예방 업데이트와 달리 이미 침해가 의심되는 서버는 성급한 재부팅으로 중요한 조사 자료가 사라질 수 있거든요. 접속을 차단하면서 증거를 확보하고 전문가와 대응을 진행하는 편이 좋습니다.
- 외부 네트워크 접근을 제한해 의심 서버를 격리합니다.
- 한국인터넷진흥원 보호나라의 침해사고 신고 메뉴를 통해 신고합니다.
- 접속 기록, 실행 중인 프로그램, 네트워크 연결 정보 등을 보존합니다.
- 전문가와 함께 악성 파일 제거, 안전한 복구, 수정 패키지 적용 및 재시작을 진행합니다.
- 안전한 환경에서 관리자 비밀번호와 관련 인증정보를 교체하고 추가 피해를 점검합니다.
한국인터넷진흥원 PHP 보안 업데이트 권고에서도 침해가 의심되는 경우 증거 보존을 앞세웁니다. 인터넷에서 돌아다니는 출처 불명의 취약점 확인 코드를 직접 실행하는 일도 피하세요. 정상적인 점검을 하려다가 오히려 악성코드에 노출될 수 있습니다.
소규모 쇼핑몰은 접속을 차단하면 주문을 받지 못할까 봐 고민될 겁니다. 그렇지만 침해 정황이 있는 상태에서 고객 결제와 회원 가입을 계속 받는 것도 부담이 큰 선택이죠. 서비스 영향과 조사 범위를 전문가와 함께 판단하고 고객 안내가 필요한지도 검토하는 게 좋겠습니다.
일반 이용자의 개인정보와 금융계좌 보호 수칙
이번 라자루스 한국 서버 공격 소식만으로 모든 은행 계좌를 해지하거나 모든 비밀번호를 한꺼번에 변경할 이유는 없습니다. 우선 이용 중인 서비스에서 공식적으로 피해 공지를 냈는지 살피고 평소 계정 보호 수칙을 지키면 됩니다. 특히 해킹 뉴스를 악용한 허위 보상 신청이나 보안 점검 문자가 더 걱정스럽습니다.
- 금융기관 문자 속 주소 대신 평소 이용하던 공식 앱으로 접속하기
- 같은 비밀번호를 여러 서비스에서 사용하고 있다면 서로 다르게 바꾸기
- 이용 가능한 서비스에는 이중 인증 설정하기
- 모르는 로그인, 계좌 이체 및 결제 알림이 없는지 살피기
- 개인정보 유출 통지를 받았다면 사고 안내와 고객센터를 통해 대응하기
보안 문제는 개인의 노력만으로 모두 막을 수 없지만, 피해를 의심하는 문자를 받았을 때 직접 공식 앱으로 들어가는 습관만으로도 피싱 위험을 줄일 수 있습니다. 실제 금융 거래 이상이 발견되면 거래 은행의 공식 고객센터에 즉시 연락하세요. 이번 사건의 이름을 내세운 문자라고 해서 모두 공식적인 안내는 아니니까요.
자주 묻는 질문
Q. 한국 서버 30곳의 업체명과 피해 명단이 공개됐나요?
사이퍼마가 공개한 원본 표적 자료는 일부 주소를 가린 형태입니다. 표적 자료만으로 개별 기관의 실제 피해나 고객 정보 유출을 단정하기는 어렵습니다.
Q. 워드프레스 플러그인만 최신 버전이면 안전한가요?
이번 취약점은 PHP 실행 환경 자체와 관련됩니다. 플러그인 관리와 별도로 서버 PHP 패치 및 실제 실행 상태를 확인해야 합니다.
Q. 서버가 공격당했는지 상담할 곳이 있나요?
한국인터넷진흥원 118을 통해 보안 상담을 받을 수 있습니다. 실제 침해사고 신고는 보호나라의 별도 메뉴를 이용하면 됩니다.
Q. 581개 호스트가 전부 해킹된 건가요?
581은 공격자 측이 주장한 확대 표적 규모입니다. 개별 침해 성공 여부와 피해 규모는 추가 확인이 필요한 상태입니다.
출처와 참고한 곳
- 사이퍼마 10월 29일 보고서 — 원본 표적 목록, 확인 수준 및 본문 그래프 출처.
- 사이퍼마 11월 4일 분석 — 후속 보안 대응 권고.
- 한국인터넷진흥원 보호나라 보안공지 — 수정 패치와 침해사고 대응 절차.
- 보호나라 PHP 점검 서비스 — 수정 버전, 관리업체 확인 및 점검 기준.
- 연합뉴스 11월 15일 보도 — 국내 표적 및 주요 산업 관련 보도.
함께 읽으면 좋은 글
- 엔비디아 AI 인프라 협력 SKT·리벨리온 GPU·NPU 연결 계획
- Node.js 보안 취약점 발견 후 웹사이트 서버 점검과 패치 버전
- VoiceStudio 무료 음성 복제 설치와 일레븐랩스 구독료 비교
