북한 해킹조직과 연계됐을 가능성이 제기된 세력이 전 세계 웹사이트에서 널리 쓰이는 프로그래밍 언어 'PHP'의 치명적인 보안 취약점을 이용해 대규모 사이버 공격을 준비 중인 정황이 포착됐다. 이들은 인공지능(AI)을 활용해 공격 코드를 선별하는 등 치밀하게 공격 방안을 검토한 것으로 파악됐다. 다만 북한 해킹조직과의 직접적인 연결고리는 아직 확인되지 않아 배후에 대해서는 신중한 판단이 필요하다는 지적도 나온다.
24일 보안업계에 따르면 싱가포르 사이버보안 기업 사이퍼마는 익명성이 보장되는 폐쇄형 네트워크 'I2P'에서 한국어를 사용하는 조직원들이 PHP 취약점을 이용한 사이버 공격을 모의하는 정황을 포착했다고 밝혔다. 사이퍼마는 지난 22일 I2P에서 이뤄진 한국어 대화를 분석해 공격 대상 선정과 사전 정찰 등에 관한 논의 내용을 확인했다.
이들은 최근 발견된 PHP 취약점 'PHP2Shell'(CVE-2026-109618, CVE-2026-109619)을 이용해 전 세계 웹 서버를 공격하기 위한 구체적인 계획을 논의한 것으로 분석됐다. PHP2Shell은 공격자가 별도의 로그인이나 인증 절차 없이 조작된 웹 요청만으로 서버에서 원격 명령을 실행할 수 있는 결함으로, 공통취약점평가시스템에서 10점 만점에 9.2점을 받아 '치명적' 등급으로 분류됐다.
사이퍼마는 이번 공격 준비 활동을 'June 2026 Minjun' 캠페인으로 명명하고, 관련 조직이 북한 라자루스(Lazarus) 그룹 생태계에 속하거나 연계됐을 가능성을 제기했다. 라자루스 그룹은 북한 배후로 알려진 해킹조직으로, 전 세계를 대상으로 한 여러 사이버 공격에 연루된 것으로 지목돼 왔다. 다만 사이퍼마는 이번 공격 준비 세력과 라자루스 그룹의 연계 가능성에 대해 '중간' 수준의 신뢰도로 평가했다.
보고서에 따르면 이들은 정부기관과 은행을 비롯한 금융기관을 최우선 표적으로 선정했다. 이외에도 제조업, 물류·해운업, 공항·항공 분야, 온라인 거래 플랫폼, 무역회사, 건설사 등이 공격 대상에 포함됐다. 지역별로는 한국, 미국, 일본, 호주, 대만, 인도, 싱가포르, 아랍에미리트(UAE), 사우디아라비아, 유럽연합(EU) 등이 우선 공격 대상으로 거론됐다.
사이퍼마는 해당 세력이 25일까지 국가·산업별 첫 공격 대상 목록을 마련할 계획인 것으로 분석했으나, 실제 공격 개시 시점은 확인되지 않았다.
공격 준비 과정에서 인공지능을 활용한 정황도 확인됐다. 공개된 취약점 공략 코드를 수집한 뒤 자체 AI 모델로 우선순위를 매기고, 실제 사용 전 통제된 환경에서 검증하는 등 치밀한 방식을 취하고 있다는 분석이다.
한편 보안업계에서는 북한 조직과의 연계 여부에 대해 신중한 판단이 필요하다는 의견도 제기됐다. 사이퍼마가 제시한 북한 연계 근거는 한국어로 이뤄진 공격 지시, 정부·금융기관 위주의 표적 선정, 과거 라자루스가 사용해 온 웹셸 방식과 유사한 공격 전술 등이다. 그러나 정작 라자루스 그룹과 직접 연결되는 악성코드나 공격 인프라의 중복 증거는 확인되지 않았다.
보안 전문가들은 공개된 자료만으로 실제 북한 공격조직의 개입 여부를 독립적으로 검증하기는 어려운 측면이 있다고 지적했다. 취약점 자체의 위험성과 공격 시도 정황은 우선순위를 두고 관찰·대응하되, 북한 조직의 개입 여부는 추가 검증이 필요한 정보로 분류하는 것이 적절하다는 조언이다.
PHP는 전 세계 웹사이트 상당수가 사용하는 서버용 프로그래밍 언어로, PHP 개발팀은 지난 21일 이번 취약점을 수정한 긴급 보안 업데이트를 배포했다. 과학기술정보통신부와 한국인터넷진흥원(KISA) 역시 지난 22일 PHP 취약점과 관련해 '주의' 경보를 발령하고 기업들을 대상으로 보안 대응 수칙을 안내했다.
정부와 보안업계는 PHP를 사용하는 기업과 기관에 취약점이 수정된 버전으로 즉시 업데이트할 것을 권고하고 있으며, 특히 정부기관과 금융기관, 제조업체 등 공격 표적으로 거론된 분야에서는 서버 보안 점검을 강화하고 외부 침입 시도를 면밀히 모니터링할 필요가 있다고 강조했다.