이란 해킹 조직 Charming Kitten, 한국도 공격 대상에 포함

최근 이란 연계 해킹 조직 Charming Kitten의 내부 자료가 외부에 공개되면서, 과거 공격 대상과 운영 방식이 드러났습니다. 공개된 자료에는 대한민국이 공격 대상 국가에 포함되어 있었으며, 기업 메일 서버(Microsoft Exchange)의 보안 취약점인 'ProxyShell'을 이용한 공격 기록도 담겨 있었습니다.

공개된 자료에는 국내 Exchange 서버 도메인 147개를 식별한 기록이 포함됐으며, 이 중 45개는 ProxyShell 취약점과 관련해 공격 대상으로 관리된 정황이 확인됐습니다. 일부 서버에는 스캔 결과와 공격 시도 기록도 포함되어 있었으며, 공격 대상 산업에는 금융, 교육, 정보통신, 에너지 등이 포함된 것으로 나타났습니다.

이 그룹의 사례는 특정 기업만 노린 공격이 아니라, 인터넷에 노출된 기업 메일 서버를 광범위하게 탐색하고 관리하는 방식으로 공격이 이뤄질 수 있음을 보여줍니다.

Charming Kitten은 누구인가

Charming Kitten은 10년 이상 활동해 온 이란 연계 APT 조직으로 알려져 있습니다. 이메일 피싱과 사회공학 기법뿐 아니라 Microsoft Exchange와 같이 기업에서 널리 사용하는 시스템의 취약점을 공격에 활용해 왔습니다.

최근 공개된 내부 자료를 통해 취약점 분석, 자격 증명 탈취, 공격 인프라 운영 등을 역할별로 나눠 조직적으로 활동한 정황도 확인됐습니다.

한국도 포함된 메일 서버 공격

ProxyShell은 Microsoft Exchange 서버에서 발견된 보안 취약점들을 통칭합니다. 보안 업데이트가 적용되지 않은 서버에서는 공격자가 이 취약점을 악용해 서버에 침투하거나 악성 코드를 실행할 수 있습니다.  새로운 공격 기법이 아니라 수년 전에 알려진 취약점도 패치되지 않으면 여전히 공격에 활용될 수 있다는 점이 이번 사례의 핵심입니다.

유출 자료에는 대한민국 전용 폴더가 별도로 존재했으며, 국내 기업을 대상으로 수집한 서버 정보와 공격 진행 기록이 포함되어 있었습니다. 특히 대한민국은 중동 국가가 아님에도 공격 대상에 포함된 것으로 나타났습니다.

이는 특정 지역만을 노리는 공격이 아니라, 보안이 취약한 기업 시스템이라면 국가와 관계없이 공격 대상이 될 수 있음을 보여주는 사례입니다. 

중소기업도 주의가 필요한 이유

Exchange 서버는 기업 메일을 운영하는 핵심 시스템입니다. 메일 서버가 침해되면 이메일뿐 아니라 업무 문서, 계정 정보, 내부 커뮤니케이션 등 기업의 주요 정보가 함께 노출될 수 있습니다.

특히 공격자는 인터넷에 노출된 메일 서버를 먼저 탐색한 뒤, 보안 업데이트가 적용되지 않은 시스템을 우선적으로 노리는 경우가 많습니다. 규모가 작은 기업이라도 메일 서버의 보안 업데이트가 미뤄졌거나 관리가 미흡하다면 공격 대상에서 제외된다고 보기 어렵습니다.

이번 사례처럼 공격 대상을 미리 목록화하고 장기간 관리하는 방식은 기업이 공격 사실을 인지하기 전부터 이미 공격자의 탐색 대상이 될 수 있음을 보여줍니다. 전담 보안 인력이 부족한 중소기업일수록 기본적인 보안 점검과 업데이트 관리가 더욱 중요합니다.

중소기업이 점검해야 할 보안 체크리스트

• 메일 서버의 보안 업데이트 상태 확인

Microsoft Exchange 서버를 운영하고 있다면 현재 최신 보안 업데이트가 적용되어 있는지 확인해야 합니다. 오래전에 알려진 취약점이라도 업데이트가 적용되지 않은 서버에서는 여전히 공격에 악용될 수 있습니다. 업데이트가 장기간 미뤄지지 않도록 담당자를 지정하고 정기적으로 패치 적용 여부를 확인하는 것이 중요합니다.

• 외부에 노출된 서버와 관리자 페이지 점검

메일 서버를 비롯해 외부에서 접근할 수 있는 서버나 관리자 페이지가 불필요하게 인터넷에 노출되어 있지 않은지 확인해야 합니다. 업무상 외부 접속이 필요하다면 접근 가능한 범위를 제한하고, 사용하지 않는 서비스나 포트는 차단해 공격자가 접근할 수 있는 경로를 최소화하는 것이 좋습니다.

• 평소와 다른 로그인이나 이상 징후 확인

관리자 계정에 평소와 다른 국가나 IP 주소에서 접속한 기록은 없는지, 업무 시간과 무관한 시간대에 로그인이 발생하지 않았는지 확인해야 합니다. 반복적인 로그인 실패나 예상하지 못한 외부 접속 등 평소와 다른 활동이 발견된다면 단순 오류로 넘기지 말고 원인을 확인하는 것이 필요합니다.

• 관리자 계정에 MFA 적용하고 업무 계정과 분리

메일 서버와 주요 시스템의 관리자 계정에는 다단계 인증(MFA)을 적용해 비밀번호가 유출되더라도 추가적인 인증 없이는 접근하기 어렵게 해야 합니다. 또한 관리자 권한이 있는 계정을 일반적인 이메일이나 웹 업무에 함께 사용하지 않고, 관리 업무용 계정을 별도로 운영하는 것이 안전합니다.

• 보안 사고 발생 시 대응 담당자와 절차 미리 정하기

이상 징후가 발견된 뒤 대응 방법을 정하기 시작하면 초기 대응이 늦어질 수 있습니다. 문제가 발생했을 때 누가 서버를 확인하고, 어떤 보안 담당자나 외부 전문업체에 연락할지 미리 정해두는 것이 좋습니다. 서버 격리, 로그 확인, 계정 비밀번호 변경 등 기본적인 대응 순서도 사전에 준비해두면 보다 신속하게 대응할 수 있습니다.

✅우리 회사도 한번 확인해 보세요.

메일 서버의 최신 업데이트 여부를 모르거나, 서버 관리 담당자가 명확하지 않거나, 관리자 계정에 MFA가 적용되어 있지 않다면 지금부터 하나씩 점검해 보는 것이 좋습니다. 작은 관리 공백도 공격자에게는 기업 시스템에 접근할 수 있는 기회가 될 수 있습니다.

드러난 취약점, 사라지지 않은 위협

이번 사례에서 주목해야 할 점은 공격자가 새로운 취약점만 노리는 것이 아니라는 사실입니다. 이미 수년 전에 알려진 취약점도 보안 업데이트가 적용되지 않은 채 인터넷에 노출되어 있다면 여전히 공격의 통로가 될 수 있습니다.

특히 전담 보안 인력이 부족한 중소기업에서는 '누가 관리하고 있는지 모르는 서버', '업데이트가 미뤄진 시스템'이 보안 사각지대가 되기 쉽습니다.

우리 회사는 규모가 작으니 공격 대상이 되지 않을 것이라고 생각하기보다, 외부에 노출된 시스템은 없는지, 보안 업데이트는 최신 상태인지, 관리자 계정은 안전하게 관리되고 있는지부터 정기적으로 점검하는 것​이 중요합니다.

새로운 위협을 모두 예측할 수는 없지만, 이미 알려진 취약점을 방치하지 않는 것. 이것이 기업의 정보 자산을 지키는 가장 기본적인 보안의 시작입니다.