북한 해킹조직과 연계됐을 가능성이 제기된 세력이 프로그래밍 언어 'PHP'의 취약점을 악용해 전 세계 정부기관과 금융기관을 겨냥한 사이버 공격을 준비하고 있다는 보안업체의 분석이 나왔다. 이들은 인공지능(AI)을 활용해 공격 코드를 선별하는 등 공격 방안을 검토한 것으로 추정된다. 다만 북한 해킹조직과의 직접적인 연결고리는 아직 확인되지 않았다.

24일 보안업계에 따르면 글로벌 사이버보안 기업 사이퍼마(CYFIRMA)는 최근 보고서에서 한국어를 사용하는 해킹 세력이 'PHP'의 치명적 보안 취약점을 악용한 공격을 논의한 정황을 포착했다고 밝혔다.

사이퍼마는 지난 22일 익명 네트워크 'I2P'에서 이뤄진 한국어 대화를 분석해 공격 대상 선정과 사전 정찰 등에 관한 논의 내용을 확인했다. 해당 활동을 'June 2026 Minjun' 캠페인으로 명명하고 북한 라자루스 그룹과 연계됐을 가능성을 제기했다.

보고서에 따르면 이들은 정부기관과 은행 등 금융기관을 최우선 공격 대상으로 고려했다. 제조업과 물류·해운업, 항공 분야, 온라인 거래 플랫폼 등도 잠재적 표적에 포함됐다. 공격 대상 지역으로는 한국과 미국, 일본, 호주, 대만, 인도, 유럽연합(EU) 등이 거론됐다.

특히 공개된 취약점 공격 코드(PoC)를 수집한 뒤 자체 AI 모델로 활용 가능성을 평가하고, 통제된 환경에서 검증하는 방안을 논의한 것으로 파악됐다.

공격에 활용하려는 'PHP2Shell' 취약점 2종(CVE-2026-109618·CVE-2026-109619)은 공통취약점평가시스템(CVSS)에서 각각 9.2점을 받은 치명적 결함이다. 일부 서버에서는 인증 없이 원격 명령을 실행할 수 있어 정보 유출 등으로 이어질 우려가 있다.

사이퍼마는 해당 세력이 오는 25일까지 국가·산업별 첫 공격 대상 목록을 마련할 계획인 것으로 분석했다. 다만 실제 공격 개시 시점은 확인되지 않았다.

사이퍼마는 북한 배후 가능성에 대해서는 신중한 입장을 유지했다. 공격 준비 활동이 진행 중이라는 판단에는 '높음'(high) 수준의 신뢰도를 부여했지만 라자루스 그룹과의 연계 가능성에 대해서는 '중간'(moderate) 수준으로 평가했다.

보고서는 한국어 사용과 공격 전술의 유사성 등을 근거로 제시했다. 하지만 기존 라자루스 조직과 직접 연결되는 악성코드나 공격 인프라 관련 증거는 확보하지 못했다고 설명했다.

한편 PHP 개발팀은 지난 21일 취약점 2건을 수정한 보안 업데이트를 배포했다. 정부와 보안업계는 PHP를 사용하는 기업과 기관에 취약점이 수정된 버전으로 즉시 업데이트할 것을 권고하고 있다.

yjra@news1.kr