당신의 집 공유기가 북한 해커의 도구가 되고 있다

FBI 도청 시스템 해킹, 북한의 2억8000만 달러 암호화폐 탈취, 클로드 코드 소스 유출까지. 2026년 사이버 위협이 일상으로 파고드는 방식을 분석한다.

당신이 지금 이 글을 읽는 동안, 집 공유기가 누군가의 DDoS 공격 도구로 쓰이고 있을 수도 있다.

과장이 아니다. 미국 법 집행기관이 최근 해체한 봇넷 Kimwolf는 전 세계 가정용 네트워크 장비를 감염시켜, 역사상 최대 규모의 분산 서비스 거부(DDoS) 공격 일부를 실행했다. 그리고 그 추적에 결정적인 단서를 제공한 사람은 22살 대학생이었다.

이번 주 터진 사이버보안 사건들을 하나씩 들여다보면, 공통된 패턴이 보인다. 위협은 이제 '저 먼 곳의 이야기'가 아니다.

FBI 도청 시스템이 뚫렸다

미국 연방수사국(FBI)이 자체 감시 수집 시스템에 대한 사이버 침입을 FISMA(연방정보보안현대화법) 상 '주요 사건(major incident)'으로 공식 분류했다. 이 지정은 국가 안보에 심각한 위협을 줄 수 있다고 판단될 때만 적용되는 법적 기준이다. FBI가 자체 시스템에 이 등급을 선언한 것은 적어도 2020년 이후 처음이다.

Politico에 따르면 트럼프 행정부 고위 관계자 두 명은 이번 침입의 배후로 중국을 지목했다. 해커들은 2월에 탐지됐으며, 법원 명령 하에 수집된 전화·인터넷 메타데이터와 FBI 수사 대상자들의 개인 정보가 담긴 비밀 해제 시스템에 접근했다. 침입 경로는 상업용 인터넷 서비스 제공업체(ISP)였다.

이것이 단순한 해프닝으로 보이지 않는 이유가 있다. 2024년 밝혀진 Salt Typhoon 캠페인에서 중국 해커들은 이미 미국 내 최소 8개 통신사와 ISP에 침투해 80개국 200개 이상 기업에 영향을 미쳤다. 연구자들은 Salt Typhoon이 아직 진행 중이라고 말한다. 이번 FBI 침입은 같은 감시 인프라의 다른 쪽 문을 두드린 셈이다.

북한은 올해만 3억 달러 가까이 훔쳤다

탈중앙화 금융(DeFi) 플랫폼 Drift가 2억8000만 달러(약 3800억 원) 규모의 암호화폐 해킹 피해를 인정했다. 블록체인 추적 기업 Elliptic은 블록체인 상의 자금 세탁 패턴과 네트워크 지표를 근거로 북한 해커 소행으로 지목했다.

광고주 모집

[email protected]

맥락이 중요하다. 북한은 지난해 암호화폐만으로 총 20억 달러를 탈취했다. 올해는 이번 Drift 사건을 포함해 이미 3억 달러에 육박한다. 속도는 비슷하다. 그리고 이 돈은 김정은 정권의 무기 프로그램 자금으로 흘러간다는 것이 미국 정부의 공식 입장이다.

한국 투자자들에게도 무관한 이야기가 아니다. 국내 암호화폐 거래소들 역시 북한 해킹 그룹의 반복적인 타깃이 되어 왔다. 2019년 업비트 해킹(580억 원 상당)이 대표적이다. DeFi 플랫폼의 보안 취약성은 국경을 가리지 않는다.

22살 대학생이 역대급 봇넷을 무너뜨렸다

미국 법 집행기관이 Aisuru, Kimwolf, JackSkid, Mossad 등 4개 연계 봇넷을 해체했다. 이 중 Kimwolf는 가정용 IoT 기기를 감염시켜 '주거용 프록시(residential proxy)'로 전환, 전 세계 가정 네트워크를 DDoS 공격의 발사대로 만들었다.

Wall Street Journal이 조명한 인물은 뉴욕주 로체스터공과대학교(RIT) 22살 재학생 Benjamin Brundage다. 그는 Discord에서 해커들과 직접 대화하며 기술적 단서를 수집하고 이를 수사 당국에 제공했다. 거창한 장비나 기관의 지원 없이, 집요한 추적만으로 수사의 물꼬를 텄다.

당신의 공유기가 감염됐는지 확인하는 방법은 있다. ISP에서 제공한 기본 비밀번호를 아직 쓰고 있다면, 지금 당장 바꾸는 것이 첫 번째다.

클로드 코드 유출, 악성코드까지 묻어왔다

이번 사건의 핵심은 유출 자체보다 '활용 방식'이다. Claude Code는 터미널에 익숙하지 않은 사용자들이 명령어를 복사·붙여넣기 하는 방식으로 설치한다. 3월에는 구글 검색 광고를 통해 가짜 Claude Code 설치 가이드로 유도하는 악성코드 캠페인이 이미 있었다. 유출 코드를 찾는 사람들의 심리를 정확히 노린 것이다.

공급망 공격, 이번엔 시스코까지

해커 그룹 TeamPCP가 취약점 스캐너 소프트웨어 Trivy를 통해 Cisco의 개발자 환경에 접근, 소스 코드 일부와 고객사 코드를 탈취했다. TeamPCP는 같은 수법으로 AI 소프트웨어 LiteLLM과 보안 소프트웨어 CheckMarx도 공격했다.

공급망 공격의 특성상, 피해는 직접적 피해 기업에 그치지 않는다. Cisco의 보안 솔루션을 도입한 국내 기업들도 잠재적 위험 반경 안에 있다. 삼성, SK, LG 등 대기업들이 Cisco 인프라를 광범위하게 사용한다는 점에서 국내 보안 담당자들의 주의가 필요하다.