댓글 (0)
댓글은 익명으로 작성되며, 삭제 비밀번호를 설정하면 본인만 삭제할 수 있습니다. 비밀번호를 설정하지 않은 댓글은 누구나 삭제할 수 있습니다.
사건
댓글은 익명으로 작성되며, 삭제 비밀번호를 설정하면 본인만 삭제할 수 있습니다. 비밀번호를 설정하지 않은 댓글은 누구나 삭제할 수 있습니다.
미국의 한 물리학과 교수는 학회 관련으로 보이는 이메일을 열었다. 클릭하지도, 첨부 파일을 실행하지도 않았다. 이메일이 화면에 표시된 그 순간, 브라우저 안에서 자바스크립트 하나가 조용히 돌기 시작했다. 세션 쿠키와 자격증명이 공격자에게 흘러갔다. 며칠 뒤 대학의 웹메일 서버 자체가 그들의 손에 넘어갔다.
Proofpoint가 2026년 7월 7일 공개한 UNK_MassTraction 캠페인은 이런 방식으로 미국과 캐나다의 대학을 노렸다. 표적은 무작위가 아니었다. 국가안보와 연관된 물리·공학과, 천체물리학과 입자물리학을 연구하는 학과의 교수와 관리자였다.
대학은 국가 연구의 최전선에 서 있다. 국방·항공우주·양자컴퓨팅·핵융합 같은 분야는 정부 연구소보다 대학 실험실에서 먼저 논문이 나오는 경우가 많다. 이번 캠페인이 물리학과와 공학과를 정확히 조준한 이유가 여기에 있다. 입자물리는 원자로와 핵무기 설계에 필요한 시뮬레이션 코드로 이어진다. 천체물리는 위성 탐지와 우주 감시에, 응용 광학은 극자외선 리소그래피 같은 반도체 제조 장비에 맞물린다. 미공개 초고 한 편이 몇 년치 국가 연구 프로그램을 앞당길 수 있는 영역이다.
여기에 학계의 문화가 더해진다. 교수들은 국제 공동 연구를 위해 외부 협력자와 초고를 주고받고, 학회 초청과 심사 요청 메일이 하루에도 여러 통 도착한다. 낯선 발신자를 의심하는 것 자체가 학문적 폐쇄로 이어지는 환경이다. 공격자에게는 정교하게 위장한 이메일 하나만 열리면 그만인 셈이다.
Roundcube는 오픈소스 웹메일 클라이언트다. PHP로 짜였고 무료다. 그래서 자체 서버로 메일을 운영하는 대학·연구소·중소기업이 오랫동안 써왔다. 자체 호스팅이라는 관행은 관리 부담을 이 기관들이 떠안는다는 뜻이기도 하다. 상용 메일 서비스와 달리 취약점 공지가 나와도 패치를 적용할 인력이 부족하다. 학과 조교나 겸직 관리자가 몇 주에 한 번 확인하는 식이다. 패치가 늦다.
UNK_MassTraction은 이 두 조건이 겹치는 지점을 정확히 겨눴다.
침투는 세 단계로 진행됐다. 첫 단계는 피싱 이메일이다. 학회 안내나 연구 협력 제안처럼 위장한 메일이 표적 교수에게 도착한다. 피해자가 Roundcube 웹메일에서 그 메일을 여는 순간, HTML 본문에 심어진 코드가 를 건드린다. 크로스사이트 스크립팅 결함으로 CVSS 9.3에 해당한다. 클릭도, 첨부 열람도 필요 없다. 렌더링 자체가 트리거였다.
원리는 이렇다. 웹메일은 이메일 본문을 웹 페이지처럼 화면에 그린다. 원래는 본문 안에 실행 가능한 스크립트가 있어도 무해하게 표시만 해야 한다. 그런데 는 Roundcube가 특정 형태의 HTML을 필터링하지 못하고 그대로 실행 명령으로 해석하는 결함이다. 공격자가 심어둔 몇 줄이 브라우저 안에서 정식 스크립트처럼 돌아간다. 피해자 입장에서는 그저 이메일 제목만 눌렀을 뿐이다.
Roundcube가 렌더링한 자바스크립트가 곧바로 IceCube라는 페이로드로 이어졌다. IceCube는 로그인 사용자의 이름과 비밀번호, 세션 쿠키, 인증 토큰, 그리고 브라우저 환경 정보를 수집해 공격자 서버로 보냈다. 흥미로운 사실 하나. Proofpoint 분석가는 IceCube의 자바스크립트 코드에서 대규모 언어 모델이 남기는 특유의 한 줄 주석 흔적을 발견했다. 사람 개발자라면 정리하고 지웠을 설명 문구가 그대로 남아 있었다는 뜻이다. 국가 지원 공격자조차 도구 제작에 AI를 붙이기 시작했다는 신호다. 코드 규모를 키우고 변종을 빠르게 뽑아내는 속도가 방어자가 상대해온 리듬과 다르다.
이 시점에서 공격자는 이미 피해자의 계정에 접근할 수 있었다. 하지만 개인 메일함 하나로는 부족했다. 여러 교수의 초고와 협업 자료를 한 번에 확보하고, 이후에도 조용히 계속 훔쳐내려면 서버 자체를 잡아야 했다. 훔친 세션으로 Roundcube 서버 관리 영역에 접속한 뒤 두 번째 취약점을 꺼낸 이유다. 은 CVSS 9.9의 역직렬화 결함이다. 인증된 상태에서 임의 명령 실행이 가능하다. 공격자는 이 결함으로 웹셸을 설치하거나 VShell이라는 백도어를 서버 메모리에 올렸다. 메모리에만 올린 백도어는 재부팅으로 사라지지만, 디스크 스캔에 잡히지 않는다. 며칠간 조용히 자료를 뽑기에 충분하다.
Proofpoint는 캠페인을 중국계로 판단했다. 근거는 세 갈래였다. 첫째, 여러 중국계 그룹이 공유해 온 은닉 네트워크가 감염 체인에 등장했다. 둘째, VShell 백도어는 중국계 그룹의 전형적 도구다. 셋째, 피싱 이메일 안에 중국어 언어 아티팩트가 남아 있었다. 다만 UNK_ 접두어는 Proofpoint의 임시 명명 규칙이다. TA425나 UNC 번호 같은 기존 그룹과 연결되지 않았고, 지금 시점에서는 별도 클러스터로 추적된다.
Proofpoint가 확인한 피해 대학은 10곳 미만이다. 다만 실제 영향은 수십 곳에 이를 것으로 추산했다. 캠페인이 5월부터 현재까지 이어지고 있고, 공격자가 은닉망을 통해 활동을 분산했기 때문이다. 훔친 이메일과 자격증명의 구체적 규모는 공개되지 않았다.
이 사건의 가장 불편한 진실은, 세션 쿠키를 잃은 순간 비밀번호 재설정이 무력해진다는 점이다. 세션 쿠키는 웹메일이 사용자에게 발급하는 임시 출입증에 가깝다. 로그인과 이단계 인증을 통과한 브라우저에게 "이 사용자는 이미 신원 확인이 끝났으니 다시 묻지 말고 통과시켜라"고 알리는 정보다. 서버는 이후 요청이 들어오면 이 출입증만 보고 사람인지 도구인지 구분하지 않는다. 공격자가 이 출입증을 통째로 훔치면 자기 브라우저에 그대로 붙여 넣어 로그인 절차를 건너뛴다. 비밀번호를 아무리 바꿔도 이미 발급된 출입증은 유효 기간이 남아 있다. 이단계 인증도 세션이 만들어진 순간 통과 표시가 붙기 때문에 새 요청마다 문자 코드를 다시 묻지 않는다. 즉 이 캠페인의 방식대로 세션 자체를 훔친 뒤에는, 대학 IT팀이 계정을 잠그기 전에 공격자가 훔친 쿠키로 재접속해 새 웹셸을 심을 수 있다. 서버 자체가 흔들리면 계정 잠금은 상징적 조치가 된다.
한국에서 직접 관측된 사례는 확인되지 않는다. KISA는 이 두 CVE에 대해 이미 보안 업데이트 권고를 냈지만, 학술 침투 사례로 연결된 국내 보도는 아직 없다. 다만 국내 대학이 자체 웹메일을 운영하는 관행은 여전하다. Roundcube 사용 여부와 패치 상태만이 이 캠페인의 국내 재현 가능성을 결정한다. 국내 이공계 연구실 역시 반도체 공정, 배터리 소재, 항공우주 부품 등에서 유사한 국가 이해와 맞물려 있다.
물리학과 교수의 이메일 클릭 한 번에서 시작해 대학 서버 전체가 넘어가는 이번 캠페인은 세 가지 지점에서 중요하다.
먼저 이메일을 여는 것만으로 침해가 시작되는 공격이 실전에 등장했다. 지난 몇 년간 학계에서 논의되던 시나리오가 국가 지원 그룹의 무기가 됐다. 첨부 파일이나 링크 클릭이라는 사용자 실수를 전제로 짜인 인식 교육이 흔들린다. "의심스러운 첨부는 열지 마세요"라는 문장은 이 캠페인 앞에서 성립하지 않는다. 열람 자체가 실행이었다.
다음으로 오픈소스 웹메일의 자체 호스팅이라는 관행이 실제 위험이 됐다. Roundcube 자체가 나쁜 소프트웨어라는 뜻이 아니다. 패치 주기가 조직의 관리 역량에 전적으로 달려 있다는 구조적 취약성이 드러난 것이다. 대학·연구소·NGO처럼 IT 자원이 한정된 조직이 국가 지원 공격의 표적이 되면, 이 구조가 바로 약한 고리다. 두 CVE 모두 패치는 이미 공개됐다. 그럼에도 캠페인이 5월부터 두 달 넘게 성공적으로 이어졌다는 사실이 이 시차를 그대로 보여준다.
마지막으로 공격 도구에 AI가 들어오기 시작했다. IceCube 자바스크립트의 주석 흔적은 개별 사례일 수 있지만, 국가 지원 캠페인에서 관측됐다는 사실 자체가 신호다. 언어 모델은 코드 초안을 몇 초 만에 뽑는다. 변종을 만들어 탐지 시그니처를 피하는 비용도 낮아진다. 게다가 코드 스타일이 사람 개발자와 달라져 귀속 판단마저 흐려진다. 북한 PolinRider 108개 악성 패키지, 개발자 노트북에서 클라우드 자격증명을 훔친다에서 봤듯 공급망 공격도, 이번 대학 캠페인도, 공격자는 실행 속도와 코드 규모를 급격히 늘리는 도구를 얻었다. 방어자가 상대할 리듬이 바뀌고 있다.
관련 글
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.