FortiBleed 캠페인이 Fortinet 장비를 노린 대규모 자격 증명 탈취 공격으로 밝혀지며 INC 및 Lynx 랜섬웨어 조직과 연계된 것으로 확인됐다. 이는 국내 기업들에게도 심각한 위협으로, 즉각적인 패치, 다단계 인증 도입, 제로 트러스트 아키텍처 검토 등 강력한 보안 강화 전략이 시급하다. 특히 RaaS 모델 확산과 공급망 공격 심화 추세에 맞춰 선제적인 위협 인텔리전스 활용이 중요하게 떠오르고 있다.
전문가 통찰 및 한줄평 (Insight)
FortiBleed와 같이 널리 사용되는 보안 장비의 취약점을 노리는 공급망 공격은 단일 기업의 보안 노력만으로는 막기 어렵다.
이제는 조직 간의 정보 공유와 협력이 핵심이며, 국내 기업들도 선제적인 위협 인텔리전스 활용이 필수적인 시점이다.
과거의 방어 전략으로는 급변하는 위협 환경에 대응하기 어렵다는 점을 명심해야 한다.
최근 사이버보안 업계는 Fortinet 제품군을 노린 대규모 자격 증명 탈취 캠페인, 일명 FortiBleed의 여파로 술렁이고 있다.
이 캠페인이 악명 높은 INC 랜섬웨어 및 Lynx 랜섬웨어 운영 조직과 연관된 것으로 확인되면서, 전 세계 기업들이 심각한 위협에 직면한 상황이다.
특히 VPN, 방화벽 등 네트워크 핵심 인프라를 사용하는 국내 기업들에게도 직접적인 위협으로 다가오고 있어 철저한 대비가 요구된다.
핵심 이슈 및 배경: 왜 FortiBleed 캠페인에 주목해야 하는가?
이번 FortiBleed 캠페인은 단순히 특정 기업의 시스템 침투를 넘어, 광범위한 공급망 공격의 특성을 띠고 있다는 점에서 심각성이 크다.
SOCRadar의 분석에 따르면, 공격자들은 Fortinet 장비에서 자격 증명 탈취(Credential Harvesting)를 목표로 움직였으며, 이를 통해 관리자 수준의 접근 권한을 확보한 것으로 보인다.
이러한 공격은 초기 침투 브로커(Initial Access Broker)가 맞춤형 Go 기반 도구를 사용해 인증 트래픽을 가로채는 방식으로 진행되었다.
특히, CISA(미국 사이버보안 및 인프라 보안국)는 지난달 이미 Fortinet 방화벽 및 VPN 자격 증명이 해커들의 주요 표적이 되고 있음을 경고한 바 있다.
이는 특정 취약점을 넘어서는 시스템 전반의 보안 강화가 필요함을 시사한다.
더욱이 이번 공격 과정에서 Nextcloud라는 콘텐츠 협업 플랫폼의 제로데이(zero-day) 취약점이 악용되었을 가능성도 제기되고 있다.
모든 공격에 Nextcloud가 동원된 것은 아니지만, 초기 침투 후 내부 확산을 위한 수단으로 활용된 정황은 눈여겨볼 대목이다.
SOCRadar는 현재까지 12건의 랜섬웨어 배포와 수백 개의 엔드포인트 암호화를 확인했으며, 409개 표적에서 관리자 권한을, 354개 표적에서는 완전한 시스템 침해를 달성했다고 밝혔다.
이러한 수치는 공격의 규모와 파괴력을 여실히 보여준다.
필자가 만난 국내 보안 전문가들도 Fortinet 제품의 광범위한 사용을 고려할 때, 국내 기업들도 결코 안심할 수 없는 상황이라는 데 의견을 같이하고 있다.
FortiBleed 캠페인, 구체적으로 어떤 공격인가?
FortiBleed 캠페인의 핵심은 Fortinet 장비의 취약점을 활용한 자격 증명 탈취에 있다.
공격자들은 Fortinet VPN 및 방화벽과 같은 네트워크 장비에 접근하여, 사용자의 인증 정보를 가로채는 데 주력했다.
이는 단순히 시스템에 침투하는 것을 넘어, 합법적인 계정 정보를 통해 내부 시스템에 은밀하게 접근하려는 고도화된 전략이다.
이 과정에서 Golang 기반의 맞춤형 도구가 사용되어 인증 트래픽을 가로채고, 탈취한 자격 증명을 이용해 INC 랜섬웨어 및 Lynx 랜섬웨어 운영 조직에 초기 접근 권한을 판매한 것으로 분석된다.
즉, FortiBleed 캠페인은 랜섬웨어 운영을 위한 초기 접근 브로커(IAB) 활동의 일환으로 볼 수 있다.
이러한 공격 방식은 다음과 같은 특징을 가진다:
- 광범위한 표적: 전 세계 수만 대의 Fortinet 장비가 공격 대상이 되었다.
- 고도화된 기술: Golang 기반의 맞춤형 도구를 사용해 탐지를 회피하려는 시도가 있었다.
- 랜섬웨어 연계: 탈취된 자격 증명은 INC 및 Lynx 랜섬웨어 조직으로 흘러 들어가 2차 피해를 유발했다.
- 제로데이 활용: Nextcloud와 같은 다른 소프트웨어의 제로데이 취약점도 공격의 확산에 기여했을 가능성이 있다.
SOCRadar에 따르면, 최초 19,000대의 Fortinet 장비에서 트래픽 스니핑이 식별되었으며, 통보 후에도 여전히 11,000대의 장비가 위험에 노출된 상태로 파악되고 있다.
이는 수많은 기업이 자신도 모르는 사이에 공격자에게 문을 열어줄 수 있음을 의미하며, 적극적인 보안 강화 조치가 시급함을 보여준다.
랜섬웨어 시장의 진화: RaaS 모델과 공급망 공격의 확산
FortiBleed 캠페인은 최근 랜섬웨어 공격의 주요 트렌드를 명확히 보여준다.
바로 서비스형 랜섬웨어(RaaS, Ransomware-as-a-Service) 모델의 확산과 공급망 공격의 심화다.
RaaS 모델은 기술적 지식이 부족한 공격자도 손쉽게 랜섬웨어 공격을 수행할 수 있도록 해, 위협의 진입 장벽을 낮춘다.
INC와 Lynx 같은 조직들이 이러한 RaaS 모델을 통해 운영되는 대표적인 사례로 볼 수 있다.
| 특징 | 기존 랜섬웨어 공격 (과거) | RaaS 모델 기반 공격 (현재) | FortiBleed 사태 교훈 (미래 대응) |
|---|---|---|---|
| 공격자 유형 | 고도의 기술력을 가진 단일 해커 그룹 | 기술 전문성 낮은 다수 공격자 (구독형 모델) | 전문 공격 집단 + 다수의 하위 공격자 |
| 공격 목표 | 직접적인 데이터 암호화 및 금전 요구 | 초기 접근 권한 판매 후 랜섬웨어 배포 | 광범위한 자격 증명 탈취 및 2차 랜섬웨어 확산 |
| 주요 침투 경로 | 이메일 피싱, 서버 취약점 직접 공격 | 초기 접근 브로커(IAB) 통한 접근, 제로데이 활용 | 네트워크 인프라 취약점, 공급망 내 소프트웨어 취약점 |
| 피해 확산 속도 | 비교적 느린 편 | 매우 빠르고 광범위하게 확산 | 전 세계적인 동시다발적 확산 및 연쇄 피해 |
| 대응 전략 | 백업 및 복구, 백신 소프트웨어 | 다계층 보안, 위협 인텔리전스, EDR/XDR, 제로 트러스트 | 선제적 위협 인텔리전스, 공급망 보안 강화, 지속적인 취약점 관리, 모의훈련 |
이러한 RaaS 모델은 초기 접근 브로커가 확보한 침투 경로를 랜섬웨어 운영자에게 판매하는 형태로 이루어진다.
FortiBleed 캠페인이 바로 이러한 공급망의 첫 단추인 셈이다.
네트워크 장비의 취약점을 이용해 기업의 핵심 인프라에 침투하고, 그 정보를 랜섬웨어 조직에 넘김으로써 대규모 피해를 유발하는 방식이다.
이는 기업들이 자사 시스템뿐만 아니라, 공급망 전체의 보안 취약점에 대한 경각심을 가져야 함을 명확히 보여준다.
한국 기업, FortiBleed와 같은 위협에 어떻게 대응해야 할까?
Fortinet 제품은 국내에서도 정부 기관, 금융권, 대기업, 중소기업 등 전방위적으로 사용되고 있다.
따라서 이번 FortiBleed 캠페인은 한국 기업들에게도 실질적인 위협으로 작용할 수밖에 없다.
특히 네이버, 카카오, 삼성, LG, 현대 등 국내 주요 IT 및 제조 기업들은 글로벌 공급망을 가지고 있어 더욱 주의해야 할 필요가 있다.
지금 당장 국내 기업들이 취해야 할 실질적인 전략은 다음과 같다.
- Fortinet 장비 및 네트워크 인프라 전반에 대한 긴급 점검 및 패치: Fortinet에서 제공하는 최신 보안 업데이트 및 패치를 즉시 적용해야 한다. 특히 사용 중인 FortiGate, FortiClient, FortiManager 등의 모든 장비에 대한 취약점 점검을 최우선으로 실시해야 한다. 이는 관련 기술 트렌드 더 보기에서도 강조되는 기본적인 보안 수칙이다.
- 강력한 인증 및 다단계 인증(MFA) 도입: 탈취된 자격 증명이 실제 시스템 접근으로 이어지는 것을 막기 위해 모든 시스템에 MFA를 강제해야 한다. 특히 VPN 접속 시 MFA는 필수적인 방어선이다.
- 제로 트러스트(Zero Trust) 아키텍처 도입 검토: ‘절대 신뢰하지 않고, 항상 검증한다’는 제로 트러스트 원칙을 바탕으로 네트워크 내부에서도 모든 접근을 의심하고 검증하는 시스템을 구축해야 한다. 이는 내부망 침투 후 횡적 이동(Lateral Movement)을 차단하는 데 매우 효과적이다.
- 위협 인텔리전스 공유 및 활용: KISA, 국가정보원 등 정부 기관에서 제공하는 최신 위협 정보를 적극적으로 수용하고, 자체적으로도 위협 인텔리전스를 구축하여 선제적으로 대응해야 한다. 동종 업계 간의 정보 공유도 매우 중요하다.
- 엔드포인트 탐지 및 대응(EDR/XDR) 솔루션 도입: 침투가 발생하더라도 신속하게 위협을 탐지하고 대응할 수 있는 EDR 또는 XDR 솔루션을 도입하여 엔드포인트 단의 가시성을 확보해야 한다.
- 정기적인 모의 해킹 및 취약점 진단: 외부 공격자가 어떤 방식으로 침투할 수 있는지 정기적으로 점검하고, 발견된 취약점은 즉시 개선해야 한다.
한국 직장인이나 개발자들은 자신의 업무 환경에서 사용되는 VPN, 메신저, 협업 도구의 보안 설정에 관심을 가지고, 강력한 비밀번호와 MFA 사용을 생활화해야 한다.
투자자들은 사이버보안 관련 기업의 동향과 정부의 보안 정책 변화를 주시하며, 사이버보안 산업의 성장 가능성을 눈여겨볼 필요가 있다.
결론
FortiBleed 캠페인은 Fortinet과 같은 신뢰받는 보안 솔루션도 언제든 공격의 대상이 될 수 있음을 보여준다.
이번 사태는 랜섬웨어 공격이 특정 취약점 공격을 넘어, 초기 접근 권한 확보와 공급망 전체를 아우르는 고도화된 형태로 진화하고 있음을 강력하게 경고하고 있다.
국내 기업들은 지금이라도 기존의 방어 체계를 전면 재검토하고, 선제적인 위협 인텔리전스 확보, 다계층 보안 강화, 그리고 조직 내 보안 인식 제고를 통해 사이버 위협에 대한 회복탄력성을 키워야 한다.
보안은 더 이상 IT 부서만의 일이 아니라, 기업의 생존과 직결되는 핵심 경영 전략으로 자리매김해야 할 시점이다.
자주 묻는 질문 (FAQ)
Q: FortiBleed 캠페인이 정확히 무엇이며, 어떤 피해를 입힐 수 있나요?
A: FortiBleed 캠페인은 Fortinet 방화벽 및 VPN 장비에서 사용자 자격 증명을 탈취하는 대규모 공격입니다.
탈취된 자격 증명은 INC 및 Lynx와 같은 랜섬웨어 그룹에 판매되어, 기업 네트워크 침투 및 데이터 암호화, 심각한 금전적 피해로 이어질 수 있습니다.
Q: 국내 기업들도 FortiBleed 캠페인의 위협에서 안전하지 않은가요?
A: 네, Fortinet 제품은 국내에서도 광범위하게 사용되고 있어, 한국 기업들도 충분히 위협에 노출될 수 있습니다.
특히 초기 접근 브로커가 활발하게 활동하고 있어, 관리자 권한 탈취를 통한 랜섬웨어 공격으로 이어질 가능성이 높습니다.
Q: FortiBleed와 같은 공격으로부터 기업을 보호하기 위해 가장 중요한 조치는 무엇인가요?
A: 가장 중요한 조치는 Fortinet 장비에 대한 최신 보안 패치를 즉시 적용하고, 모든 시스템에 다단계 인증(MFA)을 강제하는 것입니다.
또한, 제로 트러스트 아키텍처를 도입하고, 위협 인텔리전스를 활용하여 선제적으로 위협에 대응하는 것이 필수적입니다.
Q: 랜섬웨어 공격을 방어하기 위한 국내 정부 기관의 역할은 무엇인가요?
A: 한국인터넷진흥원(KISA) 등 국내 정부 기관은 최신 사이버 위협 정보를 수집 및 분석하여 기업들에게 전파하고, 침해 사고 발생 시 기술 지원을 제공합니다.
기업들은 KISA 등의 보안 권고 사항을 주시하고 적극적으로 따르는 것이 중요합니다.
— 원문 출처: https://www.cybersecuritydive.com/news/fortibleed-campaign-traced-to-inc-and-lynx-ransomware-operations/824348/
— 이 글과 관련된 추천 서비스 —
* 이 포스팅은 제휴 마케팅 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받을 수 있습니다. *