TON 블록체인 악용한 해킹, 한국 호텔 산업 노린다

전문가 통찰 및 한줄평 (Insight)

이번 TONResolver 공격은 블록체인 기술의 예상치 못한 오남용 사례를 보여주며, 국내 숙박업계에도 사이버 보안 경각심을 높여야 할 시점임을 시사합니다.

특히 예약 시스템 연동 및 고객 정보 관리에 있어 더욱 철저한 보안 대책이 요구됩니다.

최근 IT 보안 업계에서 흥미로운, 그러나 동시에 매우 우려스러운 동향이 포착되었습니다.

2026년 5월, 일본의 숙박 시설을 대상으로 한 피싱 공격이 급증했는데, 이 공격의 배후에는 TONResolver라는 새로운 형태의 원격 액세스 트로이 목마(RAT)가 있었습니다.

이 악성코드는 The Open Network(TON) 블록체인이라는 분산형 기술을 악용하여 공격의 추적을 어렵게 만들고, 명령 제어(C&C) 서버를 유연하게 변경하는 방식을 사용했습니다.

특히 Booking.com과 제휴된 일본 내 호텔 직원들이 주요 타겟이 되었다는 점에서, 한국의 호텔 및 숙박 산업 종사자들에게도 시사하는 바가 큽니다.

TONResolver 공격, 무엇이 문제인가

기존의 피싱 공격이 단순한 악성 파일 첨부나 링크 클릭을 유도했다면, TONResolver 공격은 한층 더 정교해진 전술을 구사했습니다.

공격자들은 Booking.com 고객의 “투숙 후기 요청” 혹은 “불만 사항 접수” 와 같은 제목을 사용하여 호텔 직원들의 경각심을 무너뜨렸습니다.

마치 실제 고객의 문의나 요청처럼 위장한 이메일은, 첨부된 ZIP 파일 내의 LNK(바로가기) 파일을 클릭하게 유도했습니다.

이 LNK 파일은 사진 파일 등으로 위장되어 있어 일반적인 악성코드 탐지를 우회하기 용이했습니다.

더욱 주목할 점은 TONResolver가 C&C 서버 관리에 TON 블록체인을 활용했다는 것입니다.

악성코드는 C&C 서버의 주소를 하드코딩하는 대신, TON 블록체인 상의 스마트 컨트랙트에 저장했습니다.

이는 공격자가 언제든지 C&C 서버를 변경하거나 업데이트할 수 있음을 의미합니다.

즉, 특정 IP 주소나 도메인이 차단되더라도, 블록체인에 저장된 정보를 업데이트하는 것만으로 새로운 서버로 공격을 이어갈 수 있다는 뜻입니다.

이는 기존의 중앙 집중식 C&C 서버 관리 방식보다 훨씬 탐지 및 차단이 어렵다는 치명적인 단점을 지닙니다.

진화하는 피싱 기법: Gmail을 통한 ‘대화형 공격’

이번 공격에서는 단순히 대량으로 피싱 메일을 살포하는 방식을 넘어, Gmail을 활용한 “대화형 공격(conversational attack)” 기법도 사용되었습니다.

공격자는 처음에는 URL이 없는 단순한 문의 메일을 보내 수신자의 응답을 유도했습니다.

상대방이 답장을 보내 신뢰를 형성한 후에야, 악성 URL이 포함된 후속 메일을 발송하는 방식입니다.

이러한 신뢰 구축 단계는 고도화된 지속 위협(APT) 공격에서도 흔히 사용되는 기법으로, 피싱 메일의 위험성을 더욱 높입니다.

타겟으로 삼은 일본의 숙박 시설들뿐만 아니라, 영어를 사용하는 숙박 시설을 대상으로 한 영어 제목의 피싱 메일도 발견되었습니다.

“Urgent: Bed bug complaint from guest”와 같은 제목으로, 투숙객의 숙박 경험에 대한 불만을 제기하며 악성 링크 클릭을 유도했습니다.

이러한 다각적인 공격 방식은 공격 그룹이 다양한 타겟과 환경에 맞춰 전략을 유연하게 구사함을 보여줍니다.

TONResolver 공격 사례와 비교 분석

TONResolver 공격은 블록체인 기술을 악용한 새로운 유형의 사이버 위협으로, 기존 RAT(원격 액세스 트로이 목마)와 비교했을 때 다음과 같은 차이점을 보입니다.

이 표에서 알 수 있듯이, TONResolver는 C&C 서버의 분산적이고 동적인 관리를 통해 공격의 지속성과 은닉성을 극대화했습니다.

이는 전통적인 보안 솔루션만으로는 탐지 및 차단에 어려움을 겪을 수 있음을 시사합니다.

시장 파급 효과 및 전망

TONResolver와 같은 공격은 단순히 특정 산업 분야에 국한되지 않고, 분산 기술을 악용한 새로운 사이버 위협의 시작을 알리는 신호탄이 될 수 있습니다.

블록체인 기술은 탈중앙화, 투명성, 불변성 등의 장점을 가지지만, 이러한 특성이 보안 위협에 악용될 경우 오히려 추적을 어렵게 만드는 요인이 될 수 있습니다.

특히 사물인터넷(IoT) 기기, 스마트 시티 인프라 등 분산 시스템이 확대되는 미래에는 이러한 공격의 파급력이 더욱 커질 수 있습니다.

공격자들은 TON 블록체인뿐만 아니라, 다른 분산 원장 기술(DLT)을 활용하는 방안도 모색할 가능성이 높습니다.

따라서 관련 기술 개발자 및 보안 전문가들은 이러한 신종 위협에 대한 대비책을 조기에 마련해야 할 것입니다.

한국 시장에서의 시사점

한국 역시 숙박, 예약, 여행 플랫폼 시장이 매우 활성화되어 있으며, Booking.com과 유사한 서비스들도 다수 운영되고 있습니다.

따라서 TONResolver와 같은 공격은 언제든 한국의 숙박 업계를 포함한 다양한 산업 분야로 확산될 수 있는 잠재적 위험을 내포하고 있습니다.

특히 국내 숙박업계는 중소 규모의 사업자들이 많아, 자체적인 보안 역량이 부족할 경우 더욱 취약해질 수 있습니다.

이러한 상황에서 우리는 다음과 같은 대응 전략을 고려해야 합니다.

• 예약 시스템 보안 강화: Booking.com과 같이 외부 예약 시스템과의 연동 시, 데이터 전송 구간 암호화 및 접근 통제 정책을 강화해야 합니다. 또한, 정기적인 보안 점검 및 취약점 진단을 통해 잠재적 위험 요소를 사전에 제거하는 것이 중요합니다.

• 직원 대상 보안 교육 강화: 이번 공격의 주요 타겟이 직원이었다는 점을 감안할 때, 피싱 메일 식별 능력 향상 및 의심스러운 링크/첨부파일 클릭 금지에 대한 교육이 필수적입니다. 단순히 이론 교육을 넘어, 실제 피싱 메일 사례를 활용한 모의 훈련을 주기적으로 실시하는 것이 효과적입니다.

• 차세대 보안 솔루션 도입 검토: 기존의 안티바이러스 솔루션만으로는 TONResolver와 같이 새로운 형태의 악성코드에 대응하기 어려울 수 있습니다. 행위 기반 탐지, AI 기반 위협 분석 등 차세대 보안 솔루션 도입을 검토하여, 탐지율을 높이고 신속한 대응 체계를 구축해야 합니다.

• 보안 정보 공유 및 협력 체계 구축: 정부, 관련 업계, 보안 업체 간의 정보 공유 플랫폼을 강화하여, 새로운 위협 동향을 신속하게 파악하고 공동 대응 체계를 마련해야 합니다. 예를 들어, 한국관광공사나 한국인터넷진흥원(KISA) 등 유관 기관과의 협력을 통해 숙박 업계 전반의 보안 수준을 높이는 방안을 모색할 수 있습니다.

결론

TONResolver 공격은 블록체인 기술의 예상치 못한 악용 사례를 보여주며, 사이버 보안의 영역이 계속해서 진화하고 있음을 증명합니다.

한국의 숙박 및 여행 업계는 물론, 분산 기술이 적용되는 모든 산업 분야에서 이러한 새로운 위협에 대한 경각심을 갖고 선제적인 보안 강화에 나서야 할 때입니다.

복잡하고 은밀해지는 사이버 공격에 대응하기 위한 기술적, 교육적, 협력적 노력이 병행될 때, 우리는 안전한 디지털 환경을 구축할 수 있을 것입니다.

자주 묻는 질문 (FAQ)

Q: TONResolver 공격은 주로 어떤 산업을 노리나요?

A: 현재까지는 일본의 숙박 산업, 특히 Booking.com과 제휴된 호텔들이 주요 타겟으로 확인되었습니다.

하지만 공격의 전술과 기술은 빠르게 확산될 수 있어, 한국의 숙박 및 여행 관련 서비스업계에서도 주의가 필요합니다.

Q: 블록체인을 이용한 공격은 어떻게 탐지하고 막을 수 있나요?

A: 블록체인의 분산적인 특성 때문에 기존 방식으로는 탐지가 어렵습니다.

행위 기반 탐지, AI를 활용한 이상 행위 분석, 엔드포인트 보안 강화 등 차세대 보안 솔루션을 통해 악성코드의 행위를 탐지하고 의심스러운 통신을 차단하는 것이 중요합니다.

Q: 한국의 숙박업소는 어떤 대비를 해야 하나요?

A: 외부 예약 시스템과의 연동 보안 강화, 직원에 대한 피싱 방지 교육 실시, 최신 보안 솔루션 도입 검토, 그리고 관련 기관과의 협력을 통한 정보 공유 및 대응 체계 구축 등이 필요합니다.

의심스러운 이메일이나 요청에 대해서는 즉시 내부 보안 담당자나 전문가에게 문의하는 습관을 들이는 것이 좋습니다.

Q: TONResolver와 같은 공격이 더 확산될 가능성이 있나요?

A: 네, 충분히 가능성이 있습니다.

공격자들은 항상 새로운 기술을 악용할 방법을 찾고 있으며, 블록체인의 익명성과 분산성을 이용하는 방식은 앞으로 더욱 발전하고 다양화될 수 있습니다.

따라서 지속적인 위협 정보 모니터링과 선제적인 보안 업데이트가 필수적입니다.

출처 URL: https://www.trendmicro.com/en_us/research/26/f/tonresolver.html

추천 서비스

법정의무교육, 스마트위드

애드팟 캠페인에 참여하여 혜택을 받아보세요! 상세 내용은 링크를 통해 확인 가능합니다.

애드팟

애드팟 캠페인에 참여하여 혜택을 받아보세요! 상세 내용은 링크를 통해 확인 가능합니다.