AnySign4PC 제로데이 워터링 홀 사태가 남긴 질문
2026년 여름, 한국 보안 업계는 오랫동안 미뤄왔던 청구서를 받았다. 공공기관과 금융 사이트를 이용하려면 누구나 설치해야 하는 전자서명 솔루션 AnySign4PC에서 제로데이 취약점이 발견됐고, 북한 라자루스(Lazarus) 그룹으로 지목된 공격자들은 이를 이용해 최소 72개 기관을 감염시켰다. 사용자는 아무것도 클릭하지 않았다. 늘 가던 커뮤니티와 뉴스 사이트에 접속했을 뿐이다.
이 사건은 단순한 취약점 하나의 문제가 아니다. 20년 넘게 유지되어 온 한국형 "필수 설치 보안 소프트웨어" 모델이 구조적으로 어떤 위험을 안고 있는지, 그리고 그 소프트웨어를 만드는 기업들이 지금 어떤 상태인지를 동시에 드러낸 사건이다.
1. 무슨 일이 있었나?
AnySign4PC는 한컴위드(구 드림시큐리티)가 개발한 Non-ActiveX 기반 공인인증서·전자서명 솔루션이다. 한마디로 ActiveX를 사용하지 않고 EXE 실행 파일이 상당한 권한을 가진 상태로 PC에 설치된다는 뜻이다. 정부 민원 사이트, 은행, 카드사, 보험사 등 이용자에게 "보안 프로그램 설치"를 요구하는 국내 사이트 상당수가 이 제품을 배포한다.
취약점 이력을 정리하면 다음과 같다.
| 구분 | 취약 버전 | 내용 | 패치 |
|---|---|---|---|
| CVE-2020-7882 | 1.1.4.3 이하 | getPFXFolderList 함수 매개변수 조작으로 인증서 정보 열람·파일 삭제가 가능한 디렉토리 트래버설 |
v1.1.4.4 |
| 2026년 제로데이 | 1.1.4.4–1.1.4.6 | 버퍼 오버플로우 및 원격 코드 실행(RCE). KISA가 2026년 6월 1일 공개, ENKI Whitehat은 공개 이전부터 실제 공격에 악용된 제로데이였다고 밝힘 | v1.1.5.0 → v1.1.5.1 |
주목할 점은 두 번째다. 2025년 3월 KISA는 1.1.4.3 이하 버전 사용자에게 1.1.4.4로 업그레이드하라고 공지했다. 그 "패치된 버전"이 1년 뒤 제로데이의 대상이 됐다. 공격자는 2025년 하반기부터 이미 이 취약점을 쓰고 있었고, 방어 측이 그것을 인지하고 패치를 내놓기까지 반년 이상이 걸렸다. 올해 6월까지 북한은 이 제로데이 백도어를 통해 자유롭게 들락날락 거렸다.
공격 방식은 안랩이 'Operation Double Barrel'로 명명한 보고서에 상세히 기록되어 있다. 공격자는 뉴스, 의료, 교육 등 15개 이상의 정상 웹사이트를 먼저 해킹했다. 그 사이트에 심어진 악성 자바스크립트는 방문자 PC에서 돌고 있는 AnySign4PC와 WebSocket으로 통신하며 버전을 확인하고, 버전에 맞는 익스플로잇을 골라 버퍼 오버플로우를 일으켜 셸코드를 실행했다. 이 과정에서 키 교환, 버전 확인, 익스플로잇 전달, 성공 여부 보고를 4개의 PNG 이미지 안에 숨겨 주고받았다. 실행된 페이로드는 정상 마이크로소프트 윈도우 프로세스에 인젝션되고, 암호화된 데이터는 레지스트리에 저장된 뒤 메모리에서 직접 로드됐다. 디스크에 남는 흔적을 최소화한 설계 구조를 가졌다. 즉, 포렌식이 어렵게 메모리에만 존재하도록 설계 되었다.
최종적으로 설치된 것은 SIGNBT(안랩 명명 Struggle) 또는 COPPERHEDGE(Brandoor) 백도어였다. 원격 명령 실행, 파일 탈취, 내부 정찰이 가능한 도구들이다. 안랩은 일부 침해 사례에서 Gunra 랜섬웨어로 이어진 흔적도 확인했다.
2. 얼마나 설치되어 있나?
AnySign4PC의 정확한 설치 대수는 공개된 적이 없다. 그러나 이 제품의 배포 구조를 보면 "국내에서 인터넷뱅킹이나 공공 민원을 PC로 처리해 본 사람 대부분"이라고 보는 것이 합리적이다. 이 프로그램은 사용자가 선택해서 설치하는 것이 아니라, 특정 사이트에 접속하는 순간 설치를 요구받는 구조다. 한 번 설치되면 부팅 시 자동 실행되어 상시 백그라운드에 상주한다. 사이트를 이용하지 않는 동안에도 취약한 프로세스는 계속 떠 있다.
더 심각한 문제는 업데이트 구조다. 해외 연구자 블라디미르 팔란트(Wladimir Palant)가 2023년 지적한 대로, TouchEn nxKey나 IPinside 같은 한국 보안 앱들은 자동 업데이트 기능이 없어 보안 이슈가 생겨도 사용자에게 제때 패치를 전달하기가 거의 불가능하다. AnySign4PC도 예외가 아니다. 취약 버전을 설치한 사용자가 스스로 삭제하거나, 접속한 사이트가 새 버전을 배포하지 않는 이상 취약한 상태는 그대로 유지된다. 이번 사고에서 KISA가 "취약 버전을 삭제하라"고 권고한 이유가 이것이다.
실제로 은행과 공공기관이 배포하는 설치 파일 버전은 사이트마다 제각각이다. 팔란트는 2023년 조사 당시 씨티은행 한국 사이트가 2020년 버전을, 다른 다운로드 경로에서는 2015년 버전을 배포하고 있었다고 기록했다. 3년이 지난 지금도 구조는 크게 달라지지 않았다. 결국 "얼마나 설치되어 있나?"라는 질문의 답은 "최소 수십 만대에서 수백만 대, 그중 상당수가 어느 버전인지 아무도 모른다"에 가깝다.
3. 왜 북한이 이것을 노리나?
라자루스가 한국 보안 소프트웨어를 노린 것은 이번이 처음이 아니다. 2020년 위즈베라 Veraport 공급망 공격, 이후 이니라인 Cross EX 취약점을 이용한 워터링 홀 공격, 그리고 2026년 AnySign4PC까지 같은 전략이 반복된다. 이유는 단순하다. 공격 대상으로서 이보다 효율적인 소프트웨어가 없기 때문이다.
첫째, 설치 기반이 압도적이다. 국가가 사실상 설치를 강제한 소프트웨어이므로, 한 개의 취약점이 곧 국민 대다수의 PC를 여는 열쇠가 된다. 미국이나 유럽에서는 이런 소프트웨어 자체가 존재하지 않는다.
둘째, 공격 표면이 넓게 열려 있다. 이 프로그램들은 웹페이지의 자바스크립트가 로컬 프로세스와 직접 통신하도록 설계되어 있다. 브라우저 샌드박스를 우회해 로컬 코드를 실행하는 다리를 소프트웨어 스스로 놓아준 셈이다. 팔란트는 TouchEn nxKey를 분석하면서 이 제품이 키로깅 기능을 자체 구현한 뒤 임의의 웹사이트와 권한 없는 애플리케이션에 그 기능을 노출하고 있다고 지적했다. 워터링 홀 공격에 이보다 적합한 구조는 없다.
셋째, 방어 측의 대응이 느리다. 자동 업데이트가 없고, 배포 버전이 사이트마다 다르며, 취약점이 공개되어도 실제 설치 기반이 교체되는 데 수년이 걸린다. 공격자 입장에서는 제로데이 하나의 유효 기간이 매우 길다. 한컴 위드의 블라인드를 보면 왜 그런지 느낌이 올 것이다.
넷째, 목표가 명확하다. 라자루스의 주된 임무 중 하나는 외화 획득이다. 금융 사이트 이용을 위해 설치된 프로그램을 통해 감염된 PC는, 정의상 금융 거래를 하는 PC다. 여기에 랜섬웨어까지 결합하면 첩보와 수익을 동시에 노릴 수 있다. 실제로 안랩은 이번 캠페인과 Gunra 랜섬웨어 사이에 초기 침투 취약점, 악성코드 파일명, SSH 키 지문, 네트워크 인프라가 겹친다고 밝혔다.
4. 해외 전문가들은 이미 경고했다
해외 보안 커뮤니티가 이번 사건을 바라보는 시각은 "놀랍다"가 아니라 "예고된 일"에 가깝다.
팔란트는 2023년 초 TouchEn nxKey, IPinside, Veraport 등 한국 필수 보안 앱을 연달아 분석하며 320비트 RSA 키, 2014년산 OpenSSL, 다수의 스택 버퍼 오버플로우를 발견했다고 공개했다. 그의 결론은 냉정했다. 이런 앱이 제공하는 보호는 공격자가 그 앱의 존재를 모른다는 전제에 의존하며, 한국 은행과 정부기관을 특정해 노리는 공격에는 효과가 없을 가능성이 높다는 것이다. 당시 한 한국 독자가 "한국은 리버스 엔지니어링 법적 제약이 커서 국내에서는 이런 분석을 하기 어렵다"고 댓글을 남기자, 팔란트는 북한 해커들이 법을 지키느라 리버스 엔지니어링을 안 한다면 한국은 참 운이 좋은 것이라고 답했다. 3년 뒤 그 조롱은 현실이 됐다.
이번 사건을 보도한 The Hacker News, Rescana 등 해외 매체와 분석 기관의 평가는 세 가지로 요약된다.
필수 소프트웨어의 무기화. 온라인 뱅킹과 정부 서비스를 쓰려면 전 국민이 설치해야 하는 소프트웨어이기에, 일상적인 웹 방문만으로 대규모 감염이 가능해졌다는 점을 가장 큰 특징으로 꼽았다.
라자루스의 일관된 전술. 과거 Cross EX 취약점을 워터링 홀에 활용한 것과 같은 패턴이며, 한국의 보안 소프트웨어 생태계 자체를 지속적인 공격 벡터로 관리하고 있다고 평가했다.
공급망 공격과의 유사성. 사용자가 신뢰하는 소프트웨어와 신뢰하는 웹사이트를 동시에 이용했다는 점에서, 전통적 해킹보다 공급망 공격에 가까운 위협으로 분류했다.
주목할 만한 대목은 안랩이 보고서에서 두 개의 악용된 제품을 "금융보안 소프트웨어 A"와 "I"로만 표기하고 제품명, 취약 버전, 취약점 식별자를 공개하지 않았다는 점이다. 해외 매체는 이를 그대로 지적했다. 제품명을 밝힌 것은 ENKI Whitehat이었다. 국민 대다수의 PC에 설치된 소프트웨어의 취약점 정보가 이런 방식으로 유통되는 것이 정상인지는 따로 논의가 필요하다.
한국의 폐쇄적인 보안 소프트웨어 시장, 보안 장비 시장에서 자신들도 당할 수 있는 제로데이 공격에 대해서 너무 체면을 봐주고 있다.
5. 더 근본적인 문제 - 만드는 사람이 없다
기술적 취약점 이면에는 더 구조적인 문제가 있다. 이 소프트웨어들을 만들고 유지하는 회사들의 상태다.
한국 보안 솔루션 업계 대부분은 개발 인력이 적다. 제품 하나를 수백 개 사이트에 납품해 놓고, 실제로 그 코드를 이해하고 고칠 수 있는 개발자는 한두 명인 경우가 드물지 않다. 그마저도 노령화가 심각하다. 2000년대 초 ActiveX 시절에 제품을 만들었던 개발자들이 그대로 남아 20년 된 C/C++ 코드베이스를 붙들고 있고, 신규 인력은 들어오지 않는다. 젊은 개발자들이 굳이 이 업계를 선택할 이유가 없기 때문이다. 급여는 낮고, 기술은 낡았고, 사회적 평판은 높지 않다. 보안 업계 초봉이 3천만원 전후인 상황에서 누가 이 업계에 몸을 담겠는가?
그 결과 현재 납품된 사이트의 유지보수조차 버겁다. 새 취약점이 보고되면 패치를 만드는 것까지는 어떻게든 하지만, 그 패치를 수백 개 고객 사이트의 배포 서버에 반영하고, 각 사이트 담당자에게 알리고, 실제로 교체됐는지 확인하는 작업은 사실상 방치된다. 2023년 팔란트가 "제조사 다운로드 서버가 여전히 취약 버전을 배포하고 있다"고 지적한 것도, 2026년 KISA가 사용자에게 직접 삭제를 권고한 것도 같은 현상의 다른 심각성을 내포하고 있다.
이 상황에서 "제로데이 대응"이나 "시큐어 코딩"을 요구하는 것은 현실을 모르는 소리다. 유지보수 인력이 없는 회사에 취약점 연구 역량이 있을 리 없고, 대규모 공격에 대응할 인시던트 팀이 있을 리 없다. 이번 사건에서 취약점을 찾아내고 분석한 것은 제조사가 아니라 ENKI, 안랩, 카스퍼스키였다.
6. 사건의 여파 - 무엇이 바뀌어야 하나?
72개 기관이라는 숫자는 안랩이 확인한 최소치다. 자동 업데이트가 없는 구조에서 취약 버전 1.1.4.4–1.1.4.6이 얼마나 남아 있는지 아무도 모르기 때문에, 실제 감염 규모는 이보다 클 가능성이 높다. 2025년 하반기부터 2026년까지 최소 반년 이상 방치된 제로데이가 그 기간 동안 무엇을 가져갔는지도 아직 다 드러나지 않았다.
이 사건이 던지는 질문은 결국 하나다. 국가가 국민에게 설치를 강제하는 소프트웨어의 보안 책임은 누가 지는가?
지금 구조에서는 아무도 지지 않는다. 사이트 운영 기관은 "보안 프로그램을 설치했으니 규제를 준수했다"고 하고, 제조사는 "패치를 배포했다"고 하고, 규제기관은 "권고 공지를 냈다"고 한다. 그 사이에서 취약한 프로세스는 최대 수백만 대의 PC에서 계속 돌아간다.
최소한 세 가지는 바뀌어야 한다.
첫째, 필수 설치 보안 소프트웨어에는 강제 자동 업데이트와 취약 버전 원격 무력화 기능이 의무화되어야 한다. 브라우저와 OS는 이미 10년 전에 이 방식으로 전환했다.
둘째, 이런 소프트웨어의 취약점은 제품명과 CVE를 포함해 공개적으로 관리되어야 한다. "금융보안 소프트웨어 A"라는 표기는 설치한 사람이 자기 PC의 위험을 판단할 수 없게 만든다.
셋째, 가장 근본적으로, 로컬 프로세스를 웹에 노출하는 설계 자체를 퇴출해야 한다. 브라우저 표준(WebAuthn, FIDO2)으로 대체 가능한 기능을 굳이 20년 된 로컬 에이전트로 처리할 이유는 이제 없다. 그것을 유지할 인력이 없다는 사실은 업계 스스로가 가장 잘 알고 있다.
북한 라자루스는 이 구조가 바뀔 때까지 같은 공격을 반복할 것이다. 이번이 세 번째였고, 네 번째는 이미 준비되고 있을 것이다.
이 글은 KISA 보안공지(2026.6.1), 안랩 ASEC "Operation Double Barrel" 보고서, ENKI Whitehat 분석, The Hacker News(2026.7.30), Rescana(2026.7.31), Wladimir Palant의 한국 보안 앱 분석 시리즈(2023)를 참고해 작성했다.