최근 AnySign4PC의 제로데이 보안 취약점으로 한국 인터넷 환경은 무차별적인 해킹에 시달렸다. 개별의 버전 납품과 업데이트 과정의 번거로움이 겹치면서 윈도우 8.x, 윈도우 10 등 더 이상 유지 보수되지 않는 OS 문제까지 폭넓게 사회 문제화 되고 있다.
공공 기관에서 최신 윈도우로 업그레이드하거나 기존 레거시 윈도우 버전의 별도 유지 보수 계약을 체결했다는 이야기는 들리지 않고 있다.
AnySign4PC의 문제와 데자뷰되는 사건이 중국을 강타했다.
CVE-2026-51990. sgbiz: URI 핸들러의 인자 검증 미비, CEF 웹뷰의 URL 이동 제한 부재, 샌드박스가 해제된 구형 Chromium 80 엔진. 세 개의 결함이 사슬처럼 엮여 원클릭 RCE가 완성됐다. 중국과 연계된 것으로 알려진 UNC3569가 이 취약점으로 노린 것은 브라우저도, 메신저도, 오피스 프로그램도 아니었다. 4억 5,500만 월간 사용자를 가진 Sogou Input Method, 그저 한자를 입력하기 위한 도구였다.
여기서 진짜 질문을 던져야 한다. 왜 하필 입력기인가. 답은 기술적 결함 하나로 설명되지 않는다. 입력기라는 소프트웨어 카테고리 자체가 가진 세 가지 구조적 특성이 이 도구를 반복적으로 표적이 되게 만든다.
첫째, 절대다수가 별도로 설치해야 하는 서드파티 소프트웨어다
윈도우와 macOS는 기본 입력기를 내장하고 있지만, 중국어 병음 입력처럼 고도의 변환 로직이 필요한 환경에서는 사실상 서드파티 입력기가 표준이 되었다. 중국의 문자 입력 환경은 외국의 OS 회사들이 노력을 기울이는 것보다 서드파티 입력기가 더 잘하는 분야였다. 이는 구조적으로 특이한 위치다. 운영체제가 보장하는 커널 수준의 보안 모델, 강제 업데이트 체계, 샌드박스 정책 밖에 있으면서도, 모든 키 입력을 실시간으로 가로채는 권한을 사용자로부터 부여받는다. OS 벤더의 보안 거버넌스가 닿지 않는 사각지대에, 시스템에서 가장 민감한 데이터 스트림에 대한 접근권을 쥔 소프트웨어가 놓여 있는 셈이다.
게다가 사용자는 이 설치 행위를 한 번 하고 나면 그 존재를 의식하지 않는다. 브라우저처럼 매번 열고 닫는 도구가 아니라, 부팅과 동시에 상주하며 배경에서 계속 실행되는 프로세스다. 사용자의 경계심이 가장 낮은 지점에, 가장 높은 권한을 가진 서드파티 코드가 상주하고 있다.
둘째, 이 도구에는 사실 수익모델이 없다
여기가 핵심이다. Sogou는 한때 독립 검색엔진으로서 Baidu에 도전했지만, 2013년 Tencent의 투자를 받아들이며 사실상 경쟁을 포기했고, 2021년 Tencent에 완전히 인수되어 뉴욕증권거래소에서 상장 폐지됐다. 지금 Sogou의 검색 시장 점유율은 2% 안팎에 불과하다. 독립적으로 매출을 공시할 이유도, 그럴 상장 지위도 없다.
그렇다면 이 회사는, 그리고 입력기는 왜 존재하는가? 답은 입력기가 돈을 버는 제품이 아니라 Tencent 생태계로 사용자를 흘려보내는 검색, 개인화된 취향, 트렌드를 알려주는 깔때기라는 데 있다. 브랜드 배너 광고, WeChat·QQ 검색으로의 트래픽 유입, 최근에는 Tencent의 AI 어시스턴트 Yuanbao의 학습 데이터 공급원. 입력기 그 자체의 손익계산서는 없고, 다른 사업부의 트래픽 지표에 기여하는 부속물로 존재한다.
수익 중심(P&L)이 없는 제품에 무슨 일이 벌어지는가? 보안 인력 채용, 정기적인 코드 감사, 레거시 엔진 교체 같은 지출은 항상 우선순위 목록의 맨 아래로 밀린다. 실제로 이번 취약점의 연쇄 고리에는 이미 폐기된 지 오래인 Chromium 80 엔진이 방치되어 있었다. 매출이 없는 조직에서 "쓰던 대로 쓰던" 관성은 예산 배정의 우선순위 문제가 아니라, 애초에 그 예산 줄이 존재하지 않는 문제다. 돈을 벌지 않는 제품은 지키지도 않는다.
셋째, 독과점의 폐해다
Sogou 입력기의 검색 매출 기여도는 미미해졌지만, 도구로서의 지배력은 전혀 다른 이야기다. 중국어 입력기 시장에서 Sogou는 오랫동안 사실상 표준의 지위를 지켜왔고, 지금도 누적 5억 명이 이 도구를 거쳐 갔다. 경쟁자가 사실상 없는 시장에서 벤더가 굳이 서두를 이유가 있을까. 경쟁 압력은 보안 투자를 강제하는 몇 안 되는 외부 동력 중 하나인데, 독점은 그 동력을 꺼버린다. 사용자에게는 "이 도구를 쓰지 않을 선택지"가 없고, 벤더에게는 "더 안전한 제품을 빨리 내놓지 않으면 도태된다"는 위기감이 없다. 시장 점유율의 정점과 보안 투자의 정체가 같은 시기에 공존하는 이유다.
해커의 논리 — 세렝게티의 사냥법
이 세 가지 조건을 하나의 문장으로 압축하면, 세렝게티 초원에서 사자와 치타가 사냥감을 고르는 방식과 놀라울 만큼 닮아 있다.
포식자는 건강한 얼룩말 떼의 한복판으로 무작정 돌진하지 않는다. 그렇게 달려들면 에너지 소모만 크고 성공 확률은 낮다. 대신 무리의 가장자리에서 낙오된 개체, 다리를 저는 개체, 무리의 보호막 밖으로 밀려난 어린 새끼를 정확히 골라낸다. 포식은 무작위가 아니라 정밀한 경제학이다. 최소한의 에너지로 최대한의 확률을 얻는 표적을 찾는 일이다.
해커의 표적 선정 논리도 정확히 이 세 단계를 따른다.
무리의 가장자리에 있는가? 운영체제라는 '무리'의 보호를 받지 못하는 서드파티 소프트웨어는, 초원에서 무리의 중심부를 벗어나 배회하는 개체와 같다. 벤더의 거버넌스가 닿지 않는 지점은 곧 포식자가 접근하기 쉬운 지점이다.
가장 병들고 약한 개체인가? 수익모델이 없는 제품, 보안 인력이 빈약한 조직은 체력이 소진된 개체다. 패치 주기가 느리고, 레거시 엔진을 교체할 여력이 없고, 취약점 신고에 대응할 팀조차 제대로 갖춰지지 않았을 가능성이 높다. 포식자는 이 신호를 정확히 읽는다. 공격자에게 취약점 리서치는 곧 사냥감의 체력을 가늠하는 일이며, 가장 손쉽게 쓰러뜨릴 수 있는 개체를 찾는 과정이다.
무리 전체가 반드시 지나가는 길목에 있는가? 독점적 지위를 가진 도구는 초원의 물웅덩이와 같다. 사자는 사슴 한 마리를 쫓아 초원 전체를 뛰어다니지 않는다. 모든 초식동물이 결국 물을 마시러 오는 웅덩이 근처에서 매복한다. 보안 업계가 오래전부터 "워터링 홀 공격(watering hole attack)"이라 부르는 전술의 원형이 바로 이것이다. 4억 5,500만 명이 매일 거쳐 가는 입력기는 공격자에게 초원에서 가장 확실한 매복 지점이다. 표적 한 명 한 명을 쫓을 필요 없이, 모두가 지나가는 길목에서 기다리기만 하면 된다.
가장자리에 있고, 병들어 있고, 모두가 거쳐 가는 길목이다. 세 조건이 한 곳에서 겹치는 순간, 그 소프트웨어는 초원에서 가장 먼저 쓰러지는 개체가 된다. Sogou 입력기는 공교롭게도 이 세 조건을 전부 충족하고 있었다.
패치를 넘어서
CVE-2026-51990에 대한 대응이 패치 한 번으로 끝나서는 안 되는 이유가 여기에 있다. 결함은 코드에 있었지만, 그 코드가 방치된 이유는 구조에 있었다. 서드파티라는 위치, 수익모델의 부재, 독점이 만든 나태함. 이 세 가지가 바뀌지 않는 한, 다음 취약점은 다른 CVE 번호를 달고 같은 자리에서 다시 발견될 것이다.
세렝게티의 포식자는 얼룩말 무리가 아무리 늘어나도 사냥을 멈추지 않는다. 무리의 가장자리, 병든 개체, 물웅덩이는 언제나 존재하기 때문이다. 보안 투자의 유인 구조를 바꾸지 않는 한, 해커에게 다음 사냥감을 찾는 일은 조금도 어렵지 않다.