【드래곤 스포츠】 보증업체놀이터추천홍보 : 프로그램제작판매제작의뢰 : 스포츠분석 : 무료스포츠중계tv : 섹시bj움짤 : 뉴스 : 안구정화

로그인

글쓰기

[IT뉴스]해킹 범인 절반은 못 찾는다… IP 주소 남아도 추적 어려운 이유는

온카뱅크관리자

2026-11-11 06:07:24

<div id="layerTranslateNotice" style="display:none;"></div> VPN·프록시 서버로 실제 IP 숨겨 악성코드도 위장 가능해 해킹 수법 모방·증거 조작까지 
 <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> 
 <section dmcf-sid="30zIEJcnjD">
 <figure class="figure_frm origin_fig" contents-hash="12ec46e2d6b10558d1fe901a822a764737cc5d21eee37c7105307b9938bff049" dmcf-pid="0pqCDikLNE" dmcf-ptype="figure">
 <img alt="일러스트=챗GPT" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202611/11/chosunbiz/20261111060307361wtcb.jpg" data-org-width="1536" dmcf-mid="FdvJPz8BAw" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202611/11/chosunbiz/20261111060307361wtcb.jpg" width="658">
 <figcaption class="txt_caption default_figure">
 일러스트=챗GPT
 </figcaption>
 </figure>
 올해 3분기 새롭게 집계된 전 세계 사이버 공격 가운데 절반 이상은 배후가 확인되지 않은 것으로 나타났다. 인터넷 프로토콜(IP) 주소나 악성코드 등 공격자가 남긴 흔적을 추적할 수 있지만, 다른 사람의 서버를 거쳐 공격하거나 다른 해킹 조직의 수법을 흉내 내는 경우가 많기 때문이다. 전문가들은 특정 IP 주소나 악성코드만으로 범인을 단정하기 어려운 만큼 여러 증거를 종합적으로 살펴봐야 한다고 설명한다.
 11일 유럽 사이버 사건 데이터베이스(EuRepoC)가 지난 6일 발표한 보고서에 따르면, 올해 3분기 새롭게 집계된 사이버 공격 227건 가운데 53%는 공격 주체가 확인되지 않았다. EuRepoC는 전 세계에서 공개된 사이버 공격 가운데 정치적 연관성이 있거나 주요 기반 시설을 겨냥한 사건 등을 수집·분석하는 연구 프로젝트다.
 소프트웨어 공급망 공격에서는 배후 미확인 비율이 더 높게 나타났다. 미국 소프트웨어 기업 레드햇이 지난해 공개된 소프트웨어 공급망 공격 137건을 분석한 결과, 88%는 특정 해킹 조직이나 국가와의 연관성이 확인되지 않았다.
 국내 금융권에서도 공격자의 정체를 밝히지 못한 사례가 잇따르고 있다. 지난달 신한·KB국민·하나·부산은행을 대상으로 한 해킹에서 동일한 공격 IP 주소가 발견됐지만, 구체적인 배후는 확인되지 않았다. 금융당국은 지난달 21일 금융회사 시스템에서 북한 IP 대역을 통한 440만여건의 탐색성 접근을 확인했으나, 실제 침해 사고와의 연관성은 밝혀지지 않았다고 설명했다.
 ◇ IP·악성코드 분석해 추적하지만… 우회 접속·위장에 한계
 일반적으로 보안 전문가들은 해킹 사고가 발생하면 피해 서버에 남은 접속 기록부터 분석한다. 공격이 발생한 시간과 IP 주소, 시스템에 침투한 경로 등을 확인하는 방식이다. 이후 악성코드의 구조와 사용된 명령어, 외부 서버와 통신한 방식 등을 과거 사건과 비교해 공격자를 추정한다.
 문제는 피해 서버에 기록된 IP 주소가 실제 공격자의 위치를 가리키지 않을 수 있다는 점이다. 해커들은 가상사설망(VPN)이나 프록시 서버 등을 이용해 자신의 위치를 숨긴다. 예를 들어 한국에 있는 해커가 미국 서버를 거쳐 공격하면 피해 기업에는 미국 서버의 IP 주소가 남는다. 여러 중계 서버를 거치는 익명 통신망 토르(Tor)를 이용하거나 다른 사람의 서버를 탈취해 공격 경유지로 활용하기도 한다.
 강병탁 AI스페라 대표는 “IP 주소는 공격의 출발지라기보다 공격자가 거쳐 간 마지막 경유지일 수 있다는 점을 고려해야 한다”며 “동일한 IP 주소에서 공격이 발생했다고 해서 반드시 동일한 해킹 조직의 소행이라고 볼 수는 없다”고 했다.
 ◇ 북한 해킹 조직 흔적 남겼지만 러시아 소행… 악성코드도 위장 가능
 악성코드 역시 범인을 확정할 수 있는 결정적인 증거는 아니다. 서로 다른 해킹 조직이 동일한 공격 도구를 사용하거나 자신의 정체를 감추기 위해 다른 조직의 공격 방식을 모방할 수 있기 때문이다.
 실제로 공격자가 남긴 흔적 때문에 배후에 대한 초기 추정이 뒤바뀐 사례도 있다. 2018년 평창 동계올림픽 해킹 사건이 대표적이다. 당시 보안 기업 카스퍼스키는 악성코드에서 북한 연계 해킹 조직 ‘라자루스’와 유사한 흔적을 발견해 북한의 소행을 의심했다. 그러나 추가 분석 결과 공격자가 의도적으로 남긴 가짜 흔적으로 밝혀졌으며, 이후 미국과 영국 정부는 실제 공격 주체로 러시아 군 정보기관을 지목했다.
 최근 일본 GMO인터넷그룹 해킹 사건에서는 여러 국가와 관련된 흔적이 발견돼 배후를 단정하기가 어려웠다. 지난 1일 교도통신에 따르면 해커들의 범행 주장 사이트에 접속한 IP 주소 5개가 과거 북한 해킹 조직이 사용했던 주소와 일치했다. 그러나 해당 사이트는 미국 기업의 임대 서버에 있었고, 게시 파일에서는 중국산 소프트웨어의 사용 흔적이 발견됐다. 일부 프로그램에는 일본어가 포함됐으며, 해커로 추정되는 인물은 러시아식 이름을 사용했다.
 이 때문에 보안 전문가들은 특정 IP 주소나 악성코드 하나에 의존하기보다 여러 사건에서 반복적으로 나타나는 공격 방식과 활동 이력을 종합적으로 분석한다. 악성코드 실행 방식과 내부 정보 수집 방법, 외부 서버와의 통신 구조뿐 아니라 공격에 사용된 계정과 서버 운영 이력 등을 비교해 동일한 조직의 소행인지 판단한다.
 지니언스 시큐리티 센터(GSC)는 “공격 도구나 서버를 바꾼다고 해서 공격자의 모든 기술적 특징과 습관까지 완전히 달라지는 것은 아니다”라며 “여러 사건에서 반복적으로 확인되는 기술적 특징과 공격 활동의 연속성을 중요하게 판단한다”고 했다.
 - Copyright ⓒ 조선비즈 &amp; Chosun.com -
 </section> 
 </div> 
 Copyright © 조선비즈. 무단전재 및 재배포 금지.

댓글 총 0개

이번주 포인트랭킹

매주 일요일 밤 0시에 랭킹을 초기화합니다.

14,000상품권
23,000상품권
32,000상품권

업체홍보/구인 더보기

놀이터홍보 더보기

지식/노하우 더보기

판매의뢰 더보기

포토 더보기