글로벌 IT기업 제품서 치명적 취약점 잇따라…빅테크도 위험
인증권한·자격증명 도용기승…"침입 탐지 보안 태세 필수"

ⓒ News1 DB

(서울=뉴스1) 김민석 기자 = 구글·마이크로소프트·SAP·시스코·브로드컴 등 글로벌 테크 기업 핵심제품에서 치명적인 제로데이 취약점이 잇따라 발견되면서 글로벌 사이버 보안에 비상이 걸렸다.

최근 발견된 취약점은 대부분 실제 사이버 공격에 즉각 악용되고 있어 기업들의 신속하고 체계적인 대응이 요구되고 있다. 한국 기업들도 SK텔레콤이 해킹 사태 여파에 긴급 보안 점검에 나서고 있다.

IBM 2025 엑스포스 위협 인텔리전스 인덱스 보고서(한국IBM 제공)

12일 IBM 보안연구 조직 엑스포스(X-Force)팀이 발표한 '2025 위협 인텔리전스 인덱스'에 따르면 지난해 정보 탈취형 악성코드(인포스틸러)를 활용한 사이버 공격은 전년 대비 84% 급증했다. 올해 1분기 증가율은 전년 대비 180%에 달할 것으로 전망됐다.

엑스포스팀이 대응한 지난해 전체 공격의 70%는 주요 인프라 조직을 노린 것으로 나타났다. 다크웹 포럼 등에서 주로 언급되는 상위 10개 취약점(CVEs) 중 4개는 국가 차원의 지원을 받는 것으로 추정되는 위협 그룹과 연관됐다.

최근 취약점을 노출한 대표 사례로는 독일의 SAP이 꼽힌다. SAP는 지난달 24일 넷위버(NetWeaver) 제품에서 원격 코드 실행 취약점(CVE-2025-31324)을 발견해 긴급 패치를 배포했다. 이 취약점은 CVSS 최고등급(10.0)을 받았다.

미국 보안기업 오나프시스 리서치랩은 "해당 취약점은 SAP NetWeaver Visual Composer에 영향을 미쳐 악성 파일을 인증 없이 원격으로 업로드하고 실행할 수 있게 했다"고 설명했다.

미국의 다른 보안기업 래피드7은 "공격자들은 이 취약점으로 지속적으로 시스템 접근 권한을 확보했다"며 "올해 3월부터 실제 공격에 활용됐고 주로 제조업 부문을 노린 것으로 보인다"고 보고했다.

2024년 출처 확인 제로데이 공격 현황(구글 위협 인텔리전스 그룹 제공)

구글·MS 등 미국 빅테크도 예외가 아니다.

구글은 이달 초 안드로이드 운영체제의 FreeType 글꼴 렌더링 라이브러리에서 심각한 메모리 처리 취약점(CVE-2025-27363-CVSS 8.1)을 발견하고 긴급 패치를 배포했다. 메타 페이스북에서 처음 발견된 이 취약점은 악성 폰트를 포함한 문서 혹은 앱을 열기만 해도 기기가 감염될 수 있는 것으로 조사됐다.

MS 경우 지난달 약 126개 보안 취약점을 수정하는 패치를 배포했다. 이중 Windows 공통 로그 파일 시스템 드라이버의 권한 상승 취약점(CVE-2025-29824-CVSS 7.8)은 'Storm-2460'과 'Play 랜섬웨어' 등을 통해 악용된 것으로 확인됐다. 공격자들은 이 취약점으로 시스템 관리자 권한을 획득한 후 파이프매직 악성코드를 배포했다.

시스코 2025 사이버보안 준비 지수 보고서(시스코 제공)

시스코의 스마트 라이선싱 유틸리티(CSLU)에선 원격 공격자가 관리자 권한으로 시스템에 접근할 수 있는 취약점(하드코딩 관리자 계정 자격 증명)이 드러났다.

브로드컴의 VMware 제품군에서도 제로데이 취약점 3건이 발견됐다.

보안업계 관계자는 "AI 기술 발전 등에 사이버 공격이 가능성이 아닌 현실로 다가왔다"며 "침입 탐지·방지 시스템과 엔드포인트 탐지·대응 등으로 상시 보안 태세를 갖춰야 한다"고 말했다.

ideaed@news1.kr

<용어설명>

■ 제로데이 취약점 제로데이 취약점(Zero-Day Vulnerability)은 소프트웨어·하드웨어·네트워크 장비 등에서 발견되었지만 해당 제품 개발자나 일반 대중에게 아직 알려지지 않은 보안상의 결함을 의미한다. 이 취약점은 공식적으로 공개되거나 패치가 제공되기 전 단계로 방어책이 마련되지 않은 보안 위협 요소다.

■ CVSS CVSS(Common Vulnerability Scoring System)는 소프트웨어 취약점의 위험성과 심각도를 수치(0~10점)로 평가하는 국제 표준 지표다. 이 점수는 취약점의 본질적 특성(Base)·시간에 따른 변화(Temporal)·실제 영향(Environmental) 등 3가지 메트릭 그룹을 종합적으로 반영해 산출된다.

■ 파이프매직 파이프매직(PipeMagic)은 2025년 상반기 아시아·사우디아라비아 등 다양한 지역 조직을 표적으로 한 백도어 트로이 목마 악성코드다. 이 악성코드는 주로 가짜 챗GPT 애플리케이션(러스트 언어로 개발)으로 위장해 유포됐다.

Copyright © 뉴스1. All rights reserved. 무단 전재 및 재배포, AI학습 이용 금지.