[서울=뉴시스]박은비 윤정민 기자 = 지난 21일 저녁. 웹사이트 개발에 널리 쓰이는 프로그래밍 언어 'PHP'에 심각한 결함이 공개되자 전 세계가 발칵 뒤집혔다.

아이디와 비밀번호가 없어도 서버를 제어하거나 핵심 정보를 빼낼 수 있는 치명적 오류다. 방치할 경우 대규모 정보 유출과 시스템 마비 등 막대한 피해가 우려된다.

세계 각국은 긴급 대응에 나섰다. 미국과 유럽, 일본 등 각국 사이버 보안 당국이 대응에 나섰고, 우리 정부도 21일 청와대 국가안보실 주재로 민·관·군 사이버 안보 긴급 대책 회의를 열었다.

그런데 이상한 점이 있다. 취약점 공개 이후 나흘이 지나도록 대규모 피해 사례는 뚜렷하게 확인되지 않고 있다. 유럽 일부 정부 포털과 병원 웹사이트, 일본의 항공사·철도회사·금융기관 등이 긴급 점검을 위해 서비스를 중단한 사례는 있지만, 실제 정보 유출이나 시스템 장악 등 피해 규모는 아직 명확하지 않다.

치명적인 보안 결함이 발견됐고 공격 시도도 급증했다는데, 왜 피해 소식은 잠잠할까.

보안 전문가들은 대형 피해 사례가 확인되지 않았다고 해서 위협이 과장된 것은 아니라고 지적한다. 실제 공격이 진행 중이더라도 피해가 아직 드러나지 않았을 가능성이 있기 때문이다.

24일 보안업계에 따르면 PHP 취약점 공개 직후 이를 악용하려는 공격 시도가 급증했다. 다만 공격 시도가 실제 침해 성공으로 이어졌는지는 별개의 문제다.

매슈 프린스 클라우드플레어 최고경영자(CEO)는 소셜미디어(SNS)를 통해 취약점 공개 전 10시간 동안 수천 건이던 악용 시도가 공개 후 2시간 안에 수십만 건으로 늘었고, 이후 수백만 건에 달했다고 밝혔다. 취약점이 공개되기 이전부터 보안 결함을 악용한 공격 시도가 포착됐다는 의미다.

아마존 위협 인텔리전스팀은 지난 17일(현지시각) PHP 취약점을 겨냥한 공격 시도를 처음 탐지했다. 취약점 공개 나흘 전이다.

취약점 공개 후 공격 시도가 급증했는데도 대규모 피해가 확인되지 않는 이유 중 하나로는 공격의 높은 난도가 꼽힌다.

이번 PHP 취약점은 프로그램이 메모리를 처리하는 과정에서 발생하는 오류다. 공격자가 이 오류를 일으키는 것만으로는 충분하지 않다. 메모리가 해제되고 재사용되는 과정까지 정교하게 제어해야 원하는 결과를 얻을 수 있다.

취약점이 존재한다고 해서 모든 서버에서 같은 공격 코드가 곧바로 작동하는 것은 아니라는 얘기다.

전문가들은 취약점의 심각성과 실제 공격의 성공 가능성을 구분해야 한다고 강조한다. 위험성이 크더라도 공격자가 이를 안정적으로 악용하는 방법을 확보하기까지 시간이 걸릴 수 있다는 것이다.

미국 사이버 보안 연구·컨설팅 기업 트레일오브비츠의 댄 귀도 CEO는 "경력 10년의 보안 전문가조차 첨단 인공지능(AI) 모델을 활용해 해당 취약점을 실제 공격에 활용하는 데 하루가 걸렸다"고 언급했다.

소포스의 돈 스미스 위협연구 담당 부사장도 "취약점을 악용하기가 처음 예상했던 것보다 어려운 것으로 보인다"고 밝혔다. 다만 공격이 장기간에 걸쳐 서서히 진행될 가능성도 있다고 내다봤다.

Copyright © NEWSIS.COM, 무단 전재 및 재배포 금지