러시아 APT28 라우터 해킹, 왜 집 와이파이까지 위험해졌나

최근 서방 정부와 보안업계는 러시아 군 정보기관과 연계된 APT28이 수천 대의 소비자용 라우터를 장악해 자격 증명을 훔쳤다고 경고했습니다.¹ 겉보기엔 "집 인터넷 장비 해킹"처럼 들리지만, 실제로는 이메일·클라우드 로그인·업무 계정까지 노리는 조용한 스파이 작전이었습니다.²

APT28 라우터 해킹 캠페인, 무엇이 달랐나

이번 APT28 router hacking campaign의 핵심은 PC가 아니라 라우터였습니다. 해커는 주로 TP-Link와 MikroTik 같은 SOHO 라우터의 취약점이나 부실한 설정을 노려 DNS 값을 바꿨습니다.³ 그러면 그 와이파이에 연결된 노트북, 스마트폰, 태블릿이 한꺼번에 공격자 쪽 DNS를 따라가게 됩니다.

무서운 점은 사용자가 뭔가를 "다운로드"하지 않아도 된다는 것입니다. 악성코드가 컴퓨터에 안 보여도, 인터넷 길목 자체가 바뀌면 로그인 요청이 공격자 서버를 거쳐 갈 수 있습니다. FBI가 이 공격을 "거의 보이지 않는다"고 본 이유도 여기에 있습니다.⁴

DNS 하이재킹은 어떻게 비밀번호를 훔치나

원리는 의외로 단순합니다. 사용자가 평소처럼 Outlook이나 Microsoft 365 로그인 주소를 입력하면, 변조된 DNS가 진짜 서버 대신 공격자 인프라로 연결을 유도합니다.⁵ 이후 공격자는 중간자 위치에서 비밀번호, OAuth 토큰, 이메일 관련 인증 정보를 가로챕니다.

더 교묘한 점은 모든 트래픽을 엉망으로 만들지 않는다는 것입니다. 관심 있는 도메인만 살짝 바꾸고, 나머지는 정상적으로 보내 사용자가 눈치채기 어렵게 만듭니다.³ 그래서 피해자는 "인터넷이 잘 되네?"라고 생각한 채 중요한 계정을 넘길 수 있습니다.

왜 오래된 공유기가 국가급 공격의 발판이 되나

이번 사례에서 자주 언급된 장비들은 이미 지원 종료(EOL/EOSL) 상태인 구형 모델이 많았습니다.³ 업데이트가 끊긴 라우터는 문이 고장 난 현관과 비슷합니다. 잠금장치가 있어 보여도, 공격자는 이미 여는 법을 알고 있는 셈이죠.

실제 관측 규모도 작지 않았습니다. 한때 120개국 이상에서 1만8000개가 넘는 IP가 관련 인프라와 통신한 것으로 파악됐고,⁶ Microsoft는 200개 이상 조직과 5000개 소비자 기기가 영향을 받았다고 밝혔습니다.⁷ 즉, 표적은 정부·군·인프라였지만, 출발점은 평범한 가정용 라우터였습니다.

시사점

이번 사건이 던지는 메시지는 간단합니다. 회사 보안이 좋아도, 재택근무자의 집 공유기가 약하면 우회로가 생긴다는 것입니다. 그래서 "APT28 라우터 해킹"은 단순한 네트워크 뉴스가 아니라, 원격근무 시대의 현실적인 보안 문제입니다.

지금 할 일도 분명합니다. 오래된 라우터는 교체를 검토하고, 최신 펌웨어를 올리고, 원격 관리 기능은 꺼두는 편이 좋습니다. 라우터 관리자 비밀번호를 기본값에서 바꾸고, DNS 설정이 이상한 주소로 바뀌지 않았는지 확인해야 합니다.² 계정에는 MFA를 켜고, 브라우저의 인증서 경고를 무심코 넘기지 않는 습관도 중요합니다.⁵

집 공유기는 조연처럼 보이지만, 이번 사건에서 가장 중요한 주연이었습니다.

참고

¹Thousands of consumer routers hacked by Russia's military

²US Thwarts DNS Hijacking Network Controlled by Russian APT28 Hackers - Infosecurity Magazine

³Russian APT28 Hackers Hijack Routers to Steal Credentials - Infosecurity Magazine

⁴Inside the FBI's router takedown that cut off APT28's 'tremendous access'

⁵Russian state hackers are hijacking TP-Link and MicroTik routers to steal Outlook credentials, cybersecurity center warns -- APT28 group targets DNS and redirects traffic to attacker-controlled servers

⁶Authorities disrupt router DNS hijacks used to steal Microsoft 365 logins

⁷US Disrupts Russian Espionage Operation Involving Hacked Routers and DNS Hijacking - SecurityWeek