1,700만 대 봇넷 해체가 말하는 것

네덜란드 경찰과 국가사이버보안센터(NCSC)가 1,700만 대 이상 감염 기기로 구성된 봇넷을 해체했다. 이 네트워크는 200대 이상의 서버로 관리됐고, 감염 기기에는 PC, 태블릿, 스마트폰, IoT 기기가 포함됐다.¹

이 사건의 핵심은 규모만이 아니다. 봇넷이 더 이상 특정 해커만 다루는 은밀한 도구가 아니라, 프록시 서비스처럼 포장되어 사고팔릴 수 있는 인프라가 됐다는 점이다.

봇넷은 내 기기를 공격 도구로 바꾼다

봇넷은 공격자가 원격으로 조종하는 감염 기기들의 묶음이다. 사용자는 기기를 평소처럼 쓰지만, 뒤에서는 스팸 발송, 피싱, 계정 대입 공격, 트래픽 중계 등에 동원될 수 있다.

중요한 관점은 “내 기기가 공격당했다”에서 끝나지 않는다. 감염된 기기는 다른 사람과 조직을 공격하는 경유지가 된다. 그래서 봇넷 문제는 개인 기기 보안이자, 동시에 인터넷 전체의 신뢰 문제다.

왜 ‘프록시 서비스’가 문제가 되는가

보도에 따르면 문제의 서비스는 주거용 프록시를 제공하는 Asocks로 지목됐다.¹ 주거용 프록시는 일반 가정이나 회사의 IP를 거쳐 인터넷에 접속하게 해주는 서비스다. 합법적인 활용도 가능하지만, 범죄자는 이를 이용해 공격 트래픽을 정상 사용자 접속처럼 보이게 만들 수 있다.

Asocks 웹사이트는 기업용, 주거용, 모바일 프록시를 제공한다고 설명했으며, 월 구독 가격은 5~15달러로 표시됐다. 10~100개 프록시 대량 구매에는 5~15% 할인도 안내했다.¹

이 가격표가 의미하는 바는 분명하다. 감염 기기와 프록시 인프라가 서비스 상품처럼 유통될 수 있다는 것이다. 공격자는 직접 대규모 감염망을 만들지 않아도, 저렴한 비용으로 정상 IP처럼 보이는 트래픽 경로를 빌릴 수 있다.

서버를 내렸다고 감염이 끝나는 것은 아니다

이번 작전에서 경찰은 조사를 위해 호스팅 제공업체에서 여러 봇넷 서버를 압수했고, 호스팅 제공업체는 범죄 목적 사용을 이유로 봇넷을 오프라인으로 전환했다.¹ 이는 명령 체계를 끊는 중요한 조치다.

다만 서버가 내려갔다고 감염된 기기가 자동으로 깨끗해지는 것은 아니다. 봇넷 운영이 중단되더라도 기기 안의 악성 앱, 설정 변경, 취약한 펌웨어는 그대로 남아 있을 수 있다. 수사기관의 차단 조치와 사용자의 기기 정리는 서로 다른 단계다.

감염 경로도 공유기나 CCTV 같은 전통적인 IoT 장비에만 국한되지 않는다. HUMAN의 Satori Threat Intelligence 팀은 2024년 4월 PROXYLIB 캠페인을 식별했다. 이 캠페인은 Android 기기에 프록시웨어를 심어 LumiApps와 Asocks 쪽 네트워크에 연결한 사례로 설명됐다.¹ 앱, SDK, 무료 VPN처럼 일상적인 설치 경로도 봇넷 인프라로 이어질 수 있다는 뜻이다.

사용자가 적용할 수 있는 판단 기준

이번 사건에서 얻을 수 있는 실용적인 기준은 세 가지다.

첫째, 인터넷에 연결된 모든 기기를 관리 대상으로 봐야 한다. 공유기, CCTV, 태블릿, 오래된 스마트폰처럼 한 번 설치한 뒤 방치되는 기기가 특히 위험하다.

둘째, 무료 앱이나 지나치게 저렴한 프록시·VPN 서비스는 그 운영 구조를 의심해야 한다. 사용자 동의 없이 기기를 프록시 노드로 쓰는 구조라면, 이는 개인정보 문제를 넘어 범죄 인프라에 기여하는 문제가 된다.

셋째, 기본 보안 수칙을 꾸준히 적용해야 한다. OS와 펌웨어를 업데이트하고, 기본 비밀번호를 바꾸며, 앱은 신뢰할 수 있는 출처에서만 설치해야 한다. 가능하면 2단계 인증을 켜고, 와이파이는 WPA2나 WPA3로 보호하는 것이 좋다.¹

1,700만 대라는 숫자는 거대한 국제 수사처럼 보이지만, 출발점은 대개 방치된 기기 하나다. 봇넷 대응은 수사기관만의 일이 아니다. 내 기기가 남의 공격 도구가 되지 않도록 관리하는 일에서 시작된다.

¹Dutch Authorities Dismantle Botnet Linked to 17 Million Infected Devices