F5 BIG-IP 국가 배후 해킹, 소스코드 탈취와 CISA 비상지침 사태

F5는 2025년 8월 9일 자사 BIG-IP 제품 개발 환경과 엔지니어링 지식관리 플랫폼에서 승인되지 않은 접근 정황을 처음 포착했다. 블룸버그 등은 소식통을 인용해 공격자가 최소 12개월 이상 F5 네트워크에 잠복해 있었던 것으로 알려졌다고 보도했다. 미 법무부는 SEC 공시 규정의 국가안보 예외에 따라 공개 유예를 허용했고, 회사는 두 달 넘게 침해 사실을 외부에 알리지 않았다. 이 침해는 이후 F5 역사상 최악의 보안사고이자 미국 정부 전체를 긴장시킨 사건으로 기록됐다. 피해 범위는 BIG-IP 소스코드와 미공개 취약점 정보에 집중된 것으로 뒤늦게 확인됐다.

F5는 2025년 10월 15일 국가 배후로 추정되는 정교한 해커 조직이 자사 시스템을 침해해 BIG-IP 제품 개발 환경과 엔지니어링 지식관리 플랫폼에서 파일을 탈취했다고 공식 발표했다. 탈취된 파일에는 BIG-IP의 핵심 소스코드와 아직 패치되지 않은 취약점 정보가 포함돼 있어 파장이 컸다. F5는 고객지원 시스템, CRM, 재무기록, NGINX 제품 코드 등 다른 영역에는 접근 흔적이 없다고 선을 그었다. 그러나 BIG-IP는 F5의 최대 매출원이자 전 세계 정부·기업 네트워크의 핵심 장비여서 파급력이 상당했다. 이번 공개는 미 법무부가 국가안보를 이유로 허용한 공개 유예 기간이 끝난 뒤 이뤄졌다.

미국 사이버보안·인프라보안국(CISA)은 F5의 침해 공개 직후인 2025년 10월 15일 연방 민간 행정부 기관을 대상으로 비상지침 ED 26-01을 발동했다. 지침은 각 기관에 보유한 모든 F5 BIG-IP 장비를 전수 조사하고, 관리 인터페이스가 인터넷에 노출돼 있는지 점검하며, F5가 새로 공개한 패치를 10월 22일까지 적용하도록 요구했다. CISA는 이번 사고를 연방 네트워크에 대한 '중대한 위협'으로 규정하며 이례적으로 신속한 대응을 주문했다. 같은 날 F5는 45건의 취약점 정보를 담은 분기 보안 공지를 발표했는데, 이 중 27건이 고위험 등급이었다. 이는 통상적인 패치 주기와 달리 침해 사고에 떠밀려 나온 긴급 공개였다.

F5 주가는 침해 사실이 공개된 2025년 10월 15일부터 이틀간 47.82달러(약 13.9%) 떨어지며 투자자들의 우려를 그대로 반영했다. 시장은 국가 배후 해커가 BIG-IP 소스코드와 미공개 취약점을 확보했다는 사실 자체가 향후 추가 공격의 발판이 될 수 있다는 점을 우려했다. 오랫동안 안정적 실적을 보여온 F5로서는 이례적인 급락 폭이었다. 투자자들 사이에서는 F5의 공시 시점이 지나치게 늦었다는 비판도 함께 제기됐다. 이후 회사가 실적 전망까지 하향하면서 주가 불안은 한 달 가까이 이어졌다.

보안업체들은 2025년 10월 21일을 전후해 F5 침해의 배후로 중국계 해킹조직 UNC5221을 지목하는 분석을 잇달아 내놓았다. 이 조직은 앞서 여러 네트워크 장비 제조사를 겨냥해 '브릭스톰(BRICKSTORM)'이라는 은닉형 백도어를 심어온 것으로 알려진 그룹이다. 다만 미국 정부는 공식적으로 배후를 특정하지 않았다. 실제로 F5 침해 발표 이후 전 세계에서 26만6000대가 넘는 BIG-IP 장비가 인터넷에 노출된 상태로 확인돼 추가 피해 우려가 커졌다. 이 분석은 이번 사건이 단순한 기업 해킹을 넘어 국가 차원의 장기 스파이 활동의 일환일 가능성을 뒷받침했다.

F5는 2025년 10월 27일 장 마감 후 발표한 실적에서 침해 사고 여파로 2026 회계연도 매출 증가율이 시장 기대치를 크게 밑돌 것이라고 밝혔다. 회사는 판매·갱신 계약 위축, 영업주기 장기화, 보안 강화 비용 증가 등을 매출 전망 하향의 이유로 제시했다. 이튿날인 10월 28일 F5 주가는 전 거래일 종가 290.41달러에서 258.76달러로 하루 만에 10.9% 추가 하락했다. 시장에서는 이번 침해가 단순한 보안 이슈를 넘어 F5의 핵심 사업인 BIG-IP 매출 자체를 흔드는 구조적 리스크로 번졌다고 평가했다. 이는 침해 공개 이후 두 번째로 큰 폭의 주가 하락이었다.

미 상원 보건교육노동연금위원회(HELP) 위원장 빌 카시디 의원은 2025년 11월 초 F5 침해를 계기로 반복되는 미국 경제 대상 사이버보안 위협에 대한 위원회 조사를 확대한다고 밝혔다. 카시디 의원은 F5에 침해 경위와 공개 지연 사유를 구체적으로 밝히라는 서한을 보냈다. 이는 연방기관 다수가 사용하는 핵심 네트워크 장비 제조사가 국가안보 이유로 공개를 두 달 넘게 미룬 데 대한 의회 차원의 문제 제기였다. 의회의 개입은 이번 사건이 단순 기업 보안사고를 넘어 국가 인프라 정책 논의로 확산됐음을 보여줬다. 이후 F5의 공시 관행 전반에 대한 감독 요구도 함께 커졌다.

미국 투자자들은 2025년 12월 22일을 전후해 F5를 상대로 증권사기 집단소송을 잇달아 제기했다. 소송을 대리하는 로펌들은 F5가 침해 사실과 그 사업적 영향을 SEC 공시 자료에서 누락하거나 지연시켜 주가가 인위적으로 부풀려진 채 거래됐다고 주장했다. 이들은 침해 공개 이후 두 차례에 걸친 주가 급락으로 투자자들이 상당한 손실을 봤다고 지적했다. 소송은 F5의 공개 지연이 국가안보상 불가피했다는 회사 측 해명과, 정보 비대칭으로 피해를 봤다는 투자자 측 주장이 정면으로 충돌하는 구도로 전개됐다. 관련 소송의 원고 모집 마감은 2026년 2월로 예고됐다.