마이크로소프트 익스체인지 서버 프록시로건 해킹, 전 세계 수만 곳 침해와 중국 배후 지목

2021년 1월 6일 미국 보안업체 볼렉시티(Volexity)가 고객사의 마이크로소프트 익스체인지 서버에서 비정상적인 이메일 탈취 활동을 포착했다. 조사 결과 공격자는 인증 없이 서버에 접근하게 해 주는 미공개 취약점, 즉 제로데이를 이용하고 있었다. 대만 보안업체 데브코어(DEVCORE)도 비슷한 시기에 같은 계열 취약점을 마이크로소프트에 제보한 것으로 알려졌다. 이후 이 취약점들에는 CVE-2021-26855, CVE-2021-26857, CVE-2021-26858, CVE-2021-27065 번호가 붙었고 첫 번째 결함에는 '프록시로건(ProxyLogon)'이라는 별칭이 붙었다. 패치가 나오기까지 약 두 달 동안 공격자들은 조용히 표적 서버를 장악할 시간을 번 셈이었다.

2021년 3월 2일 마이크로소프트는 익스체인지 서버 2010·2013·2016·2019 버전에 대한 긴급 보안 업데이트를 내놓고 취약점 4건이 실제 공격에 쓰이고 있다고 공개했다. 회사는 이 공격을 중국 정부의 후원을 받는 것으로 평가되는 조직 '하프늄(Hafnium)'의 소행으로 규정했다. 하프늄은 법률사무소, 국방 계약업체, 싱크탱크, 비정부기구 등의 이메일을 노린 것으로 설명됐다. 다만 클라우드 서비스인 익스체인지 온라인은 영향을 받지 않았고, 기업이 자체 서버에 설치해 쓰는 온프레미스 제품만 문제가 됐다. 패치 공개는 곧 공격 방법을 짐작할 단서가 되어 이후 공격이 폭증하는 계기가 됐다.

미국 사이버보안·인프라보안국(CISA)은 3월 3일 연방 민간 기관을 대상으로 긴급 지침 ED 21-02를 발령했다. 지침은 모든 온프레미스 익스체인지 서버를 식별하고 침해 흔적을 점검하며, 침해가 의심되면 즉시 네트워크에서 분리하도록 요구했다. 기관들은 3월 5일 정오까지 1차 현황 보고를 제출해야 했고 이후 패치와 보안 강화 조치 기한이 단계적으로 설정됐다. CISA가 이런 긴급 지침을 내리는 것은 드문 일로, 사안이 연방 정부 전체의 위협으로 판단됐음을 보여 준다. 이 지침은 이후 방화벽 설치, 48시간 내 패치 같은 추가 보안 요건으로 확장됐다.

탐사 보도 매체 크렙스 온 시큐리티는 3월 5일 최소 3만 곳의 미국 조직이 취약점 때문에 새로 해킹된 것으로 파악된다고 보도했다. 전 세계적으로는 수십만 곳에 달할 수 있다는 관계자 발언도 인용됐고, 시간당 수천 대 서버가 뚫리는 속도로 공격이 진행되고 있다는 평가가 나왔다. 패치 공개 직후 하프늄 외에 여러 공격 집단이 같은 취약점으로 가세해 웹셸을 심는 자동화 공격이 2월 말부터 급증했다. 피해 대상에는 은행·신용협동조합, 병원, 경찰·소방서, 전력·수도 업체, 지방 정부 등 직접 서버를 운영하던 소규모 조직이 대거 포함됐다. 이 사태로 패치를 적용해도 이미 심어진 백도어는 남는다는 점이 큰 문제로 떠올랐다.

마이크로소프트 시큐리티 인텔리전스는 3월 12일 프록시로건 취약점을 이용해 서버를 암호화하는 신종 랜섬웨어 '디어크라이(DearCry)'를 공개했다. 이 랜섬웨어 관련 공격은 3월 9일경부터 시작된 것으로 파악됐으며, 사용자들이 새로운 협박 메시지와 암호화된 파일을 제출한 사례가 대부분 익스체인지 서버에서 나왔다. 단순한 이메일 탈취 중심의 첩보 활동이 금전을 노린 랜섬웨어 범죄로 확대됐다는 의미였다. 마이크로소프트는 이어 3월 15일 관리자가 임시로 위험을 줄일 수 있는 원클릭 완화 도구를 내놓는 등 대응 수위를 높였다. 이 사태는 패치 적용이 늦은 조직일수록 연쇄 피해 위험이 커진다는 점을 확인시켰다.

미 법무부는 4월 13일 FBI가 법원의 승인을 받아 취약한 미국 내 컴퓨터 수백 대에서 악성 웹셸을 원격으로 제거했다고 발표했다. 많은 시스템 소유자가 수천 대의 웹셸을 직접 지웠지만 수백 대는 여전히 남아 있었고, FBI는 웹셸에 명령을 보내 고유 파일 경로를 가진 해당 웹셸만 삭제하도록 했다. 존 데머스 국가안보 담당 법무차관보는 기소만이 아니라 모든 법적 수단으로 해킹 활동을 차단하겠다는 의지를 보여 준다고 밝혔다. 정부가 피해자의 서버에 직접 접속해 공격 도구를 지운 것은 사생활·권한 논란도 낳았다. 이 조치는 민간이 감당하기 어려운 대규모 침해에 정부가 개입하는 선례가 됐다.

2021년 7월 19일 미국과 영국, 유럽연합, 나토 등 동맹국들은 3월 익스체인지 서버 공격이 중국 국가안전부(MSS)와 연계된 사이버 공작원들의 소행이라고 공식 발표했다. 나토가 중국의 사이버 활동을 공개 비난한 것은 이번이 처음으로 평가됐다. 같은 날 미국은 MSS 소속 정보요원 3명을 포함한 중국인 4명을 2011~2018년 기업·대학·정부 기관 해킹 혐의로 기소한 공소장을 공개했다. 중국 정부는 의혹을 부인했다. 이 발표로 사건은 단순 보안 사고를 넘어 국가 간 사이버 안보 갈등의 사례로 기록됐다.