이론보다 먼저, 손으로 막아본다.
진짜 보안 분석가들이 하는 일을 그대로 따라 합니다. 가짜 이메일, 가짜 서버 로그, 가짜 패킷을 직접 뒤져서 침입자를 찾아내고 — 다 끝낸 다음에야 "왜 그게 위험했는지" 원리를 배웁니다. 책으로 시작하면 졸리지만, 사건 현장에서 시작하면 기억에 남습니다.
📰 요즘 진짜로 터진 사건들
실제 보도 기반 · 2026년보안 스캐너가 오히려 해킹 통로가 된 LiteLLM 사건
2026년 3월, 해킹 그룹이 보안 검사 도구 Trivy의 GitHub 자동화 설정을 악용해 권한을 탈취하고, 이를 통해 월 9,700만 건이 다운로드되는 AI 라이브러리 LiteLLM에 악성코드를 심었습니다. "보안 도구"를 믿었던 게 화근이었습니다.
관련 모듈: 사건 04 · 공급망 공격 추적→ 이 사건으로 직접 실습하기
북한 연계 그룹, 2026년에도 가상자산 6억 달러 탈취
거래소를 직접 뚫는 대신 외부 협력업체의 인프라를 노리는 방식으로 진화했습니다. 2025년 Bybit 해킹도 거래소 자체가 아니라 제3자 인프라를 침해해 서명 화면을 조작한 사례였습니다.
관련 개념: 공급망 신뢰 체인 공격오픈소스 패키지 하나가 클라우드 환경 36%를 감염시킬 뻔
악성 버전이 패키지 저장소에 올라가 있던 시간은 단 3시간. 그 사이에도 하루 평균 다운로드 수를 감안하면 상당수 시스템이 영향을 받았을 것으로 추정됩니다. 속도가 곧 생존인 시대입니다.
관련 모듈: 사건 04 · 공급망 공격 추적국내 기업 침해사고, 2025년 전년 대비 26% 증가
서버 해킹이 전체 침해 유형의 44%로 가장 많았고, AI를 활용한 정교한 피싱과 딥페이크 공격이 빠르게 늘고 있다는 분석이 나왔습니다.
관련 모듈: 사건 01 · 피싱 메일 추적진짜 보안 전문가들의 경력은 "이론 → 실무"가 아니라 "사고 대응 → 그 다음 깊은 원리 공부"인 경우가 훨씬 많습니다. 위협을 먼저 눈으로 보고 몸으로 느껴야, 나중에 배우는 OSI 7계층이나 암호학 이론이 "왜 중요한지"가 비로소 이해됩니다. 이 앱은 그 순서를 그대로 따라갑니다.
피싱 메일 추적
신입 직원 "박지민" 사원의 메일함에 의심스러운 메일이 도착했습니다. 클릭하기 전에, 무엇이 이상한지 직접 찾아내세요. 의심되는 부분을 클릭하면 표시됩니다.
보안 정책에 따라 사원님의 사내 계정 비밀번호가 24시간 내 만료됩니다. 만료 전 아래 링크에서 본인 인증 후 비밀번호를 갱신하지 않으시면 계정이 잠길 수 있습니다.
👉 http://ourcompany-portal.secure-verify.cn/reset?id=8841
인증 시 사번과 현재 비밀번호를 정확히 입력해 주세요.
감사합니다.
IT지원센터 드림
본 메일은 발신 전용입니다. 첨부파일 [계정_보안정책_안내.pdf.exe]를 확인하세요.
원리 학습 — 왜 이게 위험했을까?
1. 발신자 도메인 위장 (Spoofing / Lookalike Domain)
[email protected] — 회사 도메인이 아닌 전혀 다른 외부 도메인입니다. "nav3r"처럼 글자를 숫자로 바꿔치기하는 것도 흔한 위장 기법(타이포스쿼팅)입니다. 실제 IT부서는 항상 @ourcompany.co.kr 도메인을 사용해야 합니다.
2. 긴급성과 공포심 자극
"24시간 내", "계정 잠김" 같은 표현은 사람이 차분히 생각하지 못하고 즉시 클릭하게 만드는 사회공학(Social Engineering) 기법입니다. 진짜 IT 부서는 이런 압박성 문구로 비밀번호를 요구하지 않습니다.
3. 가짜 링크 (URL의 진짜 주소 확인하기)
링크 글자는 회사처럼 보여도 실제 도메인은 secure-verify.cn입니다. .cn처럼 익숙하지 않은 도메인, 그리고 진짜 회사명이 하위 경로에만 끼워져 있는 구조는 전형적인 피싱 URL 패턴입니다.
4. 이중 확장자 첨부파일
.pdf.exe처럼 파일 끝에 실행 파일 확장자(.exe)를 숨기는 방식입니다. 윈도우 기본 설정에서는 확장자가 숨겨질 수 있어 "pdf 파일"로 착각하기 쉽습니다.
Return-Path, SPF/DKIM 인증 결과까지 확인합니다. 지금은 눈으로 보이는 신호만 익혔다면, 다음 단계에서는 도구로 검증하는 법을 배우게 됩니다.국내 기업 침해사고는 2025년 전년 대비 26% 증가했고, AI를 활용해 더욱 정교해진 피싱·딥페이크 공격이 가장 빠르게 늘고 있는 위협 유형으로 지목되고 있습니다. 실제로 텔레그램 같은 메신저를 사칭한 피싱으로 계정을 탈취한 뒤, 지인에게 똑같은 링크를 다시 퍼뜨리는 2차 확산 사례도 보고되었습니다.
비밀번호 침해 분석
한 스타트업의 직원 비밀번호 목록(해킹으로 유출되었다고 가정한 테스트 데이터)이 주어졌습니다. 공격자가 "크래킹 1초 안에" 뚫을 수 있는 위험한 비밀번호를 모두 골라내세요.
아래 비밀번호 중, 자동화 크래킹 도구로 1초 이내 추측 가능한 위험한 비밀번호를 클릭해서 표시하세요. (예상 크래킹 시간은 해시 추측 시뮬레이션 기준입니다)
원리 학습 — 비밀번호는 왜 길이와 무작위성이 중요한가
1. 사전 공격 (Dictionary Attack)
123456, password, qwerty123 같은 비밀번호는 전 세계 유출 데이터베이스에 이미 수십억 개가 정리되어 있어, 공격자는 추측이 아니라 "검색"만으로 뚫습니다.
2. 개인정보 기반 추측
jimin1998처럼 이름+생년을 합친 비밀번호는 SNS 정보 몇 개만 조합해도 쉽게 추측됩니다. 회사 이름이나 연도를 넣은 company2024!도 마찬가지로 흔한 패턴입니다.
3. 길이가 복잡함보다 중요할 때가 많다
놀랍게도 우리집강아지는복실이고6살이다처럼 의미 있는 긴 문장(패스프레이즈)은 특수문자가 적어도 글자 수가 많아 크래킹에 매우 오래 걸립니다. 비밀번호 강도는 "복잡함"보다 "전체 조합 가능 수(엔트로피)"가 핵심입니다.
4. 해시(Hash)와 레인보우 테이블
대부분의 서비스는 비밀번호를 그대로 저장하지 않고 해시값으로 변환해 저장합니다. 하지만 흔한 비밀번호는 이미 해시값까지 미리 계산된 "레인보우 테이블"에 등록되어 있어 순식간에 역산됩니다.
크리덴셜 스터핑(다른 사이트에서 유출된 아이디·비밀번호를 그대로 대입해 보는 공격) 사례가 국내에서도 꾸준히 증가하고 있으며, 유출된 개인정보가 다른 서비스 계정 탈취로 이어지는 2차 피해가 가장 큰 위험으로 지적되고 있습니다.
서버 침입 흔적 분석
윈도우 서버의 로그인 기록(가상 로그)입니다. 누군가 무차별 대입(브루트포스) 공격 후 실제로 침입에 성공한 흔적이 있습니다. 의심스러운 줄을 클릭해서 표시하세요.
원리 학습 — 브루트포스부터 권한 상승까지
1. 브루트포스(무차별 대입) 공격의 패턴
같은 IP에서 짧은 시간 안에 로그인 실패(4625)가 반복되는 것은 자동화된 도구로 비밀번호를 무작위로 시도하고 있다는 강력한 신호입니다. 사람이 손으로 입력했다면 이런 속도가 나올 수 없습니다.
2. 실패 후 갑작스러운 성공 (4624)
수십 번의 실패 직후 같은 IP에서 로그인 성공이 찍히면, 비밀번호가 결국 뚫렸다는 뜻입니다. 이 시점이 바로 "침해가 발생한 순간(Initial Access)"입니다.
3. 침투 이후 행동 — 정찰과 권한 상승
로그인 성공 후 net user, whoami /priv 같은 명령은 공격자가 "내가 지금 어떤 권한을 가지고 있는지" 확인하는 정찰 행위입니다. 이후 새로운 관리자 계정을 생성하는 행위는 지속적 접근(Persistence)을 확보하려는 전형적인 다음 단계입니다.
4. 정상 도구의 악용 (Living off the Land)
공격자는 별도의 악성코드를 심지 않고도 윈도우에 기본 내장된 PowerShell이나 net.exe 같은 정상 도구만으로 공격을 이어갈 수 있습니다. 이런 방식은 백신 탐지를 피하기 쉬워 최근 더욱 자주 사용됩니다.
국내 보안 당국은 공격자들이 관리 서버 해킹이나 초기 관리자 패스워드 노출 등 접근 통제 취약점을 악용해 내부망에 침투하고, 정상 시스템 도구를 악용하는 'Living off the Land' 기법으로 핵심 정보를 탈취하는 사례가 늘고 있다고 경고했습니다.
공급망 공격 추적
2026년 3월 실제로 발생한 LiteLLM 공급망 공격을 재구성한 시나리오입니다. 패키지 업데이트 코드 변경 내역(diff)에서, 정상적인 업데이트처럼 보이지만 실제로는 악성 행위를 하는 줄을 찾아내세요.
원리 학습 — 신뢰 체인을 노리는 공급망 공격
1. 공급망 공격이란?
회사를 직접 공격하는 대신, 그 회사가 신뢰하고 가져다 쓰는 외부 코드(라이브러리, 패키지, 업데이트 서버)를 먼저 오염시켜서, 그 코드를 설치하는 모든 사용자를 동시에 감염시키는 방식입니다. 자물쇠를 부수는 대신 열쇠 공장에 침투하는 셈입니다.
2. 자격 증명 탈취형 코드의 특징
악성 코드는 보통 os.environ이나 ~/.ssh/, ~/.aws/credentials 같은 위치에서 API 키, SSH 키, 클라우드 인증 정보를 읽어 외부 서버로 전송합니다. 기능처럼 보이게 변수명을 위장하는 경우가 많아 코드 리뷰에서도 놓치기 쉽습니다.
3. 왜 탐지가 어려운가
패키지는 "정상적인 버전 업"으로 배포되고, 디지털 서명까지 유효한 경우가 많습니다. 코드 자체에 전통적인 취약점(CVE)이 없어 자동 스캐너도 놓치기 쉽습니다. 실제로 2026년 LiteLLM 사건에서는 보안 스캐너 자체(Trivy)의 자동화 설정이 먼저 뚫려서, 신뢰하던 도구가 공격 경로가 되었습니다.
4. 방어 원칙
- 패키지 버전을 "최신"으로 자동 고정하지 말고, 검증 후 수동으로 버전을 고정(pin)할 것
- SBOM(소프트웨어 구성 명세서)으로 사용 중인 모든 의존성을 추적할 것
- CI/CD 파이프라인의 권한을 최소화해서, 한 도구가 뚫려도 전체가 무너지지 않게 할 것
2026년 3월, 해킹 그룹 TeamPCP는 보안 스캐너 Trivy의 GitHub Actions 워크플로우 취약점을 악용해 조직의 액세스 토큰을 탈취했습니다. 이를 이용해 Trivy의 배포판 자체를 악성 버전으로 바꿔치기했고, 결국 월 9,700만 건이 다운로드되는 AI 프록시 라이브러리 LiteLLM까지 감염되어 SSH 키와 클라우드 인증 정보를 훔치는 코드가 배포됐습니다. 악성 버전이 공개되어 있던 시간은 단 3시간이었지만, 그 사이에도 수많은 시스템이 영향을 받았을 것으로 추정됩니다.
데이터 유출 패킷 탐지
내부 서버에서 외부로 나가는 네트워크 트래픽 기록(가상 패킷 로그)입니다. 정상적인 업무 트래픽 사이에 숨어있는 데이터 유출(Exfiltration) 흔적을 찾아내세요.
| 시각 | 출발지(내부) | 목적지(외부) | 포트 | 전송량 | 비고 |
|---|
원리 학습 — 데이터 유출(Exfiltration)은 어떻게 들킬까
1. 업무 시간과 어긋나는 트래픽
새벽 시간대에 대용량 전송이 발생하면 의심해야 합니다. 정상 업무라면 사람이 활동하는 시간대에 트래픽이 몰리지만, 자동화된 유출 스크립트는 사람이 없는 시간을 노립니다.
2. 비정상적으로 큰 전송량
몇 KB~MB 단위의 일반 웹 요청과 달리, 수백 MB~GB 단위의 단일 전송은 데이터베이스나 파일을 통째로 빼가는 행위일 가능성이 높습니다.
3. 낯선 목적지와 비표준 포트
알려지지 않은 해외 IP, 회사 업무와 무관한 국가의 서버, 그리고 80/443(웹)이 아닌 낯선 포트로 나가는 트래픽은 데이터를 빼내거나 명령제어(C2) 서버와 통신하는 신호일 수 있습니다.
4. DNS나 암호화 채널을 이용한 은닉 유출
고급 공격자는 탐지를 피하기 위해 데이터를 DNS 쿼리 안에 잘게 쪼개 숨기거나(DNS Tunneling), HTTPS 암호화 트래픽 속에 숨겨서 내보내기도 합니다. 양만 보고 판단하기 어려운 경우, 통신 빈도와 패턴을 함께 봐야 합니다.
2026년 보안 위협 전망에서는 클라우드 환경의 설정 오류나 권한 남용을 넘어, AI 기반 자동화 취약점 탐지와 권한 탈취가 결합된 복합 공격이 현실화될 가능성이 크다는 경고가 나왔습니다. 데이터 유출은 더 이상 사람이 직접 파일을 복사하는 방식이 아니라, 자동화된 스크립트가 야간에 조용히 수행하는 경우가 많아지고 있습니다.