2026년, 가짜 WatchGuard VPN 웹사이트가 정품 소프트웨어와 함께 관리자 자격 증명을 탈취했습니다. 이중 정보 제출 유도와 공식 CDN 사용으로 탐지를 우회한 지능형 피싱 공격의 전말과 예방 전략을 알아봅니다.
2026년, 우리는 사이버 보안 위협의 복잡성과 지능화에 끊임없이 직면하고 있습니다. 최근 WatchGuard VPN을 사칭하는 가짜 웹사이트가 등장하여 기업 관리자의 핵심 계정 정보를 탈취하는 심각한 보안 사고가 발생하여 업계에 경종을 울렸습니다. 이 공격은 단순한 피싱을 넘어, 합법적인 WatchGuard VPN 소프트웨어 설치 패키지를 제공하는 동시에 VPN 서버 주소, 사용자 이름, 비밀번호 등 민감한 관리자 자격 증명을 교묘하게 수집하는 고도로 지능적인 수법을 사용했습니다. 특히 피해자가 정보를 두 번 입력하도록 유도하는 치밀함은 공격자들이 얼마나 공을 들였는지 보여줍니다. 이는 기업과 사용자 모두의 각별한 주의를 요구하며, 오늘날 디지털 환경에서의 신뢰할 수 있는 출처 확인과 철저한 보안 원칙 준수의 중요성을 다시 한번 강조합니다.
치밀하게 설계된 가짜 WatchGuard VPN 웹사이트
보안 연구 기관 헌트레스(Huntress)는 최근 한 관리형 서비스 제공업체(MSP) 직원의 의심스러운 활동을 추적하며 이번 공격의 전말을 밝혀냈습니다. 해당 직원은 빙(Bing) 검색 엔진을 통해 WatchGuard VPN 다운로드를 시도했고, 공식 웹사이트와 매우 흡사하게 제작된 가짜 웹사이트인 watchguard-vpn[.]net에 접속했습니다. 이 사칭 사이트는 모바일 VPN with SSL 다운로드를 제공하며, VPN 서버 주소, 사용자 이름, 비밀번호를 요구하는 입력 양식을 보여주었습니다. 이 정보는 실제 WatchGuard VPN 클라이언트에서 요구하는 정보와 정확히 일치하여, 피해자가 공격을 의심하기 매우 어려웠습니다. 공격자들은 사용자 경험까지 완벽하게 모방하여 피해자의 경계심을 무너뜨리는 데 성공했습니다.
교묘한 이중 정보 탈취 기법과 도메인 등록 시점
피해자가 입력 양식을 통해 자격 증명을 제출하면, 해당 정보는 즉시 watchguard-ssl[.]online이라는 별도의 도메인으로 전송되어 공격자들에게 수집되었습니다. 특히 이번 공격의 가장 교활한 특징은 악성 스크립트가 첫 번째 제출을 의도적으로 거부하고 입력 필드를 초기화했다는 점입니다. 이는 피해자가 정보를 다시 입력하도록 유도하여 공격자들에게 여러 번의 비밀번호 시도 기회를 제공하기 위한 명백한 의도로 분석됩니다. 헌트레스에 따르면, 다운로드 유도 도메인인 watchguard-vpn[.]net은 2026년 8월 22일에, 자격 증명 수집 도메인인 watchguard-ssl[.]online은 9월 14일에 각각 등록되었습니다. WatchGuard는 이미 2026년 1월에 이와 유사한 사칭 주소를 보고한 바 있습니다.
정품 소프트웨어 배포로 위장한 고도화된 공격 전략
자격 증명 이중 제출 후, 가짜 웹사이트는 위조된 설치 패키지 대신 WatchGuard의 공식 CDN(콘텐츠 전송 네트워크)에서 직접 정품 소프트웨어를 다운로드하도록 유도했습니다. 다운로드된 파일은 2025년 11월 4일자 WatchGuard Technologies의 유효한 디지털 서명이 포함된 Mobile VPN with SSL 클라이언트 버전 12.11.5였습니다. 헌트레스는 설치 프로그램이 서명 후 변경되지 않았음을 확인했으며, 공격자가 합법적인 실행 파일을 수정했다는 증거를 찾지 못했습니다. 이러한 방식은 기존의 변조된 설치 프로그램 배포 방식과는 근본적으로 달라, 엔드포인트 보안 솔루션의 파일 검사 기반 탐지를 효과적으로 우회하는 데 사용되었습니다.
전통적인 보안 탐지 시스템을 우회하는 공격의 위험성
이 공격 방식은 악성 코드를 직접 배포하는 대신, 브라우저를 통해 VPN 자격 증명을 탈취합니다. 따라서 엔드포인트 보호 제품이 파일 검사를 통해 식별할 수 있는 많은 악성 코드 탐지 메커니즘을 회피할 수 있습니다. 합법적인 소프트웨어 다운로드는 피해자에게 이미 자격 증명이 손상되었다는 의심을 할 이유를 거의 주지 않으며, 설치는 그 이후에도 정상적으로 진행됩니다. 헌트레스는 조사된 사건에서 공식 서버로부터의 다운로드 기록을 찾지 못했는데, 이는 사용자가 두 번의 자격 증명 제출을 모두 완료하지 않았을 수도 있음을 시사합니다. 하지만 악성 웹사이트 로드 후 21초 만에 탐지가 이루어져 추가적인 피해 확산 전에 조치할 수 있었습니다.
관리자 자격 증명 탈취의 심각성과 기업 전반의 잠재적 위협
관리자 자격 증명이 탈취되는 것은 일반 사용자 계정이 노출되는 것보다 훨씬 심각한 위협을 초래합니다. 공격자는 탈취한 관리자 계정을 이용하여 기업 네트워크에 무단 침입하고, 민감한 정보에 접근하거나, 중요 시스템을 파괴하거나, 랜섬웨어와 같은 추가적인 악성 코드를 배포할 수 있습니다. 이는 기업의 운영을 마비시키고 막대한 금전적 손실과 함께 기업의 평판에 치명적인 영향을 미칠 수 있습니다. 이번 WatchGuard VPN 공격은 관리자 계정의 보안이 기업 보안 전체에 얼마나 중요한지 다시 한번 일깨워주는 계기가 되었으며, VPN과 같은 핵심 인프라 접근 권한은 더욱 철저히 보호되어야 합니다.
조직과 개인을 위한 필수 보안 강화 및 예방 방안
이러한 고도화된 피싱 공격으로부터 조직과 개인을 보호하기 위해서는 다음과 같은 조치가 필수적입니다. 첫째, 이미 노출되었을 수 있는 VPN 비밀번호는 즉시 강력하고 고유한 비밀번호로 재설정해야 합니다. 둘째, 모든 계정, 특히 관리자 계정에는 다단계 인증(MFA)을 활성화하여 보안을 대폭 강화해야 합니다. 셋째, VPN 로그인 기록 및 네트워크 접근 로그를 주기적으로 검토하여 의심스러운 접근 시도가 없는지 면밀히 확인해야 합니다. 마지막으로, 모든 소프트웨어는 반드시 벤더의 공식 웹사이트에서만 다운로드하도록 직원들에게 철저히 교육하고 안내해야 합니다. 출처가 불분명한 링크나 검색 결과는 항상 의심하는 습관을 들여야 합니다. 지속적인 보안 교육은 최선의 방어입니다.
2026년, 디지털 신뢰와 공식 출처 확인의 중요성 증대
2026년 현재, 사이버 공격은 점점 더 교묘하고 지능적으로 진화하고 있으며, 단순히 악성 코드를 배포하는 것을 넘어 사용자들의 인지적 허점을 노리고 있습니다. 이번 WatchGuard VPN 사칭 사건은 정품 소프트웨어 배포라는 위장 전술을 통해 사용자들의 경계심을 무너뜨리고 관리자 자격 증명을 손쉽게 탈취하는 새로운 유형의 위협을 보여줍니다. 디지털 환경에서 신뢰할 수 있는 출처를 정확히 구분하고 확인하는 능력은 그 어느 때보다 중요해졌습니다. 조직은 강력한 보안 정책 수립과 지속적인 직원 교육을 통해 잠재적인 위협에 선제적으로 대응해야 할 것입니다. TechRadar의 구글 뉴스 채널을 구독하여 최신 보안 소식을 빠르게 접하는 것도 정보 습득에 도움이 됩니다.
