✦ guniq 시각
FortiGate와 같은 엔터프라이즈 보안 장비의 취약점은 SMB보다 대기업, 금융, 정부 기관에 더 직접적인 위협이 된다. ‘방화벽이 있으니 안전하다’는 안도감이 오히려 패치 지연의 원인이 되는 경우가 많다 — 보안 장비 자체도 정기 패치 대상임을 잊지 말아야 한다.
▲ 이미지 출처: 데일리시큐
전 세계 포티넷(Fortinet) 포티게이트 방화벽과 VPN 장비 8만 6천여 대가 침해됐다. 미국 사이버보안 인프라 보안국(CISA)이 긴급 대응에 나선 이번 사건은 ‘포티블리드(FortiBleed)’라는 이름으로 불리며, 러시아어권 공격 조직의 소행으로 추정된다. 주목할 점은 최신 취약점이 아니라 유출된 계정정보가 침해의 출발점이었다는 것이다.
어떻게 뚫렸나
공격 방식은 단순하다. 공격자들은 인터넷에 노출된 포티넷 원격 접속 장비를 대규모로 자동 스캔한 뒤, 다크웹 등에서 유출된 계정정보를 대입하는 크리덴셜 스터핑(Credential Stuffing) 방식을 사용했다. 허드슨록, 소크레이더, 아틱울프 등 보안업체와 영국 국가사이버보안센터(NCSC)가 이를 확인했다.
제로데이 취약점도 없었고, 정교한 해킹 기법도 없었다. 단지 “어딘가에서 유출된 비밀번호” 하나가 방화벽 관리자 계정으로 이어진 것이다.
방화벽이 뚫리면 무슨 일이 생기나
방화벽은 네트워크의 최전선이다. 공격자가 방화벽 관리자 권한을 확보하면 내부망 전체가 노출된다. 방화벽 룰을 바꿔 특정 포트를 열거나, VPN 계정을 추가해 지속적인 접근 경로를 만들거나, 내부 트래픽을 도청하는 것 모두 가능해진다. 랜섬웨어 조직이 초기 침투 경로로 방화벽 장비를 노리는 이유가 여기에 있다.
방화벽이 뚫렸다는 건 자물쇠를 빼앗긴 것과 같다. 내부에 어떤 보안 솔루션이 있어도 의미가 없어진다.
중소기업이 지금 당장 확인해야 할 것
- 방화벽·VPN 관리자 계정 비밀번호 점검 — 오래된 비밀번호, 다른 서비스와 동일한 비밀번호는 즉시 변경
- 관리 인터페이스 인터넷 노출 차단 — 방화벽 관리 UI는 내부망 또는 VPN 접속 후에만 접근 가능하도록 제한
- 다중 인증(MFA) 적용 — 계정정보가 유출되더라도 추가 인증이 있으면 침해를 막을 수 있음
- 펌웨어 최신 버전 유지 — 알려진 취약점이 패치된 버전을 유지하는 것이 기본
- 로그인 로그 점검 — 비정상적인 시간대·IP의 로그인 시도 여부 확인
상용 방화벽이라고 안전하지 않다
이번 사건에서 침해된 포티게이트는 중소기업에서 널리 쓰이는 상용 UTM 장비다. 브랜드나 가격이 보안을 보장하지 않는다는 사실이 다시 한번 확인됐다. 장비를 도입했다고 끝이 아니라, 계정 관리·접근 통제·패치 관리가 지속적으로 이루어져야 한다.
오픈소스 방화벽인 OPNsense를 비롯해 어떤 장비를 선택하든 마찬가지다. 운영 방식이 보안 수준을 결정한다. 인터넷에 노출된 관리 포트, 재사용된 비밀번호, 방치된 기본 계정 — 이 세 가지가 공격자에게 가장 쉬운 침투 경로다.
출처: 데일리시큐 | 작성자: 길민권 기자 | 이메일: mkgil@dailysecu.com | 발행일: 2026-06-21
