회사에서 컴퓨터가 말을 안 들을 때 IT팀에 연락하면 이런 말을 듣곤 하죠. “지금 원격으로 들어가 볼게요, 화면에 뜨는 창에서 ‘허용’만 눌러 주세요.” 잠시 뒤 마우스 커서가 저절로 움직이고 문제가 해결돼요. 편리한 이 ‘원격 지원’ 도구를 회사 전체에 연결해 주는 서버가, 거꾸로 해커의 ‘마스터키’가 될 수 있다는 경고가 나왔어요.
미국 보안 기업 비욘드트러스트(BeyondTrust)는 2026년 10월 15일(현지) 기업용 원격 지원 제품 ‘리모트 서포트(Remote Support, 옛 이름 봄가 Bomgar)’에서 심각한 보안 구멍 CVE-2026-102764를 공개했어요. 같은 날 구글 계열 보안 조직 맨디언트·구글 위협 인텔리전스 그룹(GTIG)은 중국 연계로 의심되는 해킹 조직이 이 구멍을 8월 말부터 몰래(제로데이로) 써 왔다는 분석을 냈고, 미국 사이버보안·인프라보안청(CISA)은 다음 날인 10월 16일 이 취약점을 ‘이미 악용되는 취약점 목록(KEV)’에 올리며 즉시 패치를 촉구했어요. 무슨 일인지, 회사원과 초보가 오늘 무엇을 챙기면 되는지 차근차근 풀어볼게요.
한 줄 요약부터
| 질문 | 짧은 답 |
|---|---|
| 무슨 소식이에요? | 기업 IT팀이 직원·고객 PC에 원격으로 접속할 때 쓰는 BeyondTrust 리모트 서포트에서 로그인 없이 서버 파일을 조작할 수 있는 구멍이 발견됐어요 |
| 얼마나 심각해요? | 회사 공식 점수 CVSS v4 9.3(치명적·Critical). CISA가 실제 악용 중이라며 KEV에 등재했어요 |
| 누가 썼대요? | 맨디언트가 ARMORY CASTLE(아머리 캐슬, 예전 이름 UNC5221)이라 부르는 중국 연계 의심 첩보 조직 |
| 피해 규모는요? | 비욘드트러스트가 확인한 피해 고객은 2곳(10월 16일 기준). 다만 구글 측은 “공개 전 다른 곳도 당했을 수 있다”고 했어요 |
| 고쳐졌어요? | 10월 8일 패치 배포. 클라우드(SaaS)형은 자동 적용, 회사가 직접 설치한 서버는 관리자가 직접 패치해야 해요 |
| 나는 뭘 해요? | 내가 요청한 원격 지원만 허용, 원격 중 입력했던 비밀번호 교체, IT팀에 패치 여부 확인 같은 기본만 챙기면 돼요 |
먼저 용어부터
보안 공지에 나오는 단어는 어렵지만, 생활 비유로 바꾸면 금방 이해돼요.
| 용어 | 쉬운 말 | 생활 속 비유 |
|---|---|---|
| 원격 지원(Remote Support) | IT 담당자가 멀리서 내 PC 화면을 보고 마우스·키보드를 대신 조작해 주는 기능 | 수리 기사가 전화로 “제가 대신 눌러 볼게요” |
| 어플라이언스(appliance) | 원격 지원 기능만 하도록 만든 전용 서버 장비(실물 또는 가상) | 건물 관리실의 열쇠 보관함 |
| 제로데이(zero-day) | 제조사가 아직 모르거나 패치가 없을 때 이미 악용되는 구멍 | 자물쇠 회사도 모르는 사이 복제된 열쇠 |
| 웹셸(webshell) | 해커가 서버에 몰래 심는 원격 조종용 작은 프로그램 | 관리실 벽에 몰래 뚫어 놓은 쪽문 |
| 루트(root) 권한 | 서버에서 무엇이든 할 수 있는 최고 관리자 권한 | 건물 전체 마스터키 |
| KEV | CISA가 관리하는 ‘실제로 악용되고 있는 취약점’ 목록 | “지금 이 동네에 실제로 도둑이 든 수법” 공지 |
| 패치(patch) | 구멍을 막는 보안 업데이트 | 자물쇠 교체 |
원격 지원 서버가 왜 ‘마스터키’일까요?
집에서 가족 PC를 도와줄 때 쓰는 원격 제어 앱은 보통 나 한 사람 ↔ 상대 PC 한 대의 연결이에요. 그런데 기업용 원격 지원 서버는 다릅니다. 수백·수천 대의 직원 PC와 서버에 접속할 수 있는 연결 정보, 그리고 그 장비에 들어갈 때 쓰는 관리자 비밀번호와 API 키까지 한곳에 모아 둬요. 비욘드트러스트도 공지에서 “원격 접속 장비는 회사 전체의 특권 계정 정보를 보관·중계하기 때문에, 누가 어디에 접속하는지 보여 주는 지도이기도 하다”고 설명했어요.
| 구분 | 개인용 원격 제어 앱 | 기업용 원격 지원 서버(이번 제품) |
|---|---|---|
| 연결 규모 | 보통 1:1 | 회사 전체 PC·서버 수백~수천 대 |
| 보관하는 것 | 그 순간의 접속 정보 정도 | 접속 대상 목록, 관리자 비밀번호 금고, API 키, 접속 기록 |
| 뚫리면 | 상대 PC 한 대가 위험 | 회사 내부 전체로 들어가는 출발점이 될 수 있음 |
| 보안 감시 | PC 백신이 지켜봄 | 전용 장비라 PC용 탐지 프로그램(EDR)을 설치하기 어려운 경우가 많음 |
구글 위협 인텔리전스 그룹의 켈리 밴더리 분석가도 이 조직이 이런 ‘경계 장비(edge device)’를 노리는 이유를 “보통 EDR(엔드포인트 탐지·대응) 프로그램을 지원하지 않아 들키지 않고 오래 머물 수 있기 때문”이라고 설명했어요. 회사 VPN 장비나 메일 보안 장비가 자꾸 공격받는 것과 같은 이유예요.
어떤 구멍이었나요? (공식 공지 BT26-05)
| 항목 | 내용 |
|---|---|
| 공지 번호 / CVE | BT26-05 / CVE-2026-102764 |
| 점수 | CVSS v4 9.3, 치명적(Critical) |
| 원인(쉽게) | 서버 내부의 메시지 처리 부품이 ‘이 메시지가 진짜 어디서 왔는지’를 제대로 확인하지 않음 → 조건이 맞으면 외부 공격자가 서버에서 파일 작업을 할 수 있음 |
| 로그인 필요? | 필요 없음(CISA는 ‘인증 우회’ 취약점으로 설명) |
| 영향 받는 버전 | Remote Support 26.2.3 이하 모든 버전 |
| 고친 방법 | BT26-05-RS 패치(24.3.1~26.2.3 버전용). 24.3.1보다 오래된 버전은 먼저 업그레이드한 뒤 패치 |
| 클라우드(SaaS)형 | 회사가 이미 자동 적용(공지 기준 10월 9일까지 전 고객 적용) |
| 형제 제품 PRA | 특권 원격 접속 제품 Privileged Remote Access도 같은 코드를 공유해, 악용 방법은 못 찾았지만 예방 차원에서 패치를 냈어요 |
비욘드트러스트는 아직 많은 회사가 패치 중이라는 이유로 구체적인 기술 세부 내용은 공개하지 않고 있어요. 공격 방법이 퍼지면 패치를 안 한 회사가 더 위험해지기 때문이에요.
뚫린 뒤에는 무슨 일이 벌어졌나요?
맨디언트가 실제 피해 회사를 조사해 밝힌 흐름이에요. 한 번 들어온 뒤 몇 분 만에 서버 전체를 장악하고, 그 서버가 가진 권한으로 회사 안쪽까지 손을 뻗었어요.
| 단계 | 실제로 한 일(맨디언트 분석) | 쉽게 말하면 |
|---|---|---|
| ① 침입 | 구멍을 이용해 서버에 파일을 올리고, 약 11분 뒤 웹셸 ‘SAWFLY(소플라이)’를 심음 | 관리실 벽에 쪽문을 뚫음 |
| ② 숨기 | 웹셸은 암호 같은 특정 신호가 없으면 ‘페이지 없음(404)’만 보여 줘 검사 도구를 피함 | 쪽문 앞에 “벽입니다” 스티커 |
| ③ 최고 권한 | 시스템 기본 프로그램을 복사해 root로 실행되는 뒷문을 만들고, 재부팅해도 유지되도록 설정 파일까지 고침 | 마스터키를 복제하고 열쇠 장부까지 고쳐 씀 |
| ④ 금고 털기 | 장비 안 비밀번호 금고(vault)에서 저장된 관리자 비밀번호·키를 꺼내려 시도 | 열쇠 보관함을 통째로 엶 |
| ⑤ 내부로 이동 | 관리자 계정으로 로그인해 접속 권한을 ‘접근 불가 → 관리자’로 올리고, 원격 세션으로 내부 PC에 들어가 소프트웨어 목록 같은 문서를 내려받음 | 관리실 출입증으로 각 사무실 서랍을 뒤짐 |
| ⑥ 비밀 통로 | 터널 프로그램 ‘BARECLAW(베어클로)’를 깔고, 서버의 길 안내 설정을 바꿔 인터넷에서 바로 드나들 수 있게 함 | 건물 뒤편에 비밀 통로를 만듦 |
| ⑦ 흔적 지우기 | 서버 기록(로그)과 도구를 수시로 삭제 | CCTV 녹화본을 지움 |
그래서 전문가들은 “서버 안에 남은 기록만 믿지 말라”고 강조해요. 기록을 실시간으로 다른 곳(보안 관제 시스템)에 복사해 두지 않으면, 공격자가 지운 뒤에는 무슨 일이 있었는지 알기 어렵거든요.
누가 그랬나요? ‘아머리 캐슬’은 어떤 조직
| 항목 | 내용 |
|---|---|
| 이름 | 맨디언트: ARMORY CASTLE(예전 추적명 UNC5221), 크라우드스트라이크: WARP PANDA |
| 성격 | 장기간 정보를 모으는 중국 연계 의심 첩보(스파이) 조직. 적어도 2023년 10월부터 활동 |
| 과거 이력(보도·분석 기준) | 시트릭스 넷스케일러 ‘시트릭스블리드’(CVE-2023-4966), 아이반티 커넥트 시큐어(CVE-2023-46805·CVE-2024-21887, CVE-2025-0282) 제로데이 악용으로 알려짐 |
| 주요 표적 | 법률 서비스, SaaS 회사, 업무 아웃소싱(BPO) 업체, 기술 기업, 정부 |
| 특징 | 피해 회사마다 서버·도구를 바꿔 흔적이 잘 겹치지 않음. 상업용 VPN과 해킹된 가정·소규모 사무실 공유기를 거쳐 접속해 일반 가정 인터넷처럼 위장 |
| 버릇 | 처음엔 골라서 몰래 쓰다가, 구멍이 공개되면 패치 안 한 곳을 대량으로 공격하는 패턴 |
마지막 줄이 특히 중요해요. 맨디언트는 “공개 이후 광범위한 악용에 대비하라”고 경고했어요. 지금까지 피해가 2곳이라도, 공개된 지금부터가 더 위험한 시기라는 뜻이에요. (참고로 지난 10월 14일 다룬 아이반티 VPN 제로데이 CVE-2026-104935는 다른 회사·다른 공격자(UTA0576)의 별개 사건이에요.)
타임라인: 첫 공격부터 공개까지 약 7주
| 날짜(현지) | 무슨 일 | 포인트 |
|---|---|---|
| 8월 29일 | 공격자가 클라우드형 1곳, 회사 자체 설치형 1곳을 제로데이로 공격 | 아무도 모르던 시기 |
| 9월 27일 | 다른 보안 장비 회사의 제로데이 악용이 공개됨 → 비욘드트러스트가 비슷한 흔적 수색 시작 | 남의 사건이 내 집 점검 계기 |
| 9월 28일 | 수색에서 피해 흔적 발견, 발견 27분 만에 격리. 약 7시간 뒤 침입 경로 재현 | 빠른 대응 |
| 9월 30일 | 맨디언트가 자체 설치형 피해 고객 조사 결과 공유, 수정본 시험 빌드 검증 | 외부 조사와 교차 확인 |
| 10월 8일 | BT26-05 패치 배포, 클라우드형은 자동 적용 | 같은 구멍의 다른 경로까지 함께 막음 |
| 10월 15일 | CVE·공지·맨디언트 분석 동시 공개 | 패치할 시간을 준 뒤 공개 |
| 10월 16일 | CISA, KEV 등재 및 긴급 패치 권고. 캐나다 사이버보안센터도 경보(AL26-025) | 공공기관이 공식 경고 |
경보는 울렸는데, ‘자동 분류’가 꺼 버렸다
이번 공지에서 눈에 띄는 고백이 있어요. 비욘드트러스트는 공격자가 권한을 올리는 순간 감시 센서가 실시간으로 경보를 울렸지만, 외부 탐지 플랫폼에 들어 있는 자동 분류(트리아지) 기능이 그 경보를 ‘오탐’으로 판단해 닫아 버렸다고 밝혔어요. 결국 피해를 찾아낸 건 경보가 아니라, 새로 알려진 위협을 바탕으로 사람이 직접 뒤져 보는 ‘위협 헌팅’이었어요.
| 상황 | 교훈 | 우리 생활로 바꾸면 |
|---|---|---|
| 센서는 울렸지만 자동 분류가 닫음 | 심각도가 높은 경보는 자동으로 닫지 못하게 해야 함 | 스팸함으로 간 ‘로그인 알림’도 한 번은 열어 보기 |
| 다른 회사 사건 공개 후 자체 수색으로 발견 | 경보를 기다리지 말고 정기적으로 직접 점검 | 옆집 털렸다는 소식에 우리 집 창문도 확인 |
| 공격자가 로그를 지움 | 기록은 장비 밖에 복사해 둬야 함 | 블랙박스 영상은 클라우드에도 백업 |
비욘드트러스트는 또 공격자가 제품 구조를 매우 깊이 알고 빠르게 움직인 점을 들어, AI를 활용해 공격 방법을 개발했을 가능성도 염두에 두라고 했어요. 다만 이건 포렌식 증거가 있는 게 아니라 회사의 판단이라고 분명히 밝혔어요.
나는 걱정해야 할까요? 현실적인 위험도
| 나는… | 직접 위험 | 왜 | 추천 행동 |
|---|---|---|---|
| 집에서 PC·폰만 쓰는 개인 | 낮음 | 기업용 서버 제품이라 개인 PC에 설치되는 앱이 아님 | 가정용 공유기 업데이트·관리자 비밀번호 변경(공격자가 남의 공유기를 경유지로 씀) |
| 회사원(일반 직원) | 회사에 따라 다름 | 회사가 이 제품을 쓰면, 원격 지원 때 오간 정보가 노출됐을 수 있음 | 원격 중 입력한 비밀번호 교체, 이상한 원격 요청 신고 |
| 회사 IT·보안 담당자 | 높음(자체 설치형 사용 시) | 인터넷에 노출된 미패치 장비는 공개 직후 대량 공격 대상 | 즉시 패치, 침해 흔적 점검, 계정 정보 교체 |
| 클라우드(SaaS)형 고객사 | 낮아짐 | 회사가 이미 패치 적용 | 그래도 공지된 계정 정보·설정 점검은 권고됨 |
참고로 팀뷰어·애니데스크처럼 우리가 흔히 들어 본 다른 원격 제어 프로그램은 이번 공지 대상이 아니에요. 이번 건은 BeyondTrust의 Remote Support(와 예방 패치가 나온 PRA) 이야기예요. 우리 회사가 이 제품을 쓰는지는 회사마다 다르니, 궁금하면 IT팀에 물어보는 게 가장 정확해요.
회사원·초보가 오늘 챙길 5가지
| 순서 | 할 일 | 왜 도움이 되나 |
|---|---|---|
| 1 | 내가 먼저 요청한 원격 지원만 허용하기. 갑자기 뜬 원격 요청 창은 사내 메신저·전화로 IT팀에 직접 확인 | 원격 지원 도구는 공격자에게도 ‘정식 출입문’처럼 보이기 쉬움 |
| 2 | 8월 말 이후 원격 지원을 받으면서 비밀번호를 직접 입력했다면 교체 | 맨디언트는 피해 기간 중 원격 세션에서 입력된 계정 정보도 교체 대상으로 권고 |
| 3 | IT팀에 “우리 회사 BeyondTrust 쓰나요? BT26-05 패치 됐나요?” 한 줄 확인 | 자체 설치형은 관리자가 직접 깔아야 함 |
| 4 | 관리자·중요 계정에 다단계 인증(MFA) 켜기, 낯선 MFA 기기 등록 알림 확인 | CISA는 특권 계정의 새 MFA 등록 내역 점검을 권고 |
| 5 | 모르는 원격 접속, 저절로 움직이는 마우스, 낯선 로그인 알림은 즉시 신고 | 공격자는 정상 관리자처럼 보이는 세션을 씀 |
IT 담당자용 한 장 요약 (CISA·맨디언트 권고)
| 구분 | 할 일 |
|---|---|
| 패치 | 자체 설치형 24.3.1 이상: /appliance 화면에서 BT26-05-RS 적용(자동 업데이트 구독 시 적용 여부 확인). 24.3.1 미만: 업그레이드 후 패치. PRA 자체 설치형도 적용 |
| 노출 줄이기 | /login, /appliance 관리 화면은 신뢰하는 네트워크에서만 접근. 외부엔 지원에 꼭 필요한 서비스만 열기, 장비의 바깥 방향 통신도 필요한 곳만 허용 |
| 의심 시 | 장비 격리, 가상 장비 스냅샷·포렌식 이미지 확보, 방화벽·WAF·프록시 로그 수집 → 깨끗한 이미지로 재구축 후 패치 |
| 계정 정보 | 패치·재구축 이후에 관리자 계정, API 비밀키, 연동 계정, 금고에 보관된 비밀번호 등 장비가 보관·주입한 모든 계정 정보 교체, 활성 세션 모두 종료 |
| 점검 포인트 | 주거용 인터넷·상용 VPN 주소에서 온 관리자 로그인, 웹 폴더의 낯선 스크립트, 접속 권한(Jump Item·Team) 상향 변경, 로그 전송이 한 세션 동안만 끊긴 구간 |
| 기록 | 장비 syslog·세션 이벤트를 보안 관제(SIEM)로 실시간 전송, 여러 달 보관 |
맨디언트는 특히 “취약한 버전이 인터넷에 노출돼 있었다면, 점검 전까지는 이미 침해됐을 수 있다고 보고 대응하라”는 입장이에요. 패치는 앞으로의 침입을 막을 뿐, 이미 들어온 흔적을 지워 주지는 않기 때문이에요. 또 계정 정보를 패치 전에 바꾸면, 아직 장비를 쥐고 있는 공격자에게 새 비밀번호까지 넘겨줄 수 있으니 순서를 꼭 지키라고 했어요.
자주 하는 오해
| 오해 | 실제 |
|---|---|
| “원격 지원 프로그램은 다 위험하니 지워야 한다” | 이번 건은 BeyondTrust Remote Support 서버의 문제예요. 회사 도구를 임의로 지우기보다 IT팀 안내를 따르는 게 맞아요 |
| “패치했으니 끝” | 패치는 앞으로를 막는 것. 8월 말~패치 전 노출됐던 장비는 침해 흔적 점검과 계정 정보 교체가 필요해요 |
| “피해가 2곳뿐이면 별일 아니다” | 공격 조직은 공개 후 대량 공격을 해 온 전력이 있어요. 지금이 오히려 위험한 시기예요 |
| “클라우드형이면 아무것도 안 해도 된다” | 장비 패치는 끝났지만, 맨디언트는 계정 정보·설정 점검은 여전히 권고해요 |
| “개인과는 상관없다” | 직접 위험은 낮지만, 공격자가 해킹된 가정용 공유기를 경유지로 쓴다는 점에서 내 공유기 관리도 남의 일이 아니에요 |
정리하며
이번 BeyondTrust 사건은 “회사를 고쳐 주는 도구가 회사를 여는 열쇠가 될 수 있다”는 걸 보여 줘요. 원격 지원 서버는 회사 전체로 통하는 연결과 비밀번호를 한곳에 모아 두기 때문에, 한 번 뚫리면 피해가 넓게 번질 수 있어요. 회사원이라면 내가 요청한 원격 지원만 허용하고, 원격 중 입력한 비밀번호는 바꾸고, IT팀에 패치 여부를 한 번 물어보는 것, 집에서는 공유기 업데이트와 관리자 비밀번호 변경이면 충분한 출발이에요. 원격 지원은 언제나 ‘내가 부른 손님’만 들이는 것, 그게 이번 뉴스의 가장 쉬운 교훈이에요.