- 구글 등 다수 기관의 합동 작업으로 NetNut(Popa) 거주지 프록시 봇넷 인프라가 교란됐다.
- 안드로이드 스마트폰뿐 아니라 스마트 TV, 스트리밍 박스 등 약 200만 대가 감염된 것으로 보고됐다.
- 감염 기기는 소매용 거주지 프록시 형태로 재판매되어 제3자에게 IP가 대여되는 구조였다.
일반 가정 기기가 범죄 인프라의 부품으로 둔갑하는 거주지 프록시 위협은 이제 PC를 넘어 가전·엔터테인먼트 기기로 확산 단계에 진입했다.
2026년 7월 3일, Bleeping Computer는 구글을 포함한 다수 기관의 합동 대응으로 NetNut 거주지 프록시 네트워크가 교란됐으며 약 200만 대의 감염 기기가 봇넷에서 차단됐다고 보도했다. NetNut은 Popa라는 별칭으로도 알려진 봇넷으로, 감염된 가정용 기기를 소매 프록시 형태로 재판매해 제3자가 IP를 빌려 활동하도록 만든 인프라형 서비스였다. 본 코너에서는 이 사건의 동작 방식과 일반 사용자가 점검해야 할 보안 포인트를 정리한다.
NetNut 교란 사건 개요
합동 단속의 배경과 참여 기관
보도에 따르면 이번 교란 작업은 Google을 포함한 다수 기관이 참여하는 joint operation 형태로 진행됐다. 구체적인 참여 기관의 전 범위는 공개되지 않았으나, 글로벌 IT 기업과 보안 커뮤니티가 함께 움직인 점에서 봇넷 인프라의 상업적 성격이 국제 공조를 촉발했음을 보여준다. 사건의 핵심 표적은 NetNut이 운영하던 residential proxy network였으며, 이 인프라를 통해 제3자에게 대규모 IP 풀이 제공되고 있었던 것으로 파악된다.
Popa 봇넷의 동작 방식과 수익 모델
NetNut은 보고자에서 Popa로도 명명되는데, 이는 안드로이드 및 IoT 환경을 중심으로 감염을 확대해온 점에서 기존 PC 중심 봇넷과 차이를 보인다. 수익 모델은 감염 기기를 범죄 인프라로 전환한 뒤, 거주지 IP를 소매 단위로 빌려주는 Botnet-as-a-Service 형태인 것으로 알려져 있다. 광고 부정 클릭, 크리덴셜 스터핑, 지오차단 우회 등 다양한 범죄 활동이 이러한 거주지 IP를 매개로 수행될 수 있다는 점에서 단순 DDoS 봇넷보다 활용 범위가 넓다고 평가된다.
거주지 프록시 위협의 실체
200만 대 감염 기기 구성: 안드로이드, 스마트 TV, 스트리밍 박스
이번 교란에서 차단된 감염 규모는 약 200만 대로 추산된다. 감염 대상은 안드로이드 스마트폰뿐 아니라 스마트 TV와 스트리밍 박스 같은 가전 및 엔터테인먼트 기기까지 확대되어, 가정 내 네트워크에 연결되는 거의 모든 인터넷 가전이 잠재적 감염 경로가 될 수 있음을 보여준다. 아래 표는 감염 기기 유형별 특성을 요약한 것이다.
| 기기 유형 | 대표 감염 경로 추정 | 사용자 인지 난이도 |
|---|---|---|
| 안드로이드 스마트폰 | 불명 출처 APK, 사이드로딩 앱 | 중간(데이터·배터리 이상 가능) |
| 스마트 TV | 기본 설치된 마켓 외 앱, 펌웨어 취약점 | 높음(백그라운드 동작 다수) |
| 스트리밍 박스 | 커스텀 펌웨어, 비공식 스토어 | 높음(외형 변화 없음) |
일반 사용자 피해 시나리오: 광고 부정 클릭, 크리덴셜 스터핑, 지오차단 우회
감염 기기의 IP가 거주지 대역으로 분류되기 때문에 범죄자는 일반 사용자로 위장해 다양한 행위를 수행할 수 있다. 광고 부정 클릭으로 수익을 편취하거나, 유출된 계정 정보로 로그인을 시도하는 크리덴셜 스터핑의 분산 노드로 악용될 가능성이 제기된다. 또한 지역 제한이 걸린 콘텐츠에 접근하는 데 IP가 활용되어 스트리밍·전자상거래 플랫폼의 지오차단 정책을 우회하는 데 사용될 수도 있다. 한편, 감염된 기기 자체의 성능 저하, 불필요한 데이터 트래픽, 그리고 배터리 소모 증가는 일반 사용자가 자각할 수 있는 단서가 될 수 있다.
국내 사용자가 취해야 할 보안 조치
OEM 펌웨어 및 OS 최신 업데이트 유지
스마트 TV와 스트리밍 박스는 제조사 OEM 펌웨어 업데이트가 보안 패치의 핵심 통로다. 자동 업데이트 기능이 꺼져 있거나 제조사 지원이 종료된 기기는 취약점이 누적될 가능성이 크므로, 가능한 경우 최신 펌웨어를 수동으로 점검하고 지원 종료된 기기는 교체하는 것이 권고된다. 안드로이드 스마트폰 역시 Google Play 시스템 업데이트와 보안 패치 수준을 정기적으로 확인해야 한다.
불명확 출처의 앱·APK 설치 회피, 네트워크 이상 징후 모니터링
보고된 감염 경로의 상당 부분은 비공식 스토어와 사이드로드 앱을 통해 유입되는 것으로 추정된다. 출처가 불분명한 APK 설치는 가능한 한 피하고, 스마트 TV의 경우에도 제조사 공식 앱 스토어 외 출처의 앱은 설치하지 않는 편이 안전하다. 가정용 공유기에서 외부로 나가는 비정상적 트래픽, 야간 시간대 지속적 연결 시도 등이 관측될 경우 기기 단의 점검이 필요하다. 또한 IoT 기기는 불필요한 원격 관리 포트(원문 잘림)트를 비활성화하고, 기본 계정 비밀번호를 반드시 변경하는 것이 기본적인 위생 습관으로 강조된다.
보안 업계의 평가와 향후 전망
봇넷-as-a-Service 시대의 국제 공조 필요성
이번 사례는 감염 기기 IP를 명목상 일반 사용자로 둔갑시키는 거주지 프록시 모델이 더 이상 단일 국가나 단일 기업의 노력만으로 해체되기 어렵다는 점을 보여준다. 글로벌 IT 기업의 인프라 차단과 보안 커뮤니티의 위협 인텔리전스가 결합된 합동 작업이 효과를 거둔 만큼, Botnet-as-a-Service에 대응하기 위해서는 국제 공조 체계가 지속적으로 작동해야 한다는 평가가 우세하다.
IoT 및 가전 기기 보안을 둘러싼 정책적 시사점
안드로이드 스마트폰을 넘어 스마트 TV와 스트리밍 박스까지 감염 범위가 확장된 점은, IoT 및 가전 기기에 대한 보안 기준 강화의 필요성을 제기한다. 최소 지원 기간, 펌웨어 서명 검증, 취약점 공개 의무 등을 규제하는 정책적 프레임이 보완될 경우, 거주지 프록시형 봇넷의 감염 풀 자체를 줄일 수 있을 것으로 분석된다. 결국, 사용자 측의 위생 조치와 업계·정부의 제도적 노력이 동시에 병행되어야 비로소 거주지 프록시 위협의 확산 속도를 늦출 수 있을 것으로 보인다.
정리하면
- NetNut(Popa) 교란은 감염된 200만 대 거주지 IP가 범죄 인프라로 재판매되던 구조가 국제 합동 단속으로 무너진 사례다.
- 위협 대상이 안드로이드뿐 아니라 스마트 TV, 스트리밍 박스 등 IoT·가전으로 확대된 점이 기존 봇넷과 결정적으로 다르다.
- 사용자는 OEM 펌웨어·OS 최신화, 비공식 앱 설치 회피, 네트워크 이상 징후 모니터링을 일상화해야 한다.
- 국제 공조와 IoT 보안 정책 강화가 Botnet-as-a-Service 위협을 근본적으로 줄이는 핵심 축으로 부상하고 있다.
참고 자료: