DigiCert 침해와 코드 사이닝 인증서 탈취 – GoldenEyeDog 산하 CylindricalCanine의 공급망 위협 분석

2026년 4월 글로벌 디지털 인증 기관 DigiCert가 침해당한 사실이 공개되면서, 코드 사이닝 인증서 탈취를 매개로 한 대규모 공급망 공격 우려가 현실화되고 있습니다. 보안 기업 Expel의 침해 대응 및 기술 세부 정보 공개를 통해 공격 배후가 GoldenEyeDog 산하의 신규 명명 하위 그룹 CylindricalCanine으로 지목되었습니다. 본 기사는 이번 사건의 공격 구조, 위협 집단의 프로파일, 그리고 글로벌 소프트웨어 공급망에 미치는 구조적 위험을 심층적으로 분석합니다.

1. 공격 개요 – DigiCert 침해 사건의 발생 시점과 영향 범위

1-1. 2026년 4월 침해 사건의 주요 타임라인

DigiCert 침해 사건은 2026년 4월에 발생했으며, 이후 보안 커뮤니티를 통해 점진적으로 공개되었습니다. The Hacker News는 2026년 7월 17일 16시 39분 16초(UTC)에 관련 기사를 게시하며 사건의 전모를 정리했는데, 이를 통해 CylindricalCanine이라는 세부 위협 집단이 침해 배후로 공식 지목되었습니다. Expel이 침해 대응 및 기술 세부 정보를 공개하면서 위협 인텔리전스 측면의 정밀한 침해 지표(IOC)가 함께 공유되었습니다.

1-2. 인증서 발급 기관 침해가 갖는 특수한 위험성

일반적인 기업 침해와 달리 인증 기관(CA) 침해는 피해의 영향 범위가 광범위하게 확대될 수 있습니다. DigiCert는 전 세계 수십만 개 기업과 소프트웨어 배포 채널에 코드 사이닝 및 TLS 인증서를 공급하는 핵심 신뢰 앵커(Trust Anchor) 역할을 수행하기 때문에, 단일 침해가 글로벌 디지털 신뢰 생태계 전체를 위협할 수 있는 특수성을 가집니다. 이러한 이유로 인증 기관은 보안 업계에서 가장 엄격한 통제 대상이지만, 동시에 가장 매력적인 고가치 표적이기도 합니다.

2. 배후 위협 집단의 프로파일링

2-1. GoldenEyeDog 및 별칭 군 APT-Q-27, Dragon Breath, Miuuti Group

GoldenEyeDog는 중국 연계 사이버 범죄 조직으로, 보안 커뮤니티에서는 APT-Q-27, Dragon Breath, Miuuti Group 등 다양한 명칭으로 분류되어 추적되고 있습니다. 해당 조직은 전통적으로 동아시아 지역의 도박 및 게이밍 산업을 주요 표적으로 삼아왔으며, 수익 동기 기반의 사이버 범죄 활동과 정보 수집 목적의 APT 활동이 혼합된 하이브리드 위협 행태를 보이는 것으로 평가됩니다.

2-2. 신규로 명명된 하위 그룹 CylindricalCanine의 활동 양상

CylindricalCanine은 GoldenEyeDog 산하의 하위 위협 집단으로 분류되며, DigiCert 침해 시 코드 사이닝 인증서가 탈취되어 악용될 수 있는 위험이 분석됩니다. Expel의 침해 지표 공개를 통해 CylindricalCanine의 침투 경로, 도구 체인, 그리고 인증서 탈취 메커니즘에 대한 구체적인 기술 세부 정보가 확인되었으며, 이는 향후 유사 공격을 탐지하고 차단하는 데 핵심적인 위협 인텔리전스 자산으로 활용될 것으로 보입니다.

3. 코드 사이닝 인증서 탈취의 보안적 함의

3-1. 정상 서명된 악성코드 배포 시나리오

탈취된 코드 사이닝 인증서를 악용할 경우 공격자는 운영체제 및 보안 솔루션의 신뢰 검증을 우회하는 정상 서명 악성코드(Signed Malware)를 제작 및 배포할 수 있게 됩니다. 이는 엔드포인트 탐지 제품, 애플리케이션 허용 목록, 사용자 신뢰 판단을 우회할 수 있는 위험한 시나리오로 평가되며, 특히 자동 업데이트 채널이나 서드파티 소프트웨어 유통 경로를 통한 2차 침해 확산 위험이 매우 높습니다.

3-2. 소프트웨어 공급망 신뢰 사슬에 대한 장기적 영향

이번 사건은 SolarWinds, 3CX, MOVEit 등 기존의 공급망 공격 사례와 비교하여 인증서 발급 기관이라는 근본적인 지점에서 신뢰 사슬에 영향을 미칠 수 있다는 점에서 의미가 있습니다. 단일 인증 기관의 침해는 수천 개의 소프트웨어 배포 채널에 동시에 영향을 미칠 수 있어, 공급망 보안 패러다임이 “개별 제품의 무결성 검증”에서 “인증서 발급 및 사용 흐름의 검증”으로 재편되어야 할 필요성이 제기되고 있습니다.

4. 중국 연계 조직의 타깃 확장 흐름

4-1. 기존 도박 및 게이밍 산업 표적화에서 글로벌 인증 기관으로의 이동

GoldenEyeDog의 공격 영역이 기존의 도박 및 게이밍 산업에서 글로벌 인증 기관으로까지 확장된 것은, 해당 조직의 작전 영역이 금전 탈취 목적에서 디지털 신뢰 인프라로 확장되고 있음을 시사합니다. 이러한 타깃 확장은 단순한 산업별 표적 변경이 아니라 공격자의 전략적 의도 변화로 해석되며, 향후 유사한 고가치 인증 기관에 대한 추가 공격 시도가 발생할 가능성도 배제할 수 없는 것으로 보입니다.

4-2. Expel의 침해 지표 공개가 갖는 위협 인텔리전스적 가치

Expel이 공개한 기술 세부 정보 및 침해 지표는 방어 측 입장에서 CylindricalCanine의 공격 패턴을 사전에 탐지할 수 있는 핵심 자료입니다. 특히 인증서 사용 패턴, 내부 시스템 침투 경로, 그리고 데이터 유출 메커니즘에 대한 구체적인 정보는 다른 인증 기관과 대기업 보안팀이 자사 환경을 점검하는 데 직접 활용될 수 있다는 점에서 위협 인텔리전스적 가치가 매우 높습니다.

5. 대응 및 완화 권고 사항

5-1. 인증서 발급 및 사용 모니터링 강화 방안

조직은 DigiCert를 포함한 인증 기관이 발급한 인증서의 발급 이력, 사용 위치, 그리고 서명 시점을 실시간으로 모니터링하는 체계를 구축해야 합니다. 또한 인증서 투명성 로그(Certificate Transparency Log) 및 OCSP/CRL 기반 폐기 상태를 상시 점검하여, 유출된 인증서의 즉시 폐기 및 재발급 프로세스를 자동화할 수 있는 대응 체계를 마련할 필요가 있습니다.

5-2. 조직 및 개발팀이 즉시 점검해야 할 항목

• DigiCert로부터 발급받은 코드 사이닝 인증서의 폐기 상태 및 재발급 필요 여부 확인
• 내부 빌드 파이프라인 및 코드 서명 시스템의 접근 로그 이상 징후 감사
• Expel 공개 침해 지표(IOC) 기반의 자사 환경 탐지 룰 적용 및 테스트
• 서드파티 소프트웨어 유통 채널을 통한 업데이트 무결성 검증 절차 강화
• 장기적으로 다중 인증 기관 전략 및 HSM(하드웨어 보안 모듈) 기반 키 관리 체계 재정비

주요 침해 및 위협 정보 요약

본 기사는 The Hacker News 원문 기사와 Expel 공식 위협 인텔리전스 페이지를 1차 및 보조 출처로 활용하여 작성되었습니다.