러시아 APT의 제imbra 제로데이 침투: 2FA까지 무력화한 장기 잠복 공격 분석

2026년 7월 23일 The Hacker News와 Dark Reading은 동시 유사 시점에 러시아 국가 지원 공격 그룹이 제imbra 협업 메일 솔루션의 제로데이 취약점을 악용해 외교·군사 관련 기관을 침투했다고 보도했다. 이번 사건은 메시지 본문 열람만으로 침투가 발생하는 이른바 하프클릭(Half-Click) 기법을 사용했고, 단순한 정보 유출을 넘어 2단계 인증 체계까지 무력화했다는 점에서 보안업계의 비상한 관심을 끌고 있다. 본문에서는 공개된 사실과 권고문을 토대로 공격 메커니즘과 한국 기관이 즉시 취해야 할 대응 절차를 정리한다.

공격 개요: 러시아 APT의 제imbra 제로데이 악용

이번 공격의 주체로 지목된 그룹은 Dark Reading 기사에 따르면 Laundry Bear라는 별칭으로 알려진 러시아 연계 APT로 추측된다. 공격자는 제imbra의 알려지지 않은 취약점을 이용해 미국과 우크라이나의 정부 및 외교, 군사 관련 조직의 웹메일 계정을 대상으로 정밀한 침투를 수행한 것으로 분석되었다. The Hacker News 본문은 NSA와 CISA, 그리고 파트너 기관이 공동 권고문을 공식 발표했다고 명시했다.

특히 이번 침투는 단발성 해킹이 아니었다는 점이 중요하다. 공격자는 초기 침투 이후 장기간 조직 내부에 잠복하면서 메일 본문과 메일 디렉터리, 사용자 단말의 민감 정보까지 광범위하게 수집한 것으로 드러났다. 즉, 취약점의 기술적 위험과 운영적 위험이 동시에 결합된 사례로 평가된다.

취약점과 침투 메커니즘 분석

하프클릭 피싱 메시지 구조

일반적인 피싱은 사용자가 첨부 파일을 열거나 본문의 링크를 클릭해야 정상적으로 동작한다. 반면, 하프클릭 피싱은 사용자가 메시지를 열거나 미리보기를 하는 행위 자체로 악성 코드가 메모리에 적재되도록 설계되었다. Dark Reading 본문은 이러한 침투 방식을 명시적으로 언급했으며, 이는 웹메일 클라이언트가 본문 렌더링 시 외부 리소스를 자동으로 가져오거나 HTML 처리 모듈을 호출하는 과정에서 결함이 발생한다는 일반적 분석 틀에 부합한다.

웹메일 클라이언트 메모리 처리 결함 추정

제로데이의 정확한 기술적 세부 사항은 공개된 자료에서 확인되지 않으나, 보안업계의 일반적인 분석 틀을 적용하면 다음과 같이 추정해볼 수 있다. 첫째, HTML 본문 내 스크립트 또는 스크립트 유사 태그가 본문 뷰어에서 샌드박스 없이 실행되거나, 둘째, 자바스크립트 라이브러리의 메모리 처리 모듈에서 임의 코드 실행이 가능한 결함이 존재했을 가능성이 있다. 이러한 결함은 사용자의 명시적 클릭이 없어도 트리거되므로, 사회 공학적 요소와 기술적 요소가 결합된 고도화된 공격이라 할 수 있다.

유출된 데이터의 범위와 위협 시나리오

90일치 메일 및 조직 디렉터리 수집

The Hacker News 본문은 공격자가 최근 90일간의 이메일과 조직의 전체 메일 디렉터리를 수집했다고 명시했다. 여기서 90일이라는 기간은 단순한 우연이 아니다. 행정 및 외교 메일 시스템은 일반적으로 30일에서 90일 단위로 보관 및 백업 주기를 운영하기 때문에, 공격자는 시스템 차원의 백업본이 아닌 사용자 사서함의 원본을 직접 수집한 것으로 보인다. 또한 메일 디렉터리 유출은 향후 표적 공격의 명단 확보에 활용될 가능성이 있어 2차 피해의 빌미가 될 수 있다.

브라우저 저장 비밀번호와 2FA 복구 코드 탈취

이번 사건에서 가장 위험한 부분은 사용자의 브라우저에 저장된 비밀번호와 2단계 인증 복구 코드가 함께 유출되었다는 점이다. 대부분의 2FA는 일회용 비밀번호(OTP) 기반이지만, 계정 분실 시 본인을 인증하기 위한 백업 코드 또는 복구 코드를 별도로 저장한다. 공격자가 이러한 복구 코드를 확보하면 OTP를 재발급받아 2FA를 우회할 수 있다. Dark Reading과 The Hacker News는 이를 명시적으로 언급하며, 메일 계정의 단순 침투를 넘어 인증 체계 전반의 재설계가 필요하다고 강조했다.

유출 데이터 유형	악용 가능 시나리오	위험도
최근 90일 메일 본문	내부 정책·인사·외교 정보 수집 및 2차 피싱에 활용	상
조직 메일 디렉터리	향후 표적 공격 대상 명단 확보 및 권한 매핑	상
브라우저 저장 비밀번호	개인 및 업무 계정 재사용 공격	중 상
2FA 복구 코드	OTP 재발급을 통한 2단계 인증 우회	매우 상

NSA CISA 공동 권고 핵심 내용

긴급 패치 가이드라인

NSA와 CISA 및 파트너 기관은 공동 권고문을 통해 제imbra 운영 기관에 영구 조치(Permanent Fix) 적용을 권고했다. 구체적으로 (1) 영향 받는 버전의 즉시 식별, (2) 제조사가 제공하는 보안 업데이트의 우선 적용, (3) 패치 적용이 불가능한 경우 가상패치(Virtual Patch) 또는 웹메일 필터 강화를 통한 우회 방어가 포함된다. 공개 자료에서 정확한 CVE 번호는 확인되지 않았다. 공식 패치가 배포되기 전까지는 취약한 인스턴스에 대한 외부 접속을 차단하는 것이 가장 안전한 조치로 분석된다.

상시 모니터링 및 위협 헌팅 항목

공동 권고문은 단순한 패치 권고를 넘어 위협 헌팅 절차도 함께 제시했다. 주요 헌팅 항목은 다음과 같다. 메일 서버의 비정상적인 IMAP, POP3, SMTP 세션, 웹메일 뷰어 프로세스의 비정상 메모리 사용, 사용자 사서함에 갑자기 추가된 메일 필터 규칙, 그리고 2FA 재발급 또는 복구 코드 사용 이력의 비정상 발생 여부다. 특히 2차 인증 우회 시도는 사용자 로그 기록뿐 아니라 발신 메일의 메타데이터에서도 흔적이 발견될 수 있어, 로그 통합 모니터링(SIEM) 환경에서 반드시 교차 분석해야 한다.

한국 기관을 위한 대응 권고

공공·금융·군사 분야 메일 서버 점검 포인트

국내에서도 공공·금융·군사 분야 상당수 기관이 외국산 오픈소스 메일 솔루션을 사용하고 있어, 동일 취약점의 영향을 받을 수 있다. 즉각적인 점검 항목은 다음과 같다. 첫째, 현재 운영 중인 제imbra 버전이 제조사의 최신 보안 패치를 반영하고 있는지 확인, 둘째, 웹메일 인스턴스가 비즈니스 인터넷에 직접 노출되어 있는지, 셋째, 메일 본문 뷰어에서 자바스크립트 실행이나 외부 리소스 자동 로드가 비활성화되어 있는지를 점검해야 한다. 또한 웹메일 접속 로그에서 비정상적인 단시간 다국가 IP 접속이 있었는지도 분석 대상이다.

2FA 대체 수단 및 권한 최소화 전략

이번 사건은 2FA 자체를 약화시키지는 못했지만, 2FA 복구 코드가 유출되면 사실상 무력화된다는 사실을 다시 한번 확인시켰다. 따라서 한국 기관은 (1) 복구 코드를 사용자 단말이 아닌 오프라인 종이 또는 회사 보안 금고에 분산 보관, (2) 피싱 저항형 FIDO2/WebAuthn 기반 보안 키 도입, (3) 메일 관리자 권한의 최소 권한 원칙 적용 및 특권 접근 통제 강화, (4) 2FA 재발급 시 상위 승인자 승인 절차 도입을 검토해야 한다. 이와 함께 메일 시스템의 행위 기반 이상 징후 탐지 솔루션을 도입하는 것도 장기적인 위협 감소에 효과적인 것으로 분석된다.

최근 동향과 향후 전망

The Hacker News와 Dark Reading 두 매체가 동시 유사 시점에 동일 사건을 다룬 것은, 본 사건이 사이버 보안 커뮤니티 전체에서 중대 위협으로 분류되고 있음을 의미한다. 공개된 자료에서 정확한 1차 피해 기관 규모는 확인되지 않으나, 영향이 외교·군사 분야에 한정된다고 단정하기는 이르며, 민간 영역으로 확산될 가능성도 배제할 수 없다. 향후 수개월 내 동일 공격 그룹이 한국의 공공 및 산업 분야를 표적으로 한 유사 시도가 발생할 가능성이 있어, 메일 체계 전반의 보안 재설계가 필요하다.

참고 자료: The Hacker News 기사, Dark Reading 기사

관련 키워드: Zimbra Zero-Day, Laundry Bear, Russian APT, Half-Click Phishing, NSA CISA Advisory, 2FA Recovery Code, Email Security, Webmail Vulnerability, Cyber Espionage, 국가 지원 해킹, 제로데이 취약점, 2단계 인증 우회, APT29, 메일 서버 보안, 위협 헌팅