Kimwolf 봇넷의 실체: ‘Dort’는 누구인가? OSINT로 본 조직적 사이버 공격의 배후

1. Kimwolf 봇넷의 등장과 세계적 충격

2026년 1월, 사이버 보안 업계에 충격적인 소식이 전해졌다. 세계 최대 규모로 알려진 봇넷 Kimwolf가 보안 연구자가 공개한 취약점을 악용하여 대규모 사이버 공격을 감행한 것이다. 이 공격은 단순한 시범 공격을 넘어 전 세계 인터넷 인프라에 실질적인 위협을 가했다.

Kimwolf 봇넷은 수백만 개의 감염된 기기를 통합한 대규모 네트워크다. 이러한 봇넷은 주로 DDoS(분산 서비스 거부) 공격, 스팸 전송, 악성코드 유포에 활용된다. Kimwolf는 그 규모와 파괴력으로 오랫동안 보안 커뮤니티의 경각심을 자극해 왔다.

이번 공격은 패치 공개 직후 즉각 악용된 사례로, 사이버 범죄자들이 최신 보안 정보를 신속히 무기화하는 현실과 봇넷의 진화 속도를 보여준다.

2. DDoS, 도킹, 스와팅 — Dort의 실질적 위협

Kimwolf의 운영자로 지목된 Dort는 단순한 봇넷 관리자를 넘어 다양한 사이버 공격을 주도한 핵심 인물이다. 그의 활동은 디지털 위협에서 물리적 SWAT 공격까지 이어졌다.

DDoS 공격 실행

Dort는 Kimwolf를 통해 대규모 DDoS 공격을 주도, 글로벌 기업·기관·개인 서비스까지 마비시키는 데 주요 역할을 했다.

도킹 및 이메일 폭탄

또한 도킹(dorking) 기법으로 취약한 시스템을 탐색해 침투했고, 이메일 폭탄 공격을 통해 특정 대상의 정상적인 메일 소통을 마비시켰다.

보안 연구자 SWAT 공격

가장 우려스러운 사례는 실제로 SWAT 팀을 보안 연구자 집에 출동시키는 등 오프라인 물리적 위협까지 이어졌다는 점이다.

3. OSINT 기반 Dort 신원 추적

OSINT(공개 정보 분석) 기법으로 Dort의 신원을 추적하며 다음과 같은 점들이 드러났다.

별명·이메일·IP의 연결

2020년 도크스 자료와 공개 정보에 따르면 Dort는 2003년생 캐나다 국적 인물로 알려졌으며, CPacket, M1ce, DortDev 등의 별명을 교차 사용했다. 해당 별명들은 동일 인물로 연결되었고, GitHub·포럼·이메일 등이 모두 Rogers ISP(99.241.112.24) 기반에서 운영된 이력도 판명됐다.

치트툴에서 범죄로

Dort는 게임 치트툴 Dortware 제작 등으로 출발해 LAPSUS$ 등 범죄 조직과 연계, CAPTCHA 우회·임시 이메일·SIM 스와핑 등의 범죄 서비스까지 판매하며 활동 영역을 확장했다.

4. 범죄화와 2차 피해 위험

Dort의 사례는 개인 해커가 어떻게 조직 범죄 네트워크의 핵심축으로 진화하는지를 보여준다.

LAPSUS$ 등 범죄 조직과 연계

LAPSUS$ 같은 대형 그룹과의 연계, 각종 범죄 용역 판매는 사이버 범죄 산업의 전문성과 자동화 경향을 보여준다. 일반인도 쉽게 범죄 생태계에 진입할 수 있게 된 것이다.

2차 피해 확산

Dort가 보유한 정보와 위협 기술은 협박·개인정보 유출·SWAT 등 실질적 2차 피해까지 발전할 수 있다.