백업 믿었는데 저장장치까지 인질로…KISA, 보안패치 긴급 권고

[경제일보] 사진과 업무문서를 보관하는 네트워크 저장장치(NAS)가 사이버 공격의 표적이 되고 있다. 시놀로지(Synology) NAS의 일부 프로그램에서 ‘PHP2Shell’ 취약점이 확인된 데 이어, 제조사는 과거 수정된 별도 취약점을 악용한 랜섬웨어 공격도 발견했다고 밝혔다. 자료 보관뿐 아니라 사고 후 복구를 맡는 저장장치까지 침해되면 원본과 백업을 함께 잃을 수 있다는 우려가 커졌다.

30일 정보기술(IT) 업계에 따르면 한국인터넷진흥원(KISA)은 전날 시놀로지 제품의 보안 업데이트를 권고했다. 대상은 PHP의 메모리 처리 문제로 원격 코드 실행이 가능해지는 취약점 2건(CVE-2026·109618·109619)이다.

시놀로지는 PHP에 의존하는 특정 패키지를 실행하는 시스템이 영향을 받는다고 설명했다. 대상은 캘린더(Calendar), 메일스테이션(MailStation), 웹스테이션(Web Station), 워드프레스(WordPress) 등 10종이다. NAS에 PHP가 포함돼 있다는 이유만으로 모든 기능이 동일하게 공격에 노출되는 것은 아니며, 설치한 패키지와 실행 상태를 확인해야 한다.

대응은 운영체제 업데이트 여부만 확인하는 것으로 끝나지 않는다. 시놀로지는 패키지 센터에서 PHP를 업데이트하도록 안내했다. 메일스테이션은 별도 수동 업데이트가 필요하다. PHP 7.3은 수정 버전이 제공되지 않아 다른 버전으로 이전해야 한다.

제조사는 지원이 종료된 일부 디스크스테이션 매니저(DiskStation Manager·DSM) 계열에도 PHP 패치를 확대했다. DSM 6.2보다 오래된 환경은 영향받는 패키지를 우선 비활성화하고 지원되는 DSM 버전으로 전환하도록 권고했다. 제품과 배포 환경에 따라 수정 버전이 달라 해당 기기에 제공되는 공식 업데이트를 확인해야 한다.

별도로 운영체제 자체의 보안 상태도 점검해야 한다. 시놀로지는 29일 발표에서 PHP2Shell 영향을 조사하던 중 공격자가 2024년 12월 이미 수정된 취약점을 악용해 구형 DSM 장치의 데이터를 암호화하고 금전을 요구하는 행위를 발견했다고 밝혔다.

이는 최근 파일 암호화 피해를 PHP2Shell 하나로 설명하기 어렵다는 점을 보여준다. 국내외 커뮤니티에서는 파일 확장자가 ‘.L0CK3D’로 바뀌고 ‘read-me3.txt’라는 금전 요구 안내문이 생성됐다는 피해 주장이 나왔다. 개별 장치의 실제 침입 경로는 로그와 악성코드 등을 분석해 확인해야 한다.

한편 NAS의 위험은 저장된 파일의 가치만으로 평가하기 어렵다. 기업이 원본 자료와 백업을 같은 장치에 두거나 동일한 계정으로 모두 수정·삭제할 수 있게 운영하면 한 번의 침해가 복구 수단까지 훼손할 수 있다.

시놀로지도 데이터 사본 3개를 서로 다른 저장매체 2종에 보관하고, 이 가운데 1개는 다른 장소에 두는 ‘3-2-1 백업’을 권장한다. 여기에 평상시 연결을 끊어두는 백업이나 변경·삭제를 제한하는 보관 방식을 적용하고 실제 복원 시험을 해야 한다. 백업 작업이 성공했다는 기록과 사고 후 복구할 수 있다는 보장은 별개다.

외부 접속이 필요한 기능과 계정 권한도 최소화해야 한다. 사용하지 않는 웹서비스를 중지하고 관리 화면의 접근 범위를 제한하는 조치가 필요하다. 내부망에 있는 NAS 역시 다른 감염 장치나 탈취 계정을 통한 접근 위험까지 살펴야 한다.

이미 파일 암호화 등 침해 흔적이 있다면 일반적인 업데이트 절차보다 사고 대응이 먼저다. KISA는 외부 접속을 차단하고 로그·메모리 등 증거를 보존한 뒤 신고와 분석을 거쳐 패치, 악성파일 제거, 인증정보 교체를 진행하도록 안내하고 있다.