보안 스타트업 Synthient 내부 보고서: 200만 대 봇넷이 로컬망을 뚫는 '역터널링' 수법 공개

"우리 회사는 방화벽 뒤에 있으니까 안전해."

개발팀이나 인프라팀 회의에서 가장 흔하게, 그리고 가장 안일하게 나오는 말입니다.

만약 당신이 지금도 '내부망(Internal Network)'은 안전지대라고 믿고 있다면, 그 믿음이 얼마나 구식인지 깨닫는 데는 단 5분이면 충분합니다.

2026년 1월 현재, 전 세계 200만 대가 넘는 기기를 감염시킨 'Kimwolf' 봇넷 사태가 그 증거입니다.

이건 단순한 악성코드 뉴스가 아닙니다.

우리가 설계한 네트워크 보안의 기본 전제, 즉 '외부에서 내부로 들어오지 못하게 막는다'는 방어 논리 자체가 깨졌다는 신호입니다.

보안 스타트업 Synthient의 설립자이자 22세의 학부생 벤자민 브런대지가 발견한 이 사태의 핵심을, 비즈니스와 설계 관점에서 냉정하게 뜯어보겠습니다.

핵심은 '주거용 프록시(Residential Proxy)'의 배신입니다.

보통 프록시는 내 IP를 숨기기 위해 씁니다. 그런데 이 Kimwolf 봇넷은 사용자의 기기를 프록시 엔드포인트, 즉 '통로'로 만들어버립니다.

문제는 그 통로가 바깥을 향하는 게 아니라, 당신의 집과 사무실 내부를 향해 열린다는 점입니다.

감염된 기기의 3분의 2는 무엇이었을까요?

서버도, PC도 아닌 저가형 안드로이드 TV 박스였습니다.

아마존이나 알리익스프레스에서 40달러 내외에 팔리는, '모든 OTT 무료 시청' 같은 자극적인 문구를 달고 있는 그 제품들입니다.

사용자는 공짜 콘텐츠를 얻었다고 생각했겠지만, 실제로는 자신의 네트워크 대역폭과 보안을 공격자에게 상납한 셈입니다.

공격 방식은 교묘하고 치명적입니다.

공격자는 이 TV 박스들에 미리 설치된 악성코드를 통해 '역터널링(Reverse Tunneling)'을 시도합니다.

우리가 안전하다고 믿는 공유기(Router)와 NAT(Network Address Translation) 환경을 비웃듯이 우회합니다.

더 충격적인 건 DNS 리바인딩 기법입니다.

일반적인 프록시 서비스는 RFC-1918에 명시된 로컬 대역(10.0.0.0, 192.168.0.0 등)으로의 접근을 차단합니다. 상식적인 조치입니다.

하지만 Kimwolf 운영자들은 DNS 설정을 조작해, 공격 트래픽이 마치 외부가 아닌 내부 로컬 IP(192.168.0.1 등)를 가리키는 것처럼 속였습니다.

결과적으로 공격자는 지구 반대편에서 당신의 거실에 있는 TV 박스에 접속한 뒤, 그 박스와 같은 와이파이에 물려 있는 당신의 노트북, 스마트폰, 그리고 회사의 업무용 기기까지 스캔할 수 있게 됩니다.

방화벽이 무용지물이 되는 순간입니다.

제품을 만드는 사람으로서 더 뼈아픈 지점은 하드웨어 제조사의 직무유기입니다.

브런대지가 분석한 바에 따르면, 감염된 안드로이드 TV 박스 대부분이 ADB(Android Debug Bridge) 포트가 활성화된 상태로 출고되었습니다.

개발자나 디자이너라면 ADB가 얼마나 강력한 권한을 갖는지 알 겁니다.

진단 도구로 써야 할 백도어를, 제조사는 귀찮다는 이유로 혹은 악의적인 목적으로 활짝 열어둔 채 판매했습니다.

인증 절차? 보안 설정? 그런 건 없었습니다.

그저 전원만 꽂으면 인터넷에 연결된 좀비가 되어, 디도스(DDoS) 공격의 총알받이가 되거나 광고 사기에 동원됩니다.

이 사태가 주는 교훈은 명확합니다.

첫째, '가성비'라는 단어 뒤에 숨은 보안 비용을 계산하십시오.

검증되지 않은 저가 하드웨어, 출처 불명의 APK 설치는 시스템 전체를 위협하는 시한폭탄입니다.

둘째, '내부망은 신뢰할 수 있다(Trusted Network)'는 개념을 버리십시오.

제로 트러스트(Zero Trust)는 이제 선택이 아니라 생존 필수 요건입니다.

127.0.0.1이나 192.168.x.x 대역에서 들어오는 요청이라도, 그것이 정말 안전한 요청인지 검증하는 로직이 서비스 레벨에서 설계되어야 합니다.

셋째, 디폴트 값(Default Value)의 무서움을 인지하십시오.

사용자는 설정을 바꾸지 않습니다.

ADB가 켜져 있으면 켜진 대로 씁니다.

제품을 설계할 때 보안 기능을 '옵션'이 아닌 '디폴트'로, 그것도 사용자가 해제하기 어렵게 강제하는 것이 UX의 윤리이자 책임입니다.

지금 당장 사내망에 물려 있는 정체불명의 기기가 없는지, 혹은 집에서 쓰는 IoT 기기가 나도 모르게 '오픈 게이트'가 되어 있지는 않은지 트래픽을 점검해 보시기 바랍니다.

공격자는 당신의 방화벽이 아니라, 당신의 '방심'을 뚫고 들어옵니다.