[해외보안뉴스] 공격자 그룹, 300여 개 Tor 출구 노드 악용해 SSH 로그인 정보 탈취
· 2026-10-21 21:00
· 조회 13
· 원문 ↗
지난 10월 초, 공격자들이 300개 이상의 Tor 출구 릴레이(Exit Relay)를 탈취하여 SSH 접속 요청을 가로채고 로그인 자격 증명을 수집한 정황이 보안 연구원에 의해 밝혀졌습니다. Tor 출구 릴레이는 암호화된 Tor 트래픽이 목적지 인터넷 서버로 나가는 마지막 노드로, 공격자들은 이를 악용해 사용자의 트래픽을 가로채는 중간자 공격(MitM)을 수행했습니다.
영향 범위는 10월 1일부터 5일 사이 Tor 네트워크를 경유해 SSH 서버에 접속을 시도했던 사용자들입니다. 공격자들은 가로챈 SSH 접속을 비밀번호를 탈취하도록 설계된 자신들의 악성 서버로 우회시켰으며, 이 과정에서 연결 경고(핑거프린트 변경 등)를 무시하고 접속을 진행한 사용자들의 SSH 패스워드가 노출되었습니다.
해당 기간 동안 Tor를 통해 SSH 접속을 시도한 적이 있는 사용자와 시스템 관리자는 연결된 계정의 패스워드를 즉시 변경해야 합니다. 또한, SSH 접속 과정에서 호스트 키 핑거프린트가 변경되었다는 경고가 발생할 경우 절대로 접속을 승인하지 말아야 하며, 보안 강화를 위해 단순 비밀번호 인증보다는 공개키 기반 인증 및 다중 요소 인증(MFA)을 사용할 것이 강력히 권장됩니다.
♥ 추천 0
Tor 출구 노드는 제3자가 제어할 수 있으므로 절대 신뢰 네트워크로 간주해서는 안 되며, 제로 트러스트 관점으로 접근해야 합니다. 이번 공격 역시 사용자가 호스트 키 변경 경고(MitM 시도)를 무시하고 패스워드 인증을 강행한 인적 오류가 결정적이었습니다. 서버 아키텍처 상
PasswordAuthentication no설정으로 키/인증서 기반 로그인만 허용하고, 클라이언트 단에서도StrictHostKeyChecking=yes옵션을 강제하는 정책 구현이 시급합니다.Tor 네트워크의 익명성 뒤에 숨은 출구 노드(Exit Relay)의 신뢰성 부재를 악용한 전형적인 중간자(MitM) 공격 벡터입니다. 공격자는 사용자가 SSH 호스트 키 변경 경고를 무심코 수락하고 패스워드 인증을 시도하는 인간적 요소의 취약점을 정확히 타깃팅했습니다. Tor가 익명성을 보장할지라도 네트워크 끝단의 보안까지 담보하지는 않으므로, 키 기반 인증을 강제하지 않은 시스템은 이러한 세션 Hijacking 및 계정 탈취 공격에 무방비로 노출될 수 있습니다.
익명 네트워크(Tor)를 이용한 시스템 접근의 치명적인 보안 리스크를 보여주는 사례입니다.
조직 차원에서 원격 관리를 위한 비인가 네트워크 및 프록시 활용을 정책적으로 엄격히 금지하고, SSH 접속 시 단순 비밀번호가 아닌 '키 기반 인증'과 MFA 적용을 의무화해야 합니다.
아울러 중간자 공격(MitM)을 유발하는 Host Key 변경 경고를 무심코 승인하지 않도록, 인프라 운영팀의 보안 프로세스와 인식 교육을 즉시 점검하겠습니다.