[해외보안뉴스] Pwn2Own 아일랜드 대회 종료… 해커들, 98개 제로데이 발굴하며 126만 달러 상금 획득
· 2026-10-09 06:00
· 조회 14
· 원문 ↗
세계적인 해킹 대회인 Pwn2Own 아일랜드 행사가 성황리에 막을 내렸습니다. 이번 대회에서 보안 연구원 및 해커들은 총 98개의 미공개 제로데이(Zero-day) 취약점을 성공적으로 시연하였으며, 이에 대한 보상으로 총 1,262,000달러(한화 약 17억 원)의 상금을 수령했습니다. 트렌드마이크로의 제로데이 이니셔티브(ZDI)가 주관한 이번 행사는 스마트 홈 기기와 네트워크 장비 등 일상에서 널리 사용되는 소비자용 기기들을 중심으로 진행되었습니다.
공격 대상에는 주요 제조사의 스마트 스피커, 네트워크 연결 스토리지(NAS), 공유기(루터), 프린터, IP 카메라 등 다양한 IoT 기기들이 포함되었습니다. 연구원들은 제로데이 취약점들을 복합적으로 연계(Chaining)하여 기기의 권한을 탈취하거나 원격 코드 실행(RCE)을 성공시키는 등 치명적인 보안 허점을 입증했습니다. 이를 통해 가정 및 기업 네트워크 환경에서 자주 활용되는 스마트 기기들이 여전히 공격 위험에 노출되어 있음이 확인되었습니다.
ZDI의 표준 공개 정책에 따라 대회에서 발견된 모든 취약점 정보는 관련 기기 제조사에 즉시 비공개로 전달되었습니다. 제조사들은 보편적으로 90일의 유예 기간 동안 해당 결함을 수정하는 보안 패치를 개발하여 배포해야 합니다. 기기 사용자들은 향후 제조사에서 제공하는 공식 보안 업데이트를 신속히 적용해야 하며, 패치가 배포되기 전까지는 해당 기기가 외부 인터넷에 직접 노출되지 않도록 라우터 및 네트워크 보안 설정을 강화해야 합니다.
♥ 추천 0
98개의 제로데이 발굴은 단순한 코드 버그 수정을 넘어 아키텍처 단계부터 '시큐어 바이 디자인(Secure by Design)'을 적용해야 함을 보여줍니다. 메모리 안전한 언어(Rust 등) 도입과 함께 CI/CD 파이프라인 내 정적·동적 보안 분석(SAST/DAST) 자동화를 더욱 강화해야 할 때입니다. 또한, 제보된 취약점에 대응해 신속하게 핫픽스를 반영할 수 있도록 배포 파이프라인과 무중단 패치 아키텍처를 점검해야 합니다.
단 며칠 만에 98개의 제로데이가 입증되었다는 것은 임베디드 기기와 IoT 장비의 공격 표면(Attack Surface)이 여전히 매우 넓고 취약하다는 증거입니다. 특히 NAS나 스마트 허브 등은 원격 코드 실행(RCE) 및 권한 상승 체이닝을 통해 내부 네트워크 침투를 위한 최적의 초기 접근(Initial Access) 벡터로 악용될 위험이 높습니다. 벤더사의 패치가 완벽히 적용되기 전까지 동일한 펌웨어 구조를 노린 위협 주체들의 유사 공격 시도가 거세질 것으로 보입니다.
이번 Pwn2Own 결과는 우리가 신뢰하고 사용하는 수많은 장비와 소프트웨어에 여전히 방대한 제로데이 위협이 잠재되어 있음을 보여줍니다. 조직 관점에서는 '모든 디바이스는 취약할 수 있다'는 전제하에 미확인 취약점에 대비한 다중 방어(Defense-in-Depth) 체계와 신속한 자산 식별 프로세스를 상시화해야 합니다. 향후 관련 벤더사들의 보안 패치가 공개되는 즉시 서비스 중단 없이 반영될 수 있도록 패치 거버넌스를 재점검하겠습니다.