Check Point VPN IKEv1 인증 우회와 Qilin 랜섬웨어 대응

2026년 5월, Check Point VPN 장비의 Critical 제로데이 CVE-2026-50751이 Qilin 랜섬웨어 어필리에이트에게 약 32일간 악용됐다. 피해는 전 세계 수십 개 조직으로 이어졌으며, 공격의 출발점은 레거시 IKEv1이 켜진 Remote Access VPN과 Mobile Access 환경이었다.

이 취약점은 비밀번호를 알지 못해도 VPN 세션을 만들 수 있는 인증 우회 결함이다. 단순히 개별 장비의 패치 누락 문제로 볼 수 없다. 호환성을 위해 남겨 둔 프로토콜이 인터넷 노출 원격 액세스의 공격 표면으로 바뀐 사례다.

인증 파라미터를 신뢰한 IKEv1 검증 경로

CVE-2026-50751은 CVSS 9.3(Critical)로 분류된 Check Point Security Gateway의 원격 인증 우회 취약점이다. 영향 대상은 Remote Access VPN과 IKEv1을 함께 활성화한 Check Point Security Gateway 및 Mobile Access 솔루션이다. IKEv1을 끈 환경에서는 이 문제가 발현되지 않는다.

문제는 IKEv1 Phase 1 협상 중 인증서 검증의 논리 흐름에 있다. 클라이언트가 제어하는 인증 파라미터를 서버가 충분히 검증하지 않아, 유효한 사용자 비밀번호 없이도 VPN 세션을 수립할 수 있는 상태가 만들어진다. watchTowr Labs는 이를 클라이언트가 인증 파라미터를 조작할 수 있는데도 서버가 그 값을 신뢰하는 “자기 채점식 숙제(marking your own homework)” 구조로 설명했다.

함께 발견된 CVE-2026-50752는 CVSS 7.4(High) 취약점이다. VPN 사이트간 연결에서 AitM(Adversary-in-the-Middle) 공격을 허용하며, CVE-2026-50751과 결합되면 네트워크 트래픽 도청과 변조 위험도 생긴다. 두 취약점은 모두 CISA KEV(Known Exploited Vulnerabilities) 카탈로그에 올랐고, 미국 연방 기관에는 2026년 6월 11일까지 패치 완료가 의무화됐다.

호환성을 위해 남긴 IKEv1의 위험

IKEv1은 RFC 2409(1998년)에 정의된 IPsec VPN용 레거시 키 교환 프로토콜이다. 오랫동안 널리 사용됐지만, 현대 보안 요구사항과 맞지 않는 구조적 한계를 안고 있다.

Aggressive Mode에서는 PSK(Pre-Shared Key) 해시가 노출돼 공격자가 이를 가로채 오프라인 사전 공격을 수행할 수 있다. 일부 단방향 인증 구성은 중간자 공격에 취약하고, 암호화 협상 설계는 다운그레이드 공격(downgrade attack)에 노출될 가능성이 있다. 클라이언트 조작을 허용하는 인증 파라미터 검증 문제도 그 연장선에 있다.

IKEv2(RFC 7296, 2014년)는 이 문제들을 개선했다. 상호 인증(mutual authentication), 강화된 무결성 보호, EAP(Extensible Authentication Protocol), MOBIKE 기반 이동성 지원을 포함한다. 그러나 하위 호환성을 이유로 IKEv1을 유지한 환경은 레거시 프로토콜의 결함을 계속 떠안는다. 사용하지 않는 기능이라도 활성화돼 있으면 공격 표면이라는 점이 이번 사건에서 드러났다.

VPN 우회 뒤 이어지는 랜섬웨어 체인

Qilin 어필리에이트의 공격은 원격 액세스 우회에서 시작해 내부 장악과 데이터 유출, 랜섬웨어 배포로 이어졌다.

⤢✕

공격자는 Shodan, Censys 같은 OSINT 도구로 인터넷에 노출된 Check Point Security Gateway를 찾고 IKEv1 활성화 여부를 확인한다. 활성화된 대상에서는 CVE-2026-50751을 이용해 인증서 검증 결함을 악용하고, 유효한 비밀번호 없이 VPN 세션을 만들려 시도한다.

세션이 만들어지면 공격자는 자신이 통제하는 신원으로 접속을 지속하면서 정상 사용자 트래픽을 모방해 탐지를 피한다. 인증된 VPN 터널은 내부 네트워크로 향하는 통로가 된다. 내부 서버, 파일 서버, 데이터베이스 서버로 이동하고 Active Directory 같은 자격 증명 저장소를 공격해 추가 계정 침해와 권한 상승을 노린다. 이 단계에서 얻은 도메인 관리자 권한은 랜섬웨어 전파 범위를 크게 넓힌다.

데이터 유출에는 Rclone이 사용된다. 내부 파일 서버와 데이터베이스의 민감 정보를 공격자가 통제하는 외부 인프라로 전송하는 데 활용하며, 합법적 클라우드 동기화 도구를 악용하는 Living-off-the-Land(LotL) 전술에 해당한다. 이후 Tox P2P 프로토콜 기반 C2(Command & Control) 통신을 통해 Qilin 페이로드를 배포한다. Tox는 중앙 서버 없이 통신하는 탈중앙화 P2P 암호화 프로토콜이어서 C2 인프라 식별과 차단이 어렵다. 최종 단계에서는 데이터 유출과 암호화를 병행해 공개 협박까지 사용하는 이중 갈취(Double Extortion)가 적용된다.

Qilin의 운영 방식과 VPN 표적화

Qilin은 RaaS(Ransomware-as-a-Service) 모델로 운영되는 재정적 동기의 사이버 범죄 조직이다. 어필리에이트가 실제 침투를 수행하고 랜섬웨어 수익을 분배받으며, 핵심 개발팀은 랜섬웨어 빌더와 C2 인프라를 제공한다.

이 그룹은 공개된 취약점 가운데 N-day와 0-day를 모두 초기 접근에 사용한다. 이번 사건처럼 VPN 게이트웨이 취약점을 초기 침투 벡터로 택하는 경향도 관찰된다. 내부에서는 합법적인 시스템 도구와 프레임워크를 이용해 탐지를 피하고, Rclone·MEGAsync 같은 클라우드 도구로 데이터를 유출한다. C2 통신에는 Tox와 같은 암호화 P2P 프로토콜을 활용한다.

VPN 장비 취약점을 랜섬웨어 초기 침투에 쓰는 흐름은 2024년 이후 계속 늘고 있다. Ivanti, Fortinet, Palo Alto Networks, Citrix 제품에서 Critical 취약점이 이어졌고, 랜섬웨어 그룹은 패치 전 제로데이나 N-day 취약점을 빠르게 무기화해 왔다.

영향을 받는 환경과 실제 위험

⤢✕

CVSS 9.3은 네트워크를 통한 원격 공격이 가능하고, 인증 없이 완전한 VPN 접근이 허용된다는 의미다. 특히 32일 동안은 패치 수단이 없었으므로, 이 기간에 취약한 구성을 운영한 조직은 공격에 노출돼 있었다.

2026년 6월 12일 watchTowr Labs가 PoC를 공개한 뒤에는 기술적 능력이 낮은 공격자도 익스플로잇을 활용할 수 있게 됐고 추가 악용 위험이 커졌다. 공통된 조건은 IKEv1을 켠 채 인터넷에 노출된 Check Point VPN 게이트웨이다. 하위 호환성을 위해 IKEv1을 계속 운영한 조직이 주된 피해 대상이 됐다.

패치, 탐지, 아키텍처 전환을 함께 진행한다

우선 2026년 6월 8일 Check Point가 배포한 보안 핫픽스를 적용해야 한다. CISA KEV 기준 미국 연방 기관의 기한은 6월 11일이었지만, 일반 기업과 조직도 PoC 공개 뒤 지체 없이 패치를 적용해야 한다. 즉시 패치가 어렵다면 머신 인증서(machine certificate) 인증을 필수화해 단순 자격 증명 우회 공격을 일부 차단할 수 있다.

Remote Access VPN과 Mobile Access 설정에서는 IKEv1을 즉시 비활성화해야 한다. 하위 호환성 요구가 없다면 완전히 제거하고, VPN 클라이언트와 게이트웨이를 IKEv2 전용 모드로 옮기는 것이 목표다.

탐지 측면에서는 비인가 VPN 세션, Rclone 실행, Tox 프로토콜 트래픽, 비정상 횡적 이동 패턴을 SIEM/EDR 규칙으로 감시해야 한다. 불규칙한 시간대의 VPN 인증 성공, 내부 네트워크의 대용량 데이터 전송, Rclone 바이너리 실행, 알려지지 않은 외부 IP와의 Tox 프로토콜 통신은 IoC 관점에서 확인할 항목이다.

⤢✕

ZTNA(Zero Trust Network Access)는 VPN 취약점 노출을 줄이기 위한 중장기 전환 경로다. 기존 퍼리미터 기반 VPN은 내부에 들어온 뒤 광범위한 접근이 가능해지는 구조라 인증 우회가 성공했을 때 피해 범위가 커진다. ZTNA는 최소 권한 원칙(least privilege), 연속 인증(continuous authentication), 마이크로세그멘테이션(micro-segmentation)을 적용해 이를 제한한다.

MFA는 VPN 접근에 추가 인증 계층을 둬 침투를 지연시킬 수 있지만 패치를 대신하지는 않는다. IKEv1뿐 아니라 SSLv3, TLS 1.0/1.1처럼 공식 폐기된 프로토콜의 잔존 현황도 정기적으로 점검하고, 제거 로드맵에 포함해야 한다.

공격 체인이 보여주는 보안 운영 과제

CVE-2026-50751은 IPsec VPN과 IKE의 설계·운영 문제를 함께 보여준다. IKEv1의 Phase 1·Phase 2 협상, Aggressive Mode의 취약점, IKEv2의 단일 교환 4메시지 구조, EAP 통합, MOBIKE 지원은 이 사건을 해석하는 데 필요한 배경이다.

취약점 관리 관점에서는 CVE 체계, CVSS, CISA KEV 카탈로그의 역할이 연결된다. 이 취약점의 CVSS 9.3은 공격 벡터가 네트워크이고, 공격 복잡도가 낮으며, 권한과 사용자 상호작용이 필요 없고, 기밀성·무결성·가용성에 모두 높은 영향이 있다는 평가를 바탕으로 한다.

공격 흐름은 MITRE ATT&CK의 Initial Access → Lateral Movement → Collection → Exfiltration → Impact와 대응한다. Qilin의 TTP는 T1190(공개 애플리케이션 익스플로잇), T1021(원격 서비스), T1078(유효 계정), T1567(웹 서비스를 통한 유출), T1486(암호화로 영향 미침)에 매핑된다.

자산 관리, 취약점 관리, 변경 관리도 이 사건의 핵심이다. 공식 폐기된 IKEv1이 하위 호환성을 이유로 수년간 운영되다 대규모 침해 원인이 된 점은 ISMS(정보보호 관리체계) 통제 절차가 실제 공격 표면 축소와 연결돼야 함을 보여준다.

남아 있는 VPN 공격 표면

2026년에도 VPN 장비 취약점을 이용한 랜섬웨어 공격은 증가 추세다. Check Point 사건은 Ivanti VPN(CVE-2024-21887, CVE-2023-46805), Fortinet VPN(CVE-2024-21762), Palo Alto Networks GlobalProtect(CVE-2024-3400) 제로데이 악용과 이어진다. 랜섬웨어 그룹은 패치 직전 또는 직후 익스플로잇을 무기화해 패치 공백을 활용한다.

IKEv1 외에 TLS 1.0/1.1, SMBv1, RDP 구버전도 하위 호환성 때문에 남아 있는 레거시 프로토콜이다. 조직의 제거 속도가 공격자의 익스플로잇 개발 속도보다 느리면 같은 유형의 사고가 반복될 수 있다.

watchTowr Labs가 패치 후 4일 만에 이번 PoC를 공개한 사례는 투명성과 실제 악용 위험 사이의 긴장을 보여준다. 취약점 관리 프로세스는 패치가 배포된 뒤 즉시 적용할 수 있어야 한다.

Gartner는 2025년까지 원격 액세스 시장의 40% 이상이 ZTNA로 대체될 것으로 예측했다. 국내에서도 클라우드 마이그레이션과 함께 ZTNA 도입 사례가 늘고 있다. AI 기반 위협 헌팅과 SOAR(Security Orchestration, Automation and Response) 플랫폼은 32일간의 제로데이 악용 기간을 줄이기 위한 탐지·대응 자동화에서 역할이 커질 것이다.