개요
워터링 홀 공격(watering hole attack)은 공격자가 특정 조직이나 집단의 구성원들이 자주 방문하는 웹사이트를 파악한 뒤, 해당 웹사이트를 악성코드 유포 경로로 삼아 대상 사용자들을 감염시키는 컴퓨터 공격 전략이다. 공격자는 조직의 사용자들이 습관적으로 접속하는 합법적인 웹사이트를 관찰하거나 추측하여 그중 하나 이상을 해킹하거나 악성 스크립트를 심어둔다. 이후 대상 사용자가 해당 사이트를 방문하면 별도의 조작 없이도 악성코드가 자동으로 내려받아지거나 실행되어 시스템이 감염된다. 이 용어는 자연계에서 포식자가 먹이가 물을 마시러 오는 물웅덩이 근처에서 기다렸다가 공격하는 습성에서 유래했으며, 2012년 RSA 블로그에서 처음 명명되었다[1][2][3].
이 공격 방식의 가장 큰 특징이자 위험성은 신뢰할 수 있는 합법적인 웹사이트를 매개로 한다는 점이다. 악성코드 유포지가 정상적인 도메인이므로 일반적인 블랙리스트 기반 차단이나 평판 기반 보안 솔루션으로는 탐지하기 어렵다. 또한 공격에 사용되는 스크립트와 악성코드는 보안 제품의 시그니처 기반 탐지를 회피하도록 정교하게 제작되는 경우가 많아, 백신 소프트웨어가 위협으로 식별하기 까다롭다[2][3]. 공격자가 특정 IP 대역이나 지역, 언어 설정, 브라우저 종류 등 조건을 걸어 원하는 대상에게만 악성코드를 전달하는 '선별적 감염' 기법을 쓰기도 하여, 공격 사실을 은폐하고 포렌식 분석을 방해한다[2][3].
사용 사례·작품
앞서 '역사' 문단에서 연대순으로 상세히 다룬 주요 사례 외에, 워터링 홀 공격 수법이 변형·결합되어 나타난 대표적 유형을 정리한다.
공급망 공격과의 결합
CCleaner (2017): 개발사 빌드 환경 침투 → 정식 서명된 설치 바이너리 변조 → 공식 다운로드 서버 배포. 보안 의식이 높은 사용자층이 주 표적이 되었다[2][3].
Havex (2013): ICS 공급업체 소프트웨어 다운로드 페이지 해킹 → 정상 펌웨어·드라이버에 악성코드 삽입 → 산업 현장 엔지니어 감염[2][3].
법 집행 기관의 수사적 활용
토페도 작전 (2011): FBI가 토르 숨겨진 서비스 3곳 장악 → NIT 배포 → 방문자 실체 식별[2][3].
패시파이어 작전 (2015): 토르 아동 성착취 사이트 압수 → NIT 설치 → 956명 체포·5명 징역형[2][3].
국가 단위 첩보 활동
미국 외교협회 (2012): 제로데이 익스플로잇 + 언어 기반 선별 감염 → 외교·안보 전문가 집단 표적[2][3].
미국 노동부 (2013): 핵 관련 페이지 방문자 한정 표적 → 민감 정보 접근자 식별·감염[2][3].
중국 LuckyMouse 캠페인 (2017~2018): 다수 합법 사이트 동시 해킹 → 광범위한 업종·지역 대상[2][3].
홀리 워터 (2019): 아시아 종교·자선 단체 대상 → 플래시 업데이트 위장 → 빠른 변종 순환·배후 불명[2][3].
파괴적 악성코드 유포
NotPetya (2017): 우크라이나 정부 사이트 해킹 → 방문자 드라이브 다운로드 → 마스터 부트 레코드 파괴·데이터 영구 삭제[2][3].
금융권 대상
폴란드 은행 (2016): 금융감독원 웹 서버 추정 유포 경로 → 은행 내부망 감염 → 금전 피해 미보고[2][3].
국제기구 대상
ICAO 몬트리올 (2016~2017): 조직 단위 워터링 홀 → 데이터 유출[2][3].
이 문서는 GGWiki AI가 공개 자료(아래 출처)를 조사해 새로 쓴 초안입니다. 틀린 내용은 편집하거나 이의 제기로 알려 주세요.
