제로데이
포스팅 뷰71
제로데이(Zero-day)란 무엇일까요?
- 정의 — 벤더가 존재를 모르거나, 알아도 아직 패치를 내놓지 못한 취약점과 그 틈을 노린 공격을 말합니다.
- 핵심 위험 — 이름의 '제로(0)'는 방어자가 대응할 수 있었던 시간이 0일이었다는 뜻입니다. 막을 방법이 나오기 전에 이미 뚫립니다.
- 대응 — 사전 차단이 아니라 이상행위 탐지·가상 패치·피해 확산 억제로 방어의 축을 옮겨야 합니다.
제로데이란 아직 패치가 없는 보안 취약점, 혹은 그 틈을 악용해 벌어지는 공격을 뜻하며, 방어자에게 대응 시간이 전혀 주어지지 않는 가장 위험한 위협으로 꼽힙니다.
제로데이란?
제로데이(Zero-day)는 소프트웨어 개발사조차 아직 모르거나, 알더라도 고칠 방법을 내놓지 못한 상태의 취약점을 가리킵니다. 이름의 유래는 간단합니다. 취약점이 세상에 알려진 날을 기준으로 개발사가 대응한 날수를 세는데, 그 날수가 '0일'이라는 뜻입니다.
보통 취약점은 발견 → 신고 → 패치 개발 → 배포라는 순서를 거치며 방어자에게 최소한의 준비 시간을 줍니다. 제로데이는 이 순서 중 어느 단계도 거치지 않은 채 곧바로 공격에 쓰인다는 점이 다릅니다. 그래서 시그니처나 패치를 전제로 하는 전통적인 방어 체계가 무력화됩니다.
제로데이 취약점·익스플로잇·공격 — 무엇이 다른가
세 단어를 섞어 쓰기 쉽지만, 가리키는 대상이 각각 다릅니다.
| 구분 | 제로데이 취약점 | 제로데이 익스플로잇 | 제로데이 공격 |
|---|---|---|---|
| 무엇인가 | 패치가 없는 결함 그 자체 | 그 결함을 파고드는 공격 코드·도구 | 코드를 실전에 써서 침투하는 행위 |
| 존재 형태 | 코드 안의 결함(잠재적) | 파일·스크립트(실체가 있음) | 실제 사건(발생한 순간) |
| 발견 후 갈 길 | 신고되거나, 익스플로잇으로 이어짐 | 거래되거나, 실전에 투입됨 | 피해 발생 → 뒤늦게 취약점 확인 |
제로데이는 어떻게 세상에 알려지나 — 두 갈래 시장
같은 제로데이 취약점이라도 발견한 사람이 어떤 경로를 택하느냐에 따라 완전히 다른 결말을 맞습니다.
화이트마켓(책임 있는 공개, Coordinated Vulnerability Disclosure)에서는 연구자가 벤더나 버그바운티 플랫폼에 비공개로 신고하고, 벤더가 패치를 만들 때까지 공개를 미룹니다. 애플·구글·마이크로소프트 등 주요 벤더는 심각한 취약점 신고에 수천~수만 달러의 포상금을 지급합니다. 반면 그레이·블랙마켓에서는 브로커 기업이나 다크웹을 통해 정부기관·정보기관·공격 조직에 취약점이 판매됩니다. 스마트폰을 원격에서 완전히 장악할 수 있는 수준의 제로데이는 이 시장에서 매우 높은 가격에 거래된다고 알려져 있으며, 이런 익스플로잇이 감시 스파이웨어에 쓰인 정황도 여러 차례 보도됐습니다. 기업 입장에서 중요한 것은, 어느 시장에서 거래됐든 우리에게 패치가 도착하기 전까지는 시그니처·패치 기반의 방어 수단이 존재하지 않는다는 사실입니다.
2025년, 제로데이 공격은 얼마나 늘었나
구글 위협 인텔리전스 그룹(GTIG)은 매년 실제 공격에 악용된 제로데이 취약점 수를 집계해 발표합니다. 최근 3년간의 흐름은 이렇습니다.
| 연도 | 실제 악용된 제로데이 수 | 비고 |
|---|---|---|
| 2023년 | 100건 | |
| 2024년 | 78건 | 전년 대비 감소 |
| 2025년 | 90건 | 48%가 기업용 엔터프라이즈 기술을 겨냥 |
주목할 대목은 공격 대상의 변화입니다. 과거 제로데이는 개인 사용자의 브라우저나 운영체제를 노리는 경우가 많았지만, 2024년부터 기업 인프라를 겨냥한 비중이 뚜렷하게 늘었고 2025년에는 방화벽·VPN·네트워크 어플라이언스 같은 '에지 디바이스'가 핵심 표적으로 떠올랐습니다. 이런 장비는 인터넷에 직접 노출돼 있으면서도 EDR 같은 엔드포인트 보안 도구를 설치하기 어려운 경우가 많아, 공격자에게는 발견하고 나면 오래 써먹을 수 있는 통로가 됩니다.Google Cloud
대표 사례
- 스턱스넷(Stuxnet), 2010년 — 4개의 윈도우 제로데이 취약점을 동시에 활용해 이란 나탄즈 우라늄 농축시설의 원심분리기 제어 시스템(지멘스 Step7)에 침투한 악성코드입니다. 인터넷과 물리적으로 분리된 망(에어갭)에도 USB를 통해 침투했고, 원심분리기를 손상시키면서도 운영자 화면에는 정상 수치를 표시해 발각을 늦췄습니다. 국가 배후 공격이 제로데이를 어디까지 정교하게 활용할 수 있는지 보여준 사례로 꼽힙니다.카스퍼스키
- MOVEit Transfer 취약점(CVE-2023-34362), 2023년 — 파일 전송 소프트웨어의 SQL 인젝션 제로데이가 랜섬웨어 조직과 연계된 공격 그룹(UNC4857)에 악용됐습니다. 서버 침투 후 LEMURLOOT라는 맞춤 웹 셸을 정상 파일명으로 위장 배포했고, 웹 셸 설치 후 불과 몇 분 만에 데이터를 탈취했습니다. 전 세계 다수 산업군의 조직이 피해를 입었고, 이후 탈취한 정보를 빌미로 한 협박이 이어졌습니다.Mandiant
- Ivanti Connect Secure VPN(CVE-2023-46805 / CVE-2024-21887), 2023~2024년 — 인증 우회 취약점과 명령어 삽입 취약점을 연결하면 인증 없이 VPN 장비에서 원격 코드를 실행할 수 있었습니다. 중국 정부 배후로 추정되는 공격 그룹이 벤더 공식 패치가 나오기 전부터 이를 악용해 다수 기관의 VPN 장비에 침투했고, 패치 이후에도 이미 심어둔 백도어로 재침투하는 사례가 보고되며 '패치만으로는 끝나지 않는 제로데이'의 대표 사례가 됐습니다.Akamai
제로데이 예방·대응 방안
제로데이는 정의상 사전 차단이 불가능합니다. 그래서 대응 전략은 '막는다'가 아니라 '빨리 알아채고, 피해 범위를 줄인다'로 방향을 잡아야 합니다.
제로데이 공격이 성공했더라도 실제 피해는 결국 '무엇이 빠져나갔는가'로 결정됩니다. 오피스키퍼는 문서중앙화로 중요 자료를 개인 PC가 아닌 중앙에 두고, 정보유출방지로 외부 반출 경로를 통제해, 장비 하나가 제로데이에 뚫리더라도 그 안의 문서까지 통째로 새어나가는 최악의 상황을 막는 방어선을 제공합니다.
자주 묻는 질문
Q. 제로데이는 왜 미리 막을 수가 없나요?
A. 취약점의 존재 자체를 벤더도, 보안팀도, 백신·탐지 도구도 모르기 때문입니다. 알려진 악성코드나 공격 패턴을 기준으로 작동하는 시그니처 기반 방어는 애초에 비교할 대상이 없어 무력화됩니다. 그래서 방어의 초점은 사전 차단이 아니라 이상행위 탐지와 피해 확산 억제로 옮겨갑니다.
Q. 제로데이 취약점은 누가, 어떻게 발견하나요?
A. 세 부류로 나뉩니다. 보안 연구자가 버그바운티나 책임 있는 공개 절차를 통해 발견하는 경우, 브로커·정보기관이 별도로 발굴해 비공개로 확보하는 경우, 그리고 공격이 이미 벌어진 뒤 피해 기업이나 보안업체가 사후 분석 중에 발견하는 경우입니다. 세 번째 경우가 가장 흔하며, 이때는 이미 피해가 발생한 뒤입니다.
Q. 제로데이 취약점은 실제로 거래되나요?
A. 네. 벤더에 신고해 포상금을 받는 화이트마켓과, 브로커·다크웹을 통해 정부기관이나 공격 조직에 판매되는 그레이·블랙마켓이 공존합니다. 특히 스마트폰을 원격에서 완전히 장악할 수 있는 수준의 제로데이는 그레이마켓에서 매우 높은 가격에 거래된다고 알려져 있습니다.
Q. 제로데이와 원데이(N-day)는 어떻게 다른가요?
A. 제로데이는 패치 자체가 아직 없는 상태이고, 원데이는 패치가 나왔는데 조직이 적용하지 않은 상태입니다. 실제로는 이름이 덜 무섭게 들리는 원데이 구간에서 훨씬 많은 침해가 발생합니다. 취약점 관리 전반은 "취약점" 글에서 더 자세히 다룹니다.
Q. 중소기업도 제로데이 공격의 대상이 되나요?
A. 됩니다. 최근 제로데이 공격은 특정 대기업을 정조준하기보다, 방화벽·VPN처럼 인터넷에 노출된 장비를 광범위하게 스캔해 취약한 곳을 자동으로 골라내는 방식으로도 이뤄집니다. 규모와 무관하게 같은 제품을 쓰는 조직이라면 표적이 될 수 있습니다.
언제 뚫릴지 모른다면, 오피스키퍼로 새어나가는 것부터 막으세요.
제품소개서 신청하기