> 먼저 알려드릴 점: 이 글을 쓰는 시점에 원문 보고서 본문을 직접 읽지 못했어요. 그래서 제목으로 확인되는 사실까지만 전하고, 어떤 프록시 업체인지, IP가 몇 개인지 같은 세부 내용은 다루지 않아요. 나머지는 주거용 프록시에 대한 배경 설명이니, 구체적인 내용은 Layer 3 Intel 블로그와 KrebsOnSecurity 원문에서 확인해 주세요.
무슨 일이 있었나요
Layer 3 Intel이 백악관 네트워크에서 주거용 프록시(residential proxy)를 탐지했다는 글을 올렸고, 보안 전문 기자 브라이언 크렙스도 「백악관의 인터넷 주소를 빌려보시겠어요?」라는 제목으로 같은 주제를 다뤘어요. 제목만 봐도 오싹하죠. 돈만 내면 세계에서 가장 민감한 네트워크 중 하나의 IP를 달고 인터넷에 나갈 수 있다는 이야기로 읽히니까요.
그런데 이건 백악관만의 문제가 아니에요. 같은 구조가 우리 회사 사무실이나 집 공유기에서도 똑같이 벌어질 수 있거든요.
주거용 프록시가 뭐냐면
보통 프록시는 데이터센터 서버에 있어요. 이런 IP는 클라우드 업체 대역이라 웹사이트가 금방 알아채고 막을 수 있죠. 반면 주거용 프록시는 일반 가정의 공유기, 스마트폰, TV 박스를 출구로 써요. 내 요청이 남의 집 인터넷을 거쳐서 나가는 거예요. 택배로 치면 보내는 사람 주소가 물류창고가 아니라 평범한 동네 아파트로 찍히는 셈이에요. 받는 쪽에서는 의심하기가 어렵겠죠.
문제는 이 출구 기기들을 어떻게 모으느냐인데요. 크게 세 가지 경로가 있어요.
- 무료 앱에 심은 SDK: 앱 개발자에게 돈을 주고 SDK를 넣게 한 뒤, 사용자 기기의 남는 대역폭을 프록시로 쓰는 방식이에요. 약관 어딘가에 적혀 있어도 대부분의 사용자는 모르고 넘어가요.
- 처음부터 감염된 기기: 저가 안드로이드 TV 박스처럼 출고될 때부터 악성코드가 들어 있는 경우예요. BADBOX 2.0이 대표적이고, 2025년에 FBI가 경고를 내기도 했어요.
- 해킹된 공유기와 IoT 기기: 업데이트가 끊긴 공유기를 감염시켜 봇넷으로 묶은 뒤 프록시로 파는 방식이에요.
이런 IP는 어떻게 찾아낼까
위협 인텔리전스 쪽에서 흔히 쓰는 방법은 의외로 단순해요. 프록시 서비스에 고객으로 가입해서 출구 노드를 계속 바꿔가며 요청을 보내고, 그때 찍히는 IP를 모은 다음 어느 조직 소유인지 대조하는 거예요. 이번 보고서가 정확히 이 방식을 썼는지는 확인하지 못했지만, 이런 식이면 특정 기관의 IP 대역에 출구 노드가 있는지 찾아낼 수 있어요.
여기서 조심해서 볼 부분이 있어요. 「백악관 네트워크」가 어떤 망을 뜻하는지는 제목만으로 알 수 없거든요. 내부 업무망일 수도 있고, 방문객용 Wi-Fi나 따로 분리된 망일 수도 있어요. 어느 망이냐에 따라 심각도가 크게 달라져요. 다만 탐지가 맞다면 그 네트워크 안의 어떤 기기가 외부인의 트래픽을 대신 내보내고 있다는 뜻이니 가볍게 볼 일은 아니에요.
위험은 크게 두 가지예요. 첫째, 공격자가 그 조직의 IP로 위장할 수 있어요. IP 허용 목록이나 평판 시스템을 믿는 서비스라면 속기 쉽겠죠. 둘째, 프록시 출구가 되는 기기는 네트워크 안쪽에 있어요. 2026년 초 크렙스가 보도한 Kimwolf 봇넷 사례에서는 프록시 네트워크를 통해 같은 로컬 네트워크의 다른 기기까지 접근한 것으로 알려졌어요. 방화벽이 바깥을 막아도 안쪽에서 문을 열어주는 셈이에요.
단속해도 사라지지 않는 시장
단속은 꾸준히 있었어요. 2024년 5월 미국 법무부는 1,900만 개가 넘는 IP를 굴리던 911 S5를 해체했고, 2025년 5월에는 오래된 공유기를 감염시켜 프록시로 팔던 Anyproxy와 5socks가 폐쇄됐어요. 2026년 1월에는 구글이 IPIDEA 네트워크를 겨냥한 차단 조치를 발표했고요.
그런데 한 곳이 사라지면 다른 곳이 그 자리를 채워요. 스크래핑, 광고 검증, 가격 비교처럼 합법적인 수요도 크기 때문이에요. 겉으로는 정상 사업처럼 보이는 업체도 출구 기기를 어디서 구했는지는 불투명한 경우가 많아서, 합법과 불법의 경계가 꽤 흐릿해요.
한국 개발자에게 주는 시사점
서비스를 운영한다면 IP 평판만 믿지 마세요. 주거용 프록시 트래픽은 진짜 가정집 IP에서 오기 때문에 「국내 IP니까 안전하다」 같은 판단이 통하지 않아요. 로그인 시도 제한은 IP뿐 아니라 계정과 기기 단위로 걸고, 행동 패턴까지 함께 보는 게 좋아요.
앱을 만든다면 수익화 SDK를 넣기 전에 그 SDK가 뭘 하는지 꼭 확인하세요. 대역폭 공유 기능이 있는 SDK는 사용자 기기를 프록시 출구로 만들 수 있고, 이건 곧바로 서비스 신뢰 문제로 이어져요.
회사 네트워크를 맡고 있다면 사무실 Wi-Fi에 붙은 TV 박스나 개인 기기를 점검하고, 게스트망과 업무망을 분리하세요. 밖으로 나가는 트래픽도 모니터링해야 해요. 방화벽은 보통 들어오는 쪽에 신경을 쓰는데, 이런 사례는 나가는 쪽이 문제거든요.
마무리
한 줄로 정리하면, 기기 하나가 프록시 출구가 되는 순간 그 네트워크의 IP는 남에게 빌려주는 상품이 된다는 거예요. 여러분의 서비스는 IP 평판에 얼마나 기대고 있나요? 그리고 지금 사무실 네트워크에 어떤 기기들이 붙어 있는지 바로 답할 수 있으신가요?
🔗 출처: Hacker News