보안업체들이 백악관 내부 네트워크에서 '주거용 프록시(residential proxy)' 노드가 외부로 신호를 보내는 정황을 포착했다고 밝혔다. 쉽게 말해 백악관 직원들이 쓰는 PC나 모바일 기기의 인터넷 주소가, 돈을 낸 외부의 누구에게나 '빌려 쓸 수 있는' 상태로 노출됐다는 뜻이다. 미국 대통령실(Executive Office of the President)에 할당된 네트워크(AS2650)가 그 출처로 지목됐다는 점에서 사안의 무게가 다르다.
보안기업 Layer3 Intel은 10월 5일부터 11월 3일까지 AS2650에서 다수의 주거용 프록시 노드가 비교적 지속적으로 비컨 신호를 보냈으며, 해당 기간 백악관 네트워크를 경유해 외부로 빠져나간 프록시 접속(exit)이 236회 관측됐다고 설명했다. 접속은 6개 인터넷 주소에서 30일 중 26일에 걸쳐 나타났고, 대부분 오후 5시부터 자정 사이 저녁 시간대에 집중됐다. 프록시 추적업체 Synthient는 이 트래픽이 'Infatica'라는 프록시 프로그램을 설치한 여러 대의 윈도우 11 환경과 연결돼 있다고 X(옛 트위터)에 올렸다.
러시아 인물과 2016년 선거 해킹의 그림자
문제를 키운 것은 Infatica의 배경이다. 이 서비스의 창업자 블라디미르 포멘코는 러시아 국적으로, 그가 운영하던 호스팅 업체 King Servers는 2016년 러시아 국가정보기관이 애리조나·일리노이주 선거 시스템 데이터베이스를 침해할 때 사용한 8개 인터넷 주소 가운데 6개가 거쳐 간 곳이었다. 미국 대통령실 네트워크의 주소가 하필 이런 이력을 가진 서비스를 통해 임대 매물로 돌아다녔다는 사실은 단순한 설정 실수 이상의 신경질적인 함의를 지닌다.
더 놀라운 대목은 Infatica가 유일한 통로가 아니었다는 점이다. Layer3 Intel은 총 28개의 서로 다른 주거용 프록시 서비스가 이 네트워크를 exit 경로로 활용할 수 있었다고 밝혔다. 이들은 "이건 공개 접근이다. 누구든 공개 주거용 프록시 서비스에 가입해 몇 달러만 내고 요청을 보내면 얻을 수 있다"며, 특정 네트워크를 겨냥한 것이 아니라 전 세계 회전형 접근을 요청하던 중 우연히 발견했다고 강조했다. 백악관 측은 즉각적인 논평 요청에 답하지 않았다.
주거용 프록시는 왜 위험한가
주거용 프록시는 고객이 타인의 실제 가정용 IP를 빌려 자신의 트래픽을 익명화하거나 위치를 위장하도록 해주는 서비스다. 웹사이트 입장에서는 접속이 프록시 고객이 아니라 빌려준 IP에서 발생한 것처럼 보인다. 수십 개 사업자가 난립하는데 상당수가 중국·러시아에 기반을 두고 있으며, 계정 탈취, 광고 사기, AI 학습용 대규모 콘텐츠 스크래핑 같은 악성 트래픽의 주요 공급원으로 지적돼 왔다.
문제는 단지 평판에 그치지 않는다. 2025년 말에는 이들 서비스에 광범위하게 존재하는 취약점을 노려, 각 프록시 종단의 로컬 네트워크를 탐색해 취약한 시스템을 감염시키는 대량 악용이 확인됐다. 2026년 1월에는 Synthient 창업자 벤 브런디지가 공격자들이 같은 취약점으로 이용자 로컬 네트워크 내부 기기를 장악하는 방식을 공개하면서 수십 개 서비스가 긴급 패치에 나섰다. 브런디지는 "일부 리셀러는 대역폭을 1GB당 60센트에 판다. 1달러도 안 되는 돈으로 가장 기밀스럽고 신뢰받는 네트워크 안으로 들어갈 수 있다는 뜻"이라며, KYC(고객 확인) 절차를 건너뛰는 리셀러 생태계가 이를 부추긴다고 지적했다.
왜 멀쩡한 조직 내부에서 신호가 나가는가
이런 프록시는 대개 직원이 업무 환경에 들여온 기기에서 신호를 내보낸다. 앱 개발자가 수익화를 위해 프록시 네트워크가 제공하는 SDK를 '무료' 모바일·데스크톱 앱에 끼워 넣고, 설치 건마다 소액을 받는 구조이기 때문이다. 결국 사용자는 자신이 공짜 앱의 대가로 회사나 기관의 IP를 임대 시장에 내놓고 있다는 사실을 모른 채 쓰게 된다. 이번 사례에서도 본질은 '해킹당한 백악관'이 아니라 '내부 기기에 심어진 수익화 SDK'일 가능성이 크다.
규모를 보면 이는 결코 예외적 사고가 아니다. 프록시 추적 서비스 Spur는 2026년 1월 웨비나에서 약 300개 정부 소유·운영 네트워크, 318개 유틸리티 기업, 166개 의료기관·병원, 141개 은행·금융 기업에서 주거용 프록시를 발견했다고 밝혔다. 보안기업 Infoblox는 올해 블로그에서 자사 고객 기반의 65%가 하나 이상의 주거용 프록시 관련 도메인을 조회하고 있었다고 공개했다. 백악관이라는 상징성은 크지만, 현상 자체는 정부와 기업 전반에 퍼져 있는 셈이다.
한국 실무자에게 주는 시사점은 분명하다. 엔드포인트에서 외부로 나가는 비컨성 트래픽과 알려진 프록시 도메인 조회를 상시 모니터링하고, 업무 기기에 설치되는 '무료 앱'과 번들 SDK를 자산·소프트웨어 통제 범위에 넣어야 한다. 과도하게 부여된 로컬 관리자 권한과 화면 잠금 미설정 같은 느슨한 운영 관행은 이런 프로그램이 자리 잡을 토양이 된다. 다만 이번 보도는 외부 추적 데이터에 근거한 관측이며, 실제로 어떤 기기·앱이 원인이고 내부 자료가 유출됐는지는 아직 확인되지 않았다는 점은 함께 염두에 둘 필요가 있다.