중국산 라우터 '백도어' 파문 — 20여 종 펌웨어에 심긴 원격제어 임플란트 'ENDLESSDOORS'

2026년 8월 7일 | 일본 | 기술

일본 구글 트렌드 기술 분야에서 '중국산 라우터(中国製ルーター)'가 검색량 1만 건 이상, 상승률 800%로 급등했습니다. 배경에는 최근 보안 업계를 뒤흔든 사건이 있습니다. 미국 보안 기업 VulnCheck가 중국 Zbtlink(지비티링크)사의 와이파이 라우터 펌웨어에서, 출고 시점부터 심어져 있던 원격 제어용 '백도어'를 발견했다고 공개한 것입니다. 연구진은 이 임플란트에 'ENDLESSDOORS(끝없는 문)'라는 이름을 붙였습니다. 단순한 소프트웨어 취약점이 아니라, 제조사가 스스로 넣은 상시 구동 부품이라는 점에서 파장이 큽니다.

중국산 와이파이 라우터에서 '백도어'가 발견됐다

이 사건이 처음 알려진 것은 2026년 8월 초입니다. VulnCheck는 자사가 실제로 구매·분석한 Zbtlink 라우터 20여 개 기종의 펌웨어를 뜯어보던 중, 부팅과 동시에 실행되어 외부 서버로 접속을 시도하는 프로그램을 찾아냈습니다. 문제의 프로그램은 라우터가 켜지는 순간 최고 권한인 'root(루트)' 권한으로 동작합니다. 즉 이용자가 아무런 설정을 하지 않아도, 전원만 넣으면 라우터가 알아서 특정 외부 서버에 연결을 시도한다는 뜻입니다.

Zbtlink 제품은 자사 브랜드뿐 아니라 'Wiflyer' 등 다른 상표를 달고도 유통되며, 아마존과 알리바바 같은 온라인 마켓을 통해 전 세계에 팔려 나갔습니다. 값이 저렴한 소형 라우터라 가정, 소규모 사무실, 사물인터넷(IoT) 기기 연결용으로 폭넓게 쓰였다는 점이 우려를 키웁니다. 사용자는 대부분 자신이 쓰는 라우터의 제조사가 어디인지, 브랜드 뒤에 어떤 제조사가 있는지조차 모르는 경우가 많기 때문입니다.

ENDLESSDOORS는 어떻게 작동하나

VulnCheck의 분석에 따르면 ENDLESSDOORS는 'rctl'이라는 이름의 소형 리눅스 원격 제어 프로그램을 바탕으로 만들어졌습니다. rctl은 2015년 깃허브(GitHub)에 공개됐던 오픈소스 코드로, 그 자체가 악성코드는 아니었습니다. 문제는 이 코드가 Zbtlink 라우터의 펌웨어 안에 상주형 부품으로 이식되어, 이용자 모르게 상시 작동하도록 설정됐다는 점입니다.

구체적인 동작은 이렇습니다. 라우터는 부팅되면 곧바로 외부의 명령·제어(C2) 서버로 평문(암호화되지 않은) TCP 연결을 만듭니다. 그리고 약 35초마다 중국에 등록된 도메인 및 특정 IP 주소와 통신을 이어 갑니다. 연결은 TCP 7000번 포트를 사용하며, 접속할 때 기기 분류를 나타내는 문자열과 라우터의 LAN MAC 주소가 담긴 짧은 등록 메시지를 함께 보냅니다. 다시 말해 라우터가 스스로 '나 여기 있습니다'라고 외부 서버에 계속 신호를 보내는 셈입니다.

💡 왜 위험한가: 이 도메인을 손에 쥔 쪽은 라우터에 root 권한 셸(shell) 명령을 내릴 수 있습니다. 라우터는 집·사무실 네트워크의 관문이기 때문에, 라우터가 장악되면 같은 네트워크에 연결된 PC·스마트폰·CCTV·프린터 등 다른 기기까지 들여다보거나 조작할 수 있는 발판이 됩니다.

피해 규모와 위험도 — CVSS 9.3의 의미

이 취약점은 CVE-2026-66747이라는 공식 식별번호를 받았고, 위험도를 나타내는 CVSS 점수는 10점 만점에 9.3점으로 '심각(Critical)' 등급으로 분류됐습니다. 보안 업계에서 9점대는 즉시 대응이 필요한 최고 수준의 경보에 해당합니다. VulnCheck는 이 백도어가 심긴 기기가 전 세계에 최소 10만 대 이상 가동 중인 것으로 추정했습니다.

일반적인 보안 사고가 '해커가 뚫고 들어온' 침입이라면, 이번 사건의 성격은 조금 다릅니다. 외부 공격자가 허점을 파고든 것이 아니라, 제조사의 초기화(init) 스크립트가 부팅 때마다 해당 부품을 실행하도록 처음부터 그렇게 출고됐다는 것이 VulnCheck의 주장입니다. 즉 '실수로 생긴 구멍'이 아니라 '설계된 통로'에 가깝다는 점에서, 단순 패치로 끝날 문제가 아니라는 지적이 나옵니다.

10만 대라는 숫자도 단순한 규모 이상의 의미가 있습니다. 라우터는 한 번 설치하면 몇 년씩 그대로 방치되는 경우가 많고, 소프트웨어 업데이트를 챙기는 이용자도 드뭅니다. 그래서 한번 문제가 드러나도 실제로 교체·조치가 이뤄지기까지는 오랜 시간이 걸립니다. 공격자 입장에서는 전 세계 곳곳에 흩어진 채 오래 방치되는 라우터가, 언제든 다시 쓸 수 있는 '상시 대기 발판'이 되는 셈입니다. 보안 연구자들이 이번 임플란트를 두고 '끝없는 문(ENDLESSDOORS)'이라는 이름을 붙인 것도, 한 번 열린 통로가 좀처럼 닫히지 않는다는 점을 꼬집은 것입니다.

Zbtlink의 해명, 그리고 남는 의문

논란이 커지자 Zbtlink는 해당 원격 제어 프로그램이 '애프터서비스(사후 관리)를 위한 유지보수 기능'이라고 해명했습니다. 악의적인 백도어가 아니라 고객 지원용 정당한 기능이라는 취지입니다. 다만 회사는 해명과 별개로, 보안 문제를 손보기 위해 자사 웹사이트의 펌웨어 다운로드를 일시 중단했습니다.

그러나 전문가들은 몇 가지 의문을 남깁니다. 유지보수 목적이라면 왜 이용자에게 고지되지 않았는지, 왜 통신이 암호화되지 않은 평문으로 이뤄졌는지, 왜 최고 권한으로 상시 외부에 접속하도록 설계됐는지 등입니다. 정상적인 원격 관리 기능이라면 이용자 동의, 접근 통제, 암호화 같은 최소한의 안전장치가 있어야 하는데, 그런 절차가 확인되지 않는다는 것이 비판의 핵심입니다. 또한 공개 시점에 제조사가 배포한 '수정된 안전 펌웨어'가 존재하지 않아, 소프트웨어 업데이트만으로 문제를 완전히 해결하기 어렵다는 점도 지적됐습니다.

내 라우터는 안전할까 — 이용자 체크리스트

보안 전문가들은 이번 사안에 대해 비밀번호 변경이나 공장 초기화만으로는 완전한 해결이 되지 않는다고 조언합니다. 문제의 부품이 펌웨어 자체에 들어 있기 때문에, 초기화를 해도 같은 펌웨어로 되돌아가면 백도어가 되살아날 수 있기 때문입니다. 실질적인 대응은 다음과 같습니다.

① 내가 쓰는 라우터의 정확한 제조사와 모델명을 확인한다(브랜드가 달라도 실제 제조사가 Zbtlink인 경우가 있음). ② 해당 기종으로 확인되면 라우터를 네트워크에서 분리(격리)한다. ③ 임시 조치로 끝내지 말고 신뢰할 수 있는 제조사 제품으로 교체를 계획한다. ④ 라우터 관리자 페이지에서 외부 원격 접속·UPnP 등 불필요한 기능을 끈다. ⑤ 출처가 불분명한 초저가 네트워크 기기 구매는 신중히 판단한다.

당장 교체가 어렵다면, 최소한 라우터를 중요한 기기와 같은 네트워크에 두지 않도록 분리하고, 금융·업무용 기기는 별도의 안전한 네트워크에서 사용하는 것이 피해를 줄이는 방법입니다.

'공급망 보안'이라는 더 큰 그림

이번 사건이 던지는 진짜 질문은 개별 라우터 한 대의 문제가 아닙니다. 우리가 매일 쓰는 네트워크 장비, 사물인터넷 기기, 각종 전자제품이 '누가, 어디서, 어떤 코드를 넣어' 만들었는지 사실상 검증하기 어렵다는 '공급망 보안(supply chain security)'의 근본 문제를 드러냅니다. 소비자는 브랜드만 보고 제품을 사지만, 그 안의 펌웨어가 무엇을 하는지는 알 길이 거의 없습니다.

각국 정부와 통신 당국이 특정 국가산 네트워크 장비에 대해 반복적으로 경계령을 내리는 이유도 여기에 있습니다. 값이 싸다는 이유만으로 검증되지 않은 기기를 핵심 네트워크에 두는 것은, 편의와 맞바꾼 위험이 될 수 있습니다. 이번 ENDLESSDOORS 사건은 '가장 눈에 띄지 않는 작은 상자(라우터)'가 사실은 우리 디지털 생활의 가장 중요한 관문이라는 점을, 다시 한 번 일깨워 줍니다.

📘 English Summary

Security firm VulnCheck disclosed a root-level remote-control implant, named ENDLESSDOORS (CVE-2026-66747, CVSS 9.3), hidden in the firmware of more than 20 Zbtlink-made Wi-Fi routers, also sold under brands like Wiflyer. At boot the router opens a cleartext connection to a China-registered server and phones home every 35 seconds over TCP port 7000, allowing whoever controls that domain to run root shell commands. An estimated 100,000 devices are affected worldwide. Because the implant is shipped by the vendor's own init script rather than an attacker's exploit, experts say a password change or factory reset is not enough — affected owners should identify the model, isolate the device, and plan replacement.

이미지 출처 — Unsplash.