APNIC의 RDP 미끼에 6,637개 IP가 2,560만 번 전화를 걸었다. 아무도 끊지 않았다.

요약

• APNIC의 RDP 미끼는 일주일 동안 서로 다른 IP 6,637개에서 연결 시도 2,560만 건을 받았다. 관측된 IP 하나당 평균 약 3,900회다.
• 원격 접속 서비스에 반복해서 문을 두드린 흔적이다. APNIC은 이번 RDP 표본의 인증 성공 건수를 공개하지 않았다.

방치된 서비스에는 끈기를 성격으로 착각하는 전화가 걸려온다. APNIC의 RDP 미끼에는 서로 다른 IP 6,637개가 연락했다. 일주일 동안 연결을 시도한 횟수는 2,560만 번이었다.

측정에 쓰인 OpenCanary는 원격 접속·데이터베이스 서비스를 흉내 내는 허니팟이다. APNIC은 새로 손본 Honeynet으로 2026년 9월 21일부터 27일까지 관측했다. OpenCanary 안에서 서로 다른 발신 IP가 가장 많이 찾은 서비스는 Remote Desktop Protocol, 즉 RDP였다. Microsoft SQL Server는 IP 3,598개, VNC는 3,179개였다.

연결 시도 횟수를 보면 발신 주소 수만 볼 때보다 RDP의 존재감이 커진다. IP 6,637개가 2,560만 번 시도했다. 일주일 평균으로 나누면 주소 하나당 거의 3,900번이다. VNC는 IP 수가 절반에도 못 미치는데도 420만 번을 기록했다. RDP 미끼의 연결량은 VNC의 약 여섯 배, 발신 IP 수는 약 두 배다. APNIC은 이 움직임을 지속적인 접근으로 설명한다. 노출된 서비스를 찾은 쪽이 다시 찾아왔다는 뜻이다.

여기서 2,560만 번은 로그인 성공 횟수가 아니다. APNIC이 공개한 것은 RDP 연결 시도 총량이고, 인증을 통과한 세션 수는 공개하지 않았다. IP 하나당 거의 3,900번이라는 값도 평균이다. 주소별 분포는 보고서에 없다. 게다가 IP 주소 하나를 사람이나 기기 하나로 셀 수 없다. 주소가 바뀔 수 있고, 하나의 공유 네트워크 뒤에 여러 장비가 있을 수 있다. 이번에 측정한 것은 미끼에 가해진 접속 압력이지, 공격자 명단의 인원수가 아니다.

가짜 데스크톱이 왜 중요할까. 미끼가 실제 관리용 출입구를 흉내 내기 때문이다. RDP를 이용하면 멀리 있는 기기를 관리할 수 있다. 이 서비스가 인터넷에 그대로 열려 있으면 스캐너도 찾아낸다. CISA의 #StopRansomware 지침은 RDP를 공개 인터넷에 노출하지 말라고 권고한다. 원격 접속이 꼭 필요하다면 발신 네트워크를 제한하고, VPN이나 보안 게이트웨이를 앞에 두며, 다중 인증을 적용하고, RDP 로그를 살피고, 일정 횟수 뒤 계정을 잠그라고 안내한다.

APNIC의 이번 표본은 침입 성공을 보여 주지 않는다. 열린 문을 몇 번이나 다시 두드렸는지를 보여 준다. 운영 대시보드에서는 서로 다른 발신 IP, 연결 시도, 인증 실패, 허용된 세션을 별도 수치로 봐야 한다. 앞의 두 값은 누가 문 앞에 얼마나 자주 왔는지를 말해 준다. 뒤의 두 값은 그중 누가 안으로 들어갔는지를 보여 준다. 전부 ‘공격 횟수’ 하나로 뭉치면 로그는 바빠지고 사고 보고서는 틀린다.

빠진 기록은 분명하다. APNIC은 RDP 인증 성공 수와 비교 가능한 다음 주 자료를 공개하지 않았다. 같은 센서와 같은 기간으로 한 주 더 측정하면 이번 수치가 일시적 급증인지 평소 반복되는 배경 소음인지 가려낼 수 있다. 당장 내릴 결정은 어렵지 않다. 공용 RDP가 필요 없으면 인터넷 쪽 문을 닫는다. 필요하면 통제된 출입구를 앞에 두고 무엇이 통과하는지 기록한다.

공개 인터넷에는 안내 데스크가 없다. 방화벽이 그 자리를 맡아야 한다.

출처: APNIC의 1주일 Honeynet 보고서; APNIC Honeynet 프로그램; CISA #StopRansomware 지침.