요약

  • Sanjaya와 Carlos Martinez는 2025년 7월 9일, 10일, 12일 LACNIC 주소 공간을 겨냥한 약 20분, 15분, 5분짜리 경로 탈취를 발표했다.
  • 공격자는 작은 ISP의 회사 양식과 비슷한 도메인을 위조해 중계 서비스를 얻었다. 진짜 ASN 보유자도 피해자였다.

서버는 이메일을 받았는데 수신자는 못 받았다. LACNIC 지원 창구에 들어온 이 평범한 신고는 세 차례의 BGP 경로 탈취로 이어졌다. 2025년 7월 9일 19시 47분, 10일 20시 34분, 12일 10시 13분, 모두 UTC−3 기준이다. 각각 약 20분, 15분, 5분 동안 벌어졌다. 공격자는 잠깐 길을 바꾸고 흔적을 거뒀다.

APNIC의 Sanjaya와 LACNIC의 Carlos Martinez는 APNIC 61 발표 자료에 조사 과정을 담았다. LACNIC이 APNIC에 연락했고 APNIC은 인도네시아 APJII/IDNIC에 확인했다. 해당 ASN의 실제 보유자는 작은 ISP였으며 문제의 중계 회선을 신청한 적이 없었다. 공격자는 회사 명의의 가짜 문서와 진짜 도메인을 닮은 주소를 써서 다국적 중계 사업자가 BGP 세션을 열게 했다. 빼앗은 AS는 통로로 쓰고, 뒤에서는 다른 가짜 출발 ASN으로 짧게 경로를 광고했다.

LACNIC의 공동 기고는 실제 ISP 역시 피해자라고 명시한다. 보유자가 신고하자 중계 사업자는 사기 세션을 종료했다. APJII/IDNIC과 보유자는 최종 조사 결과를 두 RIR에 전달했고, APNIC도 공동 발표를 기록했다. 공개 자료에는 우회된 트래픽의 양이 없다. 확인된 사실은 허가받지 않은 연결이 열렸다는 것이다.

Sanjaya의 조사가 닿은 곳은 라우터 앞의 고객 접수 창구다. 허위 신분을 고객으로 인정하면 BGP는 그 결정을 성실하게 전파한다. 세션을 켜기 전에 누가 진짜 ASN 보유자에게 물었는가가 핵심이다.