본 보고서는 대한민국 국가정보원, 경찰청, 한국인터넷진흥원, 금융보안원이 발표한 

합동 사이버 보안 권고문 '국가배후 해킹조직의 우리 국민·기업 해킹 공격 주의 권고'의 일환으로 작성된 기술 분석 자료입니다. 

워터링홀(Watering Hole)이라는 명칭은 초식동물이 물을 마시러 오는 웅덩이 근처에 포식자가 매복하는 습성에서 유래했습니다. 이름 그대로, 표적을 직접 공격하는 대신 표적이 자주 방문하는 정상 웹사이트를 미리 침해해 두고 그곳을 찾아온 방문자를 감염시키는 표적형 공격 기법입니다. 

공격자는 표적 자체가 아니라 표적의 관심사와 방문 동선을 노리며, 신뢰받는 사이트를 경유하기 때문에 피해자의 경계심이 낮습니다.

또한, 이메일 기반 스피어피싱과 달리 첨부파일 실행 같은 사용자의 능동적 행위 없이도 감염이 가능하고, 사전에 정의한 조건에 맞는 대상에게만 공격을 수행해 무관한 방문자에게는 정상 페이지만 보여주므로 탐지와 사후 분석이 매우 어렵습니다. 워터링홀 공격은 일반적으로 준비, 침해, 감염, 장악의 국면으로 진행됩니다. 표적을 선정하고 자주 방문하는 사이트를 물색한 뒤, 해당 사이트의 취약점을 악용해 악성 스크립트를 삽입하고, 방문한 표적을 감염시킨 다음, C2 통신과 내부 이동을 통해 침투 범위를 조직 내부로 확장합니다. 

본 보고서는 이러한 워터링홀 공격의 개념과 흐름을 설명하고, 실제 침해사고 사례를 공격 단계별로 정리한 뒤, 다계층 방어 관점의 대응 방안을 제시합니다.

# 보고서 작성

- 검수 : 이준형 수석 연구원

- 작성 : 이대후 선임 연구원, 전동혁 연구원