이메일을 여는 순간 작동하는 제로데이

Zimbra Collaboration Suite에서 새롭게 공개된 취약점으로 인해 IT 팀과 일반 사용자는 이메일 클라이언트의 사용자 인터페이스에 얼마나 많은 신뢰를 두어야 하는지 다시 생각하게 되었습니다. CVE-2025-66376으로 추적되는 이 결함은 Zimbra 클래식 UI의 저장형 크로스 사이트 스크립팅(XSS) 버그로, 피해자가 악성 이메일을 보는 것만으로 활성화됩니다. 첨부 파일을 열 필요도, 링크를 클릭할 필요도 없습니다. 메시지를 미리 보는 행위만으로도 공격자는 메일함에 발판을 마련할 수 있습니다.

저장형 XSS 취약점은 악성 코드가 서버가 정상적인 콘텐츠로 간주하는 대상, 이 경우 이메일 본문 안에 존재하기 때문에 특히 위험합니다. Zimbra 클래식 UI가 해당 이메일을 렌더링하는 순간, 공격자의 스크립트는 피해자의 인증된 세션 안에서 실행되며 그 세션이 이미 보유한 접근 권한과 허가를 그대로 물려받습니다.

공격 방식과 탈취 대상

공개된 내용에 따르면, 이 결함을 통해 공격자는 CSRF 토큰을 훔치고, 2FA 복구 코드를 빼내며, 심지어 피해자 계정에 앱 전용 비밀번호를 설정할 수 있습니다. 모든 과정이 최초 이메일 열람 외에 추가적인 상호작용 없이 이루어집니다. 각각의 결과만으로도 심각하지만, 이들이 결합되면 거의 완전한 계정 탈취 경로가 됩니다.

CSRF 토큰은 웹 애플리케이션으로 전송되는 요청이 실제 로그인한 사용자에게서 비롯된 것인지 확인하는 용도입니다. 공격자가 주입된 스크립트를 통해 이 토큰을 탈취하면, 비밀번호 없이도 피해자를 대신해 작업을 수행할 수 있습니다. 2FA 복구 코드는 계정 복구를 위한 최후의 안전망 역할을 해야 하는데, 이를 탈취하면 이중 인증이 방어 수단으로서 무력화됩니다. 또한, 서드파티 애플리케이션에 제한된 계정 접근 권한을 부여할 때 흔히 사용되는 앱 전용 비밀번호는 공격자에게 조용하고 지속적인 재진입 경로를 제공하므로, 원래의 취약점을 반복하거나 향후 보안 메시지를 처리할 필요가 없습니다.

이러한 조합은 이미 실제 환경에서 목격된 바와 일치합니다. 앞서 CVE-2025-66376으로 추적되는 Zimbra 제로데이에 대해 보도한 바와 같이, 동일한 취약점은 러시아 국가 연계 스파이 캠페인과 연결되어 서방 조직의 이메일 데이터를 은밀히 빼내는 데 악용되었습니다. 이러한 실제 악용 사례는 이것이 실험실 보고서 속 이론적 버그가 아니라, 특정 메일함을 표적으로 삼을 자원과 동기를 가진 공격자에게 실질적으로 유용하다는 점을 강조합니다.

보안을 넘어선 개인정보 문제

이메일 취약점을 "IT 부서의 문제"로 치부하기 쉽지만, 여기에 담긴 프라이버시 문제는 취약한 Zimbra 클래식 UI 인스턴스에서 메일함을 운영하는 모든 사람에게 해당됩니다. 이메일 받은 편지함은 디지털 정체성의 중추입니다. 비밀번호 재설정 링크, 금융 서신, 법적 문서, 개인 대화, 그리고 다른 계정을 보호하기 위해 고안된 바로 그 2FA 복구 메커니즘까지 저장합니다. 공격자가 렌더링 결함을 악용해 이 데이터를 조용히 수집할 수 있을 때, 피해는 메일 서버 자체를 훨씬 넘어 확산됩니다.

특히 2FA 복구 코드의 탈취는 많은 사용자가 가장 강력한 보호 수단으로 여기는 보안 계층을 근본적으로 훼손합니다. 일반적으로 이중 인증은 계정 탈취에 대한 최상의 방어책으로 권장되지만, 그 권장은 복구 메커니즘 자체가 비밀로 유지된다는 가정 아래 성립합니다. 이메일을 보는 것만으로 해당 코드를 노출시키는 취약점은 조용히 그 가정을 무너뜨리며, 피해자는 이상 징후를 전혀 알아차리지 못합니다.

이러한 유형의 공격은 또한 저희 보도가 추적해 온 더 넓은 흐름과도 맞닿아 있습니다. 공격자들은 점점 더 노골적인 침투보다 은밀하고 상호작용이 적은 방식을 선호합니다. 피싱이 랜섬웨어 공격의 주요 동인으로서 전통적 익스플로잇을 추월한 것처럼, 이와 같은 저장형 XSS 버그는 공격자들이 피해자가 명백한 실수를 저지르도록 유도하기보다 이메일을 읽는 일상적 행위 자체를 악용하는 방식을 보여줍니다.

여러분께 의미하는 바

소속 조직이나 개인 이메일이 클래식 UI 기반의 Zimbra Collaboration Suite에서 운영된다면, 이 취약점은 즉각적인 주의가 필요합니다. 이 익스플로잇은 클릭도, 다운로드도, 명백한 위험 신호도 필요하지 않기 때문에, "의심스러운 링크를 클릭하지 말라"는 전통적인 조언은 여기서 거의 효과가 없습니다. 책임은 관리자가 벤더 패치를 신속히 적용하고, 사용자가 생소한 앱 전용 비밀번호나 예상치 못한 세션 동작과 같은 비정상적 계정 활동에 경계를 늦추지 않는 쪽으로 옮겨갑니다.

이 결함이 이미 표적 스파이 활동과 연관되어 있으므로, 민감한 커뮤니케이션을 다루는 조직, 정부 계약업체, 언론인, 법률 회사 등은 패치를 일상적 조치가 아닌 긴급 사안으로 다루어야 합니다.

실천 가능한 조치

  • 조직이 Zimbra 클래식 UI를 사용 중인지 확인하고, CVE-2025-66376에 대한 패치가 적용되었는지 또는 보류 중인지 점검하십시오.
  • 계정의 앱 전용 비밀번호를 검토하고, 알아보지 못하거나 더 이상 사용하지 않는 항목은 모두 해지하십시오.
  • 패치 적용 후 2FA 복구 코드를 재설정하십시오. 이전에 저장된 코드가 이미 노출되었을 수 있습니다.
  • 클래식 UI가 업무 흐름에 필수적이지 않다면 Zimbra의 모던 웹 클라이언트로 전환하여 이 특정 취약점에 대한 노출을 줄이십시오.
  • 웹메일 클라이언트의 저장형 XSS 결함은 초기 패치가 공개된 후에도 공격자들의 지속적인 관심을 끄는 경향이 있으므로, Zimbra의 관리자 권고 사항을 주시하십시오.

이번 Zimbra 제로데이는 기반 소프트웨어에 해결되지 않은 결함이 있을 때 이메일 열기와 같은 일상적인 행위조차 숨겨진 위험을 품을 수 있음을 상기시킵니다. 패치를 최신 상태로 유지하고 메일함의 보안 설정을 은행 계좌만큼이나 면밀히 살피는 것이 그 간극을 좁히는 데 큰 도움이 될 것입니다.