Layer3 Intel, 미국 대통령실 등록 AS2650에서 주거용 프록시 출구 236회 관측

본문

Layer3 Intel 팀은 2026년 11월 4일 자사 Residential Proxy Observatory에서 관측한 결과를 공개했습니다. 10월 5일부터 11월 3일까지 AS2650을 거쳐 나간 주거용 프록시 출구 기록은 236회였습니다. Layer3 Intel의 AS 조회 페이지는 AS2650을 미국 대통령실(Executive Office of the President·EOP)에 등록된 네트워크로 표시합니다. 회사는 EOP가 백악관 네트워크를 호스팅한다고 설명하며 이번 기록을 백악관 네트워크에서 나온 프록시 출구 활동으로 소개했습니다.

관측된 출구 IP는 6개였고, 30일 가운데 26일 활동이 나타났습니다. Layer3 Intel은 28개 주거용 프록시 서비스가 AS2650을 출구로 이용할 수 있었다고 밝혔습니다. 236회는 출구 관측 횟수이며 IP 6개와 28개 서비스는 별도 집계입니다. 이 기록은 프록시가 작동한 기기나 이용자, 침해 사건의 수를 나타내지 않습니다.

관측 시스템은 AS2650을 골라 조사하지 않았습니다. Layer3 Intel은 여러 공개 주거용 프록시 서비스에 전 세계 회전형 접속을 요청했고, 그 과정에서 요청이 우연히 AS2650 주소를 출구로 사용했다고 설명했습니다. 회사는 Spur와 Synthient의 공개 IP 정보 페이지도 이 주소들을 주거용 프록시 출구로 분류했다고 밝혔습니다. Layer3 Intel은 누구나 공개 프록시 서비스에 가입해 몇 달러를 내고 트래픽을 이 경로로 보낼 수 있다고 설명했습니다.

주거용 프록시는 고객의 웹 요청을 소비자 인터넷 연결을 사용하는 다른 기기나 네트워크를 거쳐 웹사이트로 전달합니다. 웹사이트에는 프록시 구매자의 주소가 아니라 요청이 빠져나온 출구 주소가 보입니다. FBI는 2026년 3월 12일 공지에서 스마트폰, TV 스트리밍 기기, 디지털 액자 같은 IoT 기기의 IP가 주거용 프록시에 쓰일 수 있다고 설명했습니다. 기기 소유자가 동의해 대역폭을 제공하는 경우도 있습니다. FBI는 앱 개발자가 수익을 받고 SDK를 앱에 넣어 이용자가 약관을 수락하면 기기가 백그라운드에서 트래픽을 중계하는 방식, 프록시망 편입 조건을 숨긴 무료 VPN, 침해된 IoT 기기와 악성코드도 사례로 들었습니다. AS2650 주소들이 어떤 경로로 프록시망에 들어갔는지는 관측만으로 알 수 없습니다.

Layer3 Intel은 활동의 약 절반이 미국 동부시간 오후 5시부터 자정 사이에 나타났고 이른 아침에는 거의 없었다고 밝혔습니다. 회사는 이 시간 분포를 공용 게스트 Wi-Fi보다 저녁에도 정기적으로 접속하는 사람이 있는 환경일 가능성과 연결하고, 그 사람의 기기에 프록시 SDK가 들어갔을 수 있다고 추정했습니다. 회사의 기록은 출구 활동만 보여주며 기기나 이용자를 식별하지 않습니다.

보안상 우려는 출구 기기가 내부망에도 연결돼 있고 프록시 SDK가 외부 고객의 요청을 내부 주소로 전달할 수 있을 때 커집니다. 이런 조건에서는 프록시 이용자가 내부 시스템에 접근하거나 다른 시스템으로 이동을 시도할 수 있습니다. Layer3 Intel은 근거 사례로 Synthient의 2026년 1월 Kimwolf 보고서를 들었습니다. Synthient 연구진은 Kimwolf가 주거용 프록시 네트워크를 통해 Android Debug Bridge(ADB) 서비스가 외부에 노출된 기기를 감염시켰으며, 감염 기기 규모가 최소 200만 대를 넘었다고 추정했습니다. 공개된 AS2650 관측 결과에는 출구 기록만 담겼고, 내부망 접근이나 실제 침해 여부를 확인한 기록은 담기지 않았습니다.

자료: Layer3 Intel, FBI, Synthient / 정리·해설: Trawling