폰투오운 아일랜드 2025, 총 73개 제로데이 공개…상금 14억 원 규모

세계적인 해킹 대회 ‘폰투오운(Pwn2Own) 아일랜드 2025’가 아일랜드 코크에서 10월 21일부터 23일까지 사흘간 개최됐다. 이번 대회에서는 총 73개의 제로데이 취약점이 공개되며, 참가 연구자들이 총 102만 4,750달러(약 14억 원)의 상금을 획득했다. 주최는 트렌드마이크로(Trend Micro)의 제로데이이니셔티브(ZDI)가 맡았으며, 메타(Meta), 시놀로지(Synology), 큐냅(QNAP) 등이 공동 후원했다.

8개 분야 대상…USB 물리 공격 벡터 신설

올해 대회는 총 8개 카테고리에서 다양한 기기를 대상으로 공격이 진행됐다. 공격 대상은 프린터, NAS, 메신저 앱, 스마트홈 기기, 감시 장비, 네트워크 장비, 스마트폰(애플 아이폰 16, 삼성 갤럭시 S25, 구글 픽셀 9), 그리고 메타의 레이밴 스마트글래스(Ray-Ban Smart Glasses)와 퀘스트(Quest) 3/3S 등 웨어러블 기기까지 포함됐다.

특히 모바일 부문에서는 USB 포트 물리 연결을 통한 신규 공격 벡터가 처음으로 도입됐다. 참가자들은 잠금 상태의 스마트폰을 물리적으로 연결해 코드 실행이나 잠금 해제에 성공해야 했다. 기존의 블루투스, 와이파이, NFC 공격 벡터도 유지되며, 이는 현실 환경의 복합 공격 시나리오를 반영해 모바일 기기 보안의 물리적 취약점까지 검증했다는 점에서 큰 의미를 가졌다.

‘서머닝 팀(Summoning Team)’ 종합 우승

이번 대회의 최고 영예인 ‘마스터 오브 폰(Master of Pwn)’ 타이틀은 서머닝 팀(Summoning Team)에게 돌아갔다. 이 팀은 삼성 갤럭시 S25, 시놀로지 NAS DS925+, 홈어시스턴트 그린(Home Assistant Green), 시놀로지 카메라 CC400W 등에서 다수의 취약점을 성공적으로 입증하며 총 22점과 18만 7,500달러를 획득했다.

2위는 팀 안투드(ANHTUD)가 11.5점을 기록해 7만 6,750달러를 받았으며, 3위는 시냑티브(Synacktiv) 팀이 11점을 획득해 9만 달러를 차지했다.

3일간 총 73개 제로데이 시연

대회 첫날(10월 21일)에는 무려 34건의 취약점이 공개돼 52만 달러가 지급됐다. 팀 디도스(DDOS)는 큐냅 Qhora-322 라우터와 NAS를 동시에 공격하는 ‘SOHO Smashup’ 시연으로 10만 달러를 획득했다.

둘째 날에는 22개의 제로데이가 추가로 시연되어 26만 달러의 상금이 지급됐다. 삼성 갤럭시 S25의 입력 검증 미흡(Improper Input Validation) 취약점을 이용해 카메라와 위치 추적 기능을 활성화한 사례가 특히 주목받았다.

마지막 날인 23일, 대회 전체에서 총 73개의 제로데이 취약점이 성공적으로 공개되며 총 상금 102만 달러가 지급됐다. 이날 예정돼 있던 왓츠앱(WhatsApp) 제로클릭 공격 시연은 팀 Z3가 취약점을 비공개로 제보하기로 하며 철회했다.

공급망 보안을 위한 실전 검증 무대

폰투오운 대회는 공격자보다 앞서 취약점을 찾아내고 벤더에 전달함으로써 보안을 강화하는 것을 목표로 한다. 제로데이이니셔티브는 대회에서 발견된 취약점에 대해 벤더가 90일 내 보안 패치를 배포하도록 요청하며, 기한 이후에는 세부 정보를 공개한다.

이번 대회는 가정용 IoT, NAS, 스마트폰 등 현실 기기를 대상으로 한 실전형 해킹 이벤트로, 실제 공급망 보안의 취약점을 조기에 발견하는데 큰 의미를 지닌다. 특히 USB 물리 공격 항목의 추가는 최근 급증하는 공공장소 충전 포트 공격(‘주스잭킹’)에 대한 경각심을 일깨웠다는 평가를 받았다.

보안 전문가 “공격 표면은 계속 확장 중”

보안 전문가들은 “스마트폰과 스마트홈 기기, NAS 등 일상 인프라가 모두 해킹 표적이 될 수 있다”며, “물리적 연결이 더 이상 안전하지 않다는 점을 이번 대회가 다시 입증했다”고 분석했다. 단순한 펌웨어 업데이트만으로는 대응이 어렵고, 하드웨어 및 OS 레벨의 보안 설계가 강화돼야 한다는 지적이다.

제로데이이니셔티브는 내년 1월 일본 도쿄에서 ‘폰투오운 오토모티브 2026(Pwn2Own Automotive 2026)’을 개최할 예정이며, 테슬라(Tesla)가 공식 후원사로 참여한다.