대상: 집이나 회사에서 Windows용 백업 소프트웨어 AOMEI Backupper를 쓰는 개인과 조직, 그리고 이 소프트웨어가 설치된 PC를 관리하는 IT 담당자. 이 글은 AOMEI의 공식 성명을 바탕으로 하며 공격 수법, 악성코드의 내용, 침해 지표(IoC)는 다루지 않습니다.
진행 중: 기관이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
- 대상
집이나 회사에서 Windows용 백업 소프트웨어 AOMEI Backupper를 쓰는 개인과 조직, 그리고 이 소프트웨어가 설치된 PC를 관리하는 IT 담당자.
- 확인된 영향 범위표 보기 ↓
- 업데이트 서버 설정 파일의 변조
- 확인된 세 시간대
- 8.5.1 출시
1개 더 보기
- 서버 강화와 이전
가능성이 있다고 한 항목
- 변경된 설정을 받은 기기
- Windows 인증 관련 정보
- 아직 확인되지 않은 사항
- 영향을 받은 이용자 또는 기기 수
- 해당 버전과 에디션
- 확인된 세 시간대 외에 변조 시간대가 있었는지
1개 더 보기
- Windows 인증 정보가 실제로 노출되었는지
- 지금 할 일절차 보기 ↓
- 공식 성명 페이지에서 AOMEI Security Scanner 실행하기
- AOMEI Backupper 8.5.1로 업데이트하기
- 보안 소프트웨어를 업데이트하고 전체 검사 실행하기
2개 더 보기
- Windows 계정 또는 도메인 계정 비밀번호 바꾸기
- 무언가 발견되면 회사에 문의하고, 최근 백업을 무작정 복원하지 않기
- 확인처(출처)출처 전체 ↓
- AOMEI, 「Statement on Ephemeral Tampering with the AOMEI Backupper Update Server」(2026년 10월 19일 발표, 10월 30일 최종 업데이트)
- 마지막 확인
- 2026년 10월 31일 기준
후속 발표 예정과 확인 기록
성명에는 「조사 결과와 권고는 조사 진행에 따라 업데이트될 수 있습니다」라고 적혀 있습니다. 10월 31일 기준 페이지에는 「Last Updated on October 30, 2026」라고 표시되어 있었습니다.
AOMEI Backupper 이용자가 오늘 해야 할 일
공식 성명 페이지에서 AOMEI Security Scanner 실행하기
회사가 제시하는 첫 단계는 이번 사고의 현재 알려진 지표를 검사하는 AOMEI Security Scanner로 PC를 검사하는 것입니다. 회사는 8.5.1로 업데이트해도 이 확인을 대신할 수 없다고 말합니다.
회사의 성명(출처의 링크)을 직접 열고 그 페이지의 다운로드 링크를 쓰세요. 이메일이나 검색 광고의 링크는 쓰지 마세요. 성명에는 스캐너의 디지털 서명 이름과 SHA-256 값이 공개되어 있으며, 도구가 업데이트되면 바뀔 수 있다고 하므로 다운로드하는 날의 페이지와 비교하세요.
AOMEI Backupper 8.5.1로 업데이트하기
회사는 2026년 10월 19일 8.5.1을 출시했으며, 지금까지 발견된 보안 문제를 해결하고 보호 장치를 추가했다고 밝혔습니다. 이전 버전을 쓰고 있다면 회사 다운로드 페이지(www.aomeitech.com/download.html)에서 가능한 한 빨리 업데이트하세요. 버전은 프로그램의 「About」 화면에 표시됩니다.
회사는 관련된 앱 내 업데이트 구조를 꺼 두었으므로 앱 자체의 업데이트 안내에 의존하지 마세요.
보안 소프트웨어를 업데이트하고 전체 검사 실행하기
회사는 앞의 두 단계를 마친 뒤에도 기기의 다른 위험을 배제할 수 없다고 말합니다. 설치된 보안 소프트웨어를 업데이트하고 검사를 실행하라고 권고합니다. 결과가 확실하지 않으면 공식 배포처에서 설치한 신뢰할 수 있는 무료 스캐너로 한 번 더 검사하라고 제안합니다(성명에 하나가 명시되어 있음).
Windows 계정 또는 도메인 계정 비밀번호 바꾸기
회사는 일부 기기가 Windows 인증 관련 정보를 노출할 위험에 있었을 수 있다고 밝히면서도, 이 노출은 확인되지 않았다고 말합니다. 그 PC에서 쓰는 Windows 계정 또는 도메인 계정의 비밀번호와, 같은 비밀번호를 쓰는 다른 기기의 비밀번호를 바꾸라고 권고합니다. Windows Hello PIN만 바꾸는 것으로는 충분하지 않습니다.
검사에서 무언가 발견되었다면 다른 깨끗한 기기에서 비밀번호를 바꾸세요. 감염된 PC에서 입력한 비밀번호는 다시 가로채일 수 있습니다.
무언가 발견되면 회사에 문의하고, 최근 백업을 무작정 복원하지 않기
회사는 성명 페이지의 전용 연락처를 통해 원격 지원을 포함한 기술 지원을 제공한다고 밝혔습니다. 무언가 탐지되었다면 2026년 5월 28일 이후에 만든 백업은 복원하기 전에 확인하세요. 감염된 시스템의 백업은 문제를 다시 가져올 수 있습니다(참고: 백업과 복구의 기본).
무슨 일이 있었나요 (AOMEI 성명 기준)
아래는 2026년 10월 19일 발표되고 10월 30일 최종 업데이트된 AOMEI의 성명을 바탕으로 합니다. 이 성명은 한 보안 회사의 위협 인텔리전스 팀이 낸 조사 보고서(10월 16일 공개)를 인용합니다.
2026년 4월–7월
조사 보고서에 따르면 AOMEI Backupper 업데이트 서버의 설정 파일이 몇 분씩 변경된 뒤 원래대로 되돌려짐.5월 28일 05:40–05:50 UTC
첫 번째로 확인된 시간대(10분).7월 16일 08:33–08:39 UTC
두 번째로 확인된 시간대(6분).7월 20일 10:35–10:40 UTC
세 번째로 확인된 시간대(5분).7월 29일까지
통보를 받은 AOMEI가 업데이트 서버를 강화. 연구자들은 자신들의 모니터링 범위에서 관련 활동이 더 없었다고 보고.8월 5일
업데이트 서비스가 추가 보안 통제를 갖춘 새 서버로 이전.10월 19일
AOMEI가 성명을 발표하고 AOMEI Backupper 8.5.1을 출시.10월 30일
성명의 최종 업데이트.
위의 시각은 UTC입니다. 일본 시간으로는 5월 28일 14:40–14:50, 7월 16일 17:33–17:39, 7월 20일 19:35–19:40이었습니다.
대부분의 시간
업데이트 서버는 정상 설정을 반환
시간대 중
업데이트를 확인한 PC는 악성 파일을 가리키는 변경된 설정을 받을 수 있었음
그 후
파일이 원래대로 돌아갔으므로 나중에 서버를 확인해도 이상이 보이지 않음
서버를 고쳐도 이미 무언가를 받은 PC는 깨끗해지지 않습니다. 그래서 회사는 이용자에게 자신의 기기를 검사하라고 요청합니다.
- 일어난 일
- 2026년 4월부터 7월까지 AOMEI Backupper 업데이트 서버의 설정 파일이 짧게 변조됨. 각 변경은 약 5–10분 유지
- 가능한 영향
- 그 시간 동안 변조된 설정은 소프트웨어가 악성 파일을 다운로드하도록 유도할 수 있었음
- 확인된 시간대
- 2026년 5월 28일, 7월 16일, 7월 20일(UTC). 영향을 받은 이용자의 범위는 아직 조사 중
- 소프트웨어 측 조치
- 관련된 앱 내 업데이트 구조를 끔. 원격 설정 파일에 서명 검증과 암호화를 추가. 클라이언트는 서명 검증에 실패한 파일을 거부
- 서버 측 조치
- 기존 업데이트 서버를 오프라인으로 전환. 업데이트 서비스를 새 서버로 이전. 8.5.1에서 소프트웨어 업데이트와 마케팅 알림을 분리. 모니터링 강화
- 이용자에 대한 요청
- AOMEI Security Scanner로 검사, 8.5.1로 업데이트, 보안 소프트웨어로 검사, Windows 계정 또는 도메인 계정 비밀번호 변경
확인된 것과 확인되지 않은 것
2026년 10월 31일 기준 상태입니다. 후속 발표가 나오면 상태 열을 업데이트합니다.
| 항목 | 성명 내용 | 상태 |
|---|---|---|
| 업데이트 서버 설정 파일의 변조 | 2026년 4월–7월, 짧은 변경이 반복됨 | 확인(회사가 인용한 조사 보고서) |
| 확인된 세 시간대 | 2026년 5월 28일, 7월 16일, 7월 20일(UTC) | 확인(회사) |
| 변경된 설정을 받은 기기 | 위험에 노출되었을 수 있음 | 가능성 있음(회사) |
| Windows 인증 관련 정보 | 일부 기기가 노출 위험에 있었을 수 있음. 확인되지 않음 | 가능성 있음(회사) |
| 8.5.1 출시 | 2026년 10월 19일 | 확인(회사) |
| 서버 강화와 이전 | 7월 29일까지. 8월 5일 새 서버 | 확인(회사) |
| 해당 버전과 에디션 | 목록 없음. 8.5.1 이전 버전 이용자에게 업데이트를 요청 | 기재 없음 |
| 영향을 받은 이용자 또는 기기 수 | 기재 없음. 아직 평가 중 | 조사 중 |
| 확인된 세 시간대 외의 시간대 | 조사 보고서는 관찰되지 않은 시간대가 더 있었을 가능성이 높다고 말함 | 조사 중 |
| 회사의 다른 제품 | 조사 보고서는 회사의 원격 데스크톱 제품이 같은 업데이트 흐름을 쓴다고 말함. 회사 성명은 AOMEI Backupper만 언급 | 기재 없음 |
| 백업 이미지와 파일 | 언급 없음 | 기재 없음 |
읽는 법: 「기재 없음」은 「영향 없음」이 아닙니다
회사는 어떤 버전이 영향을 받았는지 밝히지 않았으며, 모든 이용자에게 네 단계를 요청합니다. 목록에서 자신의 버전을 찾지 못했다고 PC가 범위 밖이었다는 뜻은 아닙니다. 아직 목록이 없기 때문입니다.
변조된 업데이트로 무슨 일이 일어날 수 있나요
일반적으로 소프트웨어 업데이트로 전달된 악성 파일은 다음과 같은 일을 할 수 있습니다. 이번에 이 모든 일이 일어났다는 뜻은 아닙니다.
- 업데이트 프로그램과 같은 권한으로 실행됨. 백업 소프트웨어의 경우 관리자 수준인 경우가 많음
- 재부팅 후 다시 시작되는 무언가를 남김. 원래 프로그램을 지우는 것만으로는 충분하지 않음
- 누군가에게 PC에 대한 원격 접근을 주고, 거기서 공유 폴더와 같은 네트워크의 다른 PC로 넘어감
- 비밀번호나 인증 데이터를 가로챔. 회사가 Windows 비밀번호 변경을 요청하는 이유
조사 보고서는 이번 캠페인에서 전달된 파일에 다운로더와 원격 접근을 주는 백도어가 포함되어 있었다고 설명합니다. 웹 쪽의 비슷한 사례로는 유료 플러그인 업데이트가 약 11시간 동안 악성코드와 함께 배포된 Rank Math PRO 3.0.123 악성코드가 있습니다.
IT 담당자를 위한 다수 PC 점검
아래는 회사의 성명과 조사 보고서에서 나온 방어용 점검입니다. AOMEI의 대응을 평가하는 것은 아닙니다.
- AOMEI Backupper가 있는 모든 PC 찾기. 소프트웨어 자산 목록이나 엔드포인트 관리 도구를 쓰세요. 버전과, 세 시간대에 PC가 켜져 있었는지를 기록하세요.
- 오늘만이 아니라 2026년 4월–7월을 되돌아보기. 보고서는 서버를 고쳐도 이미 무언가를 다운로드한 엔드포인트는 깨끗해지지 않으며, 지금 벤더의 서버를 확인하면 깨끗한 파일만 보인다고 지적합니다. 그 PC들에서 업데이트 프로그램이 시작한 예약 작업과 새 프로그램을 점검하세요.
- 방화벽에서 인터넷으로 나가는 파일 공유 트래픽(SMB와 WebDAV)을 차단하기. 보고서가 이를 권고합니다. Windows 인증 데이터가 외부로 보내지는 흔한 경로도 제한됩니다.
- 영향을 받은 PC 이용자의 도메인 비밀번호를 재설정하기. 회사의 권고에 맞춘 조치이며, 해당 계정의 로그인 기록도 확인하세요.
출처 (공개 기록)
이 글의 사실은 다음 공개 정보를 바탕으로 합니다. 악성코드의 자세한 동작과 IoC 값은 여기에 옮기지 않습니다. 공식 성명과 보고서에서 확인하세요.
- AOMEI, 「Statement on Ephemeral Tampering with the AOMEI Backupper Update Server」(2026년 10월 19일 발표, 10월 30일 최종 업데이트) — aomeitech.com
- AOMEI, AOMEI Backupper 다운로드 페이지 — aomeitech.com
- 한 보안 회사의 위협 인텔리전스 팀, 회사 성명이 인용한 조사 보고서(2026년 10월 16일) — cloud.google.com
업데이트 기록
2026-10-31: 첫 버전. AOMEI의 성명(10월 19일 발표, 10월 30일 최종 업데이트)과 성명이 인용한 조사 보고서를 바탕으로 합니다. 회사가 추가로 발표하면 이 글을 업데이트합니다.
다음으로 읽을 글
- 같은 유형의 사건: Rank Math PRO 3.0.123에 악성코드가 포함되어 배포됨
- 문제를 다시 가져오지 않는 백업: 백업과 복구의 기본
- 용어: 백도어란 무엇인가 / 악성코드란 무엇인가
- 2026년 기타 사건: 2026년의 데이터 유출과 사이버 공격