찾아온 곳은 최다, 한 일은 6분의 1 — 딱 하나만 늘었다

요즘 집 현관에 달린 도어록은 여는 방법이 하나가 아닙니다. 비밀번호로도 열리고, 카드를 대도 열리고, 지문으로도 열립니다.

여기서 사람들이 잘 모르고 지나가는 게 하나 있습니다. 카드는 여러 장을 등록해 둘 수 있고, 비밀번호를 바꿔도 등록된 카드는 그대로 열립니다. 비밀번호는 문 앞에서 누르는 것이고, 카드 목록은 도어록 안에 저장된 것이니까요. 서로 다른 물건입니다.

그래서 이사를 하면 원래 해야 하는 일이 두 가지입니다. 비밀번호 바꾸기, 그리고 등록된 카드 목록 지우기. 대부분 앞의 것만 합니다. 뒤의 것은 화면을 몇 번 눌러야 나오고, 안 봐도 당장 아무 일이 일어나지 않으니까요.

2026년 8월 27일 하루, 우리 허니팟에 남은 기록이 정확히 그 두 번째 이야기입니다.

먼저 낯선 말 하나만 풀고 가겠습니다. 허니팟은 일부러 허술하게 만들어 인터넷에 내놓은 미끼 서버입니다. 진짜 업무는 하지 않습니다. 누가 들어와서 무엇을 하는지 통째로 기록하려고 열어 둔 기계입니다. 아래 숫자는 전부 거기에 찍힌 것입니다.

숫자 세 개가 서로 반대로 움직였습니다

사실 먼저 뚝 떨어진 쪽부터 놓겠습니다. 8월 26일 이 서버에서 실행된 명령은 14,344개였습니다. 8월 27일은 2,313개입니다. 하루 만에 약 6분의 1이 됐습니다(-83.9%). 세션도 5,488건에서 2,605건으로 절반 넘게 줄었습니다(-52.5%).

사실 그런데 찾아온 곳의 수는 반대로 갔습니다. 서로 다른 출발지가 442곳입니다. 8/25 361곳 → 8/26 373곳 → 8/27 442곳으로 사흘 연속 최다를 새로 썼습니다. 우리가 아카이브로 들고 있는 12일 중 가장 적었던 날은 8/16의 131곳이었습니다. 그 3.4배입니다.

사실 두 숫자를 나눠 보면 이렇게 됩니다. 세션 하나당 명령이 8/26에는 2.61개였는데, 8/27에는 0.89개입니다. 문을 열고 들어와서 평균 한 마디도 안 하고 나간 셈입니다.

추정 넓게 훑되 깊이 들어가지 않은 날입니다. 문 앞까지 온 사람은 12일 중 가장 많았는데, 안에서 뭘 한 흔적은 가장 적은 축이었습니다.

사실 그 와중에 딱 하나 최다를 찍은 행동이 있습니다. ‘지속성 — SSH 키 심기’ 36회, 그리고 그 키를 남기고 간 출발지가 서로 다른 26곳입니다. 이 값의 12일 추이는 8/16 10곳 → 8/18 16곳 → 8/23 6곳 → 8/24 19곳 → 8/25 21곳 → 8/26 12곳 → 8/27 26곳입니다. 확인 구간에서 가장 큰 값입니다.

여기서 SSH 키 심기가 무엇인지 그 자리에서 풀겠습니다. 리눅스 서버에는 authorized_keys(허용된 열쇠 목록)라는 파일이 있습니다. 여기 공개키 한 줄을 적어 두면, 그 짝이 되는 열쇠를 가진 사람은 비밀번호를 묻지 않고 그냥 들어옵니다. 도어록에 카드를 한 장 등록해 두는 것과 같습니다. 그리고 도어록과 똑같이, 비밀번호를 전부 바꿔도 등록된 카드는 그대로 열립니다.

하루를 시간 순서로

시간 순서로 늘어놓으면 이렇게 됩니다. 표가 길지만 세 번째 줄과 네 번째 줄의 시각을 눈여겨보세요. 분이 아니라 초 단위로 겹칩니다.

1. 2026-08-27T00:57:17Z ~ 00:58:25Z (67.3초)
   사실 ATK-2A42D2(125.229.x.x), 텔넷 로그인 성공. 명령 31개, 다운로드 1건. intents 3종 — 파일 다운로드·실행 권한 부여·다운로드 후 실행. completeness 16. TTY 녹화됨(내용 미포함). 텔넷이라 fingerprint·client 는 빈 문자열이다. 이 별칭은 306바이트 POSIX 셸 스크립트(a6296a79…, hxxp://185[.]93[.]89[.]72/wget)의 delivered_by 목록에 있다
2. 2026-08-27T07:29:41Z ~ 07:29:42Z (1.3초)
   사실 ATK-10149C(45.198.x.x), 텔넷 로그인 성공. 1.35초 동안 명령 3개, 다운로드 1건. intents 3종, completeness 14 — 이날 상위 5개 중 가장 짧고 가장 낮다. 이 별칭이 hxxp://5[.]182[.]210[.]174/ok 의 1,608바이트 bash 스크립트(99308ec8…)를 받아간 유일한 출처다
3. 2026-08-27T08:37:07Z ~ 08:38:07Z (60.8초)
   사실 ATK-6817F1(103.78.x.x), 텔넷 로그인 성공. 명령 17개, 다운로드 0건. intents 5종 — 정찰 → 파일 다운로드 → 다운로드 후 실행 → 실행 권한 부여 → 지속성(SSH 키 심기). completeness 17 로 이날 최고값이다
4. 2026-08-27T08:37:59Z ~ 08:39:02Z (63.1초)
   사실 ATK-EE174F(13.143.x.x), 텔넷 로그인 성공. 위 세션이 아직 진행 중인 상태에서 52초 뒤에 시작해 약 8.3초간 겹쳤다. 명령 개수 17개·intents 5종·completeness 17 이 앞 세션과 완전히 동일하다. 다른 출발지, 같은 진행. 두 세션 모두 다운로드 0건이다
5. 2026-08-27T09:58:13Z ~ 09:59:21Z (67.4초)
   사실 ATK-DD3BCB(114.35.x.x), 텔넷 로그인 성공. 명령 31개·다운로드 1건·intents 3종·completeness 16 으로 00:57 의 ATK-2A42D2 와 소요 시간(67.4초 대 67.3초)까지 사실상 같고, 둘 다 같은 306바이트 스크립트(a6296a79…)의 delivered_by 목록에 있다
6. 2026-08-27 하루 집계
   사실 389바이트 OpenSSH RSA 공개키(a8460f44…)가 서로 다른 출처 26곳에서 34회 관측됐다. URL 은 기록되지 않았다. 같은 날 command_intents 의 '지속성 — SSH 키 심기'는 36회로, 검체 이벤트 34회와 2회 차이다 — 8/25(의도 69회 대 이벤트 21회, 3배 이상 벌어짐)와 달리 거의 맞는다
7. 2026-08-27 하루 집계
   사실 hxxp://185[.]93[.]89[.]72/wget 의 306바이트 POSIX 셸 스크립트가 8/17 이후 11일 연속 동일 해시(a6296a79…)로 나왔다. 출처는 2곳·2회로, 8/25 와 같은 확인 구간 최저값이다(8/22 15곳이 최대). 반대로 hxxp://5[.]182[.]210[.]174/ok 는 이날도 크기만 정확히 1,608바이트로 같고 해시는 또 새것이다
8. 2026-08-27 하루 집계
   사실 이날 downloads 4건은 SSH 공개키 1·POSIX 셸 스크립트 1·bash 스크립트 1·9바이트 ASCII 텍스트 1(4af5a5c9…, ATK-BECAD3 한 곳·2회)이다. ELF 실행 바이너리는 0개다
9. 2026-08-27 하루 집계 (센서 02)
   사실 허니팟 02 접촉 30,804건 / 고유 출발지 266곳. VNC 29,111(고유 38) · RDP 1,425(고유 116) · SMB 162(고유 46) · LDAP 58(고유 38) · MSSQL 22(고유 19), ADB 세션 26. 서비스 5종 합 30,778 + ADB 26 = 30,804 으로 총계가 맞는다. 어제 42,493건 대비 -27.5%

사실 표에서 보이는 건 두 쌍입니다. 08:37 두 건은 다른 출발지인데 명령 개수·의도 종류·완결성 점수가 하나도 안 틀리고 같습니다. 00:57과 09:58 두 건도 명령 31개·다운로드 1건에 걸린 시간이 67.3초와 67.4초로 사실상 같습니다.

추정 같은 도구가 두 번 돌아간 모양으로 읽습니다. 여기까지가 말할 수 있는 전부입니다. 우리 데이터에는 명령 원문이 없어서 같은 사람이라거나 같은 조직이라고는 말할 수 없습니다.

심어진 카드는 389바이트짜리 한 장이었습니다

사실 26곳이 남기고 간 것은 서로 다른 26장이 아닙니다. 똑같은 파일 한 장입니다. 389바이트 OpenSSH RSA 공개키이고, 지문(sha256)은 a8460f44… 입니다.

여기서 지문이라는 말도 풀고 가겠습니다. 파일 전체를 계산해서 뽑아낸 64자리 값입니다. 파일 안의 글자 하나만 달라져도 값이 통째로 바뀝니다. 그래서 두 파일이 같은지 다른지를 이 값으로 판정합니다.

사실 389바이트는 문자 메시지 두어 줄 정도 되는 크기입니다. 그리고 이 지문은 8/16부터 8/27까지 12일 연속 같습니다.

추정 같은 카드가 12일 동안 계속 등록되고 있었다는 뜻입니다. 그 사이 어느 하루라도 실제 서버에 이 카드가 들어가는 데 성공했다면, 그 서버는 오늘도 같은 카드로 열립니다. 비밀번호를 그동안 몇 번을 바꿨든 상관없습니다.

사실 숫자 두 개가 거의 맞물립니다. 명령에서 읽어낸 ‘키 심기’ 의도는 36회, 실제로 그 파일이 저장된 이벤트는 34회입니다. 2회 차이입니다. 8/25에는 이 두 값이 69회와 21회로 세 배 넘게 벌어졌습니다. 이날은 거의 붙었습니다.

추정 그렇다고 36회 전부가 이 파일을 심은 것이라고는 말할 수 없습니다. 데이터가 두 숫자를 연결해 주지 않습니다. 이 이야기는 말미 ’우리가 모르는 것’에서 다시 짚겠습니다.

사실 그리고 이날 다운로드 4건 중 실행 바이너리(ELF)는 0개입니다. ELF는 리눅스에서 바로 실행되는 프로그램 파일 형식입니다. 8/26에는 CPU 종류별로 4종이 내려왔는데, 이날은 하나도 없었습니다.

추정 백신이 잡을 만한 물건이 아무것도 안 내려온 날입니다. 그런데 다시 들어올 통로를 만드는 행동은 12일 중 가장 많았습니다. ’악성파일이 안 잡혔다’와 ’아무 일도 없었다’는 같은 말이 아닙니다.

가장 많이 찾아온 무리는 아무것도 안 놓고 갔습니다

사실 SSH로 들어오는 접속은 프로그램마다 조금씩 다른 인사말을 씁니다. 그 인사말을 요약한 값을 클라이언트 지문이라고 부릅니다. 어떤 프로그램으로 접속했는지를 가리키는 값입니다.

사실 이날 442곳 중 상위 16종의 지문이 267곳(60.4%)을 덮습니다. 그중 하나(acaa53e0…, SSH-2.0-OpenSSH_7.4)만으로 **206곳, 전체 출발지의 46.6%**입니다. 거의 절반이 같은 프로그램을 쓰고 있었습니다.

사실 그런데 이 최대 무리는 파일을 하나도 놓고 가지 않았습니다. 검체를 남긴 지문은 두 종뿐이고(둘 다 SSH-2.0-Go), 각각 2곳씩 해서 합쳐 4곳입니다. 이날 출발지의 **0.9%**입니다.

추정 ’출발지는 최다인데 행동은 급감’이라는 이날의 역전이 지문 수준에서 그대로 보입니다. 다만 여기서 선을 하나 그어야 합니다. 이건 빌드의 지문이지 사람의 지문이 아닙니다. 같은 배포판에 들어 있는 기본 OpenSSH를 쓰는, 서로 아무 상관 없는 사람도 같은 값을 갖습니다. 같은 도구라고만 말할 수 있고, 같은 조직이라고는 말할 수 없습니다.

어떤 비밀번호가 시도됐나

사실 이날 로그인 시도는 2,298회입니다. 하루를 꽉 채워 나누면 약 38초에 한 번꼴로 누군가 문고리를 돌려 봤습니다.

사실 아래는 그중 서로 다른 IP 3곳 이상에서 관측된 조합만 추린 20종입니다. 한 곳에서만 나온 조합은 유출된 진짜 자격증명일 수 있어 값을 싣지 않습니다.

사실 이 20종 말고, 단일 출처에서만 나온 조합이 757종 더 있습니다. 개수만 적고 값은 쓰지 않습니다.

추정 표의 맨 윗줄이 이날의 그림을 요약합니다. 345gs5662d34는 아무 의미 없어 보이는 문자열입니다. 아이디와 비밀번호가 똑같습니다. 이걸 서로 다른 26곳이 약속이나 한 듯 똑같이 쳤습니다. 사람이 하나씩 떠올린 값이 아니라, 어딘가 돌아다니는 목록을 그대로 읽고 있다는 뜻으로 읽습니다.

놓고 간 파일 네 개

받아 적을 값들입니다. 값을 누르면 복사됩니다 — 읽으라고 있는 게 아니라 차단 목록에 넣으라고 있는 값입니다. 주소는 일부러 망가뜨려 적었습니다(hxxp://, [.]). 그대로 복사해 붙여 넣어도 접속되지 않습니다.

추정 여기서 두 주소의 성격이 갈립니다. 185[.]93[.]89[.]72의 파일은 11일 내내 지문이 같습니다. 지문 하나를 적어 두면 열흘 넘게 씁니다. 반대로 5[.]182[.]210[.]174의 파일은 크기만 매번 정확히 1,608바이트이고 지문은 계속 새것입니다. 이쪽은 지문을 적어 봐야 다음 날 빗나갑니다. 같은 목록에 들어가는 값인데 쓸모가 유지되는 기간이 다릅니다.

국제 분류표에 대응시키면

공격자가 쓴 수법에는 전 세계가 같이 쓰는 번호가 붙어 있습니다. MITRE ATT&CK라는 목록입니다. 아래에서 ID를 누르면 원문 설명으로 갑니다 — 우리 말을 믿지 말고 직접 확인해 보시라고 붙여 둡니다.

• T1110Brute Force — login_attempts 2,298회, 인용 가능 조합 20종 + 단일 출처 조합 757종추정
• T1078.001Valid Accounts: Default Accounts — admin/admin(14곳)·root/root(7곳)·user/user(4곳) 등이 관측되고 상위 5개 세션이 전부 login_success=true추정
• T1098.004Account Manipulation: SSH Authorized Keys — '지속성 — SSH 키 심기' 36회, 389바이트 RSA 공개키가 출처 26곳·34회. 이날 브리프의 중심 근거다추정
• T1105Ingress Tool Transfer — '파일 다운로드' 10회·'다운로드 후 실행' 10회, 외부 URL 이 기록된 유포지 2곳추정
• T1222.002Linux File and Directory Permissions Modification — '실행 권한 부여' 67회추정
• T1070Indicator Removal — '흔적 삭제' 36회 (8/25 70회 대비 약 절반)추정
• T1082System Information Discovery — '정찰 — 시스템' 1,811회로 이날 명령의 78.3%추정
• T1595Active Scanning — 센서 02 의 접촉 30,804건이 5개 서비스에 걸쳐 있고 셸·로그인 성공은 존재하지 않는다. 침해 이전 단계 매핑이다추정

사실 여덟 줄 중 가장 큰 숫자는 맨 아래에서 두 번째, 정찰 1,811회입니다. 이날 전체 명령의 78.3%입니다. 하루로 나누면 약 48초에 한 번, “여기가 무슨 기계지?“를 확인하는 명령이 들어왔습니다.

추정 표 전체를 배지로 보면 여덟 줄이 전부 ’추정’입니다. 우리가 본 것은 명령의 의도 분류와 개수이지, 공격자가 스스로 밝힌 목적이 아니기 때문입니다.

하루 전체

사실 센서 01(고상호작용 허니팟) 기준입니다.

사실 접속 통로에는 뒤집힌 구석이 하나 더 있습니다. 세션 수로는 SSH가 2,419건으로 압도적입니다. 그런데 로그인에 성공한 뒤 실제 행동까지 이어진 상위 5개 세션은 예외 없이 텔넷이었습니다. 텔넷은 아주 오래된 원격 접속 방식입니다. 인터넷 너머에서 그 기계의 명령창을 직접 두드릴 수 있게 열어 두는 통로인데, 비밀번호가 암호화되지 않고 그대로 흘러갑니다.

사실 옆에 세워 둔 다른 서버(센서 02)의 숫자도 옮겨 둡니다. 이쪽은 저상호작용이라 로그인 성공·명령·자격증명이 애초에 존재하지 않습니다. 세는 것은 ’몇 번 두드렸는가’와 ’프로토콜이 무엇을 제안했는가’뿐입니다.

추정 같은 서버인데 두 문 앞의 그림이 정반대입니다. VNC 쪽은 몇 곳이 하루 종일 붙어 있었고, RDP 쪽은 여러 곳이 한 번씩 지나갔습니다. 다만 여기서 관측된 것은 프로토콜 협상 단계까지입니다. 인증 우회나 취약점 공격이 확인된 것이 아닙니다.

그래서 뭘 해야 하나

추정 브리프가 정리한 ‘이 통제가 없었다면’ 여섯 가지 중, 이날 데이터가 가장 세게 받쳐 주는 순서로 놓습니다.

1. 등록된 카드 목록을 본다 — 이날 중심입니다. 로그인 성공 이후 공격자 쪽 공개키를 심는 행동이 36회, 심은 출처가 26곳입니다. 서버를 쓰신다면 ~/.ssh/authorized_keys 파일을 한 번 열어 보십시오. 내가 넣은 기억이 없는 줄이 있으면 그게 남의 카드입니다. 비밀번호를 바꾸는 것으로는 지워지지 않습니다.

2. 비밀번호 로그인을 끄고 키 로그인만 남긴다 — 위 표의 20종은 서로 다른 IP 3곳 이상이 실제로 두드린 조합입니다. 이 중 하나라도 살아 있으면 그날 안에 열립니다.

3. 관리 포트를 인터넷에 그대로 열어 두지 않는다 — 취약점이 없어도 스캔 대상이 됩니다. 열려 있다는 이유만으로 442곳이 붙었습니다.

4. 같은 곳이 계속 두드리면 막는다 — 센서 02에서 VNC 접촉 29,111건이 38곳에서 나왔습니다. 38곳만 막아도 그날 접촉의 94.5%가 사라집니다. 막아야 할 대상이 생각보다 적다는 뜻이기도 합니다.

5. 서버에서 밖으로 나가는 연결을 제한한다 — 파일 다운로드 10회·다운로드 후 실행 10회가 여기서 끊깁니다. 다만 이날은 다운로드 규모 자체가 작았습니다. 사실 그리고 이날의 주된 지속성 경로였던 SSH 키 심기는 밖으로 나가는 연결이 필요 없습니다. 아웃바운드 차단으로 막히지 않습니다.

6. 로그를 서버 밖에 따로 남긴다 — 흔적을 지우려는 의도가 36회 관측됐습니다. 로그가 서버 안에만 있었다면 그중 일부는 성공했을 겁니다. 우리가 위 타임라인을 적을 수 있는 것도 로그가 서버 바깥에 남아 있기 때문입니다.

전에도 있었던 일

추정 Mirai 계열(2016년 소스 공개 이후 지금까지 파생 지속). 완결성 상위 5개 세션이 전부 텔넷이고 전부 로그인에 성공했으며, 인용 가능한 자격증명이 admin/admin·root/root·user/user 같은 기본값 위주라는 점이 공개된 텔넷 기본값 사전 확산 방식과 맞닿습니다. 다만 이날은 CPU 종류별 ELF 배포가 없었습니다(다운로드 4건 중 ELF 0건). 계열 귀속이 아니라 기법 맥락으로만 인용합니다. (근거: 미국 CISA 경보 TA16-288A 및 공개된 소스코드·다수 벤더 분석 보고서)

추정 TeamTNT 리눅스·클라우드 캠페인(2020년~, 다수 벤더 연속 추적). 로그인 성공 직후 authorized_keys에 공격자 공개키를 심어, 자격증명을 바꿔도 유지되는 재접속 경로를 확보하는 조합입니다. 이날 키 심기 36회와 동일 해시 공개키의 출처 26곳이 이 형태입니다. 8/25 글도 같은 사례를 인용했는데, 그때 근거는 ’의도 69회·흔적 삭제 70회의 동시 최고치’였습니다. 이날은 전체 활동이 급감한 날에 키 심기 출처 수만 최고치라는 반대 방향의 근거입니다. 우리 데이터에는 명령 원문이 없어 동일 도구·동일 행위자라고 말할 근거는 없습니다. (근거: 복수 보안업체 공개 리포트 및 MITRE ATT&CK T1098.004 문서)

우리가 모르는 것

이 글에서 가장 중요한 부분입니다. 위에서 적은 것보다 적지 못한 것이 더 많습니다.

• ‘지속성 — SSH 키 심기’ 의도는 36회, 389바이트 공개키의 다운로드 이벤트는 34회입니다. 2회 차이로 8/25(69 대 21)보다 훨씬 가깝지만, 데이터가 의도 카운트와 검체 카운트를 연결해 주지 않습니다. 36회 전부가 이 키를 심은 것인지는 확인할 수 없습니다. 이 글의 제목이 이 숫자에 걸려 있습니다.
• 공개키 a8460f44…의 전달 출처는 26곳 중 10곳만 표기돼 있습니다. 08:37 쌍둥이 세션(ATK-6817F1·ATK-EE174F)은 의도에 ’키 심기’가 있지만 표기된 10곳에 없어, 이 두 세션이 그 키를 심었는지 데이터로 확인할 수 없습니다.
• 그 쌍둥이 세션 두 건은 의도에 ’파일 다운로드’와 ’다운로드 후 실행’이 있는데 다운로드 수는 0입니다. 다운로드가 실패한 것인지, 성공했는데 저장이 안 된 것인지 구분할 수 없습니다.
• 명령 개수·소요 시간·의도·완결성이 완전히 같은 세션 쌍이 두 개 나왔습니다(31개/약 67초 쌍, 17개/약 61~63초 쌍). 같은 도구가 돌아간 결과로 보이지만 명령 원문이 없어 확인할 수 없고, 같은 사람·같은 조직이라는 근거는 더더욱 없습니다.
• TTY 녹화 건수는 1,910인데 실제 보관된 것은 188건입니다. 10배 차이가 보관 정책 때문인지 집계 기준이 다른 것인지 알 수 없습니다.
• 참고 지표에 Discord 웹훅 주소 한 건이 망가뜨린 상태로 실려 있는데, 이 값이 이날 관측분인지 누적분인지 날짜가 없습니다. 이날 다운로드 4건 어디에도 연결돼 있지 않고 8/16~8/26 기록에도 관련 지표가 없습니다. 신규일 가능성은 있으나 ’이날 관측됐다’고 단정할 수 없어 본문 사실로 쓰지 않았습니다.
• 같은 이유로 31[.]77[.]227[.]121/bins/* 12건도 날짜 표기가 없습니다. 8/16 기록에 같은 호스트의 같은 경로가 이미 있어 신규로 보기 어렵고, 이날은 ELF가 0건이라 이 12건과 이날 관측을 연결하지 않았습니다.
• hxxp://5[.]182[.]210[.]174/ok의 누적 해시 종수는 우리 아카이브를 더한 값이라 중복 제거가 보장되지 않습니다. 정확한 총계로 쓰지 않습니다. 확실한 것은 8/17 이후 크기가 매번 정확히 1,608바이트인데 해시는 계속 바뀐다는 것뿐이고, 파일 내용을 담지 않으므로 무엇이 달라졌는지는 말할 수 없습니다.
• 별칭 ATK-10149C가 8/22~8/24 기록의 같은 출발지를 가리킨다는 전제는 우리 별칭 규칙에 따른 것입니다. 같은 출발지를 뜻할 뿐 같은 사람·조직이라는 뜻이 아닙니다.
• 센서 02의 ADB 세션은 26건인데 8/26에 있던 ADB 상세가 이날 데이터에는 없습니다. 수집 실패로 명시되지도 않았으므로 ’그날 ADB 공격이 없었다’고 쓸 수 없고, 이 채널의 정보량이 어제보다 줄었다는 사실만 기록합니다.
• 센서 02에서 ’한 출발지가 여러 서비스를 훑었는지’는 판정할 수 없습니다. 출발지별 서비스 목록이 없고, 서비스별 고유 IP 합(38+116+46+38+19=257)이 총 고유 IP 266보다 작아 중복이 전혀 없어도 수치가 성립합니다.
• 센서 01의 442곳 중 클라이언트 지문 상위 16종이 덮는 것은 267곳입니다. 나머지 175곳의 분포는 알 수 없고, 텔넷 세션에는 지문 자체가 존재하지 않습니다. 군집 총수는 45인데 데이터에는 16종만 실려 있습니다.
• 두 센서를 합친 고유 출발지 708곳은 교집합을 알 수 없어 나온 상한입니다. 실제로 두 센서를 모두 건드린 곳이 몇 곳인지는 알 수 없습니다.

그리고 아래는 애초에 확인할 수단이 없는 것들입니다. 추정하지 않습니다.

• ASN·ISP — 관련 데이터베이스가 없습니다. 유포지 185[.]93[.]89[.]72·5[.]182[.]210[.]174가 어느 사업자에 있는지, 센서 02의 상위 출발지들이 서로 같은 네트워크인지 말할 수 없습니다.
• 지리정보 — 동일하게 없습니다. 그리고 IP 지리정보는 애초에 귀속 근거가 되지 않습니다. 어떤 국가·기업·개인도 이날의 공격자로 지목하지 않습니다.
• VPN·Tor·클라우드 여부 — 판별 수단이 없습니다. 442곳·266곳 중 어느 것이 경유지이고 어느 것이 원점인지 구분할 수 없습니다.
• VirusTotal — 연동돼 있지 않습니다. 이날 검체 4건에 외부 다중 엔진 판정을 붙일 수 없습니다.
• User-Agent — 두 관측면 다 HTTP가 아닙니다. 01은 SSH·텔넷, 02는 SMB·RDP·VNC·MSSQL·LDAP·ADB입니다.
• CVE 연결 — 이날 두 센서 어디에도 특정 취약점을 참조한 흔적이 없습니다. 배경 통계로 들고 있는 CVE 수치는 이날 관측된 어떤 세션·검체와도 연결되지 않습니다.

추정 정리하면 이날은 이렇습니다. 문 앞까지 온 곳은 12일 중 가장 많았고, 안에서 한 일은 6분의 1로 줄었습니다. 그런데 카드를 한 장 등록하고 간 곳만 26곳으로 가장 많았습니다. 그 카드는 12일째 똑같은 한 장입니다.

비밀번호를 바꾸는 건 도어록 번호를 바꾸는 일입니다. 그 일을 아무리 열심히 해도, 등록된 카드 목록을 한 번도 열어 보지 않으면 문은 계속 열립니다.

관측일은 2026년 8월 27일(UTC) 하루입니다. 출발지 IP는 브리프의 마스킹 형태(103.78.x.x)를 그대로 옮겼고 복원하지 않았습니다. 유포 주소는 접속되지 않도록 변형해 적었습니다(hxxp://, [.]). 자격증명은 서로 다른 IP 3곳 이상에서 관측된 조합 20종만 인용했고, 단일 출처에서만 나온 조합 757종은 개수만 밝히고 값을 싣지 않았습니다. ASN·국적·행위자 귀속은 확인 수단이 없어 추정하지 않습니다.