5분짜리 인증서가 드러낸 소모품 인프라의 실체

이번에 CTX Team이 들여다본 기록은 파일 하나, IP 6개, 도메인 24개, URL 6개로 구성된 인프라 묶음이다. 규모만 보면 평범한 피드 항목처럼 보이지만, 인증서 발급 이력을 하나씩 짚어보면 이 묶음 안에 서로 다른 두 개의 시간축이 공존하고 있다는 게 드러난다. 하나는 aromasupply.nl·81moxing.com·autohes.cz처럼 유효기간이 정확히 89일로 맞춰진 도메인 인증서들이고, 다른 하나는 atlanticinsulationservices.co.uk에 발급된, 유효기간이 2026년 8월 10일 11시 17분 47초부터 같은 날 11시 22분 47초까지, 단 5분짜리 인증서다. 둘 다 발급 CA는 제각각이지만(YE2, E1, YR1) 패턴은 동일하다 — 오래 쓸 인프라가 아니라 짧게 쓰고 버릴 인프라라는 뜻이다. 이 기록에는 행위자 라벨로 'Rtm'이 붙어 있고 동기는 'espionage'로 태깅돼 있지만, 본문에서 이 라벨을 척추로 세우지는 않는다.