아르텍스, 침투 작업 자동화…해외선 3시간 내 관리자급 권한 확보
PHP 취약점 공개 전 공격 시도…국내 기업 신속 대응 역량 시험대

인공지능(AI)이 해커의 공격 도구를 넘어 침투 경로를 판단하고 공격을 실행하는 역할까지 맡으면서 사이버 공격의 속도와 양상이 달라지고 있다.

AI 기반 해킹 도구를 활용해 불과 3시간 만에 클라우드 관리자급 권한을 확보한 사례가 보고되고, 보안 취약점이 공식 공개되기도 전에 공격 시도가 포착되는 등 기업과 기관이 공격을 탐지하고 대응할 수 있는 시간도 갈수록 짧아지고 있다.

최근 국내 금융권 공격에 활용된 것으로 분석된 AI 해킹 도구 '아르텍스'(ARTEX)와 웹 개발 언어 PHP의 치명적 취약점 'PHP2Shell' 사태는 공격 기술의 진화 속도를 따라잡기 위한 국내 사이버 방어체계의 대응 역량이 시험대에 올랐음을 보여준다.

사진은 기사 이해를 돕기위해 AI(인공지능)을 사용하여 제작한 사진. 생성형 AI 이미지 생성

◇ AI가 침투 경로 찾고 공격까지…3시간 만에 관리자급 권한 확보

27일 보안업계에 따르면 AI 기반 해킹의 특징은 기존에 개별적으로 사용하던 공격 도구를 AI가 연결해 계획부터 실행·분석까지 반복할 수 있다는 점이다.

포트 스캔이나 취약점 점검은 과거에도 자동화됐지만 최근에는 대규모 언어모델(LLM)이 실행 결과를 분석하고 다음 작업을 선택하는 단계까지 발전했다.

미국 보안기업 크라우드스트라이크는 지난 7일 국내 금융기관을 겨냥한 공격자의 서버에서 아르텍스 설정 파일과 AI 코딩 도구 클로드 코드의 작업 기록 등을 발견했다고 밝혔다.

중국에서 개발된 오픈소스 침투테스트 도구 아르텍스는 AI 에이전트들이 작업을 나눠 수행하고 결과에 따라 후속 작업을 결정하는 구조다.

이러한 공격 자동화의 위력은 해외 사례에서도 드러났다.

마이크로소프트는 21일 중국 연계 해킹조직 '스톰-0940'이 아르텍스를 활용해 전 세계 수백개 조직을 공격했으며, 일부 사례에서는 표적 선정부터 클라우드 관리자급 권한 확보까지 3시간도 걸리지 않았다고 분석했다.

사진=AFP연합뉴스

이 조직은 공급망 침해로 확보한 접근 권한을 악용해 2천250개 이상의 클라우드 고객 환경에 로그인을 시도했다.

일부 공격에서는 분당 최대 2천900차례의 로그인 시도가 관측됐다.

공개 취약점을 노린 공격 역시 방어 시간을 압박하고 있다.

지난 21일 공개된 PHP2Shell은 일부 PHP 환경에서 별도 인증 없이 원격 명령 실행을 가능하게 하는 취약점 2건이다.

아마존웹서비스(AWS)는 공식 공개 나흘 전인 17일 이미 자사 허니팟(해커 유인 시스템)에서 관련 악용 시도를 포착했다고 밝혔다.

PHP2Shell 취약점이 공개되기 전부터 공격 시도가 포착됐다는 점에서 보안 담당자들의 대응 시간이 갈수록 촉박해지는 현실을 보여주고 있다.

보안업계에서는 AI를 활용한 코드 분석과 공격 도구 제작이 확산할수록 취약점 공개 이후 보안 조치에 허용되는 시간이 더욱 짧아질 것으로 우려하고 있다.

전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP에서 인증 없이 시스템을 장악할 수 있는 치명적인 보안 취약점이 발견되자 정부는 지난 22일 관련 기업에 보안 조치를 안내하는 등 긴급 대응에 나섰다. 사진은 정부세종청사 과학기술정보통신부 사이버침해대응과 사무실. 연합뉴스

◇ 공격은 빨라지는데 탐지는 106일…PHP 취약점 대응도 시험대

문제는 공격 기술이 빠르게 고도화하는 데 비해 국내 기업의 보안 대응 역량은 충분하지 않다는 점이다.

과학기술정보통신부와 한국인터넷진흥원(KISA)에 따르면 올해 상반기 민간 분야 침해사고 신고는 1천236건으로 전년 동기 대비 19.5% 증가했다. 디도스(DDoS) 공격과 랜섬웨어 신고는 각각 56.7%, 76.8% 늘었다.

과기정통부의 2025 정보보호 실태조사에 따르면 정보보호 조직을 보유한 기업은 35.3%에 불과했다. 기업 10곳 중 6곳 이상(64.7%)이 별도 정보보호 조직을 갖추지 못한 셈이다.

기업 규모에 따른 인력 격차도 뚜렷했다.

종사자 10∼249명 기업의 정보보호 담당 인력은 평균 1.3명으로, 250명 이상 기업(4.4명)의 3분의 1에도 미치지 못했다.

침해사고를 인지하고 대응에 나서기까지도 상당한 시간이 걸리는 것으로 나타났다.

SK쉴더스가 2021∼2025년 중소·중견기업 침해사고 사례를 분석한 결과, 최초 침투부터 침해 사실 인지와 조사 착수까지 평균 106.1일이 소요됐다.

이처럼 보안 인력이 부족한 환경에서는 새로운 취약점이 발견되더라도 영향을 받는 시스템을 신속히 파악하고 패치를 적용하기가 쉽지 않다.

특히 외부 업체가 서버를 관리하거나 여러 협력업체의 시스템이 연결된 경우에는 보안 관리의 사각지대가 발생할 가능성도 있다.

이런 가운데 PHP2Shell 사태는 취약 시스템을 신속히 파악하고 조치하는 일의 중요성을 다시 일깨웠다.

사진=게티이미지뱅크 제공

안랩[053800]이 지난 21일 인터넷 자산 검색을 통해 확인한 국내 PHP 관련 검색 결과는 약 11만건에 달했다.

이에 정부는 지난 22일 민간 분야 사이버위기 경보를 '주의'로 상향하고 긴급 보안 업데이트를 권고했다.

하지만 보안 권고가 실제 조치로 이어지는 데는 한계가 있다는 지적이 이어지고 있다.

전담 인력이 부족한 중소기업이나 외부 업체에 시스템 관리를 맡긴 기관에서는 취약 자산을 파악하고 업무 중단을 최소화하면서 패치를 적용하는 일 자체가 부담이기 때문이다.

이에 보안업계에서는 AI 기반 이상 징후 분석과 보안 대응 자동화(SOAR), 외부 노출 자산 관리 등을 강화해야 한다고 조언한다.

중소기업을 위한 저비용 보안 서비스와 긴급 패치 지원, 전문인력 확충 등 취약한 현장의 대응 역량을 높이기 위한 지원도 과제로 꼽힌다.

김재기 에스투더블유[488280](S2W) 최고제품책임자(CPO)는 최근 연합뉴스와의 인터뷰에서 "전장은 여전히 공격자에게 절대적으로 유리하다"며 "외곽에 방치된 위험을 가시화해 기업들이 실질적인 방어 태세를 갖출 수 있도록 지원해야 한다"고 강조했다.

<연합>