Rapid7이 발표한 3분기 위협 인텔리전스 보고서에 따르면, 취약점 악용 속도가 전례 없는 수준으로 빨라졌습니다. 공격자들은 고위험 취약점이 공개된 후 평균 3일 이내에 공격을 감행하고 있으며, 공개 후 첫 일주일 내에 악용된 취약점은 전체의 71%에 달합니다.
중요 취약점 경쟁과 랜섬웨어의 지배
데이터에 따르면 이러한 취약점의 약 79%는 보안 업계에서 '성배(Holy Grail)'라고 불리는 매우 위험한 범주에 속합니다. 이는 사전 자격 증명 없이도 원격 실행이 가능하거나 로컬 사용자의 상호 작용을 요구하지 않기 때문입니다. 이러한 가속화는 보안 및 사이버 방어 팀에게 대규모 침해로 이어지기 전에 업데이트를 적용하고 취약점을 해결해야 한다는 극심한 시간적 압박을 가하고 있습니다.
동시에 랜섬웨어는 전 세계적으로 가장 치명적이고 영향력 있는 위협으로 자리 잡고 있으며, 비즈니스 서비스, 제조, 의료 분야가 가장 공격에 취약한 대상으로 꼽혔습니다. 미국이 전체 공격의 60%를 차지하며 가장 많은 표적이 되었고, 독일(7%), 이탈리아와 캐나다(각 5%)가 그 뒤를 이었습니다. 정부 부문을 겨냥한 공격은 전 분기 대비 15% 증가했습니다.
주요 랜섬웨어 조직 및 타겟 분포
사이버 범죄 현장의 주체들을 살펴보면, 두 개의 주요 그룹이 성공적인 공격 목록에서 상위를 차지했습니다. '더 젠틀맨(The Gentlemen)' 조직은 342건의 사고에 대한 책임을 주장했으며, '칠린(Qilin)' 조직이 339건으로 그 뒤를 이었습니다. 나머지 활동 그룹으로는 'INC 랜섬(INC Ransom)'이 약 99건, '데드락(DeadLock)'이 98건, '크리비트(Krybit)'가 95건의 공격을 기록했습니다.
사이버 운영에서 AI의 실제 현실
기술 업계에 만연한 AI 기반 공격자에 대한 과장된 우려와 달리, 보고서 결과에 따르면 AI 도구가 전체 추적된 사고 중 운영 요소로 나타난 경우는 8%에 불과했습니다. 분석 결과, 공격은 여전히 인간의 직접적인 결정에 의해 관리되고 있습니다. 모든 기록된 사례에서 인간이 목표와 실행 메커니즘을 결정하며, AI의 역할은 공격 체인의 '중간 전술 단계'를 자동화하는 데 국한되어 있습니다. 예를 들어, 적절한 기술 선택, 타겟 분류, 특정 단계 실패 시 자동 복구 등이 이에 해당합니다.
Rapid7은 취약점 발견 및 코드 감사에 AI를 사용하는 속도와, 복잡한 악용 작업을 직접 수행하는 데 AI를 사용하는 것 사이의 구분이 필요하다고 지적했습니다. 후자는 아직 현장 데이터에서 광범위한 현상으로 나타나지 않았습니다. 이러한 맥락에서 공격자들은 서비스 제공 AI 모델에 내장된 보호 메커니즘과 탐지 시스템을 우회하기 위해 다중 세션 프롬프팅(Multi-session Prompting)과 같은 명령 분할 기법을 사용하고 있습니다.
지능형 지속 위협(APT) 활동 및 초기 액세스 시장
보고서는 15개의 서로 다른 지능형 지속 위협(APT) 그룹과 사이버 스파이 조직의 활동을 포착했습니다. 이들은 주로 정부 기관과 국방, 운송, 미디어, 에너지 분야에 집중했습니다. 여기에는 러시아와 관련된 '샌드웜(Sandworm)' 및 '보이드 블리자드(Void Blizzard)', 중국의 'APT31', 북한의 '라자루스(Lazarus)' 그룹이 포함됩니다. 특히 라자루스 그룹은 한국의 인프라를 겨냥한 리눅스 환경용 미공개 악성 소프트웨어 패키지를 사용하는 것이 확인되었습니다.
다크웹 플랫폼 수준에서는 초기 액세스 브로커(Initial Access Brokers)의 활동이 계속 지배적입니다. 광고들은 전체 은행 자격 증명부터 기업 네트워크 내의 영구적인 거점 확보에 이르기까지 다양한 침투 경로를 제공하고 있습니다. 관찰된 게시물의 65% 이상이 원격 데스크톱 프로토콜(RDP) 액세스 판매나 내부 네트워크 접근에 집중되어 있으며, 이는 방어자들이 향후 공격 벡터를 탐지하기 위해 활용해야 할 중요한 초기 지표입니다.
사이버 방어 팀을 위한 시사점
이러한 변화는 기술 조직 내 방어 우선순위의 즉각적인 재조정을 요구하며, 이 상황에 대응하기 위한 요구 사항은 다음과 같이 요약할 수 있습니다.
- 취약점 처리 시간 단축: 인터넷을 겨냥한 취약점에 대해 월간 패치 모델은 더 이상 충분하지 않습니다. 새로운 평균 시간(3일)에 대응하기 위해 업데이트 적용 및 노출된 서비스의 즉각적인 차단 조치를 자동화해야 합니다.
- AI API 소비 모니터링: 네트워크 내 익숙하지 않은 장치나 프로세스에서 발생하는 API 요청을 추적하여 지능형 도구의 무단 사용을 조기에 탐지해야 합니다.
- 원격 액세스 포인트 강화: RDP 포트 모니터링을 강화하고 다중 인증(MFA)을 적용하여 초기 액세스 브로커가 네트워크를 악용하고 랜섬웨어 조직에 판매하는 것을 차단해야 합니다.