사이버 공격에서의 인공지능 악용
마이크로소프트는 2021년부터 활동해 온 중국 위협 그룹 Storm-0940이 수백 개 조직을 표적으로 하는 공격 캠페인을 자동화하기 위해 오픈소스 모의 해킹 프레임워크인 Artex를 사용하기 시작했다고 밝혔습니다. AI 기반 자동화로의 이러한 전환은 공격자가 정찰 및 패스워드 스프레이(Password Spraying) 공격을 초고속으로 수행할 수 있도록 지원했습니다.
ConnectWise 공격 세부 정보
2026년 10월 중순, 이 그룹은 ConnectWise 고객의 업무 환경을 공격했으며, 이로 인해 ConnectWise는 클라우드 백업 및 서비스형 소프트웨어(SaaS) 보안과 같은 주요 서비스의 운영을 중단했습니다. 기술적 관찰 결과에 따르면, 공격자는 탈취된 자격 증명을 사용하여 수백 명의 Microsoft 365 및 Entra 테넌트에 접근했습니다.
데이터에 따르면 공격자는 분당 2,900회 이상의 로그인 시도를 성공적으로 수행했으며, 151,000회 이상의 실패한 시도가 감지된 후 ConnectWise 클라우드 애플리케이션 ID를 악용한 성공적인 인증 작업이 뒤따랐습니다.
실무적으로 무엇이 바뀌는가?
위험성은 AI 에이전트가 인증 과정에 그치지 않고 피해자 환경 내에서 다음과 같은 고급 작업을 수행하는 단계로 넘어갔다는 점에 있습니다.
- Microsoft Graph 내부 정찰 수행
- 원래 취약점이 해결된 후에도 지속성(Persistence)을 보장하기 위해 애플리케이션 자격 증명 수정
- 권한이 높은 ID, 그룹 및 역할 변경
조직을 위한 보안 권고사항
마이크로소프트는 조직에 서비스 주체(Service Principals)의 로그인 프로세스를 면밀히 검사하고, 이를 Microsoft Graph 내의 후속 활동 및 활성 디렉터리 변경 사항과 연관시킬 것을 경고합니다. 보안 팀은 승인된 관리 활동과 Artex와 같은 자동화 도구의 악용을 나타낼 수 있는 의심스러운 활동을 구별해야 합니다.
이번 공격은 지능형 지속 위협(APT) 그룹들 사이에서 취약점 발견과 침해 실행 사이의 시간 간격을 줄이기 위해 AI 도구를 사용하는 경향이 증가하고 있음을 확인시켜 주며, 이는 사고 대응 팀에 추가적인 부담을 안겨주고 있습니다.