마이크로소프트 위협 인텔리전스(Microsoft Threat Intelligence)는 북한과 연계된 사이버 위협 그룹들이 사이버 공격의 속도, 효율성 및 복잡성을 높이기 위해 AI 기술 도입을 확대하고 있음을 포착했습니다. 이 그룹들은 AI를 운영상의 힘을 배가시키는 도구로 활용하며, 특히 피싱 및 침투 설계 분야에서 기존 워크플로우를 가속화하고 범위를 확장하고 있습니다. 다만, 이러한 작업이 완전히 자율적인 단계에 이른 것은 아니며, 여전히 지속적인 인간의 관리와 지시를 받고 있습니다.
마이크로소프트는 이러한 그룹들의 AI 도입 수준을 초기 단계, 확장 단계, 그리고 완전 운영(Operationalized) 단계로 분류합니다. 관찰 결과, Jade Sleet, Coral Sleet, Jasper Sleet와 같은 그룹들은 AI를 일상적인 운영에 완전히 통합했으며, 여기에는 신원 도용 및 기술적·재정적 목표를 정밀하게 겨냥한 사회공학적 피싱 공격이 포함됩니다.
AI 운영 활용 단계
북한 그룹들은 목표 정찰 및 정보 수집부터 콘텐츠 생성, 악성 코드 개발에 이르기까지 공격의 전 과정에서 AI 기술을 활용합니다. 이와 관련하여 Onyx Sleet 및 Pearl Sleet와 같은 그룹들이 침투 테스트 프레임워크인 ARTEX와 같은 오픈 소스 AI 에이전트 프레임워크를 사용하여 작전을 수행하는 모습이 포착되었으며, 이는 최신 기술이 공개되자마자 즉각적으로 도입하는 대응 속도를 보여줍니다.
또한, 이 그룹들은 Cursor 플랫폼과 같은 AI 기반 개발 도구를 사용하여 악성 코드를 생성, 변환, 수정 및 재구조화하고 있습니다. 이를 통해 일부 그룹들은 소프트웨어 개발 속도를 높이고, 보안 시스템이 부과하는 차단 및 방어 조치를 신속한 탐지 메커니즘 적응을 통해 우회할 수 있게 되었습니다.
공격의 본질에서 실질적으로 변화하는 것은 무엇인가?
보고서가 주목하는 가장 두드러진 변화는 이들 조직이 파괴적인 작전 범위를 확장하고 전례 없는 속도로 피해자를 유인하는 능력입니다. 주요 수법은 다음과 같습니다.
- 대상 조직에 대한 사전 정찰을 가속화하고 직원 정보를 상세히 추출하여 설득력이 높은 맞춤형 피싱 및 침투 메시지 작성
- 자동 생성 도구를 사용하여 수십 개의 PDF 파일과 가이드 문서를 몇 분 만에 생성하여 대규모 피싱 캠페인 수행
- 완벽한 가짜 디지털 신원과 위조 이력서를 구축하여 기술 기업 및 금융 기관에 원격 근무자로 침투, 북한 정권을 위한 재정적 수익 창출
- 보안 탐지를 회피하기 위해 .NET 코드의 동적 컴파일 기술을 활용하는 등 악성 코드 기능 고도화
보호 및 대응 조치
이러한 고도화된 위협에 대응하여 마이크로소프트는 기업들에게 AI 보안 대시보드(Security Dashboard for AI) 및 AI 에이전트 관리 플랫폼(Agent 365)과 같은 내장형 보호 도구를 활성화할 것을 권고했습니다. 또한 취약점 관리 정책 적용, 엔드포인트 보호 패키지의 자동 모니터링 활성화, 채용 시 엄격한 검증 절차 도입, 중간 업체를 통한 침투를 방지하기 위한 지원자의 기술적·디지털 배경에 대한 정밀 평가를 시행할 것을 강조했습니다.