AI가 낮춘 사이버 공격 비용…패치 느린 학교·병원·중소기업에 피해 집중

AI를 동원한 사이버 공격에 26초 만에 11개 조직이 뚫렸다. 공격 비용이 낮아지면서 보안 업데이트가 늦은 학교와 병원·중소기업의 위험이 커지고 있다.

11월 5일 미국 벤처캐피털 a16z 뉴스레터 '취약점 악용, 공격을 가로막은 병목(The Exploit Was the Bottleneck)'에 따르면 지난 8월 말 공격자 한 명이 AI 에이전트 수백 개로 인쇄 관리 서버를 공격했다. 보안 위협 관측업체 그레이노이즈가 집계한 피해는 48개국 395개 조직에 달했다. 절반은 학교였다.

AI는 시험 환경을 만들고 나흘 전 공개된 보안 결함 두 개를 공격할 프로그램을 작성했다. 인터넷 검색 서비스에서 표적 목록도 확보했다. 아무것도 없는 작업 공간에서 실제 피해 조직에 처음 침입하기까지 4시간도 걸리지 않았다. 공격에 쓰인 것은 미국 연구소의 최첨단 모델이 아닌 저렴한 공개형 모델이었다.

공격을 막던 장벽은 오랫동안 전문 인력의 시간과 비용이었다. 보안 결함을 실제 침입 수단으로 바꾸는 데 걸리던 시간이 수일에서 수개월이었다면 이제는 수분에서 수시간으로 줄었다. AI는 내부망 탐색과 침입 후 이동 비용까지 낮추고 있다. 수익성이 낮아 공격자가 직접 시간을 들이지 않았던 소규모 조직도 표적이 될 수 있다는 뜻이다.

방어 속도는 이를 따라가지 못한다. 버라이즌의 올해 정보유출 조사 보고서에서 실제 공격에 악용된 보안 결함을 완전히 고치는 데 걸린 시간의 중앙값은 43일이었다. 전년 32일보다 길어졌다. 지난해 산업 제어 시스템 보안 권고의 4분의 1은 수정 프로그램조차 없었다. 전력망 운영자는 수정 프로그램 평가에 35일을 쓰고 적용에 다시 35일을 쓸 수 있다.

웹사이트 70%가 사용하는 프로그래밍 언어 PHP에서도 문제가 드러났다. 심각한 결함 두 개가 수정 프로그램 배포 전에 유출되자 공식 공개 나흘 전부터 공격 시도가 포착됐다. 공개 일주일 뒤까지 수백만 건의 시도에 비해 확인된 침해는 적었다. 안정적인 공격이 어려웠고 호스팅·콘텐츠 전송업체가 하루 안에 차단에 나선 덕분이다.

그러나 인터넷에 노출된 PHP 설치 환경은 260만~440만 개에 이른다. 약 80%가 지원이 끝난 버전을 쓰고 있으며 수십만 개는 수정 수단도 없다. 오래된 블로그나 소기업 사이트도 공격 비용이 거의 들지 않으면 피싱과 악성코드 유포 거점으로 악용될 수 있다.

필진은 전력망이나 인터넷 전체가 마비될 것으로 예상하지는 않았다. 전력망에는 고장 확산을 막는 보호 장비가 있고 수동 운전도 가능한 경우가 많다는 이유다. 대신 2017년 워너크라이처럼 빠르게 확산하는 공격이 늘어날 것으로 봤다. 업데이트가 어려운 시스템과 한 번의 침입으로 수십억 달러를 노릴 수 있는 표적에 피해가 집중될 것이라는 전망이다.