2028년까지 영국 핵심 인프라, AI 랜섬웨어 공격 가능성 매우 높아

2028년까지 영국 국가 핵심 인프라를 겨냥한 랜섬웨어 공격에 인공지능(AI) 기반 악성코드가 쓰일 가능성이 매우 높다는 평가가 나왔다. 공격법 자체의 변화보다 취약점 탐색과 악용의 속도·규모가 커질 수 있다는 점이 핵심이다.

영국 국가사이버보안센터(NCSC)는 3일 공개한 2026년 연례보고서 ‘국가 사이버 현황(The State of the Cyber Nation)’에서 이같이 판단했다. NCSC의 별도 AI 사이버 위협 평가는 현재 위협 동향과 2028년까지의 상황을 검토했다.

평가는 기준·비관·낙관 시나리오 등 세 가지 경로를 제시했다. NCSC는 이 시나리오들이 중기적으로 가능한 상황을 살펴보는 틀이며 확정적 예측은 아니라고 설명했다.

NCSC는 2028년까지 러시아와 중국 등 국가 행위자가 지정학적 목표를 위해 AI 기반 사이버 역량을 활용할 가능성이 높다고 봤다. 핵심 인프라의 노후 기술에 알려진 취약점이 남아 있으면 공격자가 이를 노릴 수 있다고 평가했다.

AI는 취약점 탐색과 표적 선정, 공격 코드 작성에 쓰여 랜섬웨어·사회공학적 공격·소프트웨어 취약점 악용의 규모와 효율을 높일 수 있다. 사회공학적 공격은 사람을 속여 정보나 시스템 접근권을 얻는 수법이다.

리처드 혼(Richard Horne) NCSC 최고경영자는 3일 보고서 발표 연설에서 “AI가 새로운 공격 방식을 만들어낸 것은 아니다”라고 말했다. 그는 오래 방치된 취약점이 과거에는 상상하기 어려운 규모와 속도로 발견되고 악용될 수 있다고 경고했다. 혼의 연설은 기존 보안 약점의 관리와 투자를 강조했다.

혼은 식료품 공급 중단과 정전, 기업 도산으로 이어질 수 있는 상황을 언급하며 기관과 기업의 보안 투자를 촉구했다. 불필요한 인터넷 연결을 줄이고 노후 기술 투자를 미루지 않으며, 정부 보안 인증인 ‘사이버 에센셜스(Cyber Essentials)’를 보안 관리의 출발점으로 삼으라고 권고했다.

실제 공격에서 AI가 활용된 정황도 보고됐다. 구글 위협정보그룹(GTIG)은 5월 11일 공개한 위협 분석에서 사이버범죄자들이 AI의 도움으로 제로데이 취약점을 찾아 공격 코드로 만든 것으로 보이는 사례를 밝혔다.

해당 취약점은 오픈소스 웹 기반 시스템 관리 도구의 이중인증을 우회할 수 있었지만, 유효한 사용자 계정 정보가 먼저 필요했다. 구글은 공격자들이 취약점의 대규모 악용을 계획했다고 설명했으며, 해당 업체에 취약점을 알리고 공격 활동을 중단시켰다고 밝혔다.

케임브리지 사이버범죄센터의 자료를 활용한 연구는 2022년 11월부터 2025년 12월까지 AI 관련 키워드가 담긴 범죄 포럼 스레드 9만7895건을 분석했다. 자료에는 지하·다크웹 포럼의 범죄 관련 논의가 포함됐다.

연구진은 AI가 일부 사기와 저수익 범죄 사업에 도입됐지만, 사이버범죄 기술 전반에 광범위한 변화를 일으켰다는 증거는 아직 적다고 결론냈다. 코드 작성 도구도 초보자의 기술 장벽을 낮추기보다는 숙련된 이용자의 작업을 보조하는 데 그친 것으로 분석했다.

두 평가는 다루는 대상과 시점이 다르다. NCSC는 국가 핵심 인프라와 국가 행위자까지 포함한 2028년의 위협을 평가했고, 연구는 2025년까지 범죄 포럼에서 관찰된 생성형 AI 활용을 분석했다.

앞서 영국 금융당국은 AI가 사이버 공격의 속도와 규모, 비용 구조를 바꿀 수 있다며 금융기관에 탐지·차단·복구 역량 강화를 요구했다. 이번 NCSC 평가는 금융기관을 넘어 영국 국가 핵심 인프라 전반의 위험을 다뤘다.

영국 정부는 10월 28일 공개한 2026년 예산에서 국가 사이버 방어망 ‘사이버 실드’ 1단계에 6000만파운드, 국가 노출·실시간 취약점센터에 7000만파운드를 배정했다. 두 사업의 배정액은 총 1억3000만파운드다. 예산안은 사이버 실드가 AI 기반 방어 역량을 개발하고, 취약점센터가 핵심 인프라와 경제 전반의 약점을 파악하도록 했다.

영국 정부는 맨체스터에 NCSC가 운영할 AI 사이버보안 우수센터도 설립할 예정이다. NCSC는 노후 기술에 대한 투자와 취약점 관리, 불필요한 인터넷 연결 축소를 권고했다.