지스케일러 ThreatLabz 2026 VPN 위험 보고서. AI 기반 공격 확산과 VPN 방어 역량의 격차를 보여주는 그래프다. “AI 공격은 이미 현실화됐지만, 기존 VPN 인프라는 이를 제대로 탐지하거나 차단하기 어렵다”는 내용.
지스케일러가 최근 발표한 ‘2026 VPN 위험 보고서’는 기업 원격접속 보안의 중심에 있던 가상사설망(VPN)이 AI 기반 공격 환경에서 한계에 부딪히고 있다는 점을 구체적인 수치로 보여줬다.
이번 보고서는 사이버시큐리티 인사이더스가 지스케일러 쓰렛랩츠와 함께 IT 및 사이버보안 전문가 822명을 대상으로 조사한 결과를 바탕으로 작성됐다. 조사 대상자는 조직의 네트워크 접근 아키텍처에 직접 관여하는 실무자와 의사결정자로 구성됐다.
보고서는 단순히 VPN 장비의 취약점이 늘고 있다는 데 그치지 않았다. 공격자는 AI를 활용해 취약점 악용, 자격증명 탈취, 사회공학 공격, 내부 이동 속도를 빠르게 높이고 있지만, 많은 기업은 여전히 사용자를 내부 네트워크로 들여보내는 경계 기반 VPN 구조에 의존하고 있었다. 지스케일러는 VPN이 오랫동안 안정적이고 익숙한 원격접속 방식으로 사용돼 왔지만, 지금의 공격 환경에서는 이 구조 자체가 위협 노출을 키우는 요인이 되고 있다고 분석했다.
또 이어 “시간”을 가장 중요한 위험 변수로 봤다. 공격자는 분 단위로 움직이고, 방어자는 여전히 패치와 탐지, 대응에 며칠에서 몇 주를 쓰고 있다는 것이다. 원격접속 보안의 기준이 단순한 접속 허용에서 침해 이후 확산 차단으로 바뀌고 있다는 점이 이번 보고서의 핵심이었다.
AI 기반 공격과 VPN 방어 공백
조사 결과 응답자의 61%는 최근 12개월 동안 AI 기반 또는 AI 보조 공격을 확인했거나 의심했다고 답했다. 이 가운데 18%는 AI 기반 공격을 확인했다고 응답했고, 43%는 의심 사례가 있었다고 밝혔다. 반면 현재 사용 중인 VPN이 AI 기반 위협을 탐지하고 차단할 수 있다고 신뢰한 응답자는 5%에 불과했다. 또 19%는 AI 보조 침입과 일반 공격을 구분할 수 없다고 답했다. 이는 실제 AI 기반 공격 규모가 조사 결과보다 더 클 수 있음을 뜻한다.
기업들이 가장 우려한 AI 기반 VPN 공격 기법은 자격증명을 훔치기 위한 AI 생성 피싱과 사회공학 공격이었다. 응답자의 63%가 이를 가장 우려되는 공격 방식으로 꼽았다. 자동화된 취약점 스캔과 대규모 악용은 57%, 기존 탐지 시그니처를 회피하는 적응형 공격은 49%로 뒤를 이었다.
이 순서는 중요하다. 공격자가 VPN을 기술적으로 뚫는 것보다 정상 계정으로 로그인하는 방식을 더 빠르고 조용한 침입 경로로 보고 있다는 뜻이기 때문이다. AI는 피싱 문구를 자연스럽게 만들고, 대상별 유인 방식을 빠르게 바꾸며, 대량의 사회공학 공격을 자동화할 수 있다. VPN 환경에서는 공격자가 유효한 계정 하나만 확보해도 내부 자원 접근으로 이어질 가능성이 크다.
VPN은 일반적으로 로그인에 성공한 사용자를 신뢰하고 내부 자원 접근을 허용한다. 공격자가 피싱이나 정보탈취 악성코드로 계정을 확보하면 해당 계정의 권한 범위가 그대로 공격자의 이동 경로가 된다. AI가 계정 탈취의 속도와 성공률을 높이면서 VPN 기반 원격접속 구조의 위험도 함께 커지고 있다.
분 단위 공격과 주 단위 패치의 격차
VPN 보안에서 가장 큰 문제 중 하나는 패치 속도였다. 보고서에 따르면 중요 VPN 취약점이 공개된 뒤 24시간 안에 패치를 배포할 수 있는 조직은 6%에 그쳤다. 반면 54%는 패치 완료까지 1주일 이상이 필요하다고 답했다.
보고서는 크라우드스트라이크 2026 글로벌 위협 보고서를 인용해 2025년 평균 이크라임 브레이크아웃 시간이 29분이었고, 가장 빠른 사례는 27초였다고 설명했다. 공격자는 분 단위로 움직이지만, 방어자는 여전히 일 또는 주 단위로 대응하는 구조였다.
지스케일러 위협분석팀은 최근 5년간 411개의 VPN 관련 CVE를 분석한 결과, 연간 취약점 수가 82.5% 증가했다고 밝혔다. 가장 최근 1년의 VPN 취약점 중 60%는 고위험 또는 치명적 등급이었다. 응답자의 56%는 VPN 취약점 패치를 가장 큰 운영상 어려움으로 꼽았고, 61%는 취약점이 패치보다 빠르게 무기화된다고 답했다.
이는 VPN 장비가 단순한 접속 도구가 아니라 공격 표면이 됐다는 의미다. 특히 인터넷에 노출된 VPN 장비는 공격자가 가장 먼저 찾는 대상이다. 패치가 늦어지는 순간, 원격접속 인프라 자체가 침입 경로가 될 수 있다. 보고서가 “대응 창이 붕괴됐다”고 표현한 이유도 여기에 있다.
암호화 터널에 가려진 보안 사각지대
한편 VPN은 암호화 터널을 만드는 기술이다. 문제는 이 터널이 정상 사용자뿐 아니라 공격자에게도 은닉 공간을 제공한다는 점이다. 보고서는 응답자의 33%가 암호화된 VPN 트래픽을 전혀 검사하지 못한다고 밝혔다. 27%는 25% 이하만 검사한다고 답했다. 두 수치를 합치면 60%의 조직이 암호화된 VPN 트래픽의 4분의 1 이하만 확인하고 있었다. 암호화 트래픽을 거의 모두 검사할 수 있다고 답한 조직은 8%에 불과했다.
응답자의 52%는 VPN을 제한적이거나 사실상 검사 기능이 없는 전송 계층으로 인식했다. 이는 악성코드 전달, 명령제어(C2) 통신, 데이터 유출이 정상 트래픽과 같은 터널을 통과할 수 있다는 뜻이다. 보고서는 랜섬웨어가 VPN 터널을 통해 들어오는 것을 주요 우려로 본 응답자가 83%였지만, 정작 60%는 터널 내부를 거의 보지 못하고 있다고 지적했다. AI 기반 위협에 대해서도 70%가 VPN 연결을 통과하는 공격을 제한적으로만 볼 수 있거나 거의 볼 수 없다고 답했다.
결국 VPN 암호화는 전송 중 데이터를 보호하지만, 동시에 내부에서 어떤 행위가 일어나는지 보안팀이 확인하기 어렵게 만들 수 있다. 공격자는 별도의 은닉 채널을 만들 필요 없이 기존 VPN 터널을 악용할 수 있다. 정상 파일 동기화처럼 보이는 데이터 유출, 암호화 통신으로 위장한 C2 통신, 악성 페이로드 전달이 모두 같은 경로를 통과할 수 있다는 점이 위험하다.
탈취 계정이 만드는 내부 이동 위험
보고서에서 가장 심각한 부분은 침입 이후의 확산 위험이었다. 응답자의 81%는 내부 이동을 주요 우려로 꼽았지만, 77%는 공격자가 내부 이동을 시작했을 때 이를 제대로 억제할 자신이 없다고 답했다. 침해된 세션을 단일 애플리케이션으로 제한할 수 있다고 답한 조직은 11%뿐이었다. 반대로 32%는 탈취된 계정 하나로 전체 네트워크 접근이 가능하다고 답했고, 14%는 공격자가 어디까지 접근할 수 있는지 알 수 없다고 답했다.
애플리케이션 단위 세분화도 부족했다. 응답자의 56%는 VPN을 통한 애플리케이션별 세분화가 없다고 답했다. 24%는 인증 이후 사실상 열린 접근을 제공한다고 응답했다. 이는 VPN 접속이 내부망 접근으로 이어지고, 내부망 접근이 다시 다수 시스템으로 확산될 수 있는 구조라는 의미다.
자격증명 탈취는 모든 위험 항목에서 가장 높은 수준의 우려로 나타났다. 응답자의 63%는 VPN 공격 위험 중 자격증명 탈취를 가장 큰 위협으로 꼽았다. 70%는 VPN 아키텍처 측면의 최우선 위협으로 자격증명을 지목했고, 68%는 랜섬웨어 침입 경로로 탈취된 계정을 꼽았다. 84%는 이에 대해 극심하거나 상당한 우려를 표시했다. 그러나 제3자 VPN 접근 권한을 정기적으로 감사하지 않거나 감사 여부를 모른다고 답한 조직도 57%에 달했다.
이 수치는 VPN 기반 원격접속에서 계정 관리가 얼마나 중요한지를 보여준다. 특히 협력사, 외주 인력, 유지보수 업체 계정이 오랫동안 방치되면 공격자는 정상 사용자처럼 내부에 들어올 수 있다. 계정 하나가 단일 업무 애플리케이션이 아니라 내부망 전체 접근으로 이어지는 구조에서는 침입 이후 피해 범위가 커질 수밖에 없다.
랜섬웨어 침입 경로로 부상한 VPN
랜섬웨어 공격자에게 필요한 것은 침입 경로, 내부 이동 공간, 공격을 실행할 시간이다. 보고서는 VPN이 이 세 가지 조건을 모두 제공할 수 있다고 분석했다. 랜섬웨어의 VPN 환경 내 주요 진입 벡터로는 탈취된 자격증명이 68%로 가장 높았고, 패치되지 않은 VPN 집중장비가 59%, 세분화 부재가 53%, 제3자 접근이 50%로 나타났다.
보고서는 포그(Fog) 랜섬웨어 그룹이 VPN 로그인부터 암호화까지 2시간 이내에 공격 체인을 완료한 사례를 언급했다. 또 FBI와 CISA의 공동 권고를 근거로 아키라(Akira) 랜섬웨어가 VPN 기반 캠페인을 통해 4,200만 달러 이상을 확보했다고 설명했다. 보고서가 제시한 공격 흐름은 단순했다. 탈취 계정 또는 취약점 악용으로 진입하고, 넓은 네트워크 접근 권한을 확보한 뒤, 평평한 네트워크 구조에서 내부 이동을 수행하고, 트래픽 검사가 부족한 환경에서 최종 암호화 페이로드를 실행하는 방식이었다.
이는 랜섬웨어 대응이 백업이나 복구 체계만으로 끝나지 않는다는 점을 보여준다. 공격자가 처음 접속한 뒤 이동할 수 있는 범위를 줄이고, 세션별 접근을 제한하며, 트래픽을 실시간으로 검사해야 피해 확산을 막을 수 있다. VPN은 접속을 허용하는 순간 내부 이동의 출발점이 될 수 있기 때문에, 접속 이후 권한 범위를 얼마나 좁힐 수 있는지가 핵심 방어 기준이 된다.
사용자 우회와 운영 부담이 키우는 노출
VPN 문제는 보안에만 머물지 않았다. 응답자의 63%는 사용자가 애플리케이션에 더 빨리 접근하기 위해 VPN 통제를 우회한다고 답했다. VPN 우회가 잦아지는 이유는 성능 문제였다. 사용자의 가장 큰 불만은 느린 연결 속도 30%, 기기와 위치에 따른 불안정한 성능 23%, 잦은 연결 끊김 20%였다. 세 항목을 합치면 불만의 73%가 성능과 관련돼 있었다.
응답자의 45%는 VPN이 생산성에 상당하거나 큰 영향을 준다고 답했다. 또 73%는 VPN이 현대적 대안보다 더 많은 운영 노력을 요구한다고 밝혔다. 주요 원인은 패치 복잡성 56%, 현대 보안 스택과의 통합 어려움 50%였다. 이는 VPN이 보안을 위한 장치이면서 동시에 보안팀의 운영 시간을 소모하고, 사용자의 우회를 유발하는 역설적 상황을 만들고 있음을 보여준다.
보안 도구는 사용자가 우회하는 무용지물이 된다. 승인된 접속 경로가 가장 느린 경로가 되면 사용자는 더 빠른 방법을 찾게 된다. 이 과정에서 보안팀이 확인하지 못하는 접속, 관리되지 않는 세션, 비공식 우회 경로가 늘어날 수 있다. 보고서가 VPN을 보안 문제이자 운영 실패로 본 이유다.
제로트러스트 전환과 남은 과제
보고서는 기업들이 VPN의 한계를 인식하고 제로트러스트로 이동하고 있다고 분석했다. 응답자의 84%는 제로트러스트 보안 모델로 전환 중이거나 계획하고 있다고 답했다. 이는 2년 전 78%보다 높아진 수치다. 51%는 VPN 사용량이 감소하고 있다고 답했고, 증가하고 있다고 답한 비율은 10%에 그쳤다.
제로트러스트 전환의 주요 동기는 내부 이동 제거 67%, 운영 부담 감소 62%, 세분화 강화 58%, 랜섬웨어 보호 53%였다. 보고서는 VPN과 제로트러스트가 상당 기간 공존할 가능성이 크다고 봤다. 이 기간에는 기존 VPN 노출이 계속 남기 때문에 고위험 사용자, 제3자, 중요 애플리케이션부터 우선 전환하는 방식이 필요하다.
지스케일러는 대응 방향으로 네 가지를 제시했다. 첫째, 인증 이후 넓은 네트워크 접근을 제거해야 한다. 둘째, 로그인 시점에만 신원을 확인하는 방식에서 벗어나 요청마다 신원, 기기 상태, 행동을 검증해야 한다. 셋째, 암호화 트래픽을 접근 지점에서 인라인으로 검사해야 한다. 넷째, AI 기반 탐지와 대응을 자동화해야 한다. 보고서는 이 네 가지를 CISA 제로트러스트 성숙도 모델의 주요 축과 연결해 설명했다.
이번 보고서는 VPN을 즉시 모두 제거하라는 단순한 주장이 아니다. 공격 속도가 분 단위로 줄어든 상황에서 기존 VPN 구조가 기업의 대응 속도와 가시성을 따라가지 못하고 있다고 경고하고 있다.
국내 기업도 원격접속 환경을 단순히 접속 가능 여부 중심으로 볼 것이 아니라, 계정 탈취 이후 공격자가 어디까지 이동할 수 있는지, 암호화 터널 내부를 얼마나 볼 수 있는지, 중요 취약점을 얼마나 빨리 패치할 수 있는지부터 점검해야 한다고 전문가들은 지적하고 있다.
댓글
0