[인터뷰] 김재기 S2W 센터장 "이미 침투됐다고 가정해야 한다"...형식적...

사진 우측부터 김재기 S2W 위협인텔리전스센터장, 양종헌 S2W 오펜시브연구팀장.

“공격자는 이미 들어왔다고 가정하고 봐야 합니다. 정상 계정으로 들어오면 이게 정상 업무인지, 공격인지 기업 입장에서는 구분이 쉽지 않습니다.”

S2W 김재기 위협인텔리전스센터장이 데일리시큐와 인터뷰에서 꺼낸 이 말은, 왜 지금 기업 보안 점검의 기준이 바뀌어야 하는지를 압축해서 보여줬다. 더 이상 ‘취약점이 있느냐 없느냐’만 확인하는 점검으로는 부족하다는 뜻이다.

실제 공격자는 가장 쉬운 공격 표면을 찾고, 이미 유출된 계정을 활용하고, 침투 후에는 내부 이동과 권한 상승, 정보 탈취까지 조용히 이어간다. 이런 흐름을 외면한 채 인증 취득이나 형식적 컴플라이언스 대응에 머무는 점검은 공격자를 막기보다 보고서를 채우는 절차로 끝나기 쉽다고 두 사람은 지적했다.

판교 S2W 사무실에서 진행된 이번 인터뷰에서 김재기 센터장과 양종헌 S2W 오펜시브연구팀장은 기존 모의해킹 서비스의 한계에 대해 언급했다.

지금 필요한 것은 체크리스트 기반 점검이 아니라, 공격자의 시선으로 들어와 실제 침투 가능성과 탐지·대응 역량까지 함께 검증하는 실전형 레드팀이라는 점이다. 여기에 S2W는 자사의 위협 인텔리전스, 다크웹 분석 역량, AI 전용 도구, 시니어 오펜시브 인력을 결합한 ‘공격자 관점 실전 모의해킹 서비스’를 전면에 내세우고 있다.

기존 모의해킹의 한계, 취약점은 찾았는데 공격은 못 막았다

이들은 기존 점검 방식의 문제를 한마디로 “최소 기준 확인에 머무는 구조”라고 봤다.

양 팀장은 많은 기업이 보안 점검을 의무적으로 해야 하는 절차처럼 받아들이고, 취약점이 발견되면 위험을 줄일 기회가 아니라 추가 업무로 여기는 분위기가 여전히 남아 있다고 진단했다.

인증을 받았으니 끝났다고 생각하는 순간, 점검은 방어 전략이 아니라 행정 절차가 된다는 것.

김 센터장도 비슷한 문제의식을 드러냈다. 특정 버그의 기술적 난도만 보고 가치를 따지는 관행으로는 실제 피해를 설명할 수 없다는 것이다. 단순해 보이는 취약점이라도 고객 정보 유출, 금전 손실, 서비스 장애처럼 비즈니스 영향이 크다면 훨씬 더 위험한 문제일 수 있다. 그런데 기존 점검은 이런 맥락보다 CVE, 취약점 개수, 형식적 조치 여부에 매몰되는 경우가 많았다는 게 그의 설명이다.

실제 현장에서도 이런 한계는 반복됐다. 이미 모의해킹이나 취약점 점검을 받았던 조직이 이후에도 침해를 당하는 사례가 적지 않았다는 것이 두 사람의 공통된 지적이었다.

점검을 받았다는 사실 자체가 방어를 보장하지는 못했고, 공격자가 어떤 경로로 들어와 어디까지 갈 수 있는지를 중심으로 보지 않으면 현실과 동떨어진 결과가 나올 수밖에 없다는 것이다.

공격자 관점으로 설계한 S2W의 실전 모의해킹 서비스

S2W가 내세운 서비스의 출발점은 방어자 시선이 아니라 공격자 시선이다.

방어자 시선은 “방화벽 정책으로 차단하면 효과적일까”, “어떤 솔루션을 도입해야 하는가”에 머물기 쉽지만, 공격자 시선은 “어떤 공격표면이 가장 침투하기 좋을까”, “어떤 정보를 탈취하는 것이 가장 효과적일까”, “ROI 관점에서 어떤 공격 방식이 적합할까”를 먼저 본다는 점이다.

S2W는 지능화된 위협이 기존 방어 체계를 쉽게 우회하는 만큼 이제는 내부가 아닌 공격자 관점에서 방어 전략을 세워야 한다고 강조하고 있다.

이 서비스는 ‘Intelligence-Driven 모의해킹’을 전면에 내세운다.

막연한 추측이 아니라 실제 위협 데이터를 기반으로 공격 시나리오를 구성하고, 다크웹 유출정보인 QUAXAR 등 실제 사이버 위협 데이터를 활용해 현실적인 침투 시나리오를 만든다는 설명이다.

여기에 S2W만의 AI 전용 툴과 실제 범죄자들의 최신 공격 기법을 결합해 점검을 수행하고, 파편화된 취약점이 실제로 어떻게 하나의 위협 체인으로 이어지는지를 증명해 실질적 침투 가능성을 검증하는 구조다.

즉, “취약점이 있습니다”로 끝나는 보고서가 아니라, “이 취약점과 이 노출 정보, 이 계정, 이 운영 방식이 결합되면 공격자는 이런 순서로 들어와 이런 자산까지 도달할 수 있습니다”를 보여주는 방식에 가깝다.

양 팀장은 일반적인 타사 보고서가 취약점 단위의 조치로 끝나는 경우가 많지만, S2W는 공격자 입장에서 여러 단서를 체인 형태로 엮어 보여주고 그 비즈니스 임팩트까지 설명하는 데 차별점이 있다고 말했다.

딥웹·다크웹 CTI가 붙으면 시작점부터 달라진다

S2W 서비스의 가장 큰 특징은 위협 인텔리전스 역량이 점검의 앞단에 붙는다는 점이다. S2W는 자사를 KAIST 보안 연구진을 주축으로 설립된 AI·빅데이터 분석 기반 인텔리전스 전문기업으로 소개하고 있다. 인터폴 공식 파트너로 국제 공조 수사와 국제 포럼에 참여하고 있으며, 세계경제포럼이 선정한 세계 100대 혁신기술 스타트업에 이름을 올렸고, 세계 최초의 다크웹 특화 AI 언어모델 ‘다크버트(DarkBERT)’를 자체 개발했다고 밝히고 있다.

이런 배경은 서비스 설계 방식에서도 이어진다. 김 센터장은 실제 공격자들이 요즘 브루트포싱보다 유효한 계정을 사서 정상 사용자처럼 들어오는 방식을 더 많이 활용한다고 설명했다.

따라서 기존처럼 취약점을 먼저 찾고 시나리오를 거꾸로 붙이는 방식보다, 이미 유출된 계정이나 외부에 노출된 정보가 실제 공격의 출발점이 될 수 있다는 가정에서 테스트하는 편이 더 현실적이라는 것이다. 고객이 허용할 경우 실제 유출 계정 정보를 바탕으로 로그인 가능성과 내부 확장 가능성까지 확인한다는 설명도 덧붙였다.

양 팀장도 같은 맥락에서, S2W는 특정 산업군을 노리는 위협 그룹과 최근 공격 흐름, 공격 표면, 중요 자산 특성을 함께 보고 시나리오를 설계한다고 말했다. 금융, 커머스, 국가과제, 금전 관련 서비스 등 산업별로 공격자가 노리는 포인트가 다르기 때문에, 이를 반영하지 않은 일괄적 점검은 현실성이 떨어질 수밖에 없다는 것이다.

AI와 시니어 전문가 결합, 5일 안에 끝내는 이유

S2W는 이 서비스를 AI와 전문가의 결합 구조로 설명한다. 1단계는 S2W 자체 AI 툴을 활용한 초고속 공격표면 탐지와 1차 취약점 검증이다. 2단계는 디어서치(DirSearch), 뉴클레이(Nuclei) 같은 상용 툴을 활용해 AI 스캔의 사각지대를 보완하고 취약점 유효성을 다시 확인하는 과정이다. 3단계는 자동화 툴이 찾기 어려운 비즈니스 로직 취약점을 시니어 전문가가 수동으로 공략해 실제 파급력을 입증하는 단계다.

이 서비스는 대상 서비스 2개 기준으로 단 5영업일 만에 결과를 도출한다고 전했다. 첫날은 ASM 데이터를 통한 공격표면 확장, 둘째 날은 HTTP 파라미터 분석과 기본 취약점 점검, 셋째 날은 S2W AI 도구를 활용한 자동화 점검과 1차 결과 도출, 넷째 날은 상용 툴 교차 검증과 심층 수동 침투, 다섯째 날은 최종 결과 확인과 대응 방안 수립, 보고서 작성으로 구성된다.

양 팀장은 인터뷰에서 이 5일이라는 기간 자체가 업계와 완전히 다른 수준이라기보다, 같은 기간 안에서도 더 넓은 범위와 더 일정한 품질을 확보하는 데 AI가 기여한다고 설명했다. 특정 인력 개인의 감각에 결과가 좌우되기보다, 내부 도메인 지식과 위협 모델링, 에이전트화된 파이프라인을 통해 일정한 수준의 진단 품질을 유지하려는 구조라는 뜻이다.

실제 해커 방식의 침투 시나리오까지 증명

두 전문가는 공격 시나리오도 비교적 구체적으로 제시한다. 1단계는 외부에 노출된 웹 서버의 SQL 인젝션이나 파일 업로드 같은 사소해 보이는 취약점을 활용해 방화벽을 우회하고 웹셸을 올리는 과정이다. 2단계는 업로드된 웹셸을 바탕으로 DMZ 구간 서버의 관리자 권한을 획득하고, 보안장비 탐지를 우회하는 터널링을 구축하는 단계다. 3단계는 장악한 1차 서버를 거점으로 APP·DB 구간 같은 2차 내부망으로 횡적 이동해 핵심 고객 정보가 담긴 데이터베이스를 최종 탈취하는 흐름이다.

최근 공격자는 외부 진입 한 번으로 끝내지 않는다. 한 번 들어오면 거점을 만들고, 권한을 높이고, 안쪽으로 이동하고, 데이터 반출까지 이어가려 한다. 양 팀장은 “외부에서 들어오는 것만 너무 빡빡하게 보고 내부에서의 활동은 상대적으로 덜 보는 경향”을 문제로 짚었고, 김 센터장은 정상 계정 기반 활동은 정상 업무와 침해를 구분하기 더 어렵다고 설명했다. 결국 점검도 침투 이후 단계까지 들어가야 현실을 따라갈 수 있다는 얘기다.

기업들이 가장 자주 놓치는 보안 사각지대

이어 김 센터장은 기업들이 가장 자주 놓치는 사각지대로 ‘정보의 파편화’를 꼽았다. IOC나 악성 IP를 받아도 그 지표가 왜 위험한지, 어떤 공격과 연결되는지, 긴급도가 어느 정도인지에 대한 맥락 없이 전달되면 내부 대응도 제대로 작동하기 어렵다는 설명이다.

단순히 “위험한 IP이니 차단하라”로는 부족하고, 이 지표가 랜섬웨어 인프라인지, 공격자가 장악한 시스템인지, 특정 그룹의 C2와 연결되는지 같은 컨텍스트가 있어야 보안 플레이북이 제대로 움직인다는 것이다.

또 다른 사각지대는 협력사와 서드파티 리스크였다. 대기업이 보안 투자와 통제를 강화해도, 협력사에서 계약 문서나 계정 정보, 업무 데이터가 노출되면 결국 원청 조직의 위험으로 이어진다는 이야기다. 김 센터장은 이런 문제를 해결하려면 협력사도 함께 보안 투자와 기준 적용을 받는 구조가 필요하다고 지적했다.

양 팀장은 여기에 쉐도우 IT와 운영 프로세스 문제를 더했다. 자산 대장이 최신 상태로 관리되지 않거나, 이벤트용 시스템을 열어둔 뒤 종료 절차가 정리되지 않거나, 퇴사자 계정과 키 관리가 유기적으로 작동하지 않으면 공격자는 그 틈을 먼저 찾는다는 것이다. 그는  기술적 결함만이 아니라 자산관리와 운영 절차 미비가 사고의 실제 원인이 되는 경우가 많다고 설명했다.

결과 보고서도 ‘보여주기’가 아니라 실행 중심

S2W는 이 서비스를 단순 진단으로 끝내지 않는다는 점도 강조한다. 최종 보고서는 어려운 기술 용어 나열이 아니라 경영진이 이해할 수 있는 비즈니스 영향도와 리스크 우선순위를 제시하는 형식으로 작성된다.

실제 공격이 성공한 단계별 재현 증거, 즉 PoC 화면도 함께 제공하고, 단기 패치가 아니라 설계·구현·운영 관점의 근본적 완화 가이드를 코딩 수준까지 제시한다고 밝혔다.

사후 관리 항목도 적지 않다. 발견된 취약점이 조치될 때까지 전담 전문가가 다시 검증하는 리테스트, 동일 취약점 재발 방지를 위한 맞춤형 자동화 검증 스크립트 제공, 조직 전반의 지속적 위협 가시성 확보까지 포함돼 있다. 요약하면 ‘취약점 몇 개 찾아주고 끝나는 모의해킹’이 아니라, 실제 개선과 재발 방지까지 이어지는 체질 개선형 서비스라는 설명이다.

두 사람은 레드팀의 목적이 공격 성공 여부 자체가 아니라 기업의 탐지·대응 역량을 검증하는 데 있다고 거듭 말했다.

김 센터장은 점검 결과를 오답노트처럼 써야 한다고 했고, 양 팀장은 취약점 개수보다 왜 탐지하지 못했는지, 블루팀은 그동안 무엇을 보고 있었는지, 조직의 어떤 준비가 부족했는지를 봐야 한다고 말했다.

결국 중요한 것은 발견된 취약점 수가 아니라, 그 결과를 조직이 어떻게 바꾸느냐는 점이었다.

AI 시대, 실전형 레드팀은 더 중요해진다

생성형 AI 확산 이후 공격자는 정찰, 피싱, 사회공학, 코드 작성, 자동화된 점검에 AI를 활용하고 있다. 두 사람은 이런 변화가 공격의 절대량을 늘릴 것으로 봤다.

김 센터장은 누구나 클릭 몇 번으로 공격 시도를 늘릴 수 있게 되면 들키는 공격은 훨씬 많아질 수 있다고 말했다. 반면 정말 정밀하게 들키지 않는 공격은 여전히 고도의 분석과 창의성이 필요한 영역으로 남을 것이며, 그 부분을 다루는 인력의 가치가 더 커질 수 있다고 내다봤다.

양 팀장은 내부적으로 URL 하나를 넣으면 비즈니스 로직을 이해하고, 공격 벡터를 찾고, 플랜을 세우고, 자동 테스트까지 이어가는 연구도 하고 있다고 설명했다. 아직 AI가 사람의 직관을 완전히 대체할 수준은 아니지만, 앞으로는 쿠폰 악용이나 로직 변조 같은 비즈니스 공격까지 점점 더 자동화될 수 있다고 전망했다. 따라서 보안조직도 자기 영역만 보지 말고 전체 흐름을 이해하고, AI를 활용한 방어 역량까지 함께 키워야 한다는 것이다.

결국 지금 기업이 가져야 할 관점은 ‘보여주기식 점검’이 아니라 ‘사전 투자형 검증’에 가깝다. 김 센터장은 이를 건강검진에, 양 팀장은 예방주사에 비유했다. 사고가 난 뒤 병원으로 달려가는 것보다, 정기적으로 상태를 확인하고 서비스 오픈 전이나 공격표면 변화가 있을 때 먼저 점검하는 편이 훨씬 싸고 효과적이라는 의미다.

기존 모의해킹이 취약점 목록과 형식적 보고서에 머무는 동안, 실제 공격자는 이미 한발 앞에서 기업의 운영 방식과 계정, 외부 노출 정보, 산업별 약점을 묶어 공략하고 있다.

지금 기업에 필요한 것은 인증서 한 장이 아니라, 공격자가 실제로 어디로 들어오고 어디까지 갈 수 있는지를 먼저 확인해보는 일이다. S2W가 말한 공격자 관점 실전 모의해킹 서비스는 바로 그 지점을 파고들고 있었다.