국가 연계 그룹 활동 분석한 ‘APT 그룹 분석 보고서’ 발간
국가 연계 그룹, AI 에이전트 활용 공격 단계로 진화
북한, 사회공학 기법·공급망 공격 능해
중국, 미국과 AI 군비 경쟁 가능한 유일한 국가
[데이터넷] AI가 매우 위험한 공격 무기로 사용될 것이라는 우려가 확산되는 가운데, 실제로 AI가 사이버 공격에 실전 배치되고 있다는 분석이 잇달아 나오고 있다.
트렌드마이크로 엔터프라이즈 사이버 보안 사업부 트렌드AI의 최신 보고서는 “AI가 실험 단계를 벗어나 정찰 자동화, 피싱 미끼 생성, 악성코드 명령의 동적 생성 등 공격에 실전 배치됐다”며 “완전 자율 공격은 아직 초기 단계이지만, 부분적 자동화만으로도 공격 속도는 크게 빨라졌다”고 분석했다.
정부·기술 부문 집중 공격 증가
이 보고서는 지난해 지능형 지속 위협(APT) 그룹의 공격 사례를 분석한 것으로, 특히 국가 연계 그룹의 AI 활용 전략을 집중적으로 다뤘다. 국가 연계 그룹은 AI를 보조 도구로 사용하는 단계를 넘어, 실시간 적응이 가능한 자율형 AI 에이전트를 배치하는 단계로 전환하고 있다.
AI에 가장 적극적으로 투자하는 중국은 기술 자주권을 기반으로 세계 패권 확보를 위한 활동을 벌이고 있으며, 특히 산업 스파이 활동에 집중 투자하고 있다. 북한은 정권 유지를 최우선 목표로 삼고 금전 탈취와 군사적 비대칭성을 활용한 정보 탈취에 집중하고 있다. 러시아는 서방의 고립 압박에 대응해 국가 주권 수호에 투자하는 한편, 그레이 마켓과 해킹 기술 개발, 전략적 사보타주에 집중하고 있다.
이러한 기술을 활용해 정부·기술 부문을 집중 공격하고 있으며, 에너지 및 핵심 인프라를 겨냥한 공격도 지속적으로 증가하고 있다.
북한, 암호화폐 탈취·공급망 공격 집중
북한 사이버 위협 활동의 가장 큰 특징은 사회공학 기법을 교묘하게 활용한다는 점이다. 위장 취업이나 채용, 작업 의뢰로 가장해 침투한 후 서드파티 및 공급망을 악용해 추가 침투를 시도한다. 보고서는 이러한 행태를 ‘디지털 게릴라’로 설명한다. 또한 지난해 러시아와 국방 협정을 체결하면서 AI 기반 사이버 범죄 수행에 필요한 고성능 컴퓨팅 자원도 확보한 것으로 분석했다.
북한은 공격적으로 암호화폐를 탈취하고 있으며, 탈취 규모는 해마다 큰 폭으로 증가하고 있다. 또한 NPM 패키지 기반 악성코드, 가짜 채용 공고를 이용한 정교한 소셜 해킹 등을 통해 연쇄적인 피해를 확산시키고 있다. 이러한 활동은 금전 목적뿐 아니라 정교한 사이버 스파이 활동을 위한 목적도 포함하고 있다.
중국·러시아, 지속 가능한 AI 생태계 구축
중국은 ‘AI 플러스 이니셔티브’를 적극 추진하며 자체적인 지속 가능한 AI 생태계를 구축하고 있다. 자체 AI 알고리즘을 확보하고 있으며, 초고압(UHV) 전력망을 기반으로 미국과 AI 군비 경쟁을 지속할 수 있는 유일한 국가로 평가받는다.
중국 연계 APT 그룹은 다른 전문 공격 조직과 공격 인프라를 공유해 공격 효율성을 높이고 있다. 트렌드AI는 이를 ‘프리미어 패스-애즈-어-서비스(Premier Pass-as-a-Service)’로 설명하며, 공격 주체 규명을 더욱 어렵게 하고 2차 악용 속도를 높이는 전략이라고 분석했다.
러시아는 풍부한 에너지 자원을 기반으로 AI를 구동하고 있으며, 이를 전쟁 및 감시 목적으로 활용해 적국과 자국 내 반정부 세력을 감시하는 데 사용하고 있다. 러시아 연계 ‘레임허그(LAMEHUG)’는 AI 기반 적응형 악성코드로, 공격 도구를 ‘AI 에이전트’ 단계로 끌어올린 사례로 평가된다.
집단 방어 체계 구축 필요
보고서는 APT가 지정학적·경제적 목표를 추구하는 지속적이고 반자율적인 위협 주체로 진화하고 있다고 분석했다. 사이버 작전은 군사 작전과 점점 더 긴밀하게 연계되고 있으며, 공격 그룹 간 협력으로 공격 효율성을 높이고 비용은 낮추고 있다. 이로 인해 보안 조직에 허용되는 대응 시간은 빠르게 줄어들고 있다.
보고서는 “막대한 자원을 보유한 국가 연계 행위자들은 경계 방어를 우회하고, 신뢰 관계를 악용하며, 장기간 은밀한 접근을 유지하는 능력을 지속적으로 고도화하고 있다”며 “보안의 전략적 목표는 침입을 완전히 차단하는 것이 아니라 피해를 최소화하고, 공격자가 목표를 달성하기 전에 복구하는 데 초점을 맞춰야 한다”고 강조했다.
이어 “이미 침해를 가정하고 공격자의 체류 기간을 단축할 수 있는 탐지 체계를 갖추고, 네트워크를 세분화하며, 정기적인 테스트와 사고 대응 계획을 유지해야 한다”며 “무엇보다 조직·정부 기관 간 협력을 통해 집단 방어 체계를 구축해야 한다”고 덧붙였다.
Tag
댓글
0