“정교한 피싱 사이트 한 개, 30초면 뚝딱”...AI 악용 사이버 공격에 韓 무방비

작성일 07-04

<div id="layerTranslateNotice" style="display:none;"></div>  <strong class="summary_view" data-translation="true">AI로 SW 약점 탐지해 공격<br>사이버 공격 방어 어려워져<br>국가적 차원 전략 마련 시급</strong> 
        <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> 
         <section dmcf-sid="tHDAZeuSNh">
          <figure class="figure_frm origin_fig" contents-hash="0ff3db84836d7216965f1cacfea5e7549de8bb5fc351422f2c3d13b78d6df42c" dmcf-pid="FyAgYQ3IoC" dmcf-ptype="figure">
           <p class="link_figure"><img alt="[이미지 = 픽사베이]" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202507/04/mk/20250704060006706hqdj.jpg" data-org-width="700" dmcf-mid="Z4ptMvg2gv" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202507/04/mk/20250704060006706hqdj.jpg" width="658"></p>
           <figcaption class="txt_caption default_figure">
            [이미지 = 픽사베이]
           </figcaption>
          </figure>
          <div contents-hash="37d77266349e68d84e4503f591e9acf14401ed2ecfd6aef2e98fb7b35e7c00b6" dmcf-pid="3WcaGx0CAI" dmcf-ptype="general">
           최근 미국에서 해커들이 생성형 인공지능(AI) 개발 도구인 버셀의 ‘V0’를 악용해 실제 웹사이트와 구분할 수 없는 피싱 사이트를 자동으로 만들어낸 사례가 잇달아 확인돼 논란이 되고 있다. 프로그래밍 지식이 없는 사람이라도 특정 사이트의 복제본을 만들어달라는 명령어 한 줄만 입력하면 단 30초 만에 정교한 가짜 페이지가 완성되기 때문이다.
          </div>
          <p contents-hash="082eeb3e9c4a4d75ec7cbffc8947ef04701edfa56d56589724f458afe4fb2898" dmcf-pid="0YkNHMphgO" dmcf-ptype="general">이처럼 사이버 공격 수법이 날로 진화하면서 개별 기업이나 기관 단위의 방어만으로는 충분한 대응이 어렵다는 진단이 나오고 있다. 특히 AI 기술을 악용한 공격이 늘어나면서 민관 협력과 국가적 차원의 보안 전략 마련이 시급하다는 목소리가 높아지고 있다.</p>
          <p contents-hash="437cf385cd76cb8263b346c43c717e58cc4b850542cd25daa9497a2538a2363e" dmcf-pid="pGEjXRUlas" dmcf-ptype="general">3일 보안 업계에 따르면 사이버 안보 역량이 가장 뛰어나다고 평가받는 미국에서도 중국·러시아·북한 등 국가 단위 배후로 추정되는 AI 해킹 공격에 골머리를 앓고 있다. 지난 2월 북한 연계 해커 조직이 딥페이크를 이용해 정보기술(IT) 원격 근로자로 위장한 채 기업 내부에 침투하려고 시도한 사실이 드러난 것이 대표적인 사례다. 오픈AI가 최근 공개한 ‘위협 인텔리전스 보고서’에 따르면 지난해 챗GPT를 활용한 국가 연계 해킹 조직의 사이버 공격 시도를 포착해 차단한 사례가 20건이 넘는다.</p>
          <p contents-hash="0f367adee3eff64a9cdf93f79208065fc319dce60e856ce78e7043061edfd9e9" dmcf-pid="UHDAZeuScm" dmcf-ptype="general">한국도 안전지대는 아니다. 다크웹에서는 대규모 언어모델(LLM)을 해킹 공격에 효과적으로 이용하기 위한 연구 자료와 최신 논문이 공유되고 있고, 일부 사용자는 프롬프트를 교묘히 변경해 LLM이 직접 공격 코드를 생성하도록 유도하는 방법까지 확산시키는 등 AI를 악용한 해킹 도구와 기법이 확산되고 있다는 분석이다.</p>
          <figure class="figure_frm origin_fig" contents-hash="f73cfa02abee08a39b9dd5680d956ccb92ce1fc7fa78b217f610a190e92beb1a" dmcf-pid="uXwc5d7vor" dmcf-ptype="figure">
           <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202507/04/mk/20250704060008041uheo.png" data-org-width="700" dmcf-mid="5zmEtiqyAS" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202507/04/mk/20250704060008041uheo.png" width="658"></p>
          </figure>
          <div contents-hash="342252bd739cae5e6f7e79325f71f438d77e06796d14a8ae81d868d7f14e88a7" dmcf-pid="7Zrk1JzTNw" dmcf-ptype="general">
           박태환 안랩 사이버시큐리티센터 본부장은 “자연스러운 문장과 가짜 기업 문서를 활용한 이력서 위장 악성코드가 유포되는 등 AI를 활용해 정교한 피싱 이메일·문서·SNS 메시지를 제작해 악용하는 사례가 늘고 있다”며 “기존 보안 솔루션의 탐지 패턴을 분석한 후 이를 우회할 수 있도록 AI로 변종 코드를 생성하는 수법도 등장하고 있다”고 우려했다.
          </div>
          <p contents-hash="75a741c391c7aa5201618f7e2739526822838b0f751905ebe061a7543ebf935f" dmcf-pid="z5mEtiqyAD" dmcf-ptype="general">보안 기업 자체가 공격 대상이 되고 있는 사례도 등장하고 있다. 지난 2월 신원 미상의 해커 집단이 국내 한 보안 소프트웨어 기업의 코드서명 인증서를 탈취한 뒤, 이를 악용해 정상적인 프로그램처럼 위장된 악성코드를 유포하는 대담한 사이버 공격을 감행했다. 기업과 공공기관에서 사용하는 주요 보안 소프트웨어를 대상으로 한 공격도 활발하다는 게 업계 얘기다. 국가정보원은 최근 발간한 ‘2025 국가정보보호백서’에서 “IT 제품의 취약점을 악용한 소프트웨어 공급망 공격이 지난해보다 두 배 이상 늘었다”며 “특히 북한 해킹조직은 방산·위성·반도체·건설 관련 기술 절취에 주력하고 있다”고 밝혔다.</p>
          <p contents-hash="7372d9380362eac316aaae891caa77a2cb36ee340721ca84502ee8d5967880eb" dmcf-pid="q1sDFnBWjE" dmcf-ptype="general">한국의 사이버 보안 태세는 고도화되고 있는 사이버 공격을 감당하기에는 역부족이라는 목소리가 높다. 민·관 합동 대응 체계가 유명무실하고 사이버 안보 컨트롤 타워가 제대로 기능하지 못하고 있다는 지적이다.</p>
          <figure class="figure_frm origin_fig" contents-hash="4de1b03d12bbb642b1f7c39280b874996f43e3f3d3adce7b5a9ab30452eff18a" dmcf-pid="BtOw3LbYAk" dmcf-ptype="figure">
           <p class="link_figure"><img alt="[이미지 = 픽사베이]" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202507/04/mk/20250704060009325tqib.jpg" data-org-width="700" dmcf-mid="1GVbNtmeNl" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202507/04/mk/20250704060009325tqib.jpg" width="658"></p>
           <figcaption class="txt_caption default_figure">
            [이미지 = 픽사베이]
           </figcaption>
          </figure>
          <div contents-hash="58c2ad332edd16c5dfe409ebad0b7906ecae3af8006fd6907f5566f6d0f38e4f" dmcf-pid="bR70dWj4jc" dmcf-ptype="general">
           미국의 경우 정부가 해커 조직의 수사와 처벌에 직접적으로 나서는 추세다. 2022년 스페인에서 랜섬웨어 공격으로 공공기관 행정 마비 사태가 발생하자 미 연방수사국(FBI)이 독일·네덜란드 경찰 등과 국제 공조를 통해 해커 집단의 서버와 다크웹 사이트를 압수·차단한 것이 대표적인 예다. 당시 미 국무부는 공격 배후에 관한 정보 제공자에게 최대 1500만달러의 현상금을 내걸고 해커 조직 해체를 위한 작전에 힘을 실은 바 있다.
          </div>
          <p contents-hash="af4ea420bc4066b636fe82ca687d705588a216aea34e8c5fc3d2a67d15a4fe55" dmcf-pid="KezpJYA8NA" dmcf-ptype="general">반면 한국은 국가정보원이 공공 분야, 과학기술정보통신부 한국인터넷진흥원(KISA)이 민간 분야 정보보호를 담당하는 등 대응 체계가 분리돼 있어 즉각적으로 일원화된 대응을 하지 못하고 혼선을 빚는 일이 발생하고 있다.</p>
          <p contents-hash="287b6fe21ea1ec3abe890281a94b48a585cde973ccf2bb954e0734c2eb94e102" dmcf-pid="9dqUiGc6aj" dmcf-ptype="general">사이버 공격 대응 책임을 개별 기업이나 기관에만 전가하는 것도 문제로 지적된다. 보안사고 은폐나 축소 등의 부작용을 초래하고 있다는 이유에서다.</p>
          <p contents-hash="465b09432a5be551918f4bedc09f2964f30cec2c929d33dbb416118937fcf069" dmcf-pid="2JBunHkPoN" dmcf-ptype="general">실제로 국내에서는 사이버 공격으로 피해를 당해도 신고를 하지 않고 무대응으로 일관하는 경우가 다반사다. 한국정보보호산업협회(KISIA)가 국내 6500개 기업을 대상으로 실시한 ‘2024 정보보호 실태조사’에 따르면 지난해 해킹 피해를 당한 기업이 실제 신고한 비율은 19.6%에 그쳤다. 침해 사실을 확인한 기업 5곳 중 4곳이 신고하지 않은 것이다.</p>
          <p contents-hash="ce0360de27e1b81b8cbb18ba47a81baf82c58deb7f3ef13014aad261b37742b5" dmcf-pid="Vib7LXEQga" dmcf-ptype="general">침해 사고를 신고하지 않은 이유는 ‘피해 규모가 경미해서’(73.7%·중복 응답 기준)가 가장 많았고 ‘신고에 따른 업무가 복잡해서’(54.3%)와 ‘피해 사실이 알려지는 것이 두려워서’(17.6%) 등이 뒤를 이었다. 이와 관련해 업계에서는 “피해 기업 처벌보다는 사이버 공격 자체를 방어할 수 있는 국가적 예방 체계를 강화하는 데 정책 우선순위를 둬야 한다”는 목소리가 높다.</p>
          <p contents-hash="c3d197adb0a31cec06ad6905d21633ecc794094d460748ec8d89a42663350669" dmcf-pid="fnKzoZDxag" dmcf-ptype="general">한 IT 기업 고위 관계자는 “일본이 ‘적극적 사이버 방어법’을 만들면서 기업 단위 해킹이 발생했을 때 해당 기업을 가해자로 바라보지 않고 해킹 배후를 밝혀내고 피해를 최소화하기 위한 민관 협력을 강조한 것을 참고할 만하다”고 말했다. 이와 관련해 다이라 마사아키 일본 디지털청 장관은 최근 니혼TV 인터뷰에서 “일본을 대표하는 기업도 혼자 스스로를 지키기가 어렵다”며 “공격자의 배경과 의도를 모르면 방어가 어렵다. 기업들이 (신고에) 큰 부담을 느낀다면 적극적 사이버 방어 체계가 제대로 작동하지 않을 것”이라고 말했다.</p>
         </section> 
        </div> 
        <p class="" data-translation="true">Copyright © 매일경제 &amp; mk.co.kr. 무단 전재, 재배포 및 AI학습 이용 금지</p>

등록된 댓글이 없습니다.

로그인한 회원만 댓글 등록이 가능합니다.

먹튀폴리스

“정교한 피싱 사이트 한 개, 30초면 뚝딱”...AI 악용 사이버 공격에 韓 무방비

멤버랭킹

관련자료

멤버랭킹