'한국 금융사 16곳 해킹'에도 거론된 AI 도구···MS가 지목한 해커 정체는

마이크로소프트(MS), 스톰-0940 공격 경고

AI 모의침투 도구 아르텍스로 개인정보 유출 시도

MS, AI 활용한 중국 해킹 조직 글로벌 IT 기업 위협 밝혀. 그래픽=박혜수 기자

중국과 연계된 것으로 지목된 해킹 조직이 인공지능(AI) 기반 모의침투 도구를 활용해 미국 IT 서비스업체 커넥트와이즈를 공격한 것으로 나타났다. AI를 활용한 사이버 공격이 여러 산업과 국가를 대상으로 확산하면서 기업들의 보안 관리 중요성이 커지고 있다.

21일(현지시간) 로이터통신에 따르면 마이크로소프트(MS)는 중국 연계 해킹 조직으로 추정되는 '스톰-0940'이 중국산 오픈소스 AI 모의침투 도구 '아르텍스(ARTEX)'를 이용해 전 세계 수백 개 조직을 겨냥한 공격 활동을 벌였다고 밝혔다.

아르텍스는 시스템의 취약점을 점검하는 프레임워크로, AI 모델을 활용해 정찰과 데이터 유출 등 일부 작업을 자동화할 수 있다.

MS는 스톰-0940이 이르면 지난 9월부터 아르텍스를 사용한 것으로 파악했다. 이달 10~14일에는 8개 조직의 계정 327개를 대상으로 비밀번호 대입 공격을 시도해 15만1천 건이 넘는 로그인 실패가 발생했지만, 해당 시도에서는 인증에 성공하지 못했다고 설명했다.

MS는 아르텍스가 한국 금융기관을 대상으로 한 개인정보 유출 사건과 관련된 공격에도 사용됐다는 보고를 언급했다. 앞서 국내에서는 이달 초부터 16곳 이상의 금융회사에서 10만 건 이상의 정보가 유출된 것으로 집계됐다. 미국 보안업체 레코디드퓨처와 크라우드스트라이크는 이 사건과 관련해 아르텍스와 여러 AI 모델을 활용한 중국어 사용 행위자를 지목했다. 다만 공개된 설명만으로는 국내 정보 유출 사건과 커넥트와이즈 공격의 배후가 동일하다고 단정하기 어렵다.

이번 공격에서 주목되는 부분은 신뢰받는 애플리케이션의 신원을 활용해 접근을 시도했다는 점이다. MS에 따르면 공격자는 커넥트와이즈 앱의 신뢰받는 신원을 이용해 사용자와의 대화형 로그인 절차 없이 인증을 통과했다. 커넥트와이즈는 중소기업의 IT 운영을 대행하는 관리형 서비스 제공업체(MSP)로, 공격자는 이를 통해 여러 고객 조직에 접근하려 한 것으로 추정된다.

공격 표적에는 항공우주, 방위산업, 자동차, 화학, 에너지, 금융, 정부, 법률, 반도체, 소프트웨어 분야와 싱크탱크 등이 포함됐다. MS는 공격 대부분이 성공하지 못했지만, 일부 사례에서는 최초 표적화 이후 3시간 이내에 클라우드 환경에서 높은 권한의 지속적인 접근이 확보됐다고 밝혔다.

커넥트와이즈는 지난 16일 클라우드 백업 환경과 관련한 최근의 무단 접근 시도를 조사하고 있다고 발표했다.

AI를 활용한 공격은 반복적인 작업을 자동화해 공격 시도 규모와 속도를 높일 수 있다는 점에서 보안 업계의 우려를 낳고 있다. 특히 여러 고객사의 IT 시스템을 관리하는 서비스 업체가 공격받을 경우 피해가 다른 조직으로 확산할 수 있어, 기업들은 계정 인증과 클라우드 접근 권한, 외부 서비스와 연결된 시스템의 보안 상태를 점검할 필요가 있다.