 |
| 아시아뉴스통신 DB |
[아시아뉴스통신=장하영 기자] 과학기술정보통신부(부총리 겸 과학기술정보통신부 장관 배경훈, 이하 ‘과기정통부’)와 한국인터넷진흥원(원장 이상중, 이하 ‘KISA’)은 국내 기업들이 갈수록 고도화되고 있는 사이버위협에 선제적으로 대응하고, 사이버침해사고로 인한 피해를 최소화할 수 있도록 지원하기 위해서 “2026년도 상반기 국내 사이버위협 동향”을 발표했다.
과기정통부(KISA)는 올해 상반기에 KISA에 접수된 침해사고 통계를 분석하고, 국내 및 글로벌 정보보안 전문가와 협력 네트워크*를 구성하여 상반기 침해사고 핵심 유형을 분류한 상반기 사이버위협 동향과 함께 전문가 기고문을 보고서에 담았다.
< 침해사고 통계 >
2026년 상반기에는 KISA에 1,236건의 침해사고가 신고·접수되어 2025년 상반기보다 19.5% 증가했고, 신고·접수가 가장 많았던 2025년 하반기보다는 8.4% 감소했다. 국내 민간 전문가들은 이와 같은 침해사고 신고 추세에 대해 작년 통신 3사 침해사고(’25.4월, 9월, 10월)를 계기로 침해사고 신고에 대한 기업 인식 개선이 ’25년 하반기 침해사고 신고에 반영되어 가장 높은 침해사고 신고 건수를 기록했을 것이라는 의견을 제시했다.
침해사고 유형별로는 분산서비스거부 공격(DDoS, Distribute Denial of Service)과 랜섬웨어 감염 신고가 큰 증가세를 보였다. ①서버 해킹은 조사 대상 전체 기간 중 가장 큰 비중을 차지하고 있으며, 신고 건수는 2025년 상반기 531건에서 2026년 상반기 487건으로 8.3% 감소했다. 반면, ②DDoS 공격은 2025년 상반기에 238건에서 2026년 상반기 373건으로 56.7% 큰 증가세를 보여주고 있다. ③랜섬웨어 신고는 145건으로 악성코드 감염 신고 201건의 72.1%를 차지했다. 이는 2025년 상반기 82건보다 63건(76.8%) 증가를 나타낸다.
< 2026년 상반기 사이버위협 동향 >
과기정통부(KISA)는 국내 및 글로벌 정보보안 전문기업 15개 社 전문가들과 함께 올해 상반기 사이버 침해사고 중 핵심 유형 5가지를 도출하였다. 이를 유형별로 분류하여 사고원인 분석, 기술적 특징 및 기업 정보보호 관리체계에 반영해야할 사항들을 제시함으로써 국내 기업들이 자율적으로 자체 정보보호 역량을 강화할 수 있도록 지원하였다.
① 생성형 AI 확산에 따른 보안 위협
인공지능(AI)은 취약점 탐지, 악성코드 분석, 코드 검토, 보안 이벤트 요약 등 방어 업무의 생산성을 높이고 있다. 그러나 공격자들이 AI를 활용하면, 공격 대상의 취약점 탐색, 패치 전후 코드 비교, 공격 코드 초안 작성, 정찰 결과 정리, 반복 실험이 빨라질 수 있다. 모든 공격이 완전히 자동화되는 것은 아니더라도, 공격 준비에 드는 시간과 비용이 줄어들면 기존보다 더 많은 대상을 짧은 시간에 분석할 수 있다.
특히, AI 에이전트는 이메일, 코드 저장소, 클라우드 서비스, 협업 플랫폼 등 외부 시스템과 연결돼 자율적으로 업무를 수행하면 공격 표면을 크게 넓힐 수 있다. 특히, 악성 지시문 주입(Prompt Injection), 권한 오남용, 민감정보 유출, 악성 도구 호출, 잘못된 자동 실행이 발생할 수 있다.
② 오픈소스 생태계를 노린 개발자 계정 탈취와 소프트웨어 공급망 공격의 고도화
공격자들은 정보탈취형 악성코드(Infostealer)를 개발자 단말과 클라우드 개발환경에 무단으로 설치하고, 소프트웨어 소스코드 개발 관리(GitHub), 자바스크립트 개발 관리(npm) 및 파이썬 개발 관리(PyPI) 환경의 계정 비밀번호, 개인 접근 토큰(PAT, Personal Access Token), 클라우드 접근 키를 주요 표적으로 삼고 있다. 탈취된 계정정보, 토큰 및 접속 키 등 자격증명은 정상 프로젝트의 유지관리 권한을 악용하거나, 지속적 통합·지속적 배포(CI/CD, Continuous Integration/Continuous Delivery) 파이프라인을 통해 악성 패키지를 배포하거나 기업 정보를 탈취하는데 직접 사용되고 있다.
공급망 공격은 개발자 한 명의 피해로 끝나지 않는다. 정상 패키지를 신뢰한 다수 기업과 기관의 빌드 서버, 개발자 단말, 운영환경으로 악성코드가 연쇄 확산될 수 있다. 특히, 자동화 계정과 빌드 파이프라인은 사람의 확인 없이 광범위한 배포를 수행하기 때문에 하나의 토큰 노출이 수백 개 저장소와 서비스의 침해 및 정보유출로 이어질 수 있다.
③ 국제 핵티비스트의 국내 대상 DDoS 공격 증가와 서비스 가용성 위협
국제 핵티비스트(Hacktivist) 그룹이 국내 공공기관과 민간기업을 공격 대상으로 지목하면서 분산 서비스 거부 공격(DDoS, Distributed Denial of Service)에 대한 경계가 높아졌다. RipperSec 해킹조직은 텔레그램 채널 등을 통해 우리나라 기업 등을 공격 대상으로 언급하고 국내 기관에 대한 공격을 예고하거나 공격을 실제 수행했다고 주장한 사례를 소개하기도 하였다.
이들 공격의 주된 목적은 기밀정보 탈취보다 대외 서비스의 가용성을 떨어뜨려 사회적 혼란을 유발하고, 조직의 존재감을 과시하는 데 있다. 공격 성공 여부와 장애 화면을 사회관계망서비스(SNS, Social Networking Service)와 메신저에 게시해 대상 기관의 심리적 부담과 대외적 혼란을 키우는 것을 목적으로 한다.
기업들은 평상시에 인터넷 서비스 제공 사업자(ISP, Internet Service Provider), 클라우드 서비스 제공 사업자(CSP, Cloud Service Provider) 및 한국인터넷진흥원(KISA) 등과 비상 대응 절차를 협의하고, 대응할 수 있는 체제를 갖추어야 한다.
중소기업들은 KISA에서 제공하는 'DDoS 사이버대피소'를 무료로 이용할 수 있다. KISA 보호나라 웹사이트를 통해 사전입주를 신청할 수 있으며, 실제 공격을 받아 서비스가 마비되는 긴급 상황이라면 국번 없이 KISA 상담센터, 사이버대피소로 연락하여 사이버대피소 서비스 지원을 신청하거나 상담받을 수 있다.
④ 랜섬웨어 공격의 지속적인 고도화와 데이터 유출을 결합한 이중 갈취 확산
랜섬웨어는 제조, 물류, 유통, 정보기술(IT, Information Technology) 서비스 등 산업 전반의 핵심 위협으로 지속되고 있다. 공격자는 시스템을 암호화하기 전에 중요 데이터를 외부로 빼낸 뒤, 복호화 대가와 데이터 비공개 대가를 동시에 요구하는 이중 갈취 방식을 사용하고 있다. 내부망에 장기간 잠복해 자료를 수집한 후 암호화를 수행하면 업무 중단, 정보 유출, 법적 책임, 평판 훼손이 동시에 발생하게 된다.
서비스형 랜섬웨어(RaaS, Ransomware-as-a-Service)와 초기 접근 브로커(IAB, Initial Access Broker)의 분업 구조가 정착되면서 전문 공격자가 아니어도 침해된 계정이나 원격접속 권한을 구매해 공격에 참여할 수 있게 되었다. 협력업체와 공급망 계정을 우회 경로로 이용하는 사례가 늘면서, 대기업뿐 아니라 중소·중견기업과 협력사도 직접적인 표적이 되고 있다.
랜섬웨어 대응은 악성 파일 차단에 국한해서는 안 된다. 초기 침투부터 권한 상승, 내부망 이동, 데이터 수집·압축·외부 전송, 백업 훼손, 대량 암호화까지 공격 전 과정을 탐지하고 복구할 수 있어야 한다.
⑤ API 및 계정 탈취를 악용한 개인정보 유출 위협 지속
개인정보 탈취 공격은 전통적인 데이터베이스(DB, Database) 서버 침해에서 외부 API와 사용자 계정을 악용하는 방식으로 확대되고 있다. 공격자는 인증 우회, 객체별 권한 검증 미흡, 과도한 데이터 반환, 예측 가능한 식별자 등 API 설계상의 취약점을 이용한다.
또한, 다크웹이나 과거 유출 사고에서 확보한 계정정보를 자동화 도구로 대량 대입하는 ‘계정정보 재사용 공격’(크리덴셜 스터핑, Credential Stuffing)을 수행한다. 이러한 요청은 정상 서비스 이용과 형태가 유사해 기존 네트워크 보안장비만으로 비정상 행위를 구분하여 대응하기 어렵다.
과기정통부 최우혁 정보보호네트워크정책실장은 “AI 기반 사이버위협이 현실로 다가오고, 클라우드 환경 취약점을 대상으로 하는 지능화된 공격이 지속적으로 나타나고 있다.”고 강조하며, “이에 대비할 수 있도록 기업들의 정보보호역량 강화를 당부하며, 정부는 AI 기반의 예방·대응체계를 구축·운영하고, 선제적 취약점 발굴 조치를 통해 국민이 안심할 수 있는 사이버 환경을 조성해나가겠다”고 밝혔다.
