SK쉴더스 "아르텍스, 기존 공격 고도화"...API 보안 대응책 제시
SK쉴더스(대표 민기식)가 AI 자동화 공격 시대의 주요 위협으로 부상한 쉐도IT(Shadow IT)와 API 보안 이슈를 분석한 'AI 자동화 공격 시대, Shadow IT를 노린 침해사고 분석 및 대응 가이드'를 지난 8일 공개했다. 이번 가이드는 최근 금융권 침해사고 사례를 바탕으로 AI 기반 공격도구의 활용 방식과 실제 침해 경로를 분석하고, 기업이 유사 공격에 대비하기 위해 갖춰야 할 보안 체계를 제시했다. SK쉴더스는 현재까지 공개된 사고 정황을 종합해 볼 때 이번 사고는 AI가 새로운 공격 기법을 만들어낸 사례가 아닌, 기존 공격을 자동화·고도화한 사례에 가까운 것으로 분석했다. 공격자는 핵심 금융거래 시스템보다 대출모집인 시스템, 임직원 지원 서비스, 영업지원 플랫폼 등 관리 사각지대에 놓인 외부 노출 자산을 우선 공략했으며, AI는 이를 더 빠르고 대규모로 탐색하는 역할을 수행한 것으로 평가했다. 특히 AI 기반 자동화 공격도구를 활용할 경우 여러 금융기관의 인터넷 노출 자산과 API를 동시에 탐색할 뿐 아니라, API 호출 패턴과 응답 정보를 바탕으로 공격 대상을 빠르게 확장할 수 있다는 점에 주목했다. 기업의 주요 업무가 API를 통해 연결되는 환경에서 AI는 정상적인 호출 패턴을 모방하며 대규모 탐색과 정보 수집을 수행할 수 있어 위협이 더욱 커질 수 있다고 분석했다. AI는 새로운 공격자가 아니다, 기존 공격을 증폭한 'AI' SK쉴더스는 이번 가이드에서 공격에 활용됐을 가능성이 제기되는 AI 기반 침투테스트 도구 'ARTEX(아르텍스)'의 동작 원리와 위험성을 밝혔다. 특히 화이트해커 조직 EQST(Experts, Qualified Security Team)가 ARTEX를 직접 분석해 자율형 AI 기반 공격의 작동 방식과 보안상 시사점을 도출했다. ARTEX는 사람이 수행하던 모의해킹 절차를 AI로 자동화한 오픈소스 자율형 침투테스트 플랫폼이다. 단순 자동 스캐닝 도구와 달리 이전 수행 결과를 바탕으로 다음 탐색 대상을 스스로 선정하고 공격 경로를 확장할 수 있다는 점이 특징이다. SK쉴더스는 이러한 구조가 공격자의 정찰, 취약점 탐색, 검증 과정을 자동화함으로써 공격 속도와 범위를 크게 확대시켰다고 분석했다. 현재 공개된 정보와 도구 분석 결과를 바탕으로, 공격자가 공개된 AI 기반 침투테스트 도구를 활용해 여러 국가의 임대 서버(VPS)를 거쳐 복수의 금융사 인터넷 노출 서비스와 API를 탐색했을 가능성이 있는 것으로 설명했다. 종합적으로 봤을 때 이번 사례는 AI가 새로운 공격 기법을 만들어낸 것이 아니라 기존 공격 과정을 자동화·고도화한 사례로 평가했다. 실제 공격 역시 외부 노출 자산 탐색, 인증·권한 검증 취약점 확인, 대량 조회, 차단 우회, 타 기관 확산 등 기존 공격 단계를 기반으로 진행됐으며, AI는 이러한 공격 과정을 자동화해 속도와 규모를 증폭시키는 역할을 담당한 것으로 나타났다. 실제 표적은 핵심 시스템 아닌 보안 사각지대 'Shadow IT' SK쉴더스는 이 같은 AI 공격 출발점으로 관리되지 않는 외부 접점인 '쉐도우 IT(Shadow IT)'를 지목했다. Shadow IT는 보안 조직의 관리 목록과 통제 범위 밖에서 운영되는 시스템, 서비스, API를 의미한다. 존재를 인지하지 못한 자산뿐 아니라, 인지하고 있더라도 관리 우선순위에서 밀려 충분한 보안 점검이 이뤄지지 않는 자산까지 포함한다. 이번 사고 역시 핵심 금융거래 시스템보다 외부에 노출된 업무지원 시스템과 API가 주요 공격 경로로 활용된 것으로 분석했다. 공격자는 이러한 자산을 탐색한 뒤 접근 가능한 정보를 반복적으로 조회하는 방식으로 피해 범위를 확대했을 가능성이 있는 것으로 평가했다. SK쉴더스는 이러한 결과가 AI 공격의 본질이 새로운 취약점의 발견이 아니라 관리되지 않는 자산을 더 빠르게 찾아내고 악용하는 데 있음을 보여준다고 설명했다. 특히 API는 기업의 업무 로직과 데이터 접근 경로가 집약된 영역인 만큼 AI가 이를 분석할 경우 대량 조회, 권한 우회 시도, 비정상 호출 확장 등이 더욱 효율적으로 이뤄질 수 있다고 덧붙였다. 가이드에서는 방치된 테스트 서버, 레거시 웹 애플리케이션, 외주 운영 시스템, 연동 SaaS 등 일반 기업 환경에서 발생할 수 있는 대표적인 Shadow IT 유형과 점검·관리 방안을 함께 제시했다. 모르는 자산은 보호할 수 없어...API 보안은 식별부터 SK쉴더스는 AI 기반 자동화 공격에 대응하기 위해서는 무엇보다 자산 가시성 확보가 중요하다고 강조했다. AI가 인터넷에 노출된 API와 취약 자산을 빠르게 탐색할 수 있는 만큼, 기업 역시 보유 자산을 정확히 식별하고 관리해야 한다는 설명이다. 가이드에서는 API 보안을 위한 3단계 대응 체계로 ▲식별(Discovery) ▲API 모니터링(Monitoring) ▲탐지·대응(Detection & Response)을 제시했다. 먼저 공격자 관점에서 외부 노출 자산을 식별해 Shadow IT를 제거하고, 운영 중인 API의 인증·인가 체계와 호출 행위를 지속적으로 모니터링해야 한다고 설명했다. 이후 웹방화벽(WAF, Web application Firewall), 엔드포인트 위협 탐지·대응(EDR, Endpoint Detection and Response), 네트워크 위협 탐지·대응(NDR, Network Detection and Response), 보안 정보 및 이벤트 관리(SIEM, Security Information and Event Management) 등 보안 체계를 연계해 이상 행위를 탐지·차단하고, IP 중심이 아닌 사용자·세션·접근 패턴 등 행위 기반 분석을 통해 AI 자동화 공격에 대응해야 한다고 강조했다. 또한 단순 인증 여부 확인뿐 아니라 요청 대상 데이터에 대한 권한 검증과 API 운영 전반의 보안 기준 수립이 함께 이뤄져야 한다고 조언했다. SK쉴더스는 "모르는 자산은 보호할 수 없고, 보이지 않는 호출은 통제할 수 없다"며 "자산 식별이 끝나야 모니터링 대상이 정해지고, 모니터링 기준이 있어야 효과적인 탐지·대응 체계를 구축할 수 있다"고 설명했다. AI 공격에도 해답은 기본 원칙, 제로트러스트 전환 필요 또한 SK쉴더스는 AI 기반 공격이 확산되고 있지만 보안의 본질과 대응 원칙은 변하지 않는다고 제언했다. API 보안 3단계 체계가 실질적인 효과를 발휘하기 위해서는 제로트러스트 기반의 통합 통제가 함께 이뤄져야 한다는 설명이다. SK쉴더스는 외부 노출 자산과 API 보호를 시작으로 ▲Identity(사용자·신원) ▲Device(기기·단말) ▲Network(네트워크) ▲application(응용·워크로드) ▲Data(데이터) ▲Visibility(가시성·분석·자동화) 등 제로트러스트 전 영역에 대한 통제가 필요하다고 강조했다. 실제 SK쉴더스는 공격자 관점의 보안 점검과 자체 개발한 방법론 SKZT(SK Shieldus Zero Trust) 기반의 제로트러스트 성숙도 평가를 통해 우선 개선 과제를 도출하고 단계적으로 보호 체계를 강화할 수 있도록 지원하고 있다. 또한 SK쉴더스는 이번 가이드에서 제시한 대응 체계를 실제 고객 환경에 적용할 수 있도록 ▲외부 공격표면 관리(Managed Attack Surface Management, ASM) ▲API·웹 위협 관제(API Security) ▲통합 연계분석·자동 대응 관제(Managed Extended Detection and Response, MXDR) ▲위협 헌팅(Threat Hunting) 등 통합 보안 서비스를 제공하고 있다. 특히 공격자 관점에서 인터넷에 노출된 자산과 Shadow IT를 지속적으로 식별하고, API 이상 행위 탐지부터 위협 대응까지 전 과정을 통합 지원하며 AI 기반 자동화 공격에 대한 가시성과 대응 역량을 강화하고 있다. 김병무 SK쉴더스 사이버사업부문장(부사장)은 "AI는 새로운 취약점을 만드는 기술이 아니라 공격을 증폭시키는 도구인 만큼, 기업은 보유 자산에 대한 가시성을 확보하고 API를 비롯한 외부 노출 영역에 대한 통제를 강화해야 한다"며 "AI시대에도 보안의 본질은 변하지 않는다는 점에서 고객이 변화하는 위협 환경에 효과적으로 대응할 수 있도록 실질적인 보안 서비스와 제로트러스트 기반 보안 체계 구축을 지속 지원해 나갈 것"이라고 밝혔다. 한편 회사는 "이번 보고서는 지난 6일 기준 공개된 정보와 기술 분석 결과를 바탕으로 작성했다"면서 "향후 관계기관의 조사 및 발표 내용에 따라 일부 내용이 변경될 수 있다"고 밝혔다.
