일본 헤집은 해킹 쓰나미, AI 침입 도구까지 동원
일본 공공, 민간 분야에서 9월 말부터 한 달간 전례 없는 규모의 사이버 공격에 노출됐다. 그 결과 올해 공표된 피해가 659건으로 2024년 한 해 645건을 넘어섰다. 카셰어링 업체 타임스카(タイムズカー)에서는 약 660만 계정이 부정 접속을 당했고, 공격 쪽에서 인공지능(AI)이 쓰인 사실도 처음 확인됐다. 5일 현지 IT 업계 동향을 종합하면 일본 기업, 기관에서 잇단 대규모 정보 유출, AI 공격 가담 사례가 이 같이 누적됐다. 트렌드마이크로 집계에 따르면 10월 9일 기준 올해 발생 피해 건수는 659건에 달한다. 개별 피해의 규모도 커졌다. 야키니쿠 체인 야키니쿠킹(焼肉きんぐ)에서는 회원 1078만 8963건이 부정 접속을 당했다. 클라우드 사업자 IDC프런티어는 랜섬웨어 공격으로 기반 전체가 멈췄다. 이밖에도 495개 기업과 자치단체가 영향을 받았다. 9월 말부터 기업이 부정 접속과 정보 유출을 공표하는 소식이 연거푸 이어졌다. 총리는 심야에 소셜미디어 X에서 소프트웨어 취약점 대응을 당부했고, 정부는 관계 각료 회의를 열어 긴급 대책 패키지 마련에 나섰다. GMO인터넷그룹은 협박을 받자 범인 특정으로 이어질 정보에 최대 100만달러(약 13억4000만원)의 현상금을 걸었다. AI 악용 정황도 공개되면서 진장감을 높이고 있다. GMO시큐리티는 10월 19~20일 중국산 자율형 침투테스트 도구 아텍스(ARTEX)가 일본 금융, 보험, 물류 등 약 80개사 공격에 쓰였고 이 중 8개사가 정보 유출 피해를 봤다고 발표했다. 한국 금융기관 공격에도 같은 도구가 쓰였다는 크라우드스트라이크 분석이 나왔다, 트렌드AI는 10월 29일 오픈소스 보안 점검 도구 사이버스트라이크AI가 일본 기업과 기관 공격에 악용됐다고 밝혔다. 에이전트 44개가 정찰, 침투, 탈취를 나눠 맡았고 일본어 가짜 로그인 페이지도 만들었다. 짧은 기간에 일본 최소 16곳을 포함해 최소 19곳에서 시도가 포착됐다. 정치권에서는 위기감이 일찍 드러났다. 다이라 마사아키 자민당 국가사이버보안전략본부장은 10월 9일 FT 보도에서 "사이버공간의 비상사태라고 해도 좋다"고 밝혔고, 같은 날 회의에서는 최근 유출이 AI로 공격을 자동화하는 포화 공격의 성격을 띨 수 있다고 지적했다. 노무라종합연구소는 2024년 이후 피해를 공개한 아사히그룹홀딩스, 가도카와, 아스쿠루, 니치레이 4개사만 따져도 매출 감소액이 1542억엔, GDP 감소 효과는 556억8000만엔에 이른다고 추산했다. 일본 개인정보보호위원회가 10월 30일 발표한 집계(은행, 통신사업자 제외)를 보면, 4월부터 10월 16일까지 사이버 공격에 따른 개인정보 유출 신고는 2094건으로 지난해 한 해 건수(1256건)를 이미 웃돌았다. 중복을 포함한 유출 규모는 약 2억6000만명분이다. 10월 16일까지 보름 남짓 사이 접수된 신고만 830건으로 9월 전체(303건)의 2.7배였다. 1000만명분을 넘는 신고도 8월과 9월 각 1건에서 10월 4건으로 늘었다.
