보안 결함이 신고되고 수정되도록 돕는 비영리 단체인 네덜란드 취약점 공개 연구소(DIVD)가 9월 21일 자체적으로 침해를 당했다. Help Net Security에 따르면, 이 공격은 에이전트형 AI 시스템에 의해 주도되었으며 Zammad의 제로데이 취약점 두 개를 악용했다. AI 에이전트 Zammad 제로데이 DIVD 침해 사건은 민감한 보안 정보를 다루는 조직에 의존하는 모든 사람에게 유용한 사례 연구다.
공개된 세부 정보는 아직 제한적이므로, 이 글은 확인된 내용만 다루고 나머지에 대해서는 추측하지 않는다.
9월 21일 DIVD에서 무슨 일이 있었나
DIVD는 노출된 시스템을 찾아 소유자에게 알림을 보내 문제가 수정될 수 있도록 하는 것으로 알려져 있다. 9월 21일, 자체 네트워크가 표적이 되었다. 보고된 공격은 에이전트형이었는데, 이는 인간 운영자가 각 명령을 입력하는 것이 아니라 AI 시스템이 어느 정도 자율성을 가지고 단계를 수행했다는 의미다.
진입점은 오픈소스 티켓팅 및 헬프데스크 플랫폼인 Zammad였다. 조직들은 이런 도구를 사용해 지원 요청과 내부 커뮤니케이션을 관리한다. 사용 당시 패치가 존재하지 않아 제로데이로 알려진 두 개의 이전에 알려지지 않은 결함이 공격에 악용되었다.
이 아이러니는 놓치기 어렵다. 취약점 공개를 조율하는 것이 임무인 조직이 아직 아무도 공개하지 않은 취약점을 통해 침해를 당했다. 이는 부주의를 의미하지 않는다. 인터넷에 노출된 소프트웨어를 운영하는 모든 조직은 공급업체가 아직 알지 못하는 결함에 의해 공격받을 수 있다는 것을 보여준다.
AI 에이전트 Zammad 제로데이 연쇄는 어떻게 작동했나
보고에서 핵심 단어는 "연쇄(chain)"다. 공격자는 하나의 결함에 의존하는 대신 두 개의 Zammad 제로데이를 결합했다. 연쇄 공격은 일반적인 기법이다. 하나의 약점이 발판이나 부분적 접근을 제공하고, 두 번째가 그것을 더 심각한 것으로 전환한다. 결합이 실제 피해를 일으키기 위해 각 결함이 단독으로 치명적일 필요는 없다.
여기서 눈에 띄는 것은 누가 연쇄를 수행했는가이다. 보안 연구자들은 오랫동안 AI 시스템이 버그를 찾고 결합하는 것을 도울 것으로 예상해왔으며, 이 사건은 실제 표적에 대해 두 개의 제로데이를 사용한 에이전트형 AI 공격으로 설명된다. 취약점 자체의 기술적 세부 사항에 대해서는 AI 기반 침해를 가능하게 한 DIVD Zammad 제로데이 연쇄에 관한 이전 보고서에서 더 깊이 다룬다.
결함이 서버 소프트웨어에 있기 때문에, 공격은 애플리케이션 자체를 표적으로 삼았다. 사용자로부터 비밀번호를 훔치거나 직원이 링크를 클릭하도록 속이는 것에 의존하지 않았다. 이 구분은 개인이 무엇을 할 수 있고 무엇을 할 수 없는지에 관해 이야기할 때 중요하다.
AI 기반 공격이 방어자에게 바꾸는 것
자동화는 위협의 본질보다 속도를 바꾼다. 몇 가지 실질적인 변화를 주목할 가치가 있다:
- 속도. 자동화된 에이전트는 혼자 일하는 인간보다 더 빠르게 단계를 테스트, 적응, 결합할 수 있어 방어자가 인지하고 대응할 시간을 줄인다.
- 규모. 하나의 표적을 탐색할 수 있는 소프트웨어는 여러 곳에 겨냥될 수 있다. 공개 인터페이스를 가진 인기 있는 오픈소스 도구들이 자연스러운 후보다.
- 패치 창. 제로데이의 경우 사전에 적용할 패치가 없다. 중요한 것은 공급업체가 얼마나 빨리 수정을 출시할 수 있는지, 그리고 운영자가 그것이 존재한 후 얼마나 빨리 설치할 수 있는지다.
이 중 어느 것도 방어자가 무력하다는 것을 의미하지 않는다. 네트워크 분할, 헬프데스크 서버가 접근할 수 있는 범위 제한, 비정상적 동작 모니터링, 시스템을 지원되는 버전으로 유지하는 것은 예상치 못한 것이 통과할 때 피해를 줄인다. DIVD가 그랬던 것처럼 영향을 받은 조직의 신속한 공개도 다른 Zammad 운영자가 자체 설정을 점검하는 데 도움이 된다.
이것이 당신에게 의미하는 것
대부분의 독자는 헬프데스크 서버를 운영하지 않지만, 많은 사람이 그런 서비스를 사용한다. 지원 포털, 티켓팅 시스템, 내부 요청 도구는 종종 사람들이 사적이라고 가정했던 이름, 이메일 주소, 대화 텍스트를 보관한다. 당신이 사용하는 서비스가 자체 호스팅 헬프데스크 소프트웨어를 운영한다면, 이런 결함이 당신이 아무리 조심하더라도 그 정보를 노출시킬 수 있다.
이것은 또한 VPN이 한계를 가지는 지점이다. VPN은 기기와 VPN 서버 사이의 트래픽을 암호화하고 방문하는 사이트로부터 IP 주소를 숨긴다. 이는 공용 Wi-Fi에서나 추적을 줄이는 데 가치가 있다. 그러나 다른 사람이 운영하는 취약한 서버를 패치하지 못하며, 인터넷에서 접근 가능한 애플리케이션의 결함을 공격자가 악용하는 것을 막을 수 없다. 이런 서버 측 결함은 서버를 운영하는 사람들이 수정해야 한다.
그렇다고 해서 프라이버시 도구가 무의미해지는 것은 아니다. 그것들은 다른 문제를 다룬다는 의미다. 그것들을 하나의 층으로 취급하지, 모든 종류의 침해에 대한 방패로 여기지 말라.
실질적인 시사점
- Zammad나 유사한 헬프데스크 소프트웨어를 운영한다면, 버전을 확인하고 공급업체의 보안 권고를 주시하며 수정이 가능해지는 즉시 업데이트를 적용하라. 서버가 내부 네트워크에서 무엇에 접근할 수 있는지 검토하라.
- 지원 티켓을 수집하는 서비스를 사용한다면, 비밀번호, 신분증 번호, 금융 데이터 같은 민감한 세부 정보를 티켓이나 지원 이메일에 넣지 말라.
- 고유한 비밀번호와 2단계 인증을 사용하라 그래야 한 계정의 노출이 다른 계정으로 연쇄되지 않는다.
- 거래하는 회사의 공지를 주시하고, 과거 지원 요청을 언급하는 예상치 못한 메시지에 주의하라.
- VPN에 대한 현실적인 기대를 유지하라. 그것은 당신의 연결을 보호하지, 당신이 연결하는 서버를 보호하지 않는다.
AI 에이전트 Zammad 제로데이 DIVD 침해는 취약점 공개를 조율하는 그룹조차 아직 아무도 보고하지 않은 결함에 잡힐 수 있다는 것을 상기시킨다. 기술적 분석에 대해서는 DIVD 침해를 가능하게 한 Zammad 제로데이 연쇄에 관한 우리의 보고서를 읽고, 당신이 의존하는 서비스나 당신 자신의 조직이 패치가 필요한 자체 호스팅 헬프데스크 소프트웨어를 운영하는지 알아보는 데 몇 분을 투자하라.
