노출된 공격자 인프라를 통해 연구자들은 랜섬웨어 계열 조직이 AI를 어떻게 활용하고 있는지 보기 드문 기회를 얻었다. The Hacker News의 보도에 따르면, 해당 조직들은 인간이 승인하는 AI 워크플로를 사용해 엣지 시스템을 악용하고 데이터를 탈취했으며, 추정 62개 조직을 표적으로 삼았다. 이 사건은 AI 에이전트 랜섬웨어 엣지 디바이스 캠페인이 더 이상 이론적 우려가 아니라는 점, 그리고 네트워크 경계에 놓인 하드웨어에 실질적인 주의를 기울여야 한다는 점을 상기시켜 주는 유용한 사례다.

원문 자료가 간략하기 때문에, 이 글은 보도된 내용에만 집중하고 독자들이 무엇을 할 수 있는지에 초점을 맞춘다.

계열 조직이 AI 에이전트로 침해를 수행한 방식

핵심적인 세부 사항은 "인간이 승인하는(human-approved)"이라는 표현이다. 보도는 완전히 자율적인 시스템이 단독으로 행동하는 것이 아니라, 사람이 루프 안에 남아 단계를 승인하는 AI 워크플로를 설명한다. 실제로 이는 AI가 반복적인 침해 작업의 상당 부분을 처리하고, 인간 계열 조직원이 다음에 무슨 일이 일어날지 승인하는 것을 의미한다.

이 모델이 중요한 이유는 공격 수행에 필요한 노력을 낮추기 때문이다. 한때 숙련된 운영자가 각 단계를 거쳐야 했던 작업이 가속화될 수 있으면서도, 인간은 핵심 결정에 대한 통제권을 유지한다. 이 사례의 계열 조직들은 이러한 워크플로를 사용해 엣지 시스템을 악용하고 데이터를 탈취했다.

이는 사이버 범죄에서의 자동화라는 더 광범위한 패턴과 맞닿아 있다. AI 도구가 공격자의 경제성을 어떻게 바꾸고 있는지에 대한 더 자세한 내용은 Hermes라는 AI 도구가 랜섬웨어 공격을 지원한다는 내용을 다룬 이전 보고서를 참고하기 바란다.

VPN 게이트웨이와 라우터가 진입점이 된 이유

엣지 시스템은 공개 인터넷에 노출된 디바이스다. VPN 게이트웨이, 라우터, 방화벽 및 이와 유사한 어플라이언스가 여기에 해당한다. 이들이 공격자에게 매력적인 이유는 단순하다. 어디서든 접근할 수 있고, 노트북과 서버를 보호하는 모니터링 범위 밖에 있는 경우가 많으며, 내부 네트워크로 직접 진입하는 경로를 제공할 수 있기 때문이다.

공격자가 이러한 디바이스 중 하나를 침해하면, 사용자의 컴퓨터를 건드리지 않고도 내부 자원에 접근하고 데이터를 빼낼 수 있을지도 모른다. 그래서 여기서 제안하는 초점이 경계 위생(perimeter hygiene)인 것이다. 접근을 보호하기 위한 디바이스가 노출되거나 구식이거나 잘못 구성되어 있으면 오히려 침입 경로가 될 수 있다.

정확히 짚고 넘어갈 필요가 있다. 우리가 가진 보도는 구체적인 제품이나 취약점을 명시하지 않으며, 우리도 그것을 추측하지 않을 것이다. 핵심은 특정 벤더가 아니라 디바이스 범주에 관한 것이다.

노출된 인프라가 62개 표적에 대해 밝혀낸 것

노출된 인프라 덕분에 연구자들은 약 62개 조직이 표적이 되었다고 추정할 수 있었다. 이 수치는 추정치이며, 성공한 침해의 확인된 건수가 아니라 공격자 자신의 환경에서 보였던 것을 반영한다.

몇 가지 점이 눈에 띈다:

  • 공격자도 실수를 한다. 잘못 구성되거나 노출된 공격자 서버는 방어자들이라면 결코 볼 수 없었을 도구, 워크플로, 표적 목록을 드러낼 수 있다.
  • 표적 선정은 체계적으로 보인다. 수십 개 조직의 목록은 일회성 침해가 아니라 반복 가능한 프로세스를 시사한다.
  • 데이터 탈취도 전술의 일부다. 계열 조직들은 암호화만 노린 것이 아니라 데이터도 탈취했으며, 이는 피해자에게 압박을 더한다.

더 넓은 교훈은 AI 지원이 계열 조직의 규모 확장을 도울 수 있다는 것이다. 인간이 행동을 승인하더라도, 한 명의 운영자가 잠재적으로 많은 표적을 처리할 수 있다.

이것이 당신에게 의미하는 것

비즈니스 네트워크를 운영한다면, 당신이 가장 직접적인 대상이다. 인터넷으로부터 연결을 받아들이는 모든 VPN 어플라이언스, 방화벽, 라우터는 당신의 공격 표면의 일부이며, 공격자들은 패치되지 않거나 관리되지 않은 채 방치된 것들을 찾고 있다.

가정 사용자라면 위험 프로필은 다르지만 0은 아니다. 가정용 라우터는 많은 사람이 검토하지 않는 원격 관리 옵션과 함께 출시되는 경우가 많다. 이를 켜둔 채 패치하지 않는 것은 자동화 도구가 찾도록 만들어진 종류의 허점이다.

이 중 어느 것도 공포를 요구하지 않는다. 많은 사람이 건너뛰는 일상적인 유지보수를 요구할 뿐이다.

자신의 엣지 디바이스를 점검하고 강화하는 방법

가시성에서 시작해 노출을 줄여라.

  1. 무엇이 노출되어 있는지 파악하라. 인터넷에 노출된 모든 라우터, VPN 게이트웨이, 방화벽을 목록화하라. 어떤 관리 인터페이스와 포트가 네트워크 외부에서 접근 가능한지 확인하라.
  2. 펌웨어를 패치하라. 벤더의 업데이트 페이지를 확인하고 최신 펌웨어를 적용하라. 디바이스가 지원한다면 자동 업데이트를 켜라.
  3. 불필요한 원격 접근을 비활성화하라. 원격 관리가 필요 없다면 꺼라. 필요한 경우에는 특정 신뢰할 수 있는 주소로만 제한하라.
  4. MFA를 활성화하라. VPN 로그인과 관리자 패널에 다중 인증을 요구하고, 기본 비밀번호나 재사용된 비밀번호를 교체하라.
  5. 로그를 검토하라. 비정상적인 로그인, 예상치 못한 구성 변경, 대규모 아웃바운드 전송을 찾아라.
  6. 수명 종료 하드웨어를 폐기하라. 더 이상 보안 업데이트를 받지 못하는 디바이스는 상시적인 위험이다.

핵심 요점

보도된 캠페인은 AI 에이전트 랜섬웨어 엣지 디바이스 공격이 노출되고 방치된 장비에 가장 효과적이라는 것을 보여준다. 인간이 승인하는 AI 워크플로는 계열 조직이 더 빠르게 움직이도록 돕지만, 진입점은 여전히 평범하다. 약한 설정을 가진 인터넷 노출 디바이스다.

이번 주에 라우터나 VPN 어플라이언스의 인터넷 노출을 점검하고, 펌웨어를 패치하고, 필요 없는 원격 접근을 끄고, MFA를 활성화하라. 자동화가 랜섬웨어를 어떻게 바꾸고 있는지에 대한 더 많은 맥락은 Hermes 랜섬웨어 도구에 관한 글을 읽어보라.