지금 바로 주변 사람들에게 이 글을 공유하세요. 인터넷을 사용하는 사람, 즉 사실상 모든 사람이 지금 무슨 일이 벌어지고 있는지, 그리고 자신을 보호하기 위해 무엇을 할 수 있는지 알아야 합니다.**
당신이 이 글을 읽고 있는 지금 이 순간에도, 수많은 AI 에이전트 무리가 당신이 사용하는 웹사이트를 뚫으려 시도하고 있을 가능성이 높습니다. 한두 개가 아닙니다. 셀 수 없이 많습니다.
우리는 수년 만에 가장 심각한 사이버 보안 위기의 한가운데에 있습니다. 일부 보안 전문가들은 이미 이를 블랙 옥토버(Black October)라고 부르고 있습니다.
여러분을 겁주려고 이 글을 쓰는 것은 아닙니다. 많은 부분은 여러분의 통제 범위를 벗어나 있습니다. 하지만 스스로를 보호하기 위해 당장 할 수 있는 간단한 조치들이 있으며, 아무것도 하지 않는 것보다는 무엇이든 하는 편이 낫습니다.
이번 주에는 매 시간마다 새로운 공격 사실이 드러나고 있습니다. 여러분이 이 글을 다 읽을 때쯤이면 아마 또 다른 사건이 터져 있을 것입니다.
그래서 지금 정확히 무슨 일이 벌어지고 있는지, 그리고 여러분은 어떻게 대처해야 하는지 정리했습니다.
지금 벌어지고 있는 일
지금 내용이 너무 벅차다면, 바로 대처 방법 섹션으로 넘어가셔도 좋습니다. 하지만 끝까지 읽어보시기를 진심으로 권합니다.
어제, 전 세계 웹사이트의 약 70% 를 구동하는 소프트웨어인 PHP에서 심각한 취약점이 발견되었습니다.
이렇게 생각해 보세요. 누군가 국내 수백만 채의 건물에 똑같이 고장 난 자물쇠가 달려 있다는 사실을 발견했고, 이제 모두가 그 자물쇠를 여는 방법을 알게 된 상황입니다. 자물쇠 제조사는 해결책을 배포했지만, 각 건물주가 직접 교체 작업을 해야 하며 아직 많은 곳이 손을 쓰지 못했습니다.
Cloudflare CEO에 따르면, 이 소식이 알려진 지 불과 두 시간 만에 공격자들은 해당 취약점을 수십만 번이나 시도했습니다. 지금은 수백만 건에 달합니다. Amazon 은 공식 발표 4일 전부터 이미 누군가가 이를 시도하고 있었다고 밝혔으며, 최고 보안 책임자는 이 취약점이 "현재 광범위하게 악용되고 있다"고 경고했습니다. (이는 Amazon 이 해킹당한 것이 아니라, Amazon 이 경종을 울리고 있는 것입니다.) 지금까지 이 취약점을 통한 실제 침입 성공 사례가 확인되지는 않았지만, 공격자들은 사방에서 시도하고 있습니다. 예방 차원에서 Wikipedia 를 운영하는 재단은 일부 시스템을 중단했고, 네덜란드, 핀란드, 독일, 프랑스 등 각국 정부는 웹사이트를 오프라인으로 전환했습니다.
이는 빙산의 일각에 불과한 하나의 사례일 뿐입니다. 가장 큰 사건 몇 가지를 더 소개합니다. 전부 나열하려면 몇 시간을 읽어야 할 것입니다.
- Microsoft 에 따르면, 중국 정부와 연계된 해킹 그룹이 AI 해킹 도구를 사용해 IT 기업들이 의존하는 백업 서비스를 통해 2,000개 이상의 조직에 침입을 시도했습니다.
- 약 200만 명의 개발자가 사용하는 클라우드 플랫폼에서 고객의 비밀 키가 유출되었을 가능성이 제기되었습니다. 제 지인은 오늘 아침 이 중 하나를 통해 누군가 자신의 계정 잔액을 빼돌리는 일을 겪었습니다.
- 인도 최대 은행은 고객 약 3,900명의 개인정보가 다크웹에 유출되었다고 발표했습니다.
- 범죄 조직이 AI 도구를 이용해 라틴아메리카 전역의 400개 이상의 은행 및 금융사를 공격했습니다.
- 해커들이 주요 은행을 포함한 한국의 16개 금융사에 침입했습니다.
- 일본 정부는 수천만 명의 데이터가 유출되었을 수 있는 침해 사고 이후, 기업들에 보안 강화를 지시했습니다.
- Stop & Shop, Hannaford, Food Lion 의 웹사이트와 앱이 일주일 이상 마비되었습니다.
- FBI, NSA 등 5개 기관은 AI로 작성된 공격 스크립트를 사용하는 해커들이 수도, 에너지, 제조 시설을 운영하는 시스템을 정찰하고 있다고 경고했습니다.
정부들도 이를 예상하고 있었습니다. 지난 6월, 미국과 주요 동맹국들은 AI 기반 해킹에 대해 "남은 시간은 수년이 아니라 수개월"이라고 경고했습니다. (원문 보기) 그리고 4개월 뒤, 현실이 되었습니다.
이 글의 원본은 여기에서 확인할 수 있습니다.
이번 사태가 이전과 다른 이유
여러분은 수년간 해킹 소식을 들어왔습니다. 그렇다면 무엇이 달라졌을까요?
모든 건물에는 허점이 있습니다. 잠기지 않는 창문, 값싼 자물쇠가 달린 뒷문처럼요. 소프트웨어도 마찬가지입니다. 숨겨진 취약점으로 가득합니다. 수십 년간 이런 허점을 찾아내는 일은 극소수의 뛰어난 전문가들만이 할 수 있었고, 그런 사람은 많지 않았습니다. 그것이 곧 우리의 방어막이었습니다. 튼튼한 자물쇠 때문이 아니었습니다. 그저 도둑의 수가 적었을 뿐입니다.
그 부족 현상이 끝났습니다. 세 가지 변화가 동시에 일어났습니다.
첫째, 이제 AI가 취약점을 찾아냅니다. 이번 PHP 취약점은 AI의 도움으로 발견되었으며, AI 도구들은 수년간 방치되었던 수천 개의 버그를 찾아내고 있습니다.
둘째, AI가 스스로 침입할 수 있게 되었습니다. 숙련된 해커가 필요 없습니다. 어떤 사람은 트윗보다 짧은, 한글 기준 100자도 안 되는 지시를 AI 에이전트에게 내리고 거의 자율적으로 작동하게 두었습니다. 이들은 John Deere 를 포함해 100개가 넘는 기업의 웹사이트에 침투했으며, 건당 비용은 약 50달러로 추산됩니다. AI는 잠을 자거나 지루해하지 않습니다. 뚫릴 때까지 끊임없이 시도할 뿐입니다.
셋째, 방어 측은 따라가기 급급합니다. 모든 취약점은 여전히 수정, 테스트, 설치 과정을 거쳐야 하는데, 이는 이미 인력이 부족한 상태에서 수백만 개의 시스템을 관리하는 사람들의 몫입니다. 가장 심각한 버그조차 패치를 배포하는 데 평균 약 2주가 걸리며, 아예 수정되지 않는 웹사이트도 수두룩합니다. 보안 기업 Cisco 는 해당 소프트웨어를 실행하는 인터넷 연결 서버의 약 절반이 너무 오래되어 공식 패치를 적용할 수 없는 상태라고 추정합니다.
이 모든 것을 종합하면, 공격자는 단 한 번만 성공하면 되는 고양이와 쥐의 게임이 펼쳐집니다. 앞으로 며칠간 뉴스에서 보게 될 것이 바로 이 공격자와 방어자 사이의 격차입니다.
이런 일은 계속, 그리고 더 심각해질 것입니다
이번 주는 단지 운이 나빴던 한 주가 아닙니다. 우리 모두가 대비해야 할 새로운 시대의 시작입니다.
숫자를 보면 알 수 있습니다. 보안 기업 CrowdStrike 에 따르면, AI 에이전트가 관여한 것으로 보이는 공격은 8월에 두 배 이상 늘었고, 9월에 다시 두 배로 증가했습니다. 이번 주 상황을 보면 속도는 더욱 빨라지고 있습니다. AI는 몇 달마다 성능이 향상되는 반면 운영 비용은 저렴해지고 있습니다. 해커들이 오늘 사용하는 도구는 그들이 앞으로 갖게 될 도구 중 가장 형편없는 수준일 것입니다.
또한 이러한 도구는 이미 널리 퍼졌습니다. 한국 은행 공격에 연루된 AI 해킹 도구의 제작자는 공개 배포를 중단하고 다운로드 페이지를 내렸지만, 소용없었습니다. 이미 다운로드한 사람은 누구나 계속해서 사용할 수 있기 때문입니다.
다행인 점은 방어 측 역시 AI를 보유하고 있으며, 그 어느 때보다 빠르게 취약점을 찾아내고 수정하고 있다는 것입니다. 결국 소프트웨어는 지금보다 훨씬 뚫기 어려워질 것입니다. 하지만 현재로서는 공격이 방어를 앞서고 있으며, 이 상황이 한동안 지속될 수 있습니다.
여러분에게 미치는 영향
Axios 보도에 따르면, 현재 JPMorgan, Bank of America, Wells Fargo 등 미국의 주요 은행들은 고객 계정 내부에서 무단 AI 에이전트를 발견하고 있습니다. 일부는 고객이 직접 설정한 것이지만, 많은 은행이 어떤 것이 고객을 대신해 작동하는 것인지 구분하지 못하고 있습니다. 은행 임원들은 이 상황을 "끔찍하다"고 표현했습니다. 다만 Axios 는 실제 금전 피해가 발생했다는 보고는 하지 않았습니다.
하지만 오늘날 대다수 사람에게 더 큰 위험은 여전히 다음 세 가지입니다. 첫째, 개인정보가 유출되어 사기꾼들이 당신의 이름, 생년월일, 주소, 거래 은행을 알게 되고, 그들의 전화나 문자가 마치 진짜처럼 느껴지는 경우입니다. 둘째, 수년 전 한 번 사용했던 사이트에서 모든 곳에 동일하게 쓰는 비밀번호 때문에 계정이 탈취되는 경우입니다. 셋째, 앱, 약국, 쇼핑몰 웹사이트처럼 일상에서 의존하는 서비스가 며칠씩 마비되는 경우입니다.
분명히 말씀드리지만, 사태는 진행 중이지만 사람들이 가장 두려워하는 최악의 시나리오는 아직 일어나지 않았습니다. 앞으로도 일어나지 않기를 바랍니다. 하지만 특히 이런 일이 계속 반복될 것이므로, 후회하기 전에 미리 대비하는 것이 낫습니다.
오늘 당장 해야 할 일
첫째, 사태가 진정될 때까지 잘 모르는 사이트 이용을 피하세요. 은행, Amazon, Google 처럼 규모가 크고 신뢰할 수 있는 곳만 이용하십시오. 소규모 사이트는 패치가 적용되지 않았을 가능성이 가장 높으며, 겉보기에는 알 수 없습니다. 앞으로 몇 주간은 익숙하지 않은 곳에는 비밀번호나 카드 번호를 절대 입력하지 마세요.
둘째, 모든 기기를 업데이트하세요. 스마트폰, 컴퓨터, 태블릿, 웹 브라우저 모두 해당됩니다. 기기 자체 설정 메뉴에서 업데이트 알림이 뜨면 즉시 설치하세요. 그것이 여러분의 자물쇠입니다. 공유기도 마찬가지로 업데이트하고, 너무 오래되어 더 이상 업데이트가 지원되지 않는다면 교체하세요. 단, 웹사이트 팝업창이나 문자, 이메일 링크를 통해 제공되는 "업데이트"는 절대 설치하지 마세요. 흔한 사기 수법입니다. 방법을 모르겠다고요? 간단한 단계별 가이드가 여기 있습니다.
셋째, 사용하지 않는 문을 닫으세요. 필요 없는 스마트 기기는 플러그를 뽑고, 쓰지 않는 앱은 삭제하세요. 연결된 모든 기기가 또 다른 침입 경로가 됩니다.
넷째, 은행 계좌를 보호하세요. 누군가 전화, 문자, 이메일로 비밀번호나 방금 휴대폰으로 전송된 인증 코드를 요구한다면 100% 사기입니다. 예외는 없습니다. 그 코드는 오직 은행 공식 앱이나 웹사이트에 본인이 직접 입력할 때만 사용됩니다. 은행 관련 연락은 본인이 직접 확인하기 전까지 모두 의심하십시오. 그들이 보낸 링크를 클릭하지 말고, 알려준 번호로 다시 전화하지도 마세요. 전화를 끊고 카드 뒷면에 적힌 번호로 직접 거세요. 진짜 은행이었다면 도움을 줄 것입니다.
은행 아이디와 비밀번호는 반드시 은행 공식 앱이나 웹사이트에만 입력하세요. 아무리 유용해 보여도 AI 비서나 다른 앱 등 누구에게도 알려주지 마세요. Chase 은행은 누구에게도 제공하지 말라고 당부했습니다. 이메일과 은행 계정에 2단계 인증을 켜고(설정 방법), 비밀번호 재사용을 멈추세요. 비밀번호 관리자를 쓰면 쉬워지며, iPhone 이나 Android 폰에는 이미 기본으로 탑재되어 있습니다.
조금 더 신경 쓰고 싶다면, 며칠 치 장을 볼 수 있는 약간의 현금과 식량, 물을 집에 비치해 두세요. 일반적인 비상용품이며, 어차피 준비해 두면 요긴합니다.
반대로 하지 말아야 할 것은 은행에서 돈을 전부 빼는 것입니다. 사기꾼들이 노리는 것이 바로 이런 패닉입니다. 설령 은행 자체가 파산하더라도, FDIC 보험 가입 은행의 예금은 1인당, 1은행당 최대 25만 달러까지 보호됩니다. 이 보험은 해킹된 계좌에서 도난당한 자금까지는 보장하지 않습니다. 하지만 연방 규정에 따라 신속하게 신고하면 무단 이체로 인한 피해를 대부분 제한할 수 있으므로, 계좌를 자주 확인하고 이상 징후가 보이면 즉시 은행에 연락하세요. 본인이 속아서 직접 송금한 돈은 되찾기 훨씬 어렵기 때문에, 사기 전화가 더 큰 위협입니다.
앞으로 며칠은 혼란스러울 것입니다. 추가 발표도 이어질 것입니다. 저는 대부분의 서비스가 정상 작동하기를 바랍니다. 오늘은 그저 당연하고 지루한 조치들을 실천하세요.
지금 바로 주변 사람들에게 이 글을 보내주세요. 부모님, 조부모님, 친구들, 단체 채팅방 모두에게요. 인터넷에 연결된 사람, 즉 말 그대로 모든 사람이 지금 무슨 일이 벌어지고 있는지 알아야 합니다. 이런 소식을 가장 늦게 접하는 사람들이 가장 큰 피해를 입을 가능성이 높습니다.
이 글의 원본은 여기에서 확인할 수 있습니다.
