AI 자동화가 낮춘 공격 비용
2026년 10월 22일 보고된 중국 연계 사이버 스파이 그룹 'Storm-0940'의 마이크로소프트 365(Microsoft 365) 공격은 기업 보안 시장의 비용 구조를 재검토하게 만든 사건이다. 보안 전문 리서치 기관 GIra Group의 보고서에 따르면 공격자는 오픈소스 인공지능(AI) 모의 해킹(penetration testing) 도구 ARTEX를 활용해 분당 최대 2,900회의 인증 시도를 자동화했고, 2,250개가 넘는 마이크로소프트 365 테넌트(tenant)를 겨냥했다. 그 결과 173개 테넌트에서 무단 로그인이 확인됐다.
숫자만 보면 보안 사고지만, 산업 관점에서 보면 기업용 서비스형 소프트웨어(SaaS) 시장의 핵심 자산이 애플리케이션 자체에서 신원·접근관리(IAM) 체계로 이동했다는 신호다. 이번 사건의 핵심은 제로데이(zero-day) 취약점이나 새로운 익스플로잇(exploit)이 아니었다.
공격자는 이미 유출됐거나 취약한 로그인 자격 증명(credential)을 조합해 대규모로 검증했다. 본지 분석에 따르면 이 대목이 사이버 보안 산업에 더 큰 압력을 준다.
기업들이 고가의 취약점 방어 장비를 갖췄더라도 계정 관리와 인증 체계가 느슨하면 공격자는 정문으로 들어간다. AI가 해커에게 준 것은 새로운 마법이 아니라 반복 작업의 속도, 실패 비용의 하락, 공격 대상 선별의 자동화였다.
GIra Group 보고서는 Storm-0940이 2021년부터 활동해 온 것으로 확인됐다고 밝혔다. 마이크로소프트는 이번 활동을 해당 그룹에 귀속시켰다.
공격 규모는 기업 최고정보보호책임자(CISO)가 예산안을 설명할 때 쓰는 언어를 바꿀 만하다. 분당 2,900회라는 시도량은 사람이 키보드로 수행하는 침투가 아니라, 클라우드 인증 인프라를 상대로 한 공정 자동화에 가깝다.
2,250개 이상이라는 표본은 단일 기업 사고가 아니라 업종과 지역을 넘어 반복 적용 가능한 공격 모델이 작동했다는 뜻이다. 기업용 SaaS 시장은 편의성과 확장성을 무기로 성장해 왔다. 마이크로소프트 365는 메일, 문서, 협업, 일정, 파일 저장을 한 묶음으로 제공하며 기업 업무의 기본 인프라가 됐다.
광고
이 구조에서 계정 하나는 단순한 로그인 수단을 넘어 영업자료, 계약서, 인사 정보, 협업 채널, 외부 파트너 접점을 잇는 관문으로 기능한다. 따라서 173개 테넌트의 무단 로그인은 173개의 개별 침입 사건이라는 의미에 그치지 않는다. 클라우드 업무 플랫폼의 경제성이 신원 보안 투자 부족을 전제로 할 때 얼마나 빠르게 훼손되는지 보여준 사례다.
본지 분석에 따르면 보안 기업에는 단기 영업 기회가 열린다. 다단계 인증(MFA), 조건부 접근(conditional access), 보안 정보·이벤트 관리(SIEM), 확장 탐지·대응(XDR), 관리형 탐지·대응(MDR) 수요가 늘어날 가능성이 크다. 다만 모든 보안 제품이 같은 혜택을 누리지는 않는다.
계정 탈취와 비정상 로그인 탐지, 세션 관리, 권한 최소화, 유출 계정 모니터링을 묶어 제공하는 업체가 더 유리한 위치에 선다. 반대로 네트워크 경계 방어에만 강점을 둔 솔루션은 클라우드 업무 환경에서 구매 우선순위가 밀릴 수 있다.
SaaS 보안 지출 구조 재편
투자자 관점에서도 읽을 지점이 있다. 이번 공격은 AI 보안 테마를 단순히 공격 탐지 알고리즘이나 생성형 보안 비서로 해석하는 접근이 부족하다는 사실을 드러냈다.
본지 분석에 따르면 실제 예산은 'AI를 붙인 제품'보다 'AI로 빨라진 공격을 견디는 운영 체계'에 배정될 가능성이 크다. 기업 고객은 멋진 데모보다 분당 수천 회의 인증 시도 속에서 정상 사용자와 공격자를 가르는 능력을 산다. 결국 사이버 보안 기업의 가치는 모델 성능 설명서보다 로그 데이터 품질, 클라우드 플랫폼 연동 범위, 사고 대응 인력의 운영 경험에서 갈릴 공산이 크다.
오픈소스 도구가 공격에 활용됐다는 점은 산업 생태계에도 난제를 남긴다. ARTEX 같은 AI 기반 모의 해킹 도구는 본래 방어자가 취약한 계정과 설정을 미리 찾아내는 데 쓰인다.
문제는 같은 도구가 공격자에게도 동일한 생산성 향상을 제공한다는 데 있다. 도구 공개 자체를 문제 삼는 방식은 현실적이지 않다. 보안 산업은 오픈소스 개발 생태계를 막기보다 사용 흔적, 실행 패턴, 대량 인증 시도, 비정상 지역 로그인 같은 후행 신호를 더 빨리 결합하는 방향으로 경쟁력을 키워야 한다.
광고
한국 기업도 예외로 보기 어렵다. 마이크로소프트 365 같은 SaaS 업무 도구는 대기업, 중견기업, 스타트업, 공공 협력사까지 폭넓게 쓰인다.
GIra Group의 원본 보고서는 한국 내 피해 여부를 제시하지 않았고, 국내 특정 기업의 침해 사실도 공식 확인되지 않았다. 그러나 구조적 위험은 국경을 타지 않는다.
직원 한 명이 여러 협업 도구에 같은 비밀번호를 쓰거나, 퇴사자 계정 정리가 늦어지거나, 관리자 계정에 다단계 인증(MFA)이 빠져 있으면 공격자는 기술 난도보다 운영 공백을 먼저 노린다. 예상 가능한 반박은 있다.
이번 사건이 제로데이 없이 탈취 자격 증명으로 이뤄졌다면, 굳이 AI를 보안 전략의 중심 변수로 볼 필요가 없다는 주장이다. 표면적으로는 타당한 지적이다.
피싱(phishing), 비밀번호 재사용, 계정 탈취는 오래된 공격 방식이다. 그러나 이 반박은 공격 경제학의 변화를 놓친다.
AI 자동화는 오래된 공격을 더 빠르고 싸게 만들며, 공격자가 실패를 감수할 수 있는 범위를 넓힌다. 방어자는 같은 인력으로 더 많은 경보를 검토해야 하고, 이때 보안 운영센터(SOC)의 생산성이 기업 리스크를 좌우한다. 이 변화는 구매 의사결정의 중심을 최고기술책임자(CTO)에서 최고재무책임자(CFO)와 이사회로 넓힌다.
계정 탈취 사고는 업무 중단, 데이터 유출 조사, 법무 비용, 고객 통지, 보험료 인상으로 이어진다. GIra Group의 원본 보고서는 금전 피해액을 공개하지 않았다. 따라서 피해 규모를 특정 금액으로 단정할 근거는 현재 없다.
다만 173개 테넌트에서 무단 로그인이 확인됐다는 사실은 보안 투자가 비용 절감 항목이 아니라 영업 지속성 비용이라는 점을 보여준다. 기업은 라이선스 수를 늘리는 속도만큼 계정 통제와 로그 분석 예산을 함께 늘려야 한다.
투자 판단의 새 기준은 신원
마이크로소프트에도 숙제가 남는다. 클라우드 플랫폼 사업자는 보안 기능을 프리미엄 옵션으로만 제공할 때 고객의 기본 방어선을 낮출 수 있다.
광고
물론 모든 기능을 기본 번들로 넣으면 가격 정책과 파트너 생태계가 흔들린다. 그럼에도 대규모 인증 공격이 반복될수록 플랫폼 사업자는 고객에게 설정 책임을 넘기는 방식만으로 신뢰를 유지하기 어렵다. 본지 분석에 따르면 앞으로 기업용 SaaS 경쟁력은 저장공간, 협업 기능, AI 문서 작성 능력보다 기본 보안값과 관리 편의성에서 더 크게 갈릴 가능성이 있다.
국내 보안 업계에는 기회와 압박이 동시에 온다. 기회는 명확하다. 고객사는 클라우드 계정 감사, 관리자 권한 점검, 이상 로그인 탐지, 다단계 인증 적용률 관리 같은 서비스를 더 자주 요구할 것이다.
압박도 크다. 단순 백신이나 일회성 컨설팅만으로는 AI 자동화 공격에 대응했다는 설명을 내놓기 어렵다. 반복 측정 가능한 지표가 필요하다.
예컨대 고위험 계정 수, 관리자 계정의 MFA 적용률, 비활성 계정 제거 주기, 해외 로그인 차단 정책 같은 운영 지표가 보안 투자 성과의 언어가 될 것이다. 이번 사건은 AI 시대 보안의 출발점이라기보다 기업 IT 구매 기준이 바뀌는 장면으로 봐야 한다. 공격자는 더 똑똑해졌다기보다 더 싸게, 더 많이, 더 오래 시도할 수 있게 됐다.
방어자는 화려한 신기술 이름보다 신원 데이터의 정합성, 권한 설계, 로그 대응 속도, 계정 생애주기 관리에 돈을 써야 한다. 한국 기업의 보안 예산은 장비 도입 목록을 늘리는 방식에서 벗어나 계정 하나가 회사 전체 업무망을 대표한다는 전제를 받아들여야 한다.
다음 예산 회의에서 가장 먼저 물어야 할 질문은 새 솔루션의 이름이 아니라, 우리 조직의 관리자 계정이 몇 개이고 그 계정들이 어떤 조건에서 로그인할 수 있는가다. ※ 이 기사는 GIra Group의 2026년 10월 22일 보도 자료 'Storm-0940 중국 연계 해킹 그룹 마이크로소프트 365 공격 분석'을 참조하여 작성했다. 원본 자료에 없는 산업 영향과 투자 판단 관련 내용은 본지 분석으로 구분해 서술했다.
FAQ
Q. 일반 기업은 이번 사건에서 무엇을 먼저 점검해야 하나
A. 가장 먼저 관리자 계정과 고위험 계정의 다단계 인증(MFA) 적용 여부를 확인해야 한다. GIra Group 보고서에 따르면 이번 공격은 제로데이 취약점이 아니라 탈취된 자격 증명을 활용했다는 점에서 계정 보안의 기본값이 핵심 방어선임을 보여준다. 비활성 계정 삭제, 비밀번호 재사용 차단, 해외·비정상 지역 로그인 제한, 조건부 접근 정책 점검을 함께 수행해야 한다. 보안 제품 도입보다 계정 목록의 정확성을 먼저 확보하는 편이 실효성이 크다. 특히 퇴사자 계정이 수개월째 살아 있거나 관리자 권한이 다수 인원에게 분산된 조직은 즉각 정비가 필요하다.
Q. 오픈소스 AI 보안 도구 사용을 기업이 피해야 하나
A. 오픈소스 인공지능(AI) 모의 해킹 도구 자체를 금지하는 방식은 현실성이 낮다. 같은 도구는 방어자가 취약 계정과 설정 오류를 미리 찾는 데 활용할 수 있기 때문이다. 문제는 도구의 공개 여부가 아니라 사용 권한, 실행 기록, 테스트 범위, 결과 보관 절차를 기업이 통제하는지에 있다. 보안팀은 승인된 환경에서만 도구를 쓰고, 대량 인증 시도와 유사한 행위가 내부 테스트인지 외부 공격인지 구분할 로그 체계를 갖춰야 한다. 이번 사건에서 ARTEX가 악용된 방식처럼, 도구의 존재 자체보다 탐지 우회 패턴을 SIEM·XDR 규칙에 반영하는 것이 실질적 대응이다.
Q. 보안 기업 투자 판단에서 어떤 지표를 봐야 하나
A. AI라는 표현을 제품명에 넣었는지보다 클라우드 계정 데이터를 얼마나 깊게 다루는지 확인해야 한다. 마이크로소프트 365, 구글 워크스페이스, 주요 신원·접근관리(IAM) 플랫폼과의 연동 범위가 넓을수록 실제 운영 가치가 커진다. 고객사가 경보를 줄이고 대응 시간을 단축했다는 운영 지표를 제시하는지도 중요하다. 이번 사건 이후에는 네트워크 경계 장비보다 계정 탐지, 권한 관리, 관리형 탐지·대응(MDR) 역량을 갖춘 기업의 경쟁력이 더 강하게 평가될 가능성이 크다. 분기 실적 발표 시 '계약 유지율'과 '고객 SOC 경보 감소율' 같은 운영 성과 지표가 매출 성장률만큼 중요한 판단 기준이 된다.
광고
▶ 법률 고민이 있다면 → 김연순법률노트 무료상담 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}
