‘AI 공격’보다 심각한 것?... 세 기업 중 하나 ‘공급망 공격’ 시달려

31%가 공급망 공격 경험... ‘AI 기반 공격’ 보다 높아

[보안뉴스 강현주 기자] 전세계 기업 약 3개 중 한 곳은 ‘공급망 공격’에 시달리는 것으로 나타났다. ‘AI 기반 공격’보다 더 심각한 수치다.

16일 카스퍼스키(한국지사장 이효은)는 ‘2025 공급망 및 신뢰 관계 공격 보고서’를 발표했다. 조사는 500명 이상 규모 기업에 소속된 기술 전문가 1714명을 대상으로 진행됐다. 대상 국가는 독일, 스페인, 이탈리아, 브라질, 멕시코, 콜롬비아, 싱가포르, 베트남, 중국, 인도, 인도네시아, 사우디아라비아, 터키, 이집트, 아랍에미리트, 러시아 등 총 16개국이다.

특히 지난 1년간 기업이 직면한 가장 일반적인 사이버 위협으로 공급망 공격이 부상한 것으로 나타났다. 카스퍼스키의 글로벌 조사 결과에 따르면, 약 3개 기업 중 1개에 해당하는 31%의 기업들이 지난 12개월 동안 공급망 위협을 경험했다. ‘AI 기반 공격’을 경험한 기업들은 30%다. 공급망 공격 경험 기업이 AI 기반 공격 경험 기업보다 많다는 얘기다.

조사에 따르면, 지난 12개월 동안 기업의 31%가 공급망 공격의 영향을 받았으며, 이는 다른 어떤 유형의 사이버 위협보다 높은 수치다. 공급망 위협은 네트워크 연결성이 가장 높은 조직을 집중적으로 노리고 있으며, 대기업의 경우 소규모 및 중견 기업에 비해 공격 경험 비율이 36%로 가장 높게 나타났다.

주목할 점은 소프트웨어 및 하드웨어 공급업체의 평균 수가 가장 많다고 보고한 그룹이 대기업 그룹이라는 사실이다. 이러한 대기업군은 평균 약 100개의 소프트웨어 및 하드웨어 공급업체를 관리하고 있는 것으로 나타났으며, 이는 잠재적인 공격 표면을 크게 확장시키는 요인으로 작용한다. 조직은 다수의 외부 계약업체에 시스템 접근 권한을 부여하고 있는 것으로 나타났는데, 소규모 기업은 평균 약 50개, 대기업은 130개 이상의 계약업체와 연결되어 있어 또 다른 사이버 위협인 신뢰 관계 공격의 위험을 증가시키고 있다. 이는 공격자가 조직 간의 합법적인 연결을 악용하는 방식이다

하지만 많은 기업 리더들이 공급망 공격을 과소평가하고 있는 것으로 나타났다. 위험도를 기준으로 위협을 분류하도록 했을 때, 조직들은 지능형 지속 공격, 랜섬웨어, 내부자 위협과 같은 복잡한 공격에 집중하는 경향을 보였으며, 실제로 가장 자주 발생하는 위협에 대해서는 상대적으로 낮은 관심을 보였다. 전 세계적으로 공급망 공격을 가장 큰 위협으로 꼽은 기업은 9%에 불과했으며, 신뢰 관계 공격은 8%에 그쳤다.

이효은 카스퍼스키 한국지사장은 ”많은 조직이 눈에 보이는 위협에만 집중하고 외부 파트너 및 공급업체로부터 발생하는 위험을 과소평가하고 있는데, 수동적인 방어에서 벗어나 전체 생태계 관점의 보안을 도입하고, 공급업체 접근 통제와 최소 권한 원칙을 적용하며 지속적인 모니터링을 수행해야 한다”며 “파트너와의 협력 기반 보안 체계를 구축해야만 이러한 위협을 효과적으로 차단하고 안정적인 비즈니스 운영을 보장할 수 있다”라고 말했다.

세르게이 솔다토프 카스퍼스키 SOC 총괄은 “오늘날 디지털 생태계에서는 모든 연결, 모든 공급업체, 모든 통합이 곧 보안 프로파일의 일부가 되며 조직이 더 많이 연결될수록 공격 노출도 함께 증가한다”며 “이러한 환경에서는 개별 시스템이 아닌, 비즈니스를 구성하는 전체 관계 네트워크를 보호하는 생태계 기반 접근 방식이 필요하다”고 했다.

카스퍼스키는 조직 전반에 걸친 예방 조치를 시행하고 공급업체 및 계약업체와의 관계를 전략적으로 관리해야만 공급망 리스크를 줄이고 비즈니스 회복탄력성을 확보할 수 있다고 제언했다.

체결 전 공급업체를 철저히 평가하고, 사이버 보안 정책, 과거 사고 이력, 산업 보안 표준 준수 여부를 확인해야 한다. 소프트웨어 및 클라우드 서비스의 경우 취약점 데이터 및 침투 테스트 결과도 검토하는 것이 바람직하다.

또 계약상 보안 요구사항을 명확히 하고, 정기적인 보안 감사와 조직의 보안 정책 및 사고 대응 프로토콜을 준수해야 한다. 예방적 기술 조치를 도입도 중요하다. 최소 권한 원칙제로 트러스트, 성숙한 신원 관리를 적용해 공급업체 침해 시 피해를 최소화한다.

지속적인 모니터링을 수행을 위해 카스퍼스키 넥스트 제품군의 일부인 확장된 탐지 및 대응(XDR) 또는 관리형 XDR(MXDR) 솔루션을 활용해 실시간 인프라 모니터링 및 이상 탐지를 수행할 것을 제안했다.

이와 함께 사고 대응 계획을 수립해야 한다. 공급망 공격을 포함하고, 침해 발생 시 신속한 식별 및 차단을 위한 절차를 포함해야 한다. 공급업체와 보안 협력도 중요하다. 양측의 보호 수준을 높이고 이를 공동의 우선 과제로 설정해야 한다는 게 카스퍼스키의 설명이다.

[강현주 기자(jjoo@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다