자동화 도구가 아무나 해킹하는 시대... 취약점 악용자 86%가 ‘정체불명’

[3줄 요약]
1. NSHC 보고서 “2025년 취약점 악용 86% ‘미식별 그룹’”
2. 자동화 도구와 취약점 악용의 보편화로 무차별 침투
3. ‘누가 공격했는가’ 보다 ‘어느 표면 노출됐는가’ 우선순위

[보안뉴스 강현주 기자] 악명 높은 특정 해킹 그룹의 비중이 높던 과거와 달리 ‘미식별 그룹’에 의한 자동화된 공격이 대세가 되고 있다. 역으로 누구나 보편화된 자동화 공격 도구로 쉽게 공격자가 될 수 있다는 의미이기도 하다. 방어 우선순위를 ‘누가 공격했는가’에서 ‘어느 표면이 노출됐는가’로 전환해야 됨을 시사한다.

보안기업 NSHC가 발간한 ‘2025년 연간 취약점 악용 기반 사이버 공격 동향 및 2026 전망’ 보고서에 따르면, 2025년 취약점 악용 사례의 86%가 ‘미식별 해킹 그룹’에 의한 공격인 것으로 나타났다.

▲ 2025 년 연간 취약점 악용 기반 사이버 공격 동향 및 2026년 전망 [출처: NSHC]

NSHC 위협분석 연구소가 식별한 취약점 악용 해킹 활동 419건을 기반으로 분석한 결과다.

분석한 데이터에 따르면, 공격 주체는 미식별 해킹 그룹이 86.4%로 압도적 비중을 차지했다. 중국 정부 배후 해킹 그룹이 9%로 2위였고, 북한, 인도, 러시아 정부 지원 해킹 그룹이 뒤를 잇는다.

이는 대규모 자동화 공격·봇넷·기회주의적 침해처럼 공격 주체 식별(Attribution)이 어려운 공격이 연중 대다수를 차지했음을 시사한다고 보고서는 강조한다. 공격자가 특정 국가나 기업을 사전에 겨냥하기보다, 인터넷에 노출된 취약 자산을 자동화 스캐닝으로 탐색해 무차별적으로 침투하는 방식이 표준 전술로 자리 잡았음을 의미한다.

취약점을 악용한 미식별 해킹 그룹의 공격 운영 방식을 살펴보면 다수의 취약점을 동시에 악용한 사례들이 많다. 보고서에 따르면, 지난해 취약점 악용 사례들 가운데 10개 이상의 취약점이 한 번에 동원된 해킹 활동이 다수 존재한다. 최대 35개가 동원된 사례도 확인됐다.

공격자가 단일 취약점 성공률에 의존하기보다, 여러 취약점을 묶어 다양한 장비·서비스에 동시 대응하는 ‘멀티-익스플로잇’ 패키지를 운영하고 있음을 알 수 있는 대목이다.

즉 ‘누가 공격했는가’보다 ‘어떤 표면이 자동화 공격에 노출되어 있는가’가 방어 우선순위가 됐다.

반대로 누구나 쉽게 자동화된 도구로 공격자가 될 수 있다는 점도 시사한다.

실제로 보안 기업 바라쿠다(Barracuda)의 ‘2025 피싱 보고서’에 따르면, 사이버 범죄자들의 피싱 공격을 돕는 ‘서비스형 피싱’(PhaaS) 키트 수가 2025년 한 해 동안 전년 대비 2배 늘어난 것으로 확인됐다. 특히 다중인증(MFA) 우회 기술과 URL 난독화 기술이 널리 활용되고 있다.

NSHC 관계자는 “2025년 공격자 생태계는 소수의 정교한 공격자들만의 판이 아니라, 노출 자산과 패치 지연이 존재하는 한 누구든 침투를 시도할 수 있는 구조로 확장됐다”며 “이에 따라 취약점 악용 공격에 대한 방어 전략은 특정 그룹 추적 중심에서 벗어나, 공격표면 기반의 보편적 방어 체계로 전환돼야 한다”고 말했다.

[강현주 기자(jjoo@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다