727 Finance마이크로소프트는 10월 30일 보고서를 발표하며, 자사가 모니터링하는 8개 북한 해커 그룹 중 3개가 AI를 공격 생애주기 전반에 깊이 내재화하여 자사 성숙도 모델의 최고 수준에 도달했다고 밝혔다. 일부 그룹은 몇 분 만에 맞춤형 PDF 피싱 유인물을 대량 생성하고, AI 프로그래밍 도구를 사용해 악성 코드를 작성하며, 신원을 위조해 기업에 침투한다.
저자: TechFlow
TechFlow 소개: 사이버 대결이 생성형 AI에 의해 완전히 재편되고 있다. 10월 30일, 마이크로소프트 위협 인텔리전스 부서는 북한 해커 그룹의 AI 활용 확대라는 심각한 추세를 체계적으로 폭로한 주요 보고서를 발표했다. 모니터링 대상 8개 그룹 중 3개 그룹은 이미 AI를 일상적인 침투 워크플로 전반에 깊이 내재화했다.
수 분 내에 맞춤형 PDF 피싱 유인물을 대량 생성하는 것부터 AI 프로그래밍 도구를 활용해 악성 코드 작성을 보조하는 것까지, 공격자의 운영 효율성과 은밀성은 차원이 다른 도약을 이루었다. 더 우려스러운 점은 가짜 채용과 신분 위장의 사슬이 AI에 의해 정교해지면서 전통적인 방어 체계로는 대응하기 어려워지고 있다는 것이다.
마이크로소프트는 관련 그룹이 아직 완전 자율적인 공격 루프를 달성하지는 못했다고 평가하지만, 오픈소스 AI 침투 프레임워크의 실제 호출은 이미 지능형 사이버 전쟁의 도래를 예고하고 있다. 이러한 공방 패러다임의 전환은 글로벌 기업들에게 엔드포인트 방어, 공급망 심사, 자격 증명 감사 전반에 걸쳐 포괄적인 새로운 과제를 제기한다.
[연합뉴스](https://www.yna.co.kr/view/AKR20261030112900017?input=tw" \t "https://www.techflowpost.com/article/_blank)에 따르면, 마이크로소프트 위협 인텔리전스 부서는 북한 해커 그룹의 AI 활용 확대 최신 동향을 상세히 다룬 특별 연구 보고서를 공식 발표했으며, 피싱 공격, 신분 위장, 악성 코드 생성, 소프트웨어 공급망 오염 등 여러 차원을 포괄한다.
마이크로소프트는 활동 중인 주요 북한 해커 그룹 8개에 대해 체계적인 역량 프로파일링을 수행했다. 우려스럽게도 그중 3개 그룹은 이미 AI 도구와 일상 공격 워크플로의 심층 통합을 완료하여 마이크로소프트의 사이버 위협 AI 활용 성숙도 모델에서 최고 수준에 도달했다.
조사에 따르면 AI의 개입은 더 이상 주변부 개념 검증에 국한되지 않고, 초기 정찰, 사회공학적 피싱, 신분 위장, 악성코드 작성부터 소프트웨어 공급망 오염에 이르는 전 과정을 포괄적으로 아우르며, 국가 지원 APT 그룹의 전술과 기법이 지능형 질적 전환을 이루었음을 보여준다.
사회공학적 측면에서 AI는 기존 국경 간 공격의 언어 및 문화 장벽을 완전히 허물었다. 보고서는 올해 8월부터 9월 사이 특정 그룹이 한국인 인구를 특정 대상으로 삼아 100건 이상의 고도로 맞춤화된 PDF 피싱 유인 문서 제작에 집중했다고 강조했다.대규모 언어 모델의 텍스트 생성 및 조판 능력에 힘입어 공격자들은 일부 실제 시나리오에서 단 몇 분 만에 수십 개의 새로운 유인물을 연속으로 제작할 수 있다. 이러한 위조 문서는 문법 표현, 공문서 서식, 맥락 세부 사항에서 극히 사실적이어서 피해자의 클릭률과 감염 확률을 크게 높인다.
이러한 산업적 규모의 유인물 대량 생산 능력은 피싱 공격의 한계 비용을 거의 제로에 가깝게 만들었다. 정적 파일 시그니처와 키워드 매칭에 기반한 전통적 보안 게이트웨이는 반복 패턴이 없는 대량의 AI 변이 유인물에 직면하여 전례 없는 미탐지 및 인식 실패의 딜레마에 빠져 있다.
유인 문서 외에도 AI는 가짜 채용과 신분 위장에 광범위하게 사용되고 있다. 해커들은 모델을 이용해 이력서를 위조하여 기술 기업에 침투한다. (자세한 내용은 추천 읽기: "[미 재무부, 북한 암호화폐 자금세탁 단속: 개인 10명·기관 1곳 제재](https://www.techflowpost.com/article/34955" \t "https://www.techflowpost.com/article/_blank)")
코드 공방 수준에서 마이크로소프트는 공격 팀이 Cursor와 같은 주류 AI 프로그래밍 어시스턴트를 사용하여 악성코드 기반 로직 작성과 안티바이러스 회피 디버깅을 크게 가속화하고 있을 가능성을 관찰했다. 도구의 보편화는 개발 주기를 압축할 뿐만 아니라 해커 개인의 코딩 습관마저 지워버린다.
나아가 북한 정찰총국 산하 엘리트 그룹인 Onyx Sleet과 Pearl Sleet은 지난 10월 말부터 오픈소스 AI 침투 테스트 프레임워크 ARTEX를 일선 작전에 배치하여 오픈소스 생태계의 레드팀 성과를 활용해 대상 네트워크에 대한 자동화된 정찰을 수행한 것으로 확인되었다.
공격자의 도구 체인이 점점 더 날카로워지고 있음에도 마이크로소프트는 보고서에서 상대적으로 합리적인 평가 경계를 제시한다. 전문가들은 현재 북한 해커 그룹이 완전 자율 공격을 달성할 능력을 아직 갖추지 못했으며, 이 단계에서 AI는 여전히 효율성 배율기이자 부조종사라는 핵심 역할을 한다고 지적한다.
그러나 이것이 보안 업계가 안심해도 된다는 의미는 아니다. 수동으로 단일 지점 스크립트를 작성하는 것에서 인간-기계 협업으로 복잡한 표적 공격을 대량으로 개시하는 것에 이르기까지, 공방 양측의 시간 창은 극적으로 압축되고 있다. 방어자는 전통적 수동 대응에서 AI 행위 분석 기반의 동적 모니터링으로 신속히 전환해야 한다.
오픈소스 대규모 모델과 온디바이스 추론 기술의 지속적 진화에 따라 핵심 인프라와 암호화폐 금융 시스템에 대한 사이버 습격은 더욱 빈번해질 것이다. 글로벌 기관은 공급망 감사, 직원 보안 인식, 다중 인증 분야에서 방어를 긴급히 강화하여 다가오는 지능형 사이버 폭풍에 대비해야 한다.