2024 Data Breach Investigations Report
AI 위협에 대한 과대 우려와 현실의 차이
버라이즌이 발표한 2024년 데이터 유출 보고서(DBIR)에 따르면, 최근 사이버 보안 분야에서 뜨거운 관심을 받고 있는 생성형 AI(Generative AI)가 실제 사이버 공격에서는 거의 활용되지 않고 있는 것으로 나타났다. 사이버 보안 업계의 일부에서 제기하는 ‘Evil AGI(인공일반지능)’ 관련 우려와 달리, 현재까지 수집된 글로벌 사고 데이터에서 생성형 AI 기술이 활용된 흔적은 거의 발견되지 않았다.
버라이즌 연구팀이 범죄 포럼 데이터를 텍스트 분석한 결과, 지난 2년간 생성형 AI 관련 용어가 피싱, 멀웨어, 취약점, 랜섬웨어 등 전통적인 공격 유형과 함께 언급된 경우가 누적 100건을 겨우 넘는 수준에 그쳤다. 대부분의 언급은 상용 생성형 AI 서비스 계정 판매나 딥페이크 기술을 활용한 불법 콘텐츠 제작과 관련된 것이었다.
생성형 AI의 잠재적 활용 가능성과 현실
보고서는 생성형 AI 기술이 이론적으로는 피싱 이메일 작성, 멀웨어 개발, 새로운 취약점 발견 등에 도움을 줄 수 있다고 설명했다. 이는 마치 학생의 과제 작성이나 소셜 미디어 인플루언서의 웹사이트 제작을 돕는 것과 유사한 방식이다. 그러나 연구팀은 이러한 기술적 지원이 실제 공격의 성공률을 크게 높이지는 않을 것으로 분석했다.
보고서는 현재 사이버 범죄자들이 기존의 공격 방식만으로도 충분한 성과를 거두고 있다고 지적했다. 소셜 엔지니어링 패턴 분석에 따르면, 비즈니스 이메일 침해(BEC) 공격의 중간 거래 금액이 약 5만 달러에 달하는 것으로 나타났다. 또한 피싱 공격의 경우, 사용자가 이메일을 열어본 후 악성 링크를 클릭하기까지 걸리는 시간이 평균 21초, 개인정보를 입력하기까지 추가로 28초밖에 걸리지 않았다.
보안 인식 교육의 중요성 증가
이러한 분석 결과는 기술적 방어 체계 구축과 함께 직원들의 보안 인식 제고가 여전히 중요하다는 점을 시사한다. 보고서에 따르면 보안 인식 훈련에서 시뮬레이션된 피싱 이메일에 대한 보고율이 점차 증가하고 있으며, 2023년에는 20%의 사용자가 피싱을 식별하고 보고했다. 특히 피싱 이메일을 클릭한 사용자 중에서도 11%가 이를 보고한 것으로 나타났다.
버라이즌 연구팀은 생성형 AI가 사이버 공격 도구로 활용될 가능성에 대비해야 하지만, 현재 가장 시급한 것은 기존 공격 방식에 대한 효과적인 방어 체계 구축이라고 강조했다. 특히 랜섬웨어와 BEC 공격이 여전히 가장 큰 위협으로 남아있는 만큼, 이에 대한 대비가 우선되어야 한다고 조언했다.
연구팀은 또한 생성형 AI 자체도 자신의 영향력을 과대 포장하는 경향이 있다고 지적했다. 실제로 연구팀이 생성형 AI 도구에 잠재적 위협에 대해 질문했을 때, AI는 마치 이미 상당한 영향력을 행사하고 있는 것처럼 응답했으나, 이는 실제 데이터와 일치하지 않았다.
기사에 인용된 리포트 원문은 링크에서 확인할 수 있다.
기사는 클로드 3.5 Sonnet과 챗GPT-4o를 활용해 작성되었습니다.
관련 콘텐츠 더보기
