AI가 아닌 실제 사이버 위협에 집중하세요.

현실을 직시하세요: AI 기반 사이버 공격은 무서운 가능성입니다. 하지만 이것이 회사에 가장 큰 위험은 아닙니다.

진짜 위험은 그들이 야기하는 주의력 분산입니다.

저는 15년 이상 같은 패턴을 목격해 왔습니다. 경영진은 최신 'AI 슈퍼 위협'에 놀라는 반면, 보안팀은 "가장 민감한 고객 정보가 어디에 있는가?" 또는 "중요한 서버의 패치는 누가 책임지고 있는가?"와 같은 근본적인 질문에 답하려고 애쓰고 있습니다. 엔지니어는 긴급한 규정 준수 연습에 몰두하고, 중요한 취약점은 우선순위 목록에서 밀려납니다.

이는 전형적인 '스크린도어에 달린 화려한 자물쇠'와 같은 딜레마입니다. 기업들은 AI 기반 방어를 서둘러 구현하고 있지만, 공격자들은 제약이 적고 민첩성이 뛰어난 AI를 사용하여 프로세스, 소유권, 문화의 근본적인 약점을 악용하고 있습니다. 특히 중견 기업의 경우 기본을 소홀히 하면 다음 공격의 표적이 될 수 있습니다.

역동적인 세상에서 정적 방어가 실패하는 이유

제가 경력을 시작했을 때 보안은 바이러스 백신, 패치, 강력한 방화벽과 같은 체크리스트였습니다. 그런 시대는 끝났습니다. 오늘날 다형성 멀웨어는 탐지를 피하기 위해 코드를 변경하고 봇넷은 사람이 대응할 수 있는 속도보다 더 빠르게 공격을 시작합니다.

암호화된 트래픽은 공격자가 선호하는 은닉 방법이 되었습니다. 지스케일러의 2024 ThreatLabz 보고서에 따르면 현재 멀웨어의 거의 90%가 암호화된 채널을 통해 전달되는 것으로 나타났습니다. 즉, 위협 10건 중 9건은 기존 보안 도구로는 해당 트래픽을 검사할 수 없어 숨겨져 있습니다.

그러나 진정한 장애물은 단순한 기술이 아니라 조직의 관성입니다. 저는 유능한 보안팀이 알려진 취약점을 수정하기 위해 승인을 받는 데만 몇 주를 허비하는 것을 보았습니다. 필요한 회의 일정을 잡는 데 걸리는 시간 동안 자동화된 공격자가 시스템에 침입하여 데이터를 유출할 수 있습니다. 더 이상 정적 상태를 유지하는 것은 불가능합니다. 보안 프로그램은 상황에 맞게 대응하고 가장 빠르게 변화하는 비즈니스 측면에 초점을 맞춰야 합니다.

사이버 범죄의 산업화

이러한 발전은 충격이 아닐 수 없습니다. 공격자들은 범죄 기업을 운영하는 기업가입니다. 그들은 합법적인 비즈니스와 마찬가지로 투자 수익을 개선하기 위해 새로운 기술을 채택하고 있을 뿐입니다. AI는 공격자들이 운영을 산업화하는 데 도움을 주고 있습니다.

• 더욱 강력해진 서비스형 피싱: 피싱은 여전히 주요 침입 방법으로, FBI와 IBM이 수년 동안 가장 많이 보고한 초기 접속 경로로 꾸준히 보고되고 있습니다. 이제 범죄자들은 'FraudGPT'와 같은 생성형 AI 도구를 사용하여 전례 없는 규모로 완벽하게 맞춤화되고 문법적으로 완벽한 피싱 캠페인을 제작할 수 있습니다.
• 목소리는 거짓말: 보이스 피싱('비싱')이 급증하고 있습니다. 공격자들이 AI로 복제된 목소리를 사용해 임원을 사칭하고 직원들을 속여 자금을 이체하도록 유도하는 보이스 피싱이 442% 증가한 것으로 나타났습니다. 영국의 한 에너지 회사는 이런 방식으로 한 번의 통화로 243,000달러 이상의 비용을 지불했습니다.
• 자동화된 적의 부상: 크라우드스트라이크의 위협 헌터들은 이제 딥페이크 비디오 인터뷰가 포함된 AI 생성 이력서부터 멀웨어를 사용하지 않고 전적으로 클라우드에서 작동하는 침입까지 엔드투엔드 자동화된 캠페인을 마주하게 됩니다.

방어자들은 사람의 개입이 거의 없이도 적응하고 지속되는 위협에 직면하고 있습니다. 공격자들은 수년 동안 자동화를 진행해 왔으며, AI는 그들의 워크플로우를 더욱 가속화했을 뿐입니다.

이러한 변화에 발맞추기 위해서는 컴플라이언스 및 사이버 보안에 대한 체크리스트 중심의 낡은 접근 방식을 버려야 합니다. 최신 시장 도구에서 마법의 솔루션을 찾는 것도 정답이 아닙니다. 하지만 이 도전은 기본으로 돌아갈 수 있는 특별한 기회를 제공합니다.

"우리는 규정을 준수하고 있는가?"라는 질문은 그만두세요. "우리는 회복탄력성이 있는가?"라는 질문을 던지기 시작하세요.

AI가 위협 환경을 변화시키고 있지만 대부분의 침해 사고는 여전히 기본을 소홀히 하여 발생합니다. 예, CEO의 목소리가 복제되었을 수는 있지만 실제 실패는 재무 승인 프로세스에 결함이 있었을 가능성이 높습니다. AI는 간과된 기본 사항의 연쇄에서 마지막 단계에 불과했습니다.

AI가 패치가 적용되지 않은 5년 된 서버나 모든 것에 대한 관리자 액세스 권한을 가진 개발자를 찾을 수 있다면 제로데이 취약점을 발견할 필요가 없습니다. 다른 AI 기반 보안 도구를 구입한다고 해서 망가진 보안 문화를 복구할 수는 없습니다. AI는 강력한 프로세스를 강화하는 역할을 해야지, 이를 대체하는 역할을 해서는 안 됩니다.

경영진이 종종 실수하는 부분이 바로 이 부분입니다. 저는 "우리는 규정을 준수하고 있는가?"라는 질문이 중심이 되는 이사회에 앉아 본 적이 있습니다. 더 나은 질문은 "우리의 보안 프로그램이 비즈니스의 회복탄력성을 높여주는가?"입니다.

컴플라이언스는 체크박스에 체크하는 일이 됩니다. 제품 팀은 빠르게 앞서 나가고, 엔지니어는 적절한 리소스 없이 보안 업무를 맡게 되며, 리더는 깨끗한 감사가 비즈니스 안전과 동일하다고 생각합니다. 그렇지 않습니다. 해결책은 더 많은 도구가 아니라 위에서 아래로 내려오는 강력한 기본 지원입니다. 보안은 비즈니스 성장 및 제품 무결성과 직결되어야 합니다.

AI 시대를 위한 실용적인 플레이북

포춘지 선정 500대 기업은 이 문제에 막대한 비용을 투자할 수 있습니다. 미드 마켓 기업은 더 전략적으로 접근해야 합니다. 그렇다면 실제로 무엇을 해야 할까요?

1. 먼저 기초를 다지세요. 다른 도구에 투자하기 전에 데이터 인벤토리, 확실한 액세스 제어, 안정적으로 작동하는 패치 프로세스를 갖추고 있는지 확인하세요.
2. AI를 의제로 삼으세요. AI 기반 공격을 시뮬레이션하는 모의 훈련을 실시하세요. 이를 경영진 보고에 정기적으로 포함시켜 단순한 IT 문제가 아닌 비즈니스 리스크로 취급하도록 하세요.
3. 정적 신호가 아닌 행동에 집중하세요. 알려진 멀웨어 시그니처만 검색하는 도구보다 사용자 계정이 갑자기 사용하지 않는 데이터베이스에 액세스하는 등 비정상적인 활동을 탐지하는 도구에 우선순위를 두세요.

AI는 적이 아니라 안일함이 적입니다.

AI는 양날의 검이 아니라 돋보기입니다. 효율적인 프로세스는 더 효과적으로, 결함이 있는 프로세스는 재앙으로 만들 수 있습니다.

공격자는 항상 새로운 도구를 사용할 수 있습니다. 중요한 질문은 보안 전략이 탄탄한 회복탄력성의 토대 위에 구축되어 있는지, 아니면 단순히 다음 트렌드를 쫓고 있는지에 대한 것입니다. 한 번 설정하고 잊어버리는 보안의 시대는 끝났습니다. 보안에 중점을 둔 문화를 조성하고 기본을 마스터하는 조직은 자율적인 위협의 시대에도 성공할 것입니다.