[태그:] AI보안

클로드 해킹이 새 국면을 맞았다. 비밀번호를 훔치는 게 아니라, 이미 로그인된 세션 자체를 통째로 빼돌린다. 8월 말 Dark Reading이 보도한 내용에 따르면, 앤트로픽 클로드 사용자의 세션 정보가 인포스틸러 계열 악성코드로 수집됐고, 다수 계정에 무단 접근 정황이 확인됐다. 피해자 수는 명확히 공개되지 않았고, IOC나 정확한 시점도 원문에서 충분히 드러나지 않는다.

필자가 이 사건에서 가장 의미 있다고 보는 부분은 ‘벡터의 이동’이다. 기존 계정 탈취는 피싱으로 ID/PW를 받아내는 형태였다. 그런데 2024년 이후 인포스틸러는 세션 쿠키, 토큰, 그리고 브라우저에 저장된 refresh 토큰까지 묶어서 빼낸다. 피해자가 비밀번호를 강제로 초기화해도, 공격자는 여전히 로그인 상태를 유지한다. 이게 클로드 해킹이 일반 피싱과 본질적으로 다른 지점이다.

왜 클로드 해킹이 AI 보안의 새 화두가 됐을까. AI 워크로드는 고가치이기 때문이다. 코드를 붙여 넣는 개발자, 사내 문서를 요약시키는 엔터프라이즈 사용자, 그리고 API 키를 콘솔과 함께 운용하는 팀이 한 세션 안에 다 몰려 있다. 탈취된 세션은 곧 사내 코드 유출, API 키 재판매, 그리고 다른 LLM 워크플로우로의 횡적 이동 통로가 된다.

특히 위험한 시나리오는 Anthropic API 콘솔과 Claude.ai 세션이 같은 브라우저 프로필에 묶여 있을 때다. 한 번 세션이 넘어가면 공격자는 API 키 발급 화면까지 진입할 수 있다. 실무자 입장에서 눈에 띄는 건, MFA를 걸어두었다는 이유만으로 안심하는 조직이 여전히 많다는 점이다. MFA는 피싱·인증 탈취를 막아줄 뿐, 이미 발급된 세션 토큰이 빠져나가는 것까지는 막지 못한다.

원문에서는 구체적 인포스틸러 패밀리명이 공개되지 않았다. 다만 RedLine, Raccoon, LummaC2, StealC 같은 변종은 이미 Anthropic과 OpenAI, Google AI 콘솔의 세션 토큰을 노리는 모듈을 갖추고 있다는 게 보안업체 보고에서 꾸준히 지적돼 왔다. 이 흐름은 Dark Reading의 원문에서도 같은 맥락으로 다뤄졌다.

클로드 해킹의 핵심 — 세션 토큰을 노리는 인포스틸러

인포스틸러는 단순한 크리덴셜 스틸러의 축소판이 아니다. 브라우저의 SQLite DB, 레지스트리에 저장된 토큰, 클립보드와 지갑 확장프로그램의 데이터까지 한 번에 긁어간다. 클로드 해킹처럼 AI 계정이 표적이 된 이유는, 세션이 길게 살아남고 그 안에 민감한 컨텍스트가 많기 때문이다.

세션 토큰이 유출되면 공격자는 사용자 IP가 아닌 자기 인프라에서 그대로 인증한다. 디바이스 핑거프린트도 갈아끼울 수 있고, 사용자 모르게 콘솔에서 API 키를 새로 발급하는 것도 가능하다. 이런 이유로 EU AI 규제 첫 적용 4가지 쟁점에서 다룬 공급망 차원의 통제와 별개로, 세션 단위 통제가 다시 강조되고 있다.

클로드 해킹 5단계 — 방어 체크리스트

결국 이번 클로드 해킹 사태가 시사하는 바는 단순하다. 인포스틸러는 더 이상 ‘개인 PC의 비밀번호 유출’ 프레임으로만 보면 안 된다. 오늘이라도 한 단계 낮은 권한, 짧은 세션, 전용 프로필이라는 세 가지 습관을 팀 안에 심어야 한다.