단독 공격자가 AI로 72시간 만에 AWS를 뚫은 사건: 클라우드 침해의 새로운 속도와 우리가 놓친 통제 공백

클라우드 침해는 더 이상 정교한 국가 행위자만의 영역이 아니다. 2026년 7월 Dark Reading이 단독으로 다룬 한 침해 사고는 단독 공격자(lone attacker) 한 명이 AI 기반 워크플로와 공개된 클라우드 취약점, 그리고 재사용된 자격증명만으로 72시간 만에 AWS(Amazon Web Services) 환경에 진입하는 데 성공했음을 보여준다. 최종 목표는 대형 아마존 고객사에 대한 금전 갈취(extortion)였으며, 사건 자체가 “소규모 행위자, 고속 침해, 대형 표적”이라는 클라우드 시대 공격의 새로운 공식을 상징적으로 드러냈다.

72시간 침해 사건의 전체 타임라인

Dark Reading의 보도에 따르면 이 침해는 단독 공격자가 평일 영업 시간 안에 완결한 것으로 파악된다. 3일이라는 시간은 과거의 랜섬웨어 이중 갈취(double extortion) 캠페인에서 흔히 보였던 수 주에서 수개월의 준비 기간과 뚜렷한 대비를 이룬다. 사건의 핵심은 정교한 0-day가 아니라, 이미 알려진 약점과 AI 도구의 결합이었다는 점이다.

침투 진입 경로와 AI 워크플로의 역할

공격의 출발점은 유출 자격증명의 재사용으로 분석된다. 단독 행위자는 공개 침해 데이터베이스에서 확보한 아이디와 비밀번호 조합을 자동화 도구로 대량 검증했고, 이 과정에서 AI 기반 워크플로가 표적 환경에 맞는 자격증명 후보를 우선순위화하는 역할을 한 것으로 보인다. 여기서 AI는 신규 취약점을 만들어낸 것이 아니라, 사람이 수작업으로 수행하던 정찰과 매칭 시간을 극적으로 단축시키는 가속기 역할을 했다.

클라우드 취약점 체이닝과 측면 이동

초기 자격증명으로 확보한 권한이 충분하지 않았을 때, 공격자는 IAM(Identity and Access Management) 정책의 과다 부여, 스토리지 버킷의 퍼블릭 노출, 메타데이터 서비스 접근 등 클라우드 고유의 약점을 연쇄적으로 조합해 측면 이동(lateral movement)을 수행했다. 단일 취약점이 아닌 여러 약점을 체이닝한 것이 침해 시간을 72시간으로 압축한 핵심 요인으로 해석된다.

사용된 공격 기법 분해

이 사건에서 사용된 기법은 크게 세 가지 범주로 정리할 수 있다. 아래 표는 각 기법의 의미와 이 사건에서의 적용 맥락을 정리한 것이다.

유출 자격증명의 재활용과 권한 상승

이 사건에서 가장 주목할 부분은 진입 장벽이 매우 낮았다는 점이다. MFA가 걸려 있지 않았거나, 비밀번호 로테이션이 주기적으로 이뤄지지 않은 계정에서 침투가 시작된 것으로 보인다. 이후 공격자는 클라우드 네이티브 API를 활용해 자신의 권한 범위를 탐색했고, 과도한 정책이 부여된 서비스 역할(role)을 발견해 데이터 접근 영역을 확장한 것으로 분석된다.

익스톨션 단계와 데이터 유출 압박

권한을 확보한 뒤 공격자는 버킷과 데이터베이스의 주요 사본을 외부로 반출한 다음, 피해 기업에 직접 접촉해 금전을 요구하는 익스톨션 단계로 진입했다. 이 단계에서 AI는 협상 메시지 작성과 시점 선정에 활용된 것으로 추정되며, “빠른 응답을 유도하는” 심리적 압박 설계에 일조한 것으로 보인다. 다만 공격자가 단독 행위자였음에도 불구하고, 피해 기업의 클라우드 가시성 부재가 대응 시간을 지연시켰다는 점은 통제 공백의 본질을 잘 보여준다.

AI가 바꾼 위협의 속도와 규모

이 사건의 가장 큰 시사점은 AI 도구가 “새로운 공격 벡터”라기보다 기존 행위자의 처리량을 폭증시켰다는 사실이다. 단독 공격자도 정찰·문서 작성·사회공학 메시지 생성을 자동화할 수 있게 되면서, 과거에는 팀 단위로 이뤄지던 침해 캠페인이 사실상 1인 운영 가능한 형태로 축소되었다.

단독 행위자 중심의 고속 침해 패턴

업계에서는 이미 단독 행위자 중심의 고속 침해가 랜섬웨어 변종과 SaaS(Software as a Service) 계정 탈취 영역에서 일반화되고 있는 것으로 관측된다. 이 사건 역시 72시간이라는 압축된 시간 안에 정찰, 침투, 권한 상승, 데이터 반출, 갈취 압박이 모두 수행된 사례로, AI 기반 워크플로가 위협의 처리 속도 상한을 끌어올렸음을 방증한다.

대형 고객사가 표적이 되는 구조적 이유

공격자가 특정 대형 아마존 고객사를 최종 표적으로 삼은 이유는 비용 대비 효과 때문인 것으로 해석된다. AWS 환경 한 곳을 깊게 파고들면 동일 계정·동일 VPC(Virtual Private Cloud) 내의 자산을 다수 침투할 수 있고, 최종 협상 대상이 클라우드 운영사가 아닌 실제 고객사가 될 경우 갈취 규모가 커진다. 즉, 클라우드의 공유 책임 모델이 표적 선정의 효율성까지 높인 셈이다.

클라우드 보안 통제의 현실 점검

이 사건은 새로운 통제가 필요한 것이 아니라, 기존 통제의 운영 공백이 드러난 사건으로 보는 것이 적절하다. AWS 공식 보안 문서에서도 강조하는 최소 권한, 자격증명 로테이션, MFA, 탐지 로깅이 모두 권고되어 있었음에도 불구하고 실제 환경에서는 부분적으로만 적용되어 있었던 것으로 보인다.

IAM·자격증명 로테이션·MFA 재설계

실무적으로 가장 먼저 손볼 부분은 IAM 구성이다. 사람이 직접 다루는 IAM 사용자 대신 IAM 역할과 임시 자격증명(STS, Security Token Service) 사용 비중을 높이고, 서비스 계정에는 최소한의 정책만 부여해야 한다. 동시에 유출 가능성이 높은 장기 API 키는 단기 토큰 기반 구조로 재설계하고, 모든 권한 있는 계정에 하드웨어 토큰 또는 FIDO2 기반 MFA를 의무화해야 한다. 비밀번호와 API 키의 로테이션 주기도 “연 1회”에서 “자동 90일 이내”로 단축하는 것이 바람직하다.

클라우드 탐지와 포렌식 가시성 강화

72시간 침해는 사실상 침해 발생 후 72시간 이내에 탐지하지 못했음을 의미하기도 한다. CloudTrail, VPC Flow Logs, GuardDuty 등 클라우드 네이티브 로그를 중앙 SIEM(Security Information and Event Management)으로 통합하고, 자격증명 이상 사용, 버킷 정책 변경, 비정상 리전에서의 API 호출 같은 행위에 대한 탐지 규칙을 사전에 마련해 두는 것이 중요하다. 사고 이후의 포렌식 가시성이 확보되지 않으면, 갈취 협상에서 피해 기업은 불리한 위치에 놓이게 된다.

보안 리더를 위한 Action Items

• 권한 있는 모든 IAM 사용자·역할에 대해 MFA 적용률을 100%까지 끌어올리고, 장기 액세스 키를 STS 기반 임시 자격증명으로 전환한다.
• 주요 데이터 버킷과 데이터베이스에 대한 퍼블릭 액세스 차단, 교차 계정 접근 화이트리스트, KMS(Key Management Service) 키 분리 적용 여부를 점검한다.
• 유출 자격증명 모니터링 도구(예: 공개 침해 데이터베이스 매칭)를 IAM 정책과 연계해 자동 차단하도록 구성한다.
• CloudTrail, VPC Flow Logs, EKS 감사 로그 등 클라우드 로그를 중앙 SIEM으로 수집하고 비정상 행위에 대한 탐지 규칙을 코드로 관리한다.
• 랜섬웨어·익스톨션 대응 플레이북에 클라우드 격리 절차(계정 분리, 키 회전, 스냅샷 보존)를 명시하고 분기 단위 모의 훈련을 실시한다.