CrowdStrike 2026 보고서: 해커들이 보안 취약점을 24시간 내 악용 — AI가 공격 속도를 높인다

취약점이 공개된 후 실제 공격이 발생하기까지의 시간 간격이 거의 사라졌다. 크라우드스트라이크(CrowdStrike)의 2026년 위협 헌팅 보고서(상반기 기준)에 따르면, 개념 증명(PoC) 익스플로잇이 공개된 CVE 중 88%가 48시간 이내에 실제 공격에 사용됐다. 중국 연계 위협 그룹인 볼트 판다(VAULT PANDA)와 제네시스 판다(GENESIS PANDA)는 주요 웹 애플리케이션 취약점에 대해 24시간 이내에 대응하는 수준에 도달했다. 이는 대부분의 기업 IT팀이 평가는커녕 패치를 적용하는 속도보다 빠르다.

올해 초 발견된 React2Shell 취약점은 공개 후 4일 만에 800건의 조사 단서를 생성했고, 80개 이상의 피해 조직에서 침해가 확인됐다. 또 다른 중국 연계 그룹인 엄브럴 바이슨(UMBRAL BISON)은 CVE-2026-31431을 20시간 만에 익스플로잇하기 시작했으며, 관련 공격 이벤트의 94%가 첫날에 기록됐다. 이는 고립된 사례가 아니라, 국가 주도 해킹의 표준 작전 속도가 된 현상을 보여준다.

인공지능이 이러한 속도를 더욱 가속화하고 있지만, 아직 공상과학적 수준은 아니다. 가장 측정 가능한 AI 관련 위협 변화는 공격 체인의 양쪽에서 나타난다. AI 에이전트가 촉발한 보안 탐지는 수동 활동보다 2.5배 더 많은 위협 단서를 생성하지만, 동일한 자동화가 조직을 공격하는 데 사용되고 있다. 문서화된 LLMJacking 캠페인(공격자가 AI API 자격 증명을 탈취해 수익을 내는 방식) 중 하나에서는 단일 작업이 2분 만에 20만 건의 API 요청을 생성했으며, 자동화 없이는 불가능한 속도로 컴퓨팅 자원 도난을 확장했다.

북한의 스타더스트 촐리마(STARDUST CHOLLIMA)는 6월에 정찰 활동에서 소프트웨어 공급망으로 전환했다. AI 기반 애플리케이션을 개발하는 개발자들이 널리 사용하는 Mastra AI 개발 프레임워크의 131개 패키지에 악성 npm 종속성이 주입됐다. 이 캠페인은 빠른 채택과 종종 취약한 보안 검토를 특징으로 하는 AI 도구가 고수익 오염 표면을 제공한다는 계산된 판단을 반영한다. 또 다른 그룹인 얼터드 스파이더(ALTERED SPIDER)는 단 하루 만에 300개 이상의 소프트웨어 종속성을 손상시켰다.

사회공학 공격도 속도를 맞추고 있다. 전화를 통해 IT 지원이나 임원을 사칭하는 보이스 피싱은 2026년 상반기에 전반기 대비 두 배로 증가했다. 크라우드스트라이크가 스나키 스파이더(SNARKY SPIDER)로 추적하는 그룹은 문서화된 사례에서 계정 탈취부터 데이터 유출 확인까지 5분 이내에 완료했다. 월간 디바이스 코드 피싱 시도는 지난 6개월 동안 15배 급증했으며, 이는 스마트 TV 및 입력 장치가 제한된 기기에서 앱을 인증하는 데 사용되는 OAuth 흐름을 악용하는 기법이다.

소프트웨어를 사용하는 모든 사람(보안 전문가뿐만 아니라)에게 실질적인 시사점은 이제 효과적인 패치 기간이 시간 단위로 측정된다는 점이다. 전통적인 30일 취약점 관리 주기에 의존해 온 기업 보안팀은 이미 진 패배를 향해 달리고 있는 셈이다. 클라우드 기반 e크라임은 전년 대비 171% 증가했으며, 크라우드스트라이크는 이 수치를 심층 기술 전문성이 부족한 범죄자들의 진입 장벽을 낮추는 상용 AI 도구의 가용성에 부분적으로 기인한다고 분석한다.

크라우드스트라이크는 현재 290개의 명명된 적대 그룹을 추적하고 있으며, 이는 이전보다 크게 증가한 수치다. 보고서는 위협 행위자 식별 자체가 병목 현상이 되고 있다고 지적한다. 현대 캠페인의 속도는 종종 방어 대상을 이해하는 데 필요한 귀속 작업을 앞지르기 때문이다. 2026년 보고서의 수치는 미래의 위협을 설명하는 것이 아니라, 이미 수천 개의 조직에서 매일 측정되고 있는 현실을 설명한다.

태그: 사이버보안, 공급망 공격, AI 보안, CrowdStrike, LLMJacking, 북한