가트너 “보안 책임자 41%, 딥페이크 공격 경험있다”

가트너가 CISO 대상 설문조사 결과를 발표했다. 조사 기간은 지난 3월~5월이었으며, 조사 대상은 CISO 또는 이에 준하는 직책의 사이버보안 부문 고위 임원 297명이었다. 설문조사 결과 CISO의 41%는 지난 12개월 내 직원 음성 통화 딥페이크를 악용한 사회공학 공격을 최소 1회 이상 경험한 것으로 나타났다. CISO의 36%는 화상 통화에서 동일 유형의 공격을 경험한 것으로 조사됐다.

조사 결과 AI는 사회공학 공격의 빈도 증가를 유발한 것으로 나타났다. 또 AI는 사회공학 공격의 개인화 수준을 높이고 설득력을 강화한 것으로 조사됐다. 이와 함께 기존 탐지 징후의 신뢰도도 저하시킨 것으로 나타났다.

크레이그 포터 가트너 디렉터 애널리스트는 공격자들이 피싱·비즈니스 이메일 침해·합성 미디어·수집 개인정보를 결합한 다중 채널 공격을 진행하고 있다고 언급했다. 그는 향후 대부분의 공격이 사용자·탈취한 인증 정보·취약한 복구 절차·익숙한 기술 수법에 의존하는 방식으로 이뤄질 것이라고 전망했다.

크레이그 포터 가트너 디렉터 애널리스트는 CISO가 AI 기반 사회공학 위협에 대응할 필요가 있다고 강조했다. 그는 신원 및 접근 위험 평가처럼 체계적인 대응을 주문했다.

조사에서는 CISO 다수가 최근 1년간 여러 형태의 사회공학 공격을 겪었다고 답해 위협의 빈도를 보여줬다. 조사 참여 CISO 중 79%는 최근 12개월 내 이메일 피싱·스피어 피싱·기업 이메일 침해 사고를 최소 1건 이상 경험했다고 응답했다. 비싱(vishing)·스미싱(smishing) 사고가 발생했다고 응답한 비율도 58%로 집계됐다.

이에 가트너는 AI 기반 사회공학 공격에 대응하기 위한 핵심 조치 3가지를 제시했다. 핵심 조치 1은 정형화된 교육을 적응형 보안 행동·문화 프로그램으로 전환하는 것이다. 핵심 조치 2는 사칭 공격에 대비해 직원 신원·복구 체계를 강화하는 것이다. 핵심 조치 3은 AI 매개 위협에 대비해 탐지·대응 체계를 정비하는 것이다.

이 가운데 교육 부문과 관련해 가트너는 정형화된 교육의 전환 방안으로 '가짜 식별' 교육보다 중요한 요청에 대한 안전한 확인 절차를 기본 행동 수칙으로 삼는 방안을 제시했다.

조직은 AI와 사칭을 활용한 위협에 대응하기 위해 직원과 승인자를 대상으로 고위험 요청 대응 훈련을 할 필요가 있다. 이 훈련은 유입 경로와 무관하게 적용돼야 하며, 이메일·음성·영상·협업 도구·AI 애플리케이션을 포함해야 한다. 또한 일시 중지·확인·보고 절차를 익히게 해야 하며, 모의 훈련을 통해 AI 관련 의심 정황의 확인·보고 절차가 실제로 작동하는지 점검할 필요가 있다.

조직은 사칭 공격에 대비해 직원 신원·복구 체계를 강화할 필요가 있다. 특히 중요 업무 절차를 보호 대상으로 삼아야 하며, 여기에는 계정 복구·특권 접근·결제 승인이 포함된다. 이를 보호하기 위한 수단으로는 피싱 방지 인증·위험 기반 신원 통제·신뢰할 수 있는 채널이 필요하다. 또한 정상 로그인·비밀번호 재설정 이후에도 신원 정보 악용을 탐지할 수 있도록 제어 장치를 마련할 필요가 있다.

아울러 조직은 AI 매개 위협에 대비해 탐지·대응 체계를 정비할 필요가 있다. 위협 탐지 역량을 높이기 위한 방안으로는 의심스러운 연락·사칭 신고 정보와 계정 복구 이력·새 기기 접속·권한 변경·금융 거래 정보를 연계해 분석해야 한다.

사고 대응 체계는 기존 위험뿐 아니라 새롭게 나타나는 AI 관련 위협 유형까지 포괄하도록 보완되어야 하며, 이를 위해 사고 대응 매뉴얼의 업데이트가 필요하다. 매뉴얼의 적용 범위는 멀티모달 사칭과 조작된 AI 권고, 침해되거나 오용된 AI 에이전트, 정해진 범위를 벗어나 작동하는 에이전트에 대응할 수 있도록 넓혀야 한다.

출처: 테크월드뉴스 · 이광재 기자
원문: https://www.epnc.co.kr/news/articleView.html?idxno=407407

참고자료

• https://www.epnc.co.kr/news/articleView.html?idxno=407407