가트너(Gartner)는 2027년까지 AI 에이전트가 사용자 계정 탈취(ATO) 시간을 50% 줄일 것으로 전망했다.
제레미 드호인 가트너 VP 애널리스트는 “계정 탈취는 여전히 해커들의 주요 공격 수단”이라며 “데이터 유출, 피싱, 사회 공학, 멀웨어 등 다양한 방법으로 비밀번호를 수집한 해커들은 사용자가 여러 사이트에서 같은 비밀번호를 사용한다는 것을 염두하고 자동화 봇을 이용해 여러 서비스에서 로그인을 시도한다”고 설명했다.
AI 에이전트는 딥페이크 기술을 악용한 사회 공학 공격부터 사용자 자격증명 악용의 종단간 자동화까지 더 많은 계정 탈취 단계를 자동화할 수 있다. 이에 따라 공급업체는 AI 에이전트가 관여하는 상호작용을 탐지, 모니터링, 분류할 수 있는 웹, 애플리케이션, API, 음성 채널 제품을 도입할 것으로 예상된다.
아키프 칸 가트너 VP 애널리스트는 “진화하는 위협에 대응하기 위해 보안 리더는 비밀번호를 요구하지 않는 피싱 방지 다중 인증(MFA)을 도입해야 한다”며 “사용자가 인증 옵션을 선택할 수 있는 경우에는 비밀번호 사용 체계에서 다중 장치 패스키로의 전환을 유도하고 장려하는 교육과 인센티브를 제공해야 한다”고 조언했다.
계정 탈취와 더불어 사회 공학 공격 또한 기업 사이버보안에 중대한 위협이 될 것으로 전망된다. 가트너는 2028년까지 사회 공학 공격의 40%가 기존 보다 광범위한 대상을 표적으로 삼을 것으로 예측했다. 현재 공격자들은 딥페이크 음성 및 영상과 같은 위조 현실 기술을 사회 공학 공격 기법과 결합해 정교한 공격을 시도하고 있다.
이러한 정교한 공격에 대해서는 몇몇 사례만 알려져 있지만 피해 기업이 막대한 재정적 손실을 입으면서 해당 위협의 심각성은 매우 높은 것으로 나타났다. 더욱이 다양한 플랫폼에서 실시간으로 이루어지는 개인 간 음성 및 영상 소통처럼 공격 표면이 넓은 경우에는 더욱 심각한 피해가 발생할 수 있지만, 이를 탐지하는 기술은 아직 초기 단계에 머물러 있어 큰 과제로 떠오르고 있다.
마누엘 아코스타 가트너 시니어 디렉터 애널리스트는 “기업은 위조 현실 기술을 악용한 공격에 효과적으로 대응해야 한다”며 “이를 위해 보안 리더는 시장의 변화를 면밀히 파악하고 내부 절차와 워크플로우를 개선해야 한다. 딥페이크 기술을 이용한 사회 공학 공격에 특화된 교육으로 직원들에게 진화하는 위협 환경을 인식시키는 하는 것이 핵심”이라고 강조했다.
헬로티 이창현 기자 |
