📰 핵심 요약

인도 국가 사이버보안 기관 CERT-In이 수요일 업데이트 경고를 내고, AI를 활용해 공격하는 위협 행위자를 ‘CRAFTY FALCON’으로 명명했습니다. 이 활동은 이미 10월에 처음 경고된 바 있습니다. 이번 업데이트는 암호화폐 거래소도 피해 대상에 포함된다고 처음으로 명시하고, 공격자가 쓰는 AI 도구를 상세히 설명했습니다. CERT-In은 위협이 계속되고 있으며, 앞서 제한 배포 통지를 받고 보강을 마친 비은행 금융회사(NBFC)와 핀테크 업체에서도 공격 성공 사례가 보고되고 있다고 밝혔습니다.

CERT-In은 이 행위자가 머신 인텔리전스로 표적을 정찰하고 ‘머신 속도’로 움직이며, 피해자 자신의 결제·송금 API를 직접 호출해 공격한다고 설명했습니다. 피해 대상은 비은행 대출 기관, 디지털 대출 플랫폼, 핀테크 기업, 결제 통합 업체와 서비스 공급업체, 그리고 암호화폐 거래소를 아우릅니다. 공격자는 취약한 애플리케이션과 외부에 노출된 테스트 환경을 이용해, 공유된 자격 증명과 액세스 토큰으로 운영 환경에 침투하고 클라우드 인프라를 겨냥해 악성 파일을 배포했습니다. AI 도구는 공격 스크립트를 빠르게 생성하고 수정하는 데 쓰였고, 애플리케이션 소스 코드를 리버스 엔지니어링해 맞춤형 익스플로잇을 만드는 데도 활용됐습니다. 일부 공격은 발각을 늦추기 위해 일부러 주말과 공휴일에 이뤄졌습니다. 일부 사건에서는 공격자가 소액 테스트 거래로 무단 이체가 가능한지 먼저 확인한 뒤 더 큰 금액을 옮겼습니다. CERT-In은 암호화폐 지갑 키가 탈취되고 지갑 자금이 빠져나갔다는 점도 언급했지만, 피해 거래소를 특정하지 않았고 손실 금액도 공개하지 않았습니다.

CERT-In은 관련 기관들에 이번 활동을 계속 고조되는 위협으로 보고 24시간 모니터링을 강화하며, 공휴일·주말 같은 커버리지가 낮은 시간대에는 인력을 늘리고 경보 임계값을 낮추라고 당부했습니다. 또한 보도에 따르면 CrowdStrike는 10월에, 같은 AI 침투 테스트 도구 ARTEX를 Claude Code 같은 AI 모델과 함께 사용해 한국 금융 업체를 해킹하고 데이터를 훔친 공격자가 있었다고 밝혔습니다.

💬 JudyAI Lab 관점

CERT-In은 AI를 활용해 공격하는 위협 행위자를 ‘CRAFTY FALCON’으로 명명했고, 암호화폐 거래소를 처음으로 피해 목록에 올렸습니다. 이번 사건은 AI가 공격자의 보조 도구를 넘어 ‘머신 속도’로 움직이는 작전의 한 축이 됐음을 보여줍니다.

원문에서 AI builder가 눈여겨볼 만한 디테일이 몇 가지 보입니다. 공격자는 AI로 공격 스크립트를 빠르게 생성하고 수정했으며, 애플리케이션 소스 코드를 리버스 엔지니어링해 맞춤형 익스플로잇을 만들기까지 했습니다. 침투 경로는 외부에 노출된 테스트 환경이었고, 공유된 자격 증명과 액세스 토큰을 통해 운영 환경까지 뚫고 들어갔습니다. 다시 말해 AI가 키운 것은 공격 속도이고, 실제로 악용된 것은 여전히 가장 기본적인 설계상의 허점입니다. 또 하나의 설계 관점은 공격자가 피해자 자신의 결제·송금 API를 직접 호출하고, 소액 테스트 거래로 가능 여부를 확인한 뒤 더 큰 금액을 옮기며, 일부러 주말과 공휴일에 움직였다는 점입니다. API는 단순한 기능 진입점이 아니라 모니터링해야 할 공격 표면이며, 방어 측의 커버리지에 시간대별 공백이 있어서는 안 된다는 점을 일깨워 줍니다.

오늘 10분만 들여 점검해 보세요. 테스트 환경이 외부에 노출돼 있지는 않은지, 테스트와 운영 환경이 같은 자격 증명이나 토큰을 공유하고 있지는 않은지, 그리고 소액 이상 거래에 대한 경보가 설정돼 있는지 확인하는 것입니다.

📅 원문 정보

🔗 함께 읽기