AI로 하루면 해킹하는데 기업 방어까지 최대 두달

MS, 올해 사이버 위협 분석결과
해커 공격도구 완성까지 24시간
기업들 취약점 보완은 60일 걸려
업계 "보안공백기 선제관리 중요"

전 세계 보안취약점이 최근 1년 만에 2배가량 급증하면서 기업의 사이버 방어체계에 비상이 걸렸다. 해커가 취약점을 찾아 인공지능(AI)을 활용한 공격도구를 만드는 데 걸리는 시간은 24시간도 채 안 되지만, 기업의 조치는 약 60일이 걸리면서 보안공백에 따른 사이버 위협이 커지고 있다.

9일 미국 비영리 연구기관 마이터(MITRE)가 집계하는 전 세계 공통 취약점 및 노출(CVE) 공식 통계에 따르면 보안취약점 공개 건수는 지난 2022년 2만5059건에서 2023년 2만8961건, 2024년 4만77건, 2025년 4만8244건으로 급증했다. 올해는 3·4분기까지 7만2812건이 집계돼 지난해 연간 규모를 훌쩍 넘어섰다.

공격과 방어의 속도 격차도 벌어지고 있다. 마이크로소프트(MS)가 올해 사이버 위협 동향을 분석한 결과, 해커들이 AI를 활용해 취약점 발견부터 공격도구를 만드는 데 걸리는 시간의 중앙값은 24시간 미만이었다. 반면 기업이 보안취약점을 조치하는 데는 최대 60일이 걸릴 수 있는 것으로 분석됐다.

보안패치가 나오기 전 공격하는 '제로데이'를 넘어 취약점 공개 전에 공격하는 '마이너스데이' 위협도 현실화됐다. 아마존에 따르면 최근 전 세계에서 사용되는 웹 프로그래밍 언어 PHP의 취약점 'PHP2Shell'은 공개 나흘 전부터 이를 악용하려는 공격 시도가 포착됐다.

AI로 해킹이 자동화되면서 외부 위탁 시스템과 백업망 등 보안관리가 취약한 영역은 해커들의 주요 표적으로 떠오르고 있다. 최근 PHP 소프트웨어 취약점 사태에서도 기술지원이 종료된 구형 소프트웨어는 패치 적용이 어렵고, 관리되지 않는 장비는 취약점 파악과 조치가 지연되는 문제가 드러났다.

문제는 기업의 해킹 대응 여력이 갈수록 줄어들고 있다는 점이다. 본지가 잡코리아 운영사 웍스피어에 의뢰해 최근 채용 게시글을 분석한 결과 보안 직무 공고는 2022년 1만102건에서 지난해 8299건으로 약 18% 감소했다. 한국인터넷진흥원(KISA)에 따르면 공시 기업의 정보기술(IT) 투자에서 정보보호 투자가 차지하는 비중도 지난해 6.28%에서 올해 6.15%로 0.13%p 하락했다.

보안업계에서는 기업들이 보안 인력과 투자를 확대하는 한편, 보유한 IT 자산을 명확히 파악하고 취약점을 선제 관리해야 한다고 강조한다. 업계 관계자는 "방어체계도 AI 중심으로 전환해야 한다"며 "기업이 보유한 자산을 정확히 식별하고, 취약점을 숨기지 않고 적극 신고해 공격자가 악용하기 전에 선제 조치할 수 있는 체계를 정착시켜야 한다"고 말했다.

[email protected] 최혜림 기자