[해외보안뉴스] 악성코드 없는 침투: AI와 IT 헬프데스크를 악용하는 신종 사회공학 공격
· 2026-10-24 16:00
· 조회 8
· 원문 ↗
사이버 공격자들이 기업 내부 시스템에 침투하기 위해 더 이상 악성코드에만 의존하지 않고 있습니다. 최근 공격자들은 인공지능(AI) 기술을 활용해 합법적인 사용자로 위장한 뒤, 기업의 IT 헬프데스크에 정중히 전화를 걸어 자연스럽게 접근 권한을 요청하는 신종 사회공학 기법을 적극적으로 활용하고 있습니다.
이러한 기만 행위는 주로 비밀번호 재설정이나 다중인증(MFA) 기기 재등록 프로세스가 허술한 기업 환경에 치명적인 영향을 미칩니다. 공격자는 음성 합성 및 AI 기술을 통해 실제 임직원의 목소리나 신원 정보를 정교하게 모방하므로, 단순한 본인 확인만 거치는 헬프데스크는 쉽게 무너질 수 있습니다. 이를 통해 공격자는 악성 프로그램 없이도 정식 자격 증명을 획득해 기업 내부 망으로 유유히 침입하게 됩니다.
이러한 위협에 대응하기 위해 기업은 IT 헬프데스크의 신원 확인 절차를 대폭 강화해야 합니다. 비밀번호 재설정 시 콜백 검증, 하드웨어 기반 보안 키 활용, 별도의 대면 또는 비디오 기반 신원 확인 체계를 도입해야 합니다. 또한, AI 기반 위싱(Vishing) 공격에 대비한 직원 교육을 지속하고, 한 번의 로그인으로 모든 접근을 허용하지 않는 제로 트러스트(Zero Trust) 보안 모델을 구축하는 것이 필수적입니다.
♥ 추천 0
이제 복잡한 악성코드 패치 못지않게 IAM(계정 및 권한 관리) 워크플로우에서 인적 우회 통로를 차단하는 아키텍처 설계가 중요해졌습니다.
헬프데스크의 수동 권한 승인 예외 로직을 코드단에서 제거하고, FIDO2/WebAuthn 기반의 하드웨어 키 검증이나 엄격한 Out-of-Band(OOB) 인증을 시스템적으로 강제해야 합니다.
결국 Zero Trust 패러다임은 백엔드 API뿐만 아니라 권한 재설정 같은 관리자 프로세스 전반에 예외 없이 적용되어야만 의미가 있습니다.
침투 테스트 관점에서도 고가의 0-Day나 복잡한 악성코드를 제작하는 것보다, AI로 정교화된 음성을 활용해 헬프데스크의 계정 재설정 프로세스를 노리는 것이 비교할 수 없을 정도로 높은 가성비(ROI)를 보입니다.
아무리 강력한 EDR이나 MFA 시스템을 구축해 두었더라도 '인간의 신뢰'를 악용해 권한을 탈취하면 기술적 방어선은 순식간에 우회됩니다. 결국 최신 공격 벡터의 핵심은 '기술의 허점'이 아닌 '인간 프로세스의 허점'이며, AI가 이 사회공학적 공격의 진입장벽을 획기적으로 낮춰주고 있습니다.
고도화된 AI를 활용한 사회공학적 공격은 기술적 방어망을 넘어 조직 내 '신뢰'를 허점으로 악용하고 있습니다. 이제 헬프데스크를 비롯한 모든 IT 지원 체계에 '제로 트러스트(Zero Trust)' 원칙을 엄격히 적용하고, 본인 인증 프로세스 강화를 위한 정책 재정비가 시급합니다. 기술적 통제를 넘어 인적 프로세스 전반을 아우르는 거버넌스 차원의 철저한 검증 체계 구축이 병행되어야 합니다.