[해외보안뉴스] 8만 개 이상의 기업 AI 로그인 정보 유출… '섀도우 AI'부터 'LLM재킹' 위험까지
· 2026-09-28 17:00
· 조회 21
· 원문 ↗
최근 정보 탈취형 악성코드(Infostealer)를 통해 8만 개가 넘는 기업 도메인과 관련된 주요 AI 서비스의 계정 자격 증명 및 세션 토큰이 유출된 것으로 나타났습니다. 보안 기업 SOCRadar의 조사에 따르면, 사이버 범죄 지하 시장에서 거래되는 이러한 AI 로그인 정보는 기업의 기밀 데이터 유출부터 심각한 금융·운영상의 피해까지 다양한 보안 위협을 유발하고 있습니다.
이번 유출 사고는 보안 승인을 받지 않은 내부 사용 환경, 즉 '섀도우 AI(Shadow AI)'를 통해 다수 발생하여 기업 차원의 대응을 어렵게 만들고 있습니다. 공격자들은 탈취한 계정을 통해 기업의 프롬프트 입력 기록, 소스 코드, 내부 문서 등 민감한 지적 재산권을 무단으로 읽을 수 있습니다. 나아가 피해 기업의 유료 AI 계정이나 API 자원을 무단 점유하여 고비용의 LLM 연산을 수행하게 만드는 'LLM재킹(LLMjacking)' 공격으로 이어지고 있습니다.
이러한 위협에 대응하기 위해 기업은 사내 AI 서비스 활용 정책을 구체적으로 수립하고, 승인되지 않은 섀도우 AI 사용 현황에 대한 가시성을 반드시 확보해야 합니다. 아울러 인포스틸러 감염을 차단하기 위한 엔드포인트 탐지 및 대응(EDR) 솔루션을 적용하고, 모든 AI 서비스 계정에 다중 인증(MFA)을 강제하며 API 사용량의 비정상적인 급증을 실시간으로 모니터링해야 합니다.
♥ 추천 0
개발자들이 개인 계정으로 웹 AI 도구를 사용하는 'Shadow AI'를 방지하려면, 사내 프록시 기반의 중앙화된 AI API 게이트웨이 아키텍처를 구축하여 데이터 흐름을 제어해야 합니다.
클라이언트 측에서는 SSO 연동과 세션 토큰 하드닝(Short-lived token, IP binding)을 적용해 인포스틸러 감염 시의 세션 탈취 피해를 최소화해야 합니다.
나아가 LLMjacking으로 인한 비용 폭탄을 막기 위해, API 키의 Vault 안전 관리와 함께 이상 징후 기반의 레이트 리미팅(Rate Limiting) 및 비용 쿼터 모니터링을 코드 레벨에서 필수적으로 구현해야 합니다.
인포스틸러로 탈취된 AI 세션 토큰은 MFA를 우회해 기업 내부망 진입 전 단계에서 고가치의 기밀을 획득할 수 있는 최적의 공격 경로입니다. 공격자는 대화 내역에 포함된 소스 코드나 내부 데이터를 탈취할 뿐만 아니라, 연동된 API 자원을 무단 사용하는 LLMjacking으로 기업에 직접적인 비용 타격을 줄 수 있습니다. 특히 임직원들이 섀도우 AI에 축적해 둔 프롬프트 데이터는 정교한 타깃형 스피어 피싱과 2차 내부 침투를 위한 완벽한 공격 인텔리전스로 활용될 수 있습니다.
인포스틸러를 통한 AI 계정 유출은 단순한 데이터 누출을 넘어 기업 지적자산 침해와 시스템 오남용(LLMjacking)으로 이어지는 중대한 거버넌스 리스크입니다. 무분별한 '섀도우 AI(Shadow AI)' 활용을 제어하기 위해 기업 차원의 공식 AI 채널을 제공하고, SSO 및 MFA(다중인증) 적용을 의무화하는 보안 정책 개정이 시급합니다. CTI(위협 첩보) 모니터링을 강화하여 탈취된 세션을 선제적으로 차단하는 대응 체계를 조속히 마련해야 합니다.