세계는 ‘검은 10월’로 알려진 사이버 보안 위기에 빠졌으며, 이는 세계 온라인 인프라의 상당 부분이 얼마나 취약한지를 드러냈습니다.
전 세계의 주요 보안 사고, 해킹 및 결함은 정부, 기업 및 개인이 저장한 온라인 데이터가 얼마나 쉽게 해킹될 수 있는지를 보여줍니다.
뉴저지에 본사를 둔 Berkeley Varitronics Systems의 CEO인 Scott Schober는 The Post에 “인공 지능은 소프트웨어 약점(및) 취약점 발견을 극적으로 가속화하고 있으며 정부나 회사가 대응할 충분한 시간을 갖기 전에 범죄자가 이를 악용할 수 있습니다.”라고 말했습니다.
“그들은 자신들이 시대에 앞서 있다는 것을 알고 있습니다. 정부는 따라잡을 수 없습니다.”
그는 범죄자들이 AI를 악의적으로 사용하기 위해 특별히 기술적일 필요도 없다고 덧붙였습니다.
“AI는 당신을 위해 스크립트를 작성할 수 있습니다. 당신은 더 이상 프로그래머가 될 필요가 없습니다”라고 Schober는 덧붙였습니다. “대학에 다니지 않고 석사 학위를 받는 것과 같습니다.”
가장 큰 사건 중 하나는 전 세계 인터넷 사이트의 70%가 구축된 중추 역할을 하는 프로그래밍 코드인 PHP에서 심각한 결함이 발견된 것입니다. 이로 인해 해커가 서버에 침입하여 암호 없이 제어할 수 있었습니다.
다른 “검은 10월” 사건에는 AI 개발자가 사용하는 도구인 LiteLLM을 통해 배포된 악성 소프트웨어와 프로그래밍의 결함을 수정하기 위해 서두르는 다른 많은 회사가 포함됩니다.
현실 세계에 가해지는 위협은 심각합니다. 예를 들어, 사이버 공격자는 물 공급을 방해하거나 오염시키거나 전기를 차단하거나 하수 처리 공장에 과부하를 걸 수 있습니다. 이는 전담 사이버 보안 팀이 없는 소규모 지방자치단체에서는 특히 위험합니다.
뉴저지, 오리건, 미네소타, 미시간, 사우스다코타, 앨라배마, 조지아 등 7개 주에서 수자원 발전소를 사이버 파괴하려는 시도를 확인했습니다.
전략 및 국제 연구 센터(CSIS)에 따르면 지난 7월 미네소타 수자원 시스템 30개 이상이 공격을 받았고, 조지아 공격으로 인해 한 카운티에 물 끓이기 주의보가 내려졌다고 합니다. 이란과 연계된 그룹 CyberAv3ngers가 이 캠페인에 대한 책임을 주장했습니다. CSIS는 이란과 연계된 해커들이 2023년에 펜실베이니아 수자원 인프라도 표적으로 삼았다고 밝혔습니다.
한편, 미국을 대상으로 한 가장 성공적인 랜섬웨어 공격 중 하나는 2021년 5월에 발생했으며 그 결과 Colonial Pipeline은 석유 시스템을 폐쇄하고 동부 해안으로의 주요 연료 공급을 중단시켰으며 이를 해결하기 위해 러시아 해커들에게 440만 달러를 지불했습니다.
Schober는 “이것은 경제, 사람, 생계, 공공 안전에 영향을 미치기 때문에 모든 사람의 관심사입니다.”라고 덧붙였습니다.
그는 더 강력한 감독과 국제적 공조를 요구하며 “그렇지 않으면 큰 혼란이 있을 것입니다. 문제가 생길 것이고 인류에게 영향을 미칠 것입니다.”라고 덧붙였습니다.
긍정적인 측면에서는 비범죄자들도 AI를 사용하여 문제와 결점을 식별하고 해킹당하기 전에 이를 “연결”하고 있습니다.
Anthropic은 10월 8일 성명에서 6개월 간의 AI 스캔을 통해 29,000개 이상의 잠재적인 취약점을 발견했다고 밝혔습니다. 그러나 인간이 수동으로 검토하고 수정한 것은 약 6,000개에 불과합니다.
당시 회사는 “이러한 결과를 검증할 수 있는 인력의 역량에 여전히 병목 현상이 발생하고 있습니다.”라고 밝혔습니다.
주요 관심사는 방어자가 평가하고 수정할 수 있는 것보다 빠르게 증가하는 약점의 백로그를 설명하기 위해 전문가가 사용하는 용어인 “vulnpocalypse”입니다.
Schober는 “이것은 고양이와 쥐 게임과 비슷하지만 지금은 훨씬 더 빠른 속도로 진행되고 있음을 보여줍니다.”라고 덧붙였습니다.
한편, 지하 세계는 정보, 개인 정보 및 기타 자료를 해킹하고 훔치고 이를 인터넷에서 사용할 수 있는 것과 상호 참조한 다음 다크 웹에서 판매하는 조직입니다.
미국 최대 기업 대부분은 어느 시점에서 해킹을 당해 민감한 데이터를 도난당했습니다. 가장 심각한 해킹 사례로는 UnitedHealth, Facebook, Microsoft, Ticketmaster, Yahoo 및 National Public Data가 있으며, 이는 2024년에 27억 개의 기록을 도난당한 최대 규모의 데이터베이스 회사 중 하나입니다.
Schober에 따르면 AI는 또한 도난당한 기록을 분류하고 잠재적 피해자의 흩어져 있는 세부 정보를 한 곳으로 연결하여 사기와 강탈을 더욱 표적화하는 데 도움을 줍니다.
AI와 사람들의 사적인 대화도 대규모로 도난당했다.
Schober는 사용자들에게 비밀번호, 주민등록번호, 은행 정보, 민감한 가족 정보를 챗봇 대화에서 제외하라고 말하면서 공유하는 내용을 제한할 것을 촉구했습니다. 사용자는 개인 정보에 대해서도 항상 인터넷에 업로드한 문서를 확인하고 문서를 확인해야 합니다.
계정 보안을 위해 그는 길고 고유한 비밀번호를 사용하고 사이트마다 다른 비밀번호를 사용하는 것은 물론 다단계 인증을 사용할 것을 권장합니다.
유럽 당국은 PHP 소프트웨어를 사용하는 기업에게 호스팅 제공업체와 협력하고, 업데이트를 설치하고, 즉각적인 복구가 불가능할 경우 노출된 애플리케이션을 격리하는 것을 고려하도록 권고했습니다.
Schober는 AI가 공격뿐만 아니라 방어도 강화할 수 있다는 사실을 인정했지만, 그의 우려는 범죄자들이 한 발 앞서 있고 더 빠르게 일한다는 것입니다.
“그것은 좋은 일과 나쁜 일을 위한 도구입니다.”라고 그는 말했습니다.
관련 정보는 아래 링크에서 확인하세요