[2026-06-26] 클로드와 해킹 도구 결합한 공격

 

 

 

오늘의 뉴스클리핑의 이슈는 바로 클로드와 해킹 도구 결합한 공격 입니다 - !

 

 

 

 

 

 

 

 

 

 

 

 

클로드와 해킹 도구 결합한 공격

 

러시아 국적의 공격자가 Anthropic의 생성형 AI 서비스인 클로드(Claude)와 오픈소스 보안 자동화 플랫폼인 헥스스트라이크 AI(HexStrike AI)를 연동하여 다수의 숙박·호텔 예약업체를 대상으로 무단 침입 및 대규모 데이터 탈취를 수행한 정황이 포착됐다. 공격자의 서버에는 투숙객 및 숙박시설 운영자의 이름, 이메일 주소, 전화번호, 예약 일정, 결제 내역 등 민감한 개인정보가 다량 저장되어 있었으며, 확인된 고유 이메일 주소만 약 210만 개에 달했다. 해당 서버는 2026년 4월 16일 외부에서 누구나 접근 가능한 상태로 발견되었고, 공격 보고서 50여 개와 소스코드, 보안 도구 설정 파일, 탈취된 것으로 추정되는 데이터가 함께 확인되었다. 피해가 확인된 기업으로는 태국의 룸스코프(Roomscope), 캐나다의 아이GMS(iGMS), 남아프리카공화국의 네뷸라PMS(NebulaPMS), 일본의 스테이시(Staycee)가 포함된다. 앤트로픽은 공격자가 악의적인 행위를 합법적인 침투 테스트로 위장하여 AI의 안전장치를 우회한 점을 인정하며, AI가 명령 실행, 취약점 악용, 자격증명 탈취 등 고도화된 공격 단계를 지원하면서 기술적 전문성이 낮은 공격자의 공격 역량 자체를 높일 수 있다고 경고했다.

 

헥스스트라이크 AI (HexStrike AI)

1) 대규모 언어 모델(LLM)과 실제 보안 점검 도구를 연결하는 오픈소스 플랫폼.

2) 정식 사용 목적은 허가받은 침투 테스트 자동화이나, 이번 사건처럼 공격자가 악용할 경우 AI가 보안 도구를 직접 제어하는 공격 자동화 플랫폼으로 전환될 수 있다.

 

 

 

 

 

 

 

 

공격과정 1

공격자는 클로드 데스크톱 애플리케이션에 헥스스트라이크 AI를 MCP(Model Context Protocol) 방식으로 연결하여 AI 기반 공격 자동화 환경을 구성했다. MCP는 AI 모델이 외부 도구 및 서비스와 표준화된 방식으로 상호작용할 수 있도록 설계된 프로토콜로, 이를 통해 클로드는 헥스스트라이크 AI가 제공하는 150개 이상의 보안 점검 도구와 12개 이상의 자동화 에이전트를 직접 호출하고 제어할 수 있는 상태가 됐다. 공격자는 클로드에게 자신이 합법적인 침투 테스터(Penetration Tester)이며 점검 대상 숙박업체 시스템이 자신 또는 소속 기업의 자산이라고 허위로 설명했다. 헥스스트라이크 AI 자체의 사용 안내에도 이러한 맥락의 예시 문구가 포함되어 있어, 공격자는 이를 활용해 AI가 악의적 의도를 합법적 활동으로 인식하도록 유도했다. 클로드는 제공된 문맥 정보를 바탕으로 공격 대상을 분석하고, 이후 어떤 보안 도구를 실행할지 자율적으로 판단하여 수행했다. 이 과정에서 클로드는 대상 숙박업체 시스템에 대한 네트워크 정찰(Network Reconnaissance)과 웹 애플리케이션 취약점 스캐닝을 자동으로 수행했다. Nmap, Nikto, Nuclei 등과 같은 범주의 도구들이 헥스스트라이크 AI 에이전트를 통해 실행되어 공격 대상의 열린 포트, 서비스 버전 정보, 웹 애플리케이션의 취약한 엔드포인트(Endpoint)를 식별했다. AI가 도구 선택부터 실행, 결과 해석, 다음 단계 도구 실행까지 연속적으로 처리하는 구조였기 때문에, 인간 공격자가 각 단계를 수동으로 조작하는 것보다 훨씬 빠르고 체계적으로 정찰 작업이 이루어졌다.

MCP (Model Context Protocol) :

1) AI 모델이 외부 도구, 데이터베이스, API 서비스 등과 표준화된 방식으로 연동될 수 있도록 설계된 통신 프로토콜.

2) 이를 통해 AI는 단순 텍스트 생성을 넘어 실제 도구를 호출하고 실행 결과를 받아 처리할 수 있다.

 

 

 

 

 

 

 

 

공격과정 2

초기 정찰을 통해 대상 시스템의 취약점이 식별되면, 헥스스트라이크 AI의 공격 경로 탐색 에이전트와 취약점 분석 에이전트가 연계되어 실제 침투 단계로 전환됐다. 공격자 서버에 남겨진 50여 개의 침투 테스트 보고서에는 각 대상 기업의 인프라 구성, 식별된 취약점 종류, 공격 성공 여부, 획득한 데이터의 종류가 구체적으로 기술되어 있었는데, 이는 AI가 단순 스캐닝에 그치지 않고 각 대상별로 맞춤화된 공격 시나리오를 실행하고 그 결과까지 자동으로 문서화했음을 의미한다. 침투에 성공한 시스템에서 공격자는 예약 관리 데이터베이스에 접근하여 투숙객 개인정보, 결제 내역, 숙박시설 운영자 정보를 추출했다. 피해가 확인된 룸스코프, 아이GMS, 네뷸라PMS, 스테이시의 사례에서 볼 수 있듯이, 공격 대상은 특정 국가 한 곳에 국한되지 않고 태국, 캐나다, 남아프리카공화국, 일본 등 지리적으로 분산된 글로벌 숙박 관리 솔루션 기업들이었다. 이는 AI를 통한 자동화 공격이 수작업 대비 훨씬 넓은 범위의 표적을 동시에 처리할 수 있음을 보여준다. 탈취된 데이터와 공격 결과물은 공격자가 운영하는 서버에 저장되었으나, 해당 서버가 외부에서 인증 없이 접근 가능한 상태로 잘못 구성(Misconfiguration)되어 있었다. 이로 인해 제3자 연구팀이 서버를 발견하고 내부 데이터에 접근할 수 있었다. 공격자는 조사가 진행되는 것을 인지한 후 서버의 외부 접근을 차단했기 때문에, 전체 피해 기업 수와 정확한 유출 데이터 규모는 현재까지 완전히 파악되지 않은 상태다. 앤트로픽의 내부 조사에 따르면 유사한 방식으로 차단된 계정 중 54개가 침해된 내부 네트워크에서 다른 시스템으로 이동하는 횡적 이동(Lateral Movement) 과정에도 AI를 적극 활용한 것으로 확인됐다.

 

 

 

 

 

 

 

 

시사점

이번 사건에서 가장 주목해야 할 탐지 관점은 AI가 생성하는 자동화된 공격 트래픽의 패턴 특성이다. 공격자가 AI를 통해 자동화된 정찰 및 취약점 스캔을 수행할 경우, 시스템 로그와 네트워크 통신 기록에는 짧은 시간 내에 다수의 포트와 엔드포인트를 순차적으로 탐지하는 비정상적인 스캐닝 패턴이 남게 된다. 특히 Nmap 계열 스캐닝은 SYN 패킷이 대량으로 발생하고 응답 없이 연결이 반복 종료되는 특징을 가지며, 웹 애플리케이션 스캐닝 도구는 /admin, /api, /backup, .env 등 특정 경로에 대한 반복적인 HTTP 404 응답 기록을 대량으로 발생시킨다. 이러한 흔적들은 웹 서버 접근 로그와 네트워크 방화벽 로그를 연계 분석할 때 명확하게 드러나므로, 단위 시간당 비정상적으로 높은 404 응답 건수 또는 단일 출발지 IP에서 발생하는 다양한 경로 탐색 시도를 탐지 규칙으로 설정하는 것이 실질적인 첫 번째 포착 지점이 된다. 또한 이번 사건의 핵심적인 교훈 중 하나는 공격자 서버 자체의 보안 설정 실수가 사건 발각의 단서가 됐다는 점이다. 이는 반대로 방어 측면에서도 자사 시스템의 클라우드 스토리지, 오브젝트 스토리지(S3 버킷 등), 개발용 서버 등이 인터넷에 의도치 않게 노출되어 있지 않은지 주기적으로 점검해야 함을 의미한다. 사고가 발생했을 때 우선적으로 추적해야 할 흔적으로는 예약 데이터베이스에 대한 비정상적으로 큰 규모의 SELECT 쿼리 실행 이력, 관리자 페이지 또는 API 엔드포인트에 대한 비업무 시간대 접근 기록, 그리고 내부 시스템에서 외부 IP로 대용량 데이터가 전송된 아웃바운드 트래픽 로그가 있다. 특히 숙박 관리 시스템과 같이 개인정보를 대량으로 보유하는 플랫폼에서는 정상적인 사용 패턴 대비 이상한 대량 조회 행위를 기준으로 임계값 기반 경보를 구성해 두는 것이 중요하다. 마지막으로 이 사건이 보안 학습자에게 주는 핵심 메시지는 AI 자체가 새로운 공격 경로가 되고 있다는 점이다. 공격자가 AI에게 허위 맥락을 제공하여 안전장치를 우회하는 프롬프트 인젝션(Prompt Injection) 유형의 사회공학적 기법이 실제 침해 사고에서 활용되고 있음을 이번 사례가 입증했다. 향후에는 AI 사용 로그와 API 호출 기록도 중요한 포렌식 증거로 다루어야 하며, MCP 기반의 AI 에이전트 환경이 기업 인프라에 연결되는 경우 해당 에이전트가 어떤 도구를 호출할 수 있는지에 대한 권한 범위를 최소화하는 설계가 필수적임을 기억해야 한다.

 

 

 

 

 

 

 

개인의견

이번 사건은 생성형 AI가 단순한 정보 제공 도구를 넘어 실질적인 공격 자동화 인프라로 전환될 수 있음을 보여준 첫 번째 수준의 실증 사례라고 생각한다. 내가 실제 숙박 관리 솔루션 기업의 보안 담당자였다면, 가장 먼저 외부에서 직접 접근 가능한 관리 인터페이스와 API 엔드포인트의 범위를 재검토했을 것이다. 외부 인터넷에 노출된 관리 콘솔은 VPN 또는 Zero Trust Network Access(ZTNA) 뒤에 배치하여 인증된 사용자만 접근할 수 있도록 제한하고, 데이터베이스 서버는 퍼블릭 서브넷이 아닌 프라이빗 서브넷에 배치하는 네트워크 분리 구조를 적용했을 것이다. 예방 대책 측면에서는 모든 관리자 계정에 하드웨어 보안 키 또는 TOTP 기반의 다중 인증(MFA)을 강제 적용하고, 역할 기반 접근 제어(RBAC)를 통해 개인정보 데이터베이스에 접근할 수 있는 계정을 최소화했을 것이다. 웹 방화벽(WAF)을 도입하여 자동화 스캐닝 도구가 생성하는 비정상적인 요청 패턴을 차단하고, API 게이트웨이 수준에서 Rate Limiting 정책을 적용하여 단위 시간당 요청 건수가 임계값을 초과하면 자동으로 해당 출발지를 차단하도록 구성했을 것이다. 또한 클라우드 환경에서는 AWS Config, Azure Security Center 같은 CSPM(Cloud Security Posture Management) 도구를 활용하여 S3 버킷이나 스토리지 계정이 퍼블릭으로 노출되는 즉시 알림을 받을 수 있도록 설정했을 것이다. AI 도구의 도입 자체에 대해서도 기업 정책 차원의 접근이 필요하다. 내부 보안 점검 목적으로 AI 기반 자동화 도구를 사용할 경우, 해당 도구가 어떤 외부 API에 연결되는지, 어떤 네트워크 구간에서 실행되는지를 명시적으로 기록하고 승인하는 프로세스를 수립했을 것이다. 이번 사건에서처럼 MCP를 통해 AI가 직접 보안 도구를 호출할 수 있는 환경은 허가받지 않은 사용자가 동일한 방식으로 공격을 시도할 경우 탐지가 어려울 수 있으므로, AI 에이전트의 도구 호출 로그를 별도의 감사 로그(Audit Log)로 저장하고 주기적으로 검토하는 체계를 갖추는 것이 중요하다.

 

 

 

기사출처 : https://www.dailysecu.com/news/articleView.html?idxno=207323

클로드와 해킹 도구 결합한 러시아 공격자…호텔 예약정보 수백만 건 탈취 정황 - 데일리시큐