2025년은 전례 없는 사이버 보안 위협으로 점철된 한 해였어요. 특히 공급망 공격, AI 챗봇 해킹, 그리고 클라우드 서비스 장애는 우리 일상과 기업에 큰 혼란을 안겨줬죠. 복잡해지는 디지털 환경 속에서 과연 우리는 어떻게 보안을 지켜야 할까요? 올해 발생했던 주요 실패 사례들을 통해 진짜 위협이 무엇인지, 그리고 앞으로 어떤 점을 주의해야 할지 자세히 알아볼게요.
2025년 최악의 ‘공급망 공격’, 당신의 서비스도 안전할까요?
공급망 공격은 하나의 취약점을 통해 수많은 하위 사용자에게 영향을 미치는 매우 위험한 해킹 방식이에요. 2025년에도 이러한 공격들이 끊이지 않았어요.
- 솔라나 블록체인 백도어: 2024년 12월, 해커들은 솔라나 블록체인 스마트 계약 당사자들로부터 15만 5천 달러를 갈취했어요. Web3.js라는 오픈소스 라이브러리에 백도어를 심어 개발자 계정을 침해했고, 이를 통해 개별 지갑에서 개인 키를 추출했죠.
- Go 언어 오타 스쿼팅: 구글이 운영하는 Go 프로그래밍 언어 개발자용 미러 프록시에 악성 패키지가 심어졌어요. 합법적인 패키지와 유사한 이름을 사용해, 개발자들이 실수로 악성 패키지를 설치하게 만들어 8천 개 이상의 패키지가 영향을 받았어요.
- NPM 저장소 악성 패키지: NPM 저장소가 126개의 악성 패키지로 넘쳐났고, 8만 6천 번 이상 다운로드되었어요. 원격 동적 종속성 기능을 통해 자동으로 설치되는 방식으로 퍼져나갔다고 해요.
- 마젠토 기반 이커머스 기업 백도어: 500개 이상의 이커머스 기업이 백도어 공격을 받았는데, 여기에는 400억 달러 규모의 다국적 기업도 포함되었어요. 마젠토(Magento) 기반 소프트웨어를 제공하는 세 개발사(Tigren, Magesolution, Meetanshi)의 침해가 원인이었어요.
- 오픈소스 패키지 암호화폐 탈취: 매주 20억 회 다운로드되는 수십 개의 오픈소스 패키지가 침해되어, 공격자 지갑으로 암호화폐 결제를 전송하는 코드가 업데이트되기도 했어요.
- tj-actions/changed-files 컴포넌트 침해: 2만 3천 개 이상 조직이 사용하는 tj-actions의 컴포넌트가 해킹되었고, npm 저장소를 사용하는 여러 개발자 계정이 침해되어 Toptal 관련 패키지 10개가 백도어에 감염되었어요. 약 5천 회 다운로드되었다고 하네요.
이처럼 공급망 공격은 하나의 약점을 노려 막대한 피해를 입힐 수 있어, 모든 단계에서의 철저한 검증이 필수예요.
AI 챗봇의 ‘기억 조작’ 해킹, 허위 정보가 진짜가 된다고?
2025년에는 AI 챗봇 해킹, 특히 LLM(대규모 언어 모델)의 ‘장기 기억’을 오염시키는 공격이 수없이 발생했어요. 공급망 공격처럼 한 번의 침해로 챗봇이 악성 행위를 반복하도록 만들 수 있죠.
- ElizaOS 사례: 암호화폐 관련 LLM에 간단한 사용자 프롬프트를 사용해 실제 발생하지 않은 이벤트를 메모리 데이터베이스에 업데이트하도록 지시한 사례예요. 챗봇은 허구의 이벤트와 실제 이벤트를 구분하지 못했고, 사용자가 지정한 지갑 주소 대신 공격자 지갑으로 송금하도록 프레임워크를 조작했어요. 이는 개념 증명이었지만, 연구자들은 계약 당사자들이 다른 당사자를 속이는 데 이 기술을 사용할 수 있다고 경고했어요.
- Google Gemini 사례: 독립 연구자 Johan Rehberger는 구글 제미니에 유사한 공격을 시연했어요. 심어진 허위 기억은 챗봇이 일반적으로 신뢰할 수 없는 데이터를 처리할 때 구글 워크스페이스 등 민감한 도구 호출을 제한하는 방어 기능을 낮추게 만들었어요. 이 허위 기억은 영구적으로 남아 공격자가 반복적으로 이득을 취할 수 있게 했다고 해요.
이러한 공격은 AI가 학습하고 기억하는 방식에 근본적인 취약점이 있음을 보여주며, AI의 신뢰성에 대한 중요한 질문을 던지고 있어요.
범죄에 활용된 AI: 해킹 보조 도구로 변질된 사례들
AI 챗봇은 직접적인 공격의 대상이 될 뿐만 아니라, 범죄자들의 해킹 보조 도구로도 활용되었어요.
- 수사 회피 시도: 검찰은 시스템 로그 삭제 방법을 AI 도구에 질문했던 두 남성을 기소했어요. “데이터베이스 삭제 후 SQL 서버에서 시스템 로그를 지우는 방법”이나 “Microsoft Windows Server 2012의 모든 이벤트 및 애플리케이션 로그를 지우는 방법” 같은 질문을 통해 추적을 피하려 했지만, 결국 체포되었죠.
- 악성 AI 이미지 생성 도구: 5월에는 한 남성이 월트 디즈니 직원에게 널리 사용되는 오픈소스 AI 이미지 생성 도구의 악성 버전을 실행하도록 속여 해킹한 혐의로 유죄를 인정했어요.
- Salesloft Drift AI 토큰 탈취: 8월에는 구글 연구원들이 Salesloft Drift AI 챗 에이전트 사용자들에게 플랫폼에 연결된 모든 보안 토큰이 침해되었을 가능성을 경고했어요. 공격자들은 이 토큰을 사용해 구글 워크스페이스 계정에서 이메일에 접근했고, 세일즈포스 계정 데이터를 훔쳐 다른 침해에 활용할 수 있는 자격 증명까지 확보했어요.
- CoPilot GitHub 저장소 노출: 마이크로소프트의 코파일럿(CoPilot)은 구글, 인텔, 화웨이, 페이팔, IBM, 텐센트 등 2만 개 이상의 비공개 GitHub 저장소 콘텐츠를 노출시킨 것이 발각되기도 했어요.
AI는 강력한 도구이지만, 그만큼 악용될 위험도 크다는 것을 보여주는 사례들이에요.
전 세계를 마비시킨 ‘클라우드 서비스 장애’, 왜 계속될까요?
인터넷은 원래 분산형 플랫폼으로 설계되었지만, 2025년에는 소수의 거대 기업에 대한 의존도가 높아지면서 그 목표가 무색해졌어요. 한두 곳의 클라우드 서비스 장애가 전 세계적인 혼란을 가져왔죠.
- 아마존 AWS 장애: 가장 큰 영향을 미친 장애는 10월에 발생했어요. 아마존의 광대한 네트워크 내 단일 실패 지점으로 인해 전 세계의 핵심 서비스가 15시간 32분 동안 중단되었죠. 원인은 로드 밸런서의 안정성을 모니터링하는 소프트웨어의 버그였어요. 이 소프트웨어는 DNS 구성을 주기적으로 생성하는데, ‘경쟁 조건(race condition)’이라는 버그로 인해 핵심 구성 요소에 비정상적으로 높은 지연이 발생했고, 결국 네트워크 전체가 붕괴했다고 해요.
- 클라우드플레어 및 애저 장애: AWS만이 아니었어요. 지난달에는 미스터리한 트래픽 급증으로 클라우드플레어가 느려져 인터넷 전반에 영향을 미쳤고, 이달 초에도 또 한 번의 주요 장애가 발생했어요. 마이크로소프트 애저(Azure) 역시 10월에 서비스 중단을 겪었죠.
이러한 클라우드 서비스 장애는 우리가 디지털 인프라의 중앙 집중화에 얼마나 취약한지 다시 한번 깨닫게 해주었어요.
안드로이드 추적부터 애플 칩 버그까지: 주목할 만한 보안 실패들
이 외에도 2025년에 주목할 만한 보안 이슈들이 많았어요.
- 메타와 얀덱스의 안드로이드 추적: 두 회사는 안드로이드 취약점을 악용해 사용자들의 수년간 브라우징 기록을 추적했어요. Meta Pixel과 Yandex Metrica 추적기를 통해 안드로이드 운영체제와 브라우저가 제공하는 핵심 보안 및 개인 정보 보호 기능을 우회했죠. 이는 안드로이드 샌드박싱과 브라우저의 상태/저장소 파티셔닝과 같은 방어 기능을 뚫은 영리한 해킹이었어요.
- 딥시크 iOS 앱의 암호화되지 않은 트래픽: 딥시크(Deepseek) iOS 앱에서 애플 기기가 암호화되지 않은 트래픽을 바이츠댄스(틱톡 소유의 중국 회사)로 전송하는 코드가 발견되었어요. 이는 데이터가 감청될 경우 쉽게 읽히고 조작될 수 있음을 의미해요.
- 애플 칩 버그: 애플 칩에서 Gmail, iCloud 등에서 비밀을 유출할 수 있는 버그들이 발견되었어요. 특히 ‘추측 실행(speculative execution)’이라는 성능 향상 기능의 사이드 채널이 가장 심각했는데, 이는 공격자가 접근할 수 없는 메모리 내용을 읽을 수 있게 해 구글 지도 위치 기록, 프로톤 메일(Proton Mail) 수신함 내용, iCloud 캘린더 이벤트 등을 훔칠 가능성이 있었어요.
이러한 사건들은 우리가 일상에서 사용하는 기기와 서비스에도 언제든 치명적인 보안 허점이 있을 수 있음을 보여줘요.
그래도 희망은 있다! ‘양자 보안’의 성공 사례
모든 보안 뉴스가 나쁜 소식만은 아니었어요. 2025년에는 희망적인 소식도 있었죠.
- 시그널(Signal) 앱의 양자 보안 업데이트: 사설 메시징 앱 시그널이 양자 컴퓨터 공격에도 견딜 수 있도록 대대적인 개편을 단행했어요. 복잡한 앱을 재정비하는 데 들어간 우아함과 능숙함은 진정한 승리라고 평가받았어요. 이는 기술 발전과 함께 보안 기술도 진화하고 있다는 긍정적인 신호를 보여주는 사례예요.
마무리
2025년의 사이버 보안 실패 사례들을 보면서, 디지털 세상의 취약성을 다시 한번 실감하게 돼요. 공급망, AI, 클라우드 등 우리가 매일 쓰는 서비스들이 언제든 공격받을 수 있다는 사실을요. 하지만 동시에 양자 보안 기술처럼 혁신적인 해결책도 등장하고 있어요. 개인과 기업 모두 보안에 대한 경각심을 늦추지 않고, 최신 보안 정보를 꾸준히 확인하며 대비하는 것이 중요해요. 안전한 디지털 환경을 위해 사이버 보안에 더 많은 관심을 기울여야 해요.
이어서 보면 좋은 글
#사이버보안 #2025년보안이슈 #공급망공격 #AI해킹 #클라우드장애 #양자보안 #데이터유출 #개인정보보호 #디지털위협 #IT보안