에버스핀, AI 자율형 공격 'ARTEX' 실서비스 탐지…22초 자동화 위협 확인

에버스핀은 자사 고객사의 웹 서비스에서 AI 기반 자율형 침투테스트 도구인 ARTEX의 특성을 지닌 공격 시도를 발견했다고 밝혔다. 이 공격은 에버스핀의 웹 보안 솔루션인 에버세이프 웹(Eversafe Web)이 적용된 일부 고객사 서비스에서 탐지되었으며, 실제 서비스 환경에서 AI 자동화 공격이 발생하고 있음을 확인했다.

에버스핀은 금융권 침해사고를 분석하고 별도의 샘플 웹 애플리케이션을 통해 ARTEX를 활용한 자동화 조회 방법을 검증했다. 이 분석 결과는 ‘2026년 9~10월 금융권 침해사고 공격 경로 분석·재현·대응’ 보고서로 금융권에 배포되었으며, 향후 에버스핀 홈페이지에서 다운로드할 수 있다.

공격 과정은 외부 공개 사이트 및 조회 화면 탐색, 인증 우회, 입력값 대입, IP 변경을 통한 분산 반복 조회 등 네 단계로 정리되었다. 특히 핵심 인터넷뱅킹이 아닌 직원 및 대출모집인 업무 시스템, 외부에 노출된 조회 서비스 등 보조 업무서비스가 주요 표적이 되었다.

ARTEX 검증에서는 AI 도구가 브라우저를 거치지 않고 조회 API를 직접 호출해 반복 작업을 자동화할 수 있음을 확인했다. 보안 솔루션이 없는 샘플 웹애플리케이션 기준으로 ARTEX는 6라운드, 22초 만에 목표 작업을 완료했으며 약 4만4000개 토큰을 사용했다. 이는 실제 금융사 시스템 해킹과는 관련 없는 실험이다.

에버스핀은 이번 AI 해킹이 완전히 새로운 공격이 아닌 기존 에버세이프 웹에서 탐지된 스크래핑, API 직접 호출, 반복 요청, 봇·매크로 등 공격기법이 AI 자동화된 사례라고 설명했다. 이에 따라 AI 봇이나 특정 공격 패턴 식별보다 비정상 요청과 반복·우회 행위 전체를 통제하는 접근법이 필요하다고 밝혔다.

에버세이프 웹은 AI 봇 탐지 외에도 스크래핑 방어, 요청 재전송 공격 방어, 악성 봇 및 매크로 탐지 등 다양한 웹 공격을 탐지한다. 서버단에서 정상적인 서비스 요청인지 검증하며, 자동화 공격에서 발생하는 요청, 행위, 반복 및 우회 과정을 방어 대상으로 삼는다.

에버스핀은 11개국에서 특허를 받은 AI-MTD(Moving Target Defense) 기술을 사용해 보안 코드와 구조를 지속해서 변화시킨다. 이 기술은 공격자가 분석한 요청 구조나 우회 방식을 반복 활용하기 어렵게 만든다. 만약 공격자가 직접 API 호출이 어렵다면, 브라우저 자동화나 보호 로직 분석 등의 추가 분석이 필요하다.

분석 자료에서 자동화 공격 방식은 HTTP 직접 호출, 브라우저 자동화, 보호 로직 분석 후 우회 등으로 구분된다. 공격이 복잡해질수록 브라우저 실행, AI 판단, 보호 로직 분석에 요구되는 시간과 연산량이 증가한다. 에버스핀은 공격자의 우회 시도마다 비용과 시간이 늘어나 대량 공격 효율이 낮아지는 점을 AI 공격 대응의 핵심으로 꼽았다.

에버세이프 웹은 AI 봇이나 크리덴셜 스터핑 등 특정 공격 유형에 국한하지 않고 다양한 자동화 및 해킹 공격을 탐지한다. 개발 언어나 프레임워크와 관계없이 적용 가능해 금융사의 다양한 웹 서비스 환경을 보호한다. 금융권에서는 인터넷뱅킹, 대표 홈페이지, 직원용 시스템, 대출모집인용 사이트, 각종 조회 서비스 및 연계 API 등 다양한 환경을 운영한다. 에버스핀은 핵심 서비스 외에도 외부에 노출된 보조 업무서비스까지 보호 범위를 확대해야 한다고 강조했다.

실제 서비스 환경에서 에버세이프 웹은 누적 수백억 건 이상의 웹 공격 시도를 탐지했고 금융, 공공, 커머스 분야에서 운영 경험을 쌓았다. 에버스핀은 이러한 경험과 ARTEX 공격 탐지 사례를 바탕으로 에버세이프 웹의 실전 검증 중요성을 강조했다.

에버스핀은 국내외 150여 곳 금융 레퍼런스, 그중 78곳이 해외 금융사로 구성되어 있으며 국내에서 개발한 사이버보안 기술을 글로벌 시장에 광범위하게 적용하고 있다. 회사는 기존 자동화 공격 방어 기술을 금융사의 다양한 웹 환경에 확대 적용할 계획이다. AI가 직접 API를 호출하거나 반복 작업, 우회 과정을 자동화하는 환경에서는 알려진 패턴 탐지만으로는 한계가 있어, 공격자가 동일 방식을 반복 사용하지 못하도록 하는 동적 방어가 중요하다고 밝혔다.

또한 에버스핀은 자동화 공격 방어가 기존 보안 조치를 대체하지 않는다고 설명했다. 인증 및 접근권한 관리, 취약점 개선, 조회 구조 보완, 횟수 제한, 공격 IP 관리 등 기본 보안 체계와 함께 자동화된 요청 식별 및 통제 시스템을 병행해야 한다고 제시했다. 공격 분석 결과에서도 네 단계로 구분된 공격에 공통적으로 자동화 요청 식별과 탐지가 보완책으로 언급됐다.

하영빈 에버스핀 대표는 "에버세이프 웹은 실제 ARTEX를 이용한 해킹 공격에서 탁월한 성능을 입증 받은 유일한 솔루션으로, 공격자가 방식을 바꿀 때마다 시간·컴퓨팅·토큰을 더 쓰게 해 AI를 이용한 대량 조회가 수지에 맞지 않게 하고 있다"며, "웹은 매우 다양해 이 같은 공격 방어를 위해 도입된 솔루션이 서비스 품질 저하로 이어지는 일이 많다. 따라서 다수 레퍼런스를 통해 검증된 솔루션이 정상 사용자 서비스 품질까지 보장해야 한다"고 전했다.

★ 네티즌 어워즈 투표하러 가기 ▶
★ 전 세계 팬덤의 결집, cbcglobe.com ▶
★ 돈돈돈, 남몰래 혼자 보는 – 돈 되는 뉴스 ▶