취약점 공개는 두 배, 실제 악용도 거의 두 배…AI가 공격자의 탐색·분석·실행 시간을 압축
금융·공공기관 디지털 연결은 늘었지만 패치·승인·점검은 여전히 사람과 절차 중심
은행과 공공기관을 겨냥한 침해사고가 잇따르면서 “왜 올해 들어 갑자기 이렇게 많이 뚫리느냐”는 질문이 커지고 있다.
AI를 이용한 공격 자동화, 클라우드 확대, 외부 시스템 증가 등 여러 이유가 거론되지만 최근 글로벌 보안자료를 함께 보면 더 근본적인 변화가 하나 보인다.
공격자가 취약점을 실제 공격에 활용하는 속도가 기업이 이를 고치는 속도를 앞질렀다는 것이다.
과거에도 취약점은 존재했다.
그러나 취약점이 발견되고 실제 공격도구로 만들어지기까지 일정한 시간이 필요했다.
2026년에는 그 시간 자체가 급격히 줄고 있다.
취약점 발견부터 공격까지 24시간도 안 걸린다
마이크로소프트가 10월 공개한 ‘2026 디지털 디펜스 리포트’에 따르면 실제 공격 현장에서 발견된 취약점이 공격도구로 무기화되는 데 걸리는 중앙값은 24시간 아래로 떨어졌다.
반면 기업이 외부에 노출된 중요 취약점을 확인하고 실제 패치를 완료하기까지는 30~60일이 걸릴 수 있다고 분석했다.
공격자는 하루 안에 움직이는데 방어자는 한 달 이상이 필요한 셈이다.
이 차이가 지금의 연쇄 침해사고를 이해하는 핵심이다.
기업의 보안수준이 하루아침에 낮아진 것이 아니라, 공격자의 속도가 기존 방어체계가 감당하기 어려운 수준까지 빨라진 것이다.
한 달 취약점 공개 5천건에서 1만건으로
취약점의 숫자도 크게 늘고 있다.
구글 위협정보그룹 자료에 따르면 올해 1월 공개된 취약점은 5,045건이었다.
7월에는 1만477건, 8월에는 1만740건으로 두 배 이상 증가했다.
실제로 공격에 악용된 취약점 역시 지난해 월평균 10.5건에서 올해 1~8월 월평균 18건으로 뛰었다.
공개되는 취약점 자체가 급증하고, 그 가운데 실제 공격에 쓰이는 비율도 빠르게 올라가고 있다는 뜻이다.
보안 담당자가 검토해야 할 대상은 두 배로 늘었는데 공격자는 그 가운데 실제로 쓸 수 있는 취약점을 AI와 자동화 도구로 빠르게 골라낼 수 있게 됐다.
AI가 바꾼 것은 ‘해킹 방법’보다 ‘시간’
AI가 전혀 새로운 공격방식을 만들어낸 것만은 아니다.
계정 탈취, 취약점 스캔, 악성코드 제작, 피싱, 권한 상승 등 대부분은 이전에도 존재했던 공격방식이다.
달라진 것은 이를 실행하는 시간과 비용이다.
마이크로소프트는 올해 들어 AI가 취약점 탐색, 정찰, 피싱, 악성코드·공격코드 개발, 침투 이후 분석까지 공격 과정 전반에 이용되고 있다고 밝혔다.
예전에는 숙련된 공격자가 직접 수행해야 했던 작업을 이제 AI가 반복·자동화할 수 있게 된 것이다.
공격자의 생산성이 높아지면서 과거에는 비용 때문에 시도하지 않았던 수많은 서버까지 동시에 공격 대상이 될 수 있다.
방어는 여전히 ‘사람과 승인’을 기다린다
문제는 방어 측의 시간이 거의 줄지 않았다는 점이다.
기업에서 보안패치 하나를 적용하려면 단순히 파일을 내려받아 설치하는 것으로 끝나지 않는다.
취약점 영향 분석, 시스템 담당부서 확인, 테스트, 서비스 장애 가능성 검토, 내부 승인, 유지보수 일정 확보 등의 과정을 거쳐야 한다.
은행이나 공공기관처럼 서비스 중단이 큰 문제로 이어지는 조직일수록 절차는 더 복잡하다.
결국 공격은 자동화되고 있는데 방어는 여전히 사람과 조직의 승인 절차에 묶여 있다.
이른바 **‘속도의 역전’**이다.
연결은 빨라졌지만 관리 대상도 폭증
2026년 금융권에서는 또 하나의 변화가 있었다.
지난 4월부터 금융회사는 일정한 보안요건을 충족하면 내부 업무망에서도 클라우드 기반 SaaS를 보다 폭넓게 사용할 수 있게 됐다.
문서작성, 화상회의, 협업, 성과관리 등 외부 클라우드 서비스가 내부 업무와 연결될 수 있는 범위가 넓어진 것이다.
이 변화 자체가 최근 침해사고의 원인이라는 근거는 없다.
다만 전체적인 보안 환경이 과거의 단순한 내부망 구조에서 클라우드·SaaS·API·모바일·외부 협력사를 함께 관리해야 하는 구조로 빠르게 이동하고 있다는 점은 분명하다.
보호해야 할 시스템은 늘어나는데 관리 인력과 보안절차가 같은 속도로 확대되지 못하면 취약점 관리의 시간차는 더 커질 수밖에 없다.
정상 계정도 공격자의 무기가 된다
최근 공격에서는 방화벽을 직접 뚫기보다 이미 존재하는 정상 계정이나 인증수단을 탈취해 내부로 들어가는 방식도 늘고 있다.
마이크로소프트가 분석한 초기 침투 경로를 보면 사용자 실행이 약 30%, 정상 계정 사용이 약 20%를 차지했다.
공격자는 점점 조직이 이미 신뢰하고 있는 계정·서비스·개발도구를 노리고 있다.
이 경우 외형상 정상적인 접속처럼 보이기 때문에 탐지가 늦어질 수 있다.
단순히 방화벽을 강화하거나 외부 IP를 차단하는 방식만으로 해결하기 어려운 이유다.
한국 보안기관도 이미 ‘공격자 우위’를 경고했다
한국인터넷진흥원은 올해 초 2026년 사이버위협 전망에서 이미 **‘공격자 우위의 시대’**가 본격화하고 있다고 진단했다.
AI 기반 위협 심화와 함께 대형 침해사고에서 드러난 구조적 한계를 개선해야 한다고 지적했다.
최근 잇따르는 금융·공공기관 침해사고는 갑작스럽게 등장한 새로운 현상이라기보다 이미 예고됐던 변화가 실제 사고로 나타나는 과정에 가깝다.
Next Insight 분석 | 해커가 빨라진 만큼 방어도 빨라져야 한다
2026년 연쇄해킹을 단순히 “AI 해킹이 늘었다”거나 “기업 보안이 약해졌다”고 설명하면 핵심을 놓칠 수 있다.
더 중요한 변화는 시간이다.
취약점은 한 달에 1만건 이상 공개되고, 실제 공격에 사용할 수 있는 취약점은 AI를 통해 빠르게 선별된다.
공격도구는 하루 안에 만들어질 수 있지만 기업의 패치는 한 달 이상 걸릴 수 있다.
이 간극이 커질수록 보안수준이 같은 기업에서도 실제 침해사고가 발생할 가능성은 높아진다.
과거에는 “취약점이 있는가”가 중요했다면 이제는 **“공격자보다 먼저 고칠 수 있는가”**가 더 중요해지고 있다.
금융권과 공공기관의 최근 사고가 보여주는 것도 바로 이 변화다.
보안의 승부가 시스템의 두께에서 대응의 속도로 이동하고 있다.
2026년 연쇄해킹의 본질은 새로운 공격기술 하나가 등장했다는 데 있는 것이 아니라, 공격자의 시간이 하루로 줄어든 사이 방어자의 시간은 여전히 한 달에 머물러 있다는 데 있다.
작성·취재 | Next Insight News 김귤연 기자
이메일 | nextinsight.news@gmail.com
카카오톡 | Next Insight News 비즈니스 채널
홈페이지 | nextinsightnews.com
참고자료
- Microsoft, 2026 Digital Defense Report
- Google Threat Intelligence Group, Vulnerability Discovery and Exploitation Trends in the AI Era
- 한국인터넷진흥원(KISA), 2025년 사이버 위협 하반기 동향 및 2026년 전망
- 한국인터넷진흥원(KISA), 2026년 글로벌 사이버보안 이슈 전망
- 금융위원회·금융감독원, 금융회사 내부 업무망 SaaS 활용 관련 전자금융감독규정 시행세칙 개정자료
#연쇄해킹 #사이버보안 #AI해킹 #취약점 #제로데이 #보안패치 #금융보안 #공공기관해킹 #클라우드보안 #SaaS #정보보호 #KISA #마이크로소프트 #구글위협정보 #NextInsightNews
지금 많이 보는 기사
Next Insight 분석을 정리해 보내드립니다.