剣 KENSAI
← 블로그로 돌아가기
리서치 12분 읽기 2026년 3월 29일

SentinelOne, 8단계 침입 킬체인 매핑 — SANS, AI가 사이버 인력 지형 재편한다고 보고 — Kaspersky, Coruna를 Triangulation 프레임워크와 연계

SentinelOne의 2026 연례 위협 보고서는 공격자가 MFA를 우회하고 클라우드 자동화를 무기화하며 4시간 이내에 전체 캠페인을 완료하는 신종 8단계 침입 킬체인을 문서화합니다. SANS 협회의 2026 사이버 인력 보고서는 AI가 필요 역량을 근본적으로 재편하고 인재 격차를 넓히고 있음을 보여줍니다. Kaspersky 연구진은 Coruna iOS 익스플로잇이 악명 높은 Operation Triangulation 프레임워크와 코드 계보를 공유한다는 사실을 확인했습니다. Sansec은 기존 보안 통제를 우회하는 신종 WebRTC 기반 결제 스키머를 발견했습니다.


1. SentinelOne 2026 연례 위협 보고서 — 8단계 침입 킬체인

SentinelOne이 2026 연례 위협 보고서를 발표했습니다. 부제는 "최전선에서 보내는 방어자의 플레이북"이며, 핵심 발견은 새롭게 문서화된 침입 모델입니다: 현대 위협 행위자들은 8단계 킬체인을 통해 공격을 실행하는데, 과거 몇 주가 걸리던 활동을 4시간 이내의 단일 조율된 캠페인으로 압축합니다.

전통적인 록히드 마틴 킬체인(정찰 → 무기화 → 전달 → 악용 → 설치 → 명령 및 제어 → 목표 달성)은 2011년 이래 표준 모델이었습니다. SentinelOne의 연구에 따르면 실제 공격은 이 선형 프레임워크를 훨씬 뛰어넘어 진화했습니다.

8단계

2025년 한 해 동안 기업, 클라우드, 하이브리드 환경 전반의 수천 건의 사고를 분석한 결과, SentinelOne은 다음을 확인했습니다:

  1. 정찰 및 표적 선정: 자동화된 스캐닝과 다크웹 인텔리전스를 결합해 알려진 취약한 서비스를 보유한 고가치 표적을 식별함
  2. 초기 침투: 주로 탈취된 자격 증명, MFA 우회 기법(적대적 중간자 프록시, SIM 스와핑, 푸시 피로 공격), 공급망 침해를 통해 이루어짐
  3. MFA 우회 및 세션 하이재킹: 단순히 초기 침투의 일부가 아닌 별도의 단계로, 공격자가 Evilginx3와 같은 실시간 피싱 프록시 도구나 맞춤형 AiTM 프레임워크를 통해 다중 인증을 구체적으로 무력화함
  4. 클라우드 피벗: 침해된 신원에서 클라우드 서비스(Azure AD, AWS IAM, Google Workspace)로 즉시 수평 이동하며, SSO 신뢰 관계를 활용해 엔드포인트 탐지를 촉발하지 않고 접근 권한을 확장함
  5. 자동화 무기화: 피해자 자신의 자동화 도구 — CI/CD 파이프라인, Infrastructure-as-Code, 오케스트레이션 플랫폼 — 를 이용해 환경 전반에 악성 페이로드를 기계 속도로 배포함
  6. 데이터 스테이징 및 유출: 갈취 가치를 극대화하도록 선별된 데이터 수집을 진행하며, 네트워크 수준 탐지를 피하기 위해 정당한 클라우드 저장 서비스를 통해 유출함
  7. 지속성 및 보험: 부분적인 대응으로도 살아남도록 신원, 클라우드, 엔드포인트 계층 전반에 걸쳐 다중 지속성 메커니즘을 구축함 — 새 관리자 계정 생성, 백업 C2 채널 배포, 휴면 악성코드 심기를 포함함
  8. 수익화: 랜섬웨어 배포와 갈취 요구를 동시에 실행하며, 종종 탈취 데이터 공개 위협(이중 갈취)이나 고객·파트너에 대한 직접 연락(삼중 갈취)과 결합됨

보고서의 핵심 통계

KENSAI의 관점

8단계 모델은 방어자들이 의심해온 바를 확인해줍니다: 공격은 더 이상 선형적인 경로를 따르지 않습니다. 이는 병렬적이고 자동화되어 있으며, 인간의 대응 속도를 앞지르도록 설계되어 있습니다. KENSAI의 지속적인 침투 테스트는 1~4단계에서 공격자가 악용하는 취약점 — 노출된 서비스, 잘못 설정된 인증, 취약한 SSO 신뢰 체인, 클라우드 설정 오류 — 을 정확히 겨냥합니다. 공격자가 킬체인을 4시간 이내로 압축하는 상황에서는, 오직 지속적인 자동화 스캐닝만이 무기화되기 전에 취약점을 제거하는 사전 방어를 제공할 수 있습니다.


2. SANS 협회 2026 사이버 인력 보고서 — AI가 보안 직군을 재편하다

SANS 협회가 AI 시대의 스킬, 인력난, 변화: 2026 사이버 인력 보고서를 발표해, 인공지능이 사이버보안 노동 시장을 어떻게 변화시키고 있는지에 대해 지금까지 가장 포괄적인 분석을 제공했습니다. 그 결과는 어느 쪽에 서 있느냐에 따라 우려스럽기도 하고 희망적이기도 합니다.

인력 격차는 좁혀지지 않고, 오히려 넓어지고 있습니다

수년간 사이버보안 교육에 투자했음에도, 전 세계 인력 격차는 계속 확대되고 있습니다. SANS는 전 세계적으로 470만 개의 사이버보안 미충원 일자리가 있다고 추산합니다 — 2024년의 390만 개에서 증가한 수치입니다. 하지만 격차의 성격은 근본적으로 달라졌습니다:

AI가 일상 보안 업무를 어떻게 바꾸고 있는가

이 보고서는 142개국 8,500명 이상의 사이버보안 전문가를 대상으로 설문조사를 진행했습니다. AI 영향에 관한 핵심 발견은 다음과 같습니다:

새롭게 부상하는 역할: AI 보안 운영자

SANS는 조직 전반에서 새롭게 부상하는 역할을 확인했습니다: 바로 AI 보안 운영자입니다 — 이는 보안 도구를 단순히 사용하는 데 그치지 않고, 점점 더 많은 보안 결정을 내리고 있는 AI 시스템을 관리·튜닝·검증하는 사람을 의미합니다. 이 역할은 전통적인 보안 지식, 데이터 과학 소양, 그리고 AI 권고를 언제 신뢰하고 언제 무시해야 하는지를 판단하는 감각을 독특하게 결합해야 합니다.

KENSAI의 관점

KENSAI는 SANS가 설명하는 인력 현실에 맞게 구축되었습니다. 수동 평가를 수행하는 침투 테스터 팀을 요구하는 대신, KENSAI는 지속적으로 작동하는 자율 보안 스캐닝을 제공합니다 — 소규모 보안 팀을 기계 속도의 커버리지로 보강합니다. 이 플랫폼은 반복적이고 확장 가능한 작업(지속적인 취약점 스캐닝, 공격 표면 모니터링)을 처리하는 동시에, 인간 전문가는 AI가 내릴 수 없는 전략적 결정 — 위험 우선순위 지정, 비즈니스 맥락, 대응 전략 — 에 집중할 수 있게 합니다.


3. Kaspersky, Coruna iOS 익스플로잇을 Operation Triangulation 프레임워크와 연결

🔬 리서치 — Coruna 익스플로잇 키트, Triangulation과 코드 계보 공유

Kaspersky 연구진은 최근 CISA의 KEV 카탈로그에 추가된 Coruna iOS 익스플로잇 키트가 2023년 발견된 Operation Triangulation 공격 프레임워크에서 직접 파생된 업데이트된 코드 구성 요소를 담고 있음을 확인했습니다. 이는 정교하고 자금력이 풍부한 위협 행위자가 iOS 익스플로잇 역량을 계속해서 진화시키고 배포하고 있음을 시사합니다.

2023년, Kaspersky는 Operation Triangulation을 발견했습니다 — 지금까지 문서화된 것 중 가장 정교한 iOS 공격 체인 중 하나입니다. 이 공격은 Apple의 맞춤형 칩에 있는 문서화되지 않은 기능을 겨냥한 하드웨어 수준 익스플로잇을 포함해 4개의 제로데이 취약점을 순차적으로 악용했습니다. 그 정교함이 극도로 높아, 공격자가 Apple의 내부 문서에 접근할 수 있었던 것 아니냐는 의문까지 제기되었습니다.

이제 Kaspersky의 최신 연구는 Coruna iOS 익스플로잇 키트 — CISA가 3월 8일 알려진 악용 취약점(KEV) 카탈로그에 추가한 — 가 Triangulation과 상당한 코드를 공유한다는 사실을 밝혀냈습니다:

귀속 관련 함의

Kaspersky는 명확한 귀속까지는 단정하지 않지만, 코드 계보와 다중 취약점 iOS 익스플로잇 체인을 개발·유지하는 데 필요한 자원을 함께 고려하면 소수의 국가급 행위자로 범위가 좁혀진다고 지적합니다. Triangulation에서 Coruna로의 진화는 수년에 걸친 지속적인 개발을 나타냅니다 — 이는 기회주의적 악용이 아니라 지속적이고 자금력이 풍부한 프로그램입니다.

조직이 취해야 할 조치

KENSAI의 관점

KENSAI는 모바일 엔드포인트가 아닌 웹 애플리케이션 및 인프라 보안에 초점을 맞추고 있지만, Coruna-Triangulation 연결은 중요한 원칙을 보여줍니다: 정교한 공격자는 도구를 지속적으로 반복 개선하고 진화시킵니다. 동일한 패턴이 웹 대상 공격 인프라에도 적용됩니다. KENSAI의 지속적인 스캐닝은 공격자가 기법을 업데이트함에 따라, 귀사의 방어가 최신 취약점 지형에 맞서 테스트되도록 보장합니다 — 지난 분기의 스냅샷이 아니라 말입니다.


4. Sansec, WebRTC 기반 결제 스키머 발견 — 새로운 회피 최전선

🔬 리서치 — WebRTC 데이터 채널을 이용한 결제 데이터 유출

Sansec 연구진은 WebRTC 데이터 채널을 이용해 탈취한 결제 정보를 유출하는 신종 결제 카드 스키머를 발견했습니다. 이는 콘텐츠 보안 정책(CSP) 제한과 HTTP/HTTPS 트래픽을 검사하는 기존 네트워크 모니터링 도구를 완전히 우회합니다.

결제 카드 스키머(Magecart 유형 공격)는 일반적으로 전자상거래 결제 페이지에 악성 JavaScript를 주입하는 방식으로 작동합니다. 주입된 스크립트는 고객이 입력하는 결제 카드 정보를 포착한 뒤, 대개 표준 HTTP 요청을 통해 또는 이미지 URL에 데이터를 숨겨 공격자가 통제하는 서버로 유출합니다.

이번에 새로 발견된 스키머는 WebRTC 피어투피어 데이터 채널을 유출에 사용해 이 패턴을 완전히 깨뜨립니다:

작동 방식

  1. 초기 주입: 스키머는 침해된 서드파티 JavaScript 라이브러리 — Magecart의 흔한 경로 — 를 통해 결제 페이지에 주입됩니다
  2. 데이터 포착: 표준 키스트로크 로깅이 고객이 입력하는 결제 카드 번호, CVV, 청구 정보를 포착합니다
  3. WebRTC 채널 구축: HTTP 요청을 보내는 대신, 스키머는 STUN/TURN 서버를 중개자로 이용해 WebRTC 피어 연결을 구축합니다
  4. 데이터 유출: 포착된 결제 데이터는 WebRTC 데이터 채널 — 대부분의 보안 도구가 검사하지 않는 바이너리 암호화 피어투피어 연결 — 을 통해 전송됩니다

중요한 이유

탐지 및 완화

KENSAI의 관점

WebRTC 스키머는 지속적인 보안 스캐닝을 필수로 만드는 유형의 진화하는 웹 위협을 대표합니다. KENSAI의 자동화된 침투 테스트는 웹 애플리케이션의 인젝션 취약점, 침해된 서드파티 리소스, 비정상적인 클라이언트 측 동작을 검사합니다. 공격자가 기존 통제를 우회하는 새로운 유출 기법을 개발함에 따라, 오직 포괄적이고 정기적으로 업데이트되는 스캐닝만이 이러한 공격을 가능케 하는 근본적인 취약점을 식별할 수 있습니다.


5. Push Security — 2026년 브라우저 기반 공격 현황

Push Security가 브라우저 보안 현황 리서치 시리즈를 시작했습니다. John Hammond, Troy Hunt, Matt Johansen을 비롯한 저명한 보안 연구자들이 기고했습니다. 이 연구는 많은 조직이 여전히 과소평가하고 있는 현실에 초점을 맞춥니다: 브라우저가 기업 침해의 주된 공격 표면이 되었다는 것입니다.

초기 연구 결과의 핵심 발견은 다음과 같습니다:

브라우저 보안 격차

이 연구는 근본적인 단절을 조명합니다: 조직은 네트워크 보안, 엔드포인트 탐지, 클라우드 보안에는 막대한 투자를 하지만, 직원이 실제로 SaaS 애플리케이션과 상호작용하고, 자격 증명을 입력하고, 민감한 데이터를 처리하는 곳인 브라우저에는 상대적으로 적은 보안 투자가 이루어집니다. Push Security는 이를 "마지막 1마일" 문제라고 — 사람과 애플리케이션이 실제로 만나는 지점을 제외한 모든 곳을 보호하는 셈입니다.

KENSAI의 관점

브라우저 기반 공격은 결국 표적으로 삼는 웹 애플리케이션과 인증 시스템에 의존합니다. KENSAI의 보안 스캐닝은 AiTM 공격, OAuth 설정 오류, 세션 관리 취약점을 가능하게 하는 유형의 취약점을 웹 애플리케이션에서 평가합니다. 귀사의 웹 대상 애플리케이션을 지속적으로 테스트함으로써, KENSAI는 브라우저 기반 공격 기법이 진화하더라도 기반 애플리케이션이 공격자가 필요로 하는 발판을 제공하지 않도록 돕습니다.


6. Agentic GRC — 업계의 거버넌스 성장통

Anecdotes의 Agentic GRC (거버넌스, 위험, 컴플라이언스) 도입 분석에 따르면, AI 기반 GRC 도구가 널리 배포되고 있지만 가장 큰 과제는 기술이 아니라 조직의 사고방식이라는 점입니다.

이 연구는 컴플라이언스 및 위험 관리를 위해 AI 에이전트를 도입하는 조직 전반에서 나타나는 패턴을 확인했습니다:

이는 이번 주 연구 전반에 걸친 더 큰 주제를 반영합니다: AI는 보안 전문가가 하는 일을 바꾸고 있을 뿐, 그들을 대체하는 것이 아닙니다. 가치는 실행에서 판단으로, 반복 업무에서 전략적 감독으로 옮겨가고 있습니다.


리서치 및 업계 요약

리서치영향유형핵심 시사점
SentinelOne 2026 연례 위협 보고서치명적위협 인텔리전스8단계 공격이 4시간 이내에 완료됨
SANS 2026 사이버 인력 보고서높음업계 리서치470만 개 미충원 일자리; AI가 스킬 재편
Kaspersky: Coruna ↔ Triangulation 연결높음위협 리서치국가급 iOS 익스플로잇 진화 확인
Sansec: WebRTC 결제 스키머높음위협 발견새로운 회피 기법, CSP 및 WAF 우회
Push Security: 브라우저 공격 현황전략적보안 리서치브라우저가 기업의 주된 공격 표면
Anecdotes: Agentic GRC 도입정보업계 분석AI 거버넌스에는 기술보다 사고방식 전환이 중요

공격자는 8단계를 4시간 만에 실행합니다. 귀사의 마지막 스캔은 얼마나 최신입니까?

위협 행위자가 대부분의 조직이 회의 일정을 잡는 것보다 빠르게 전체 침입 캠페인을 완료하는 상황에서는, 정기적인 보안 평가만으로는 충분하지 않습니다. KENSAI의 지속적인 자동화 스캐닝은 24시간 내내 작동합니다 — 킬체인이 시작되기 전에 취약점을 찾아냅니다.

무료 보안 스캔 시작하기 →

작성: KENSAI 리서치 및 위협 인텔리전스 팀
리서치 및 업계 인텔리전스 라운드업 — 2026년 3월 29일
더 많은 브리핑 보기 →

🛡️ 귀하의 웹사이트는 안전한가요?

공격자보다 먼저 취약점을 발견하세요.

웹사이트를 무료로 스캔하세요 →

관련 기사

CISA: Langflow CVE-2026-33017, 20시간 만에 악용 — 영국, 199억 달러 규모 Xinbi 암호화폐 거래소 제재 — 네덜란드 경찰, 피싱으로 침해 GlassWorm ForceMemo, Python 저장소 400개 이상 장악 — EU, 중국·이란 제재 — Apple 최초의 백그라운드 보안 패치 — LeakNet, Deno 런타임 채택 ShinyHunters 침해: CarGurus 1,240만 건 + Wynn Resorts 데이터 유출