마이크로소프트 아르텍스 보고서 해부…’AI가 했다’는 근거는 빠졌다

마이크로소프트(Microsoft) 위협 인텔리전스 보고서가 실증한 핵심은 훔친 애플리케이션 자격증명이 기계적 속도로 악용됐다는 점이다. 그러나 AI 에이전트가 그 모든 침투 과정을 독자적으로 수행했다는 판단은 공개된 기술 지표 어디에서도 입증되지 않았다. 시장의 일부 언론 보도는 이 불완전한 지표 위에서 단순 ‘로그인 시도’를 시스템 ‘침해’로 둔갑시켰다.

마이크로소프트 위협 인텔리전스는 10월 21일 위협 분석 보고서를 통해 중국 연계 공격 조직 스톰-0940(Storm-0940)이 AI 모의해킹 도구 아르텍스(ARTEX)로 공격을 자동화했다고 발표했다. 글로벌 IT 관리 솔루션 업체 커넥트와이즈(ConnectWise)의 클라우드 백업 앱이 침해된 사건도 이 조직의 소행으로 지목했다. 마이크로소프트의 발표 내용을 1차 현장 대응에 나선 보안 기업들의 분석 기록, 그리고 아르텍스 원본 소스코드와 대조해 정밀 검증했다.

마이크로소프트 보고서가 확정한 팩트

마이크로소프트 위협 인텔리전스는 스톰-0940이 이르면 9월부터 아르텍스를 사용해 항공우주·방산부터 반도체, 싱크탱크까지 14개 분야 수백 개 조직을 겨냥했다고 기록했다. 여러 공격 사례에서 처음 표적으로 삼은 뒤 클라우드 특권 접근을 획득하기까지 3시간이 걸리지 않았다고 밝혔다. 표적 대부분은 침투에 실패했으나 여러 조직에서 관리자 특권 지속성을 확보했다고 적시했다.

커넥트와이즈 공급망 침해 사건의 본질은 앱 신원(서비스 주체) 탈취다. 백업 서비스는 정상적인 데이터 보존을 위해 고객 테넌트의 메일과 파일을 읽고 써야 하므로 광범위한 고위험 권한을 미리 부여받는다. 헌트리스(Huntress) 사고 조사팀이 확인한 공격자의 핵심 탈취물은 이 연동 앱의 자격증명이었으며, 해당 자격증명은 벤더사의 자체 테넌트에 보관돼 있었다. 고객사가 테넌트 내부에 어떤 보안 방벽을 세웠더라도 우회할 수밖에 없는 공급망 취약 구조였다. 훔친 앱 자격으로 로그인하면 사람의 승인도, 2차 다중 인증(MFA) 절차도 일체 거치지 않는다.

집 열쇠 대신 택배 기사의 출입증을 복제한 격이다.

마이크로소프트는 이번 사안이 자사 클라우드 인프라 자체의 침해나 플랫폼 취약점에서 비롯된 문제는 아니라고 선을 그었다. 연동 앱이 테넌트에 설치돼 있거나 단순히 인증에 성공했다고 해서 실제 데이터 유출까지 이어진 것은 아니라는 단서 조항도 명시했다.

숫자마다 다른 분모와 귀속의 실체

주요 외신과 언론들이 헤드라인으로 앞세운 대목은 “2250개 이상 테넌트에 분당 2900회 로그인을 시도했다”는 수치다. 마이크로소프트는 커넥트와이즈 공지를 해설하는 도입부에서 이 두 숫자를 커넥트와이즈 침해 이후의 단일 활동인 것처럼 나란히 배치했다.

그런데 보고서 내 패스워드 스프레이 분석 절을 살펴보면 분당 2900회는 전혀 다른 활동의 수치로 기재돼 있다. 이는 10월 10일부터 14일까지 8개 조직 327개 계정만을 노린 무차별 무작위 대입 공격의 통계다. 실패한 로그인 시도가 15만1000건을 넘었고 10월 11일 분당 2900회로 정점을 기록했다. 응답의 98%는 보안 정책에 따른 계정 잠금이었으며, 인증 성공이나 토큰 발급, 디렉터리 권한 변조는 단 1건도 성립하지 않았다.

현장 관측에 나선 헌트리스의 실측 데이터는 결이 또 다르다. 헌트리스 기술 분석팀은 공격자 인프라 IP에서 비정상 로그인 활동이 감지된 테넌트가 1000곳에 육박했으며, 그중 300곳 이상에서 로그인이 성공했다고 10월 17일 밝혔다. 다만 이 수치 역시 인증 토큰이 정상 발급된 테넌트의 숫자일 뿐, 사내 데이터베이스나 문서가 외부로 유출된 피해 규모를 뜻하는 것은 아니다.

3시간과 5분… 출발점이 다른 두 개의 시계

마이크로소프트가 제시한 ‘3시간 미만’은 공격자가 조직을 최초 표적으로 점찍은 시점부터 출발하는 시계다.

반면 시스템 내부 침투가 성립된 이후의 실측 타임라인은 헌트리스의 기록에 선명하게 남아 있다. 헌트리스 사고 분석 로그를 보면 10월 15일 03시 44분(협정세계시) 한 고객 테넌트에서 커넥트와이즈의 팀즈 연동 앱이 스스로 전역 관리자(Global Administrator) 권한을 셀프 승인했다. 이어 다른 연동 앱 2개에 새로운 비밀번호 역할을 하는 클라이언트 시크릿을 심었고, 이 모든 과정이 단 5분 만에 종결됐다.

헌트리스는 이 권한 탈취 장면과 공격자 IP의 대량 로그인을 동일한 단일 운영자로 단정 짓지 않았다. 권한 상승 행위는 첫 대량 로그인 시도보다 약 2시간 30분 앞서 실행됐으며, 트래픽의 출발지는 마이크로소프트 내부 사설 IP 대역으로 기록됐다. 해당 사설 IP는 벤더사의 일상적인 정상 백업 트래픽에도 사용되는 경로였다.

공격이 빠르다는 기술적 판단에는 비교할 수 있는 엄밀한 기준선이 전제돼야 한다. 그러나 마이크로소프트 보고서 어디에도 AI 에이전트를 도입하기 전 스톰-0940 조직이 동일한 공격 작업에 얼마나 많은 시간을 소모했는지는 전혀 제시되지 않았다.

AI 에이전트와 단순 스크립트 사이의 간극

사건을 최전선에서 실시간으로 관측한 보안 기업들의 기록은 결이 전혀 다르다. 헌트리스 분석 로그를 보면 공격자는 테넌트 고유번호 순서대로 수 초 간격을 두고 차례로 접근했다. 이는 사전에 확보한 목록을 기계적으로 순회하는 전형적인 배치 스크립트의 동작 양식이다. 헌트리스는 침투 후속 활동을 두고 “빠르고, 스크립트화됐으며, 눈에 띄게 무차별적”(fast, scripted, and notably indiscriminate)이라고 평가했다. 같은 날 16개 테넌트를 노린 2차 공격의 후반 작업은 자동화 봇이 아닌 사람이 직접 터미널을 조작한 것으로 관측됐다고 덧붙였다.

헌트리스의 정밀 분석 보고서에는 AI라는 단어가 일체 등장하지 않는다.

반면 클라우드 보안 기업 위즈(Wiz) 분석 보고서는 다음 날 동일한 인프라를 활용한 침투를 추적했다며 자율 에이전트 특유의 행동 양식을 열거했다. 소스맵 파일을 내려받은 지 불과 몇 분 만에 코드 내부에만 존재하는 비공개 API 경로를 정확히 호출했고, 한 경로가 차단되면 다른 우회 경로로 즉시 전환했으며, 일부 세션은 24시간에서 30시간 동안 지속됐다. 다만 위즈는 이 공격이 마이크로소프트가 지목한 스톰-0940 캠페인과 “인프라 차원에서 일부 겹친다”고만 조심스럽게 언급했다.

두 회사의 상반된 관측은 기술적으로 동시에 사실일 수 있다. 아르텍스 에이전트는 운영체제의 셸(Shell) 명령을 직접 호출해 실행하기 때문에이전트가 파이썬 스크립트나 curl 명령어를 실행하면 서버 로그에는 해당 보조 도구의 흔적만 남기 때문이다.

그렇다면 아르텍스 도구 자체를 가리키는 고유한 지표는 무엇인가. 개발자는 아르텍스와 핵심 에이전트 엔진인 노르마(norma)의 깃허브(GitHub) 저장소를 삭제했으나, Go 언어 모듈 프록시에는 버전별 원본 아카이브가 보존돼 있다. 실제 아카이브 코드를 내려받아 분석한 결과 아르텍스 0.3.15 버전 모듈 명세는 노르마 0.4.3 버전을 기반으로 작동한다. 노르마 0.4.3 소스코드의 웹 읽기 도구에는 접속 클라이언트를 식별하는 사용자 에이전트(User-Agent) 값이 하드코딩돼 있었다.

// 웹 자산 탐색 시 HTTP 헤더에 고정되는 에이전트 식별자
req.Header.Set("user-agent", "norma/0.4")

이 고정값은 7월 초기 버전부터 10월 13일 배포판까지 일관되게 유지됐다. 아르텍스 엔진이 표적 웹 자산을 정밀 탐색할 때 내보내는 artex-enrich/1.0 헤더도 존재한다. 위즈가 공개한 침해 지표 목록에는 norma/0.4가 명시돼 있으며, 한국어 파생판 오픈소스 풀리퀘스트에서도 10월 7일 동일한 문자열로 방어 규칙이 만들어졌다.

그러나 마이크로소프트 보고서가 커넥트와이즈 공격 단계의 증거로 공개한 사용자 에이전트는 5개에 불과하다. 파이썬 기본 요청 라이브러리와 curl, azure-toolkit 등 범용 도구뿐이며 노르마나 아르텍스 특유의 문자열은 단 하나도 포함되지 않았다. 노르마 문자열은 웹 페이지를 긁어올 때만 전송되므로 이 값이 없다고 해서 아르텍스를 쓰지 않았다고 단정할 수는 없다. 하지만 공개된 침해 지표(IoC)만으로는 마이크로소프트의 주장대로 아르텍스가 쓰였는지 독자와 보안 커뮤니티가 독립적으로 검증할 수 있는 길이 완전히 차단돼 있다. 앞서 알려진 ‘공격 배후 식별 지표’는 이번에 마이크로소프트가 아닌 위즈의 목록에서만 확인됐다.

“지문은 범인이 아니라 장갑을 가리키고 있다. 공개된 지표 어디에도 AI 에이전트가 독자적으로 판단하고 실행했다는 고유한 증거는 없다.”

지문은 범인 대신 장갑을 가리킨다.

보고서에서 누락된 핵심 데이터와 모델

마이크로소프트 보고서는 커넥트와이즈 벤더사의 테넌트가 최초에 어떤 경로로 침해당했는지, 공격자가 어떤 대규모 언어 모델(LLM)을 두뇌로 연동했는지 전혀 밝히지 않았다. 실제 고객 데이터가 외부로 유출됐는지, AI 도입 이전의 침투 속도 기준선은 어떠했는지, 주말과 휴일에 걸쳐 집중 작전이 벌어졌다는 구체적 로그 데이터도 빠져 있다.

마지막 항목은 문장 표현 방식에서 그 한계가 드러난다. 마이크로소프트는 에이전트가 “밤낮, 주말, 휴일 없이 일할 수 있다”(can work around the clock, on weekends, and on holidays)고 서술했다. 이는 스톰-0940이 실제 주말에 활동했다는 관측 데이터가 아니라, 자율 에이전트 소프트웨어의 일반론적 특성을 추상적으로 묘사한 수사에 불과하다.

공격 모델 규명에는 대조군이 존재한다. 아르텍스를 활용해 한국 금융권을 노렸던 다른 공격자의 경우 사용된 모델이 포렌식으로 규명됐다. 크라우드스트라이크(CrowdStrike) 분석은 공격자가 노출해 둔 C2 서버 설정 파일을 추적해 딥시크(DeepSeek) v4.1-flash가 주력 추론 모델이었음을 밝혀냈다. Z.ai(구 지푸AI)의 GLM-5.3과 그록(Grok) 4.6도 보조 모델로 등록돼 있었다. 지스케일러(Zscaler) 보고서는 이 운영자를 금전적 수익 목적의 중국어 사용자로 분석하면서, API 중계 서비스를 거친 탓에 실제 응답한 최종 모델까지는 검증할 수 없다고 기술했다.

위즈는 마이크로소프트와 지스케일러가 추적한 아르텍스 공격을 서로 다른 두 독립 행위자로 분류했다. 모델이 명확히 드러난 쪽은 서버 설정을 허술하게 열어 둔 금전 목적의 해커였고, 스톰-0940이 연동한 추론 모델의 실체는 마이크로소프트조차 규명하지 못했다.

‘시도’가 ‘침해’로 둔갑한 언론의 왜곡

단순한 ‘로그인 시도’가 시스템 ‘침해’로 둔갑했고, ‘수백 개 표적’은 ‘수천 개 기업 해킹’으로 부풀려졌다. ‘표적 지정’이라는 시작점은 ‘시스템 침입’으로 왜곡됐다. 별개 패스워드 스프레이 수치가 2250곳 테넌트 문장에 무분별하게 이어 붙었고, 같은 도구를 쓴 서로 다른 두 해커 집단이 하나의 단일 조직으로 통합됐다. 천지일보 보도처럼 327개 계정과 인증 실패 팩트를 원문 그대로 옮긴 소수 사례를 제외하면 대다수 보도가 공포 마케팅을 재생산했다.

실재하는 공급망 위협과 과열된 AI 경보

그렇다고 해서 이번 사건의 위협 자체가 과장된 허구라는 뜻은 아니다. 위협은 AI 에이전트가 주도했는지 여부와 무관하게 현실에서 심각하게 작동하고 있다.

서드파티 벤더 애플리케이션 단 1개의 자격증명이 탈취되면서 수백 개 고객 테넌트에 인증 토큰이 실제로 발급됐다. 공격자가 테넌트에 심어 둔 백도어 성격의 시크릿은 벤더사가 자체 자격증명을 교체한 뒤에도 고객 환경에 그대로 잔존한다. 커넥트와이즈는 10월 17일 보안 침해 공지를 통해 연동 앱 신원 7개를 긴급 차단하고 클라우드 백업 서비스 운영을 중단했다고 발표했다. 위즈가 추적한 공격 인프라 역시 IP가 차단되더라도 불과 몇 분 만에 새로운 IP 대역으로 회귀하는 끈질긴 적응력을 보였다.

하지만 경보를 울리는 주체들의 이해관계도 균형 있게 살펴야 한다. 마이크로소프트 보고서의 권고 항목에는 자사의 AI 기반 보안 관제 대시보드 홍보가 포함돼 있으며, 위즈의 기술 문서 역시 자사 공격형 보안 에이전트 솔루션을 소개하며 마감된다. 위협의 수위를 거대하게 묘사할수록 상업적 이익을 얻는 기업들이 작성한 보고서라는 맥락을 놓쳐서는 안 된다.

경보의 크기와 증거의 크기는 따로 재야 한다.

보안 관리자가 즉시 취해야 할 3대 대응

마이크로소프트와 헌트리스가 제시하는 실무 대응 지침은 일치한다. 첫째, 커넥트와이즈 연동 앱을 테넌트에서 성급히 삭제하지 말고 즉시 비활성화해야 한다. 앱을 삭제하면 과거 설정값과 권한 동의 이력이 함께 지워져 사후 침해 조사의 핵심 근거가 소멸하기 때문이다. 둘째, 마이크로소프트 권고안에 따라 서비스 주체 로그인 기록을 최소 10월 15일부터 가능하면 10월 1일까지 거슬러 전수 조사하고, 10월 13일 이후 앱에 신규 추가된 시크릿과 인증서를 즉시 검증·폐기해야 한다. 셋째, 사내 웹 서버 및 프록시 로그가 보존돼 있다면 앞서 오픈소스 원본 코드에서 확인된 norma/와 artex-enrich 문자열을 전수 검색해 내부 자산 스캔 여부를 확인해야 한다.

규명되지 않은 최초 자격증명 유출 경로

마이크로소프트 보고서와 헌트리스 분석 어디에도 커넥트와이즈 벤더사의 핵심 자격증명이 애초에 어떤 경로로 공격자 손에 넘어갔는지는 규명돼 있지 않다. 2250곳이라는 자극적인 숫자보다 먼저 나와야 할 답이다.