- CrowdStrike에 따르면 중국 그룹 Vapor Panda는 10월 17일부터 최소 14개국에 걸쳐 200개 이상의 조직을 대상으로 AI 침투 테스트 프레임워크인 ARTEX를 사용했으며, 아홉 곳에서의 실제 침해만 확인되었습니다.
- Storm-0940에 의한 ConnectWise 대상 캠페인과 한국 은행을 표적으로 한 금융적 동기의 공격자 사례는 ARTEX가 다양한 공격자들 사이에서 확산되고 있음을 보여줍니다.
- 이로 인해 은행, 반도체 제조사, 제약사, 통신사 및 그들의 공급망에 대한 공격의 속도와 규모가 증가했습니다.
중국과 연결된 해커 그룹들은 ARTEX라는 AI 기반 침투 테스트 기술의 도움을 받아 공격을 강화하고 있습니다. 이에 따르면 CrowdStrike, Vapor Panda는 2026년 10월 17일부터 전 세계 200개 이상의 조직을 대상으로 한 공격에서 이 도구를 사용해 왔습니다. 작업의 대부분은 AI가 수행하며, 최종 결정은 인간이 내립니다.
여러 경로를 동시에 추구하는 플래너 및 워커 에이전트
ARTEX는 '플래너' 에이전트(공격 계획 담당)와 '워커' 에이전트(실행 담당)를 관리하는 하나의 메인 에이전트에 의존합니다. 각 에이전트는 시스템을 스캔하고 취약점을 악용하며 네트워크를 탐색하는 과정에서 발견 사항을 공유하며 협력합니다. CrowdStrike의 정보에 따르면, Vapor Panda는 DeepSeek와 미상의 상용 AI 시스템을 함께 사용했으며, 단 한 번의 공격에서 플래너 에이전트가 14억 개의 입력 토큰을 사용했습니다.
이 캠페인은 최소 14개국에 도달했습니다. 표적에는 외무부와 통신사들이 포함되었습니다. 미국에서는 공격자들이 제약, 반도체, 방산, 원자력, 금융 부문을 아우르는 19개 조직을 겨냥했습니다.
하지만 작전의 규모가 크다고 해서 모든 공격이 성공한 것은 아닙니다. CrowdStrike는 BLOODALCHEMY 백도어 사용 등 9개 기업에서 사후 침투 활동을 확인했으며, 이어 인간 운영자가 웹 셸 생성, 비밀번호 추출, 보호되지 않은 머신 위치 파악 등을 통해 주도권을 잡았습니다.
ConnectWise부터 Microsoft 365까지, 두 번째 그룹의 확장
ARTEX는 중국과 연결된 또 다른 해킹 그룹인 Storm-0940에서도 사용되고 있었습니다. Microsoft에 따르면, 이 그룹은 2026년 9월 초부터 해당 도구를 사용하기 시작했습니다. 수백 개 조직을 표적으로 삼았으며, 여러 사례에서 3시간 이내에 권한 있는 클라우드 접근 권한을 획득했습니다. Microsoft는 또한 이 그룹이 ConnectWise 클라우드 백업 침해와도 연관되어 있다고 밝혔습니다.
공격의 규모는 놀라웠습니다. Microsoft는 10월 10일부터 14일까지 8개 기업의 327개 계정에 대해 15만 1,000회 이상의 실패한 로그인 시도를 추적했습니다. 최대 분당 2,900회에 달했지만, 성공적인 로그인은 관찰되지 않았습니다.
ConnectWise 침해는 해당 그룹의 활동 중 별도의 부분이었습니다. 해당 침해 이후 공격자들은 Cryptopolitan 이전에 보도된 바와 같이 클라우드 애플리케이션 자격 증명을 변경하려고 시도하기도 했습니다.
금전적 동기를 가진 행위자가 한국 은행을 타격
세 번째 ARTEX 캠페인은 다른 동기를 가지고 있었습니다. 2026년 9월 말, 공격자들은 Zscaler이 보고한 바와 같이 한국 금융 기관들을 대상으로 도구를 사용했으며, 약 67,000명의 개인 정보를 탈취했습니다.
Zscaler는 공격자를 중국어 사용자이며 재정적 동기를 가진 것으로 판단했으며, 이는 중간 수준의 확신으로 평가되었습니다. 국가 지원 여부는 확인되지 않았습니다. CrowdStrike 역시 공격자가 장악한 시스템에서 ARTEX 파일과 Claude Code 로그를 발견했습니다.
해킹이 어떻게 에이전트화되었는가
하지만 자동화된 해킹으로의 전환은 ARTEX 이전부터 시작되었습니다. 2025년, Anthropic은 약 30개 표적에 Claude Code를 사용한 중국 국가 지원 캠페인을 발견했으며, AI가 작업의 약 80~90%를 처리한 것으로 추정됩니다.
Google도 공격자가 단순한 AI 프롬프트를 넘어 자율적 운영으로 이동하는 방식을 문서화했습니다. 이러한 초기 활동은 ARTEX 캠페인과는 별개였지만, AI 기반 해킹이 얼마나 빠르게 진화하고 있는지 보여줍니다.
은행, 반도체 제조사 및 클라우드 제공업체에 미칠 영향
위험은 이미 표적이 된 조직을 넘어 확장됩니다. 은행은 고객 데이터 유출의 위험에 직면해 있으며, 반도체 제조사는 귀중한 지적 재산권을 상실할 수 있습니다. 클라우드 제공업체는 여러 고객을 노출시킬 수 있는 침해된 애플리케이션 자격증명이라는 또 다른 우려를 안고 있습니다.
산업계 수치는 더 빠른 공격이 기업들에게 왜 우려스러운지 보여줍니다. Verizon의 2026년 보고서에 따르면 시스템 침투가 침해 사고의 61%를 차지했습니다. Microsoft은 노출된 클라우드 워크로드가 평균 5.3시간 내에 공격을 받았다고 보고했습니다.
한편, World Economic Forum은 대규모 기업의 65%가 제3자 및 공급망 취약성을 최대 사이버보안 과제로 인식한다고 밝혔으며, 이는 2025년의 54%에서 증가한 수치입니다.
공격이 더 빠르고 자동화됨에 따라 기업들은 보안 지출을 강력한 신원 제어, 빠른 탐지, 그리고 공급업체에 대한 더 밀접한 모니터링으로 전환할 가능성이 높습니다.
암호화폐 뉴스를 단순히 읽는 것을 넘어, 이해하세요. 뉴스레터에 구독하세요. 무료입니다.
자주 묻는 질문
ARTEX란 무엇인가요?
ARTEX는 중국에서 개발된 에이전트형 침투 테스트 프레임워크로, Go 언어로 작성되어 대규모 언어 모델에 연결되어 정찰, 취약점 식별 및 악용을 자동화합니다. 개발자 리 푸화(‘Autumn-27’)는 이 도구가 위협 행위자들 사이에서 확산된 후 이를 폐쇄형 소스로 변경했습니다.
Vapor Panda 캠페인에서 실제로 침해당한 조직은 몇 곳인가요?
CrowdStrike는 10월 17일 이후 표적이 된 200개 이상의 조직 중 9곳에서 사후 공격(post-exploitation)이 확인되었다고 밝혔으며, 나머지는 시도되었거나 미확인 상태였습니다. 별도의 Storm-0940 ConnectWise 사례에서는 Huntress가 162개의 침해된 고객 테넌트를 보고했습니다.
이것이 모두 하나의 조율된 중국 운영인가요?
아니요. CrowdStrike의 Vapor Panda, Microsoft의 Storm-0940, 그리고 Zscaler가 지칭한 미상의 한국인 공격자는 서로 다른 목표를 가진 별개의 행위자이며, Zscaler는 해당 행위자가 국가 지원이 아닌 금융적 동기에 기반했다고 평가했습니다. 이들은 단일 명령 체계가 아닌 ARTEX 도구를 공유합니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com은 이 페이지에 제공된 정보를 기반으로 이루어진 모든 투자에 대해 책임을 지지 않습니다. 어떤 투자 결정을 내리기 전에 독립적인 조사나 자격을 갖춘 전문가와의 상담을 강력히 권장합니다.
이비아м 와야스
이비암 와야스는 2019 년부터 암호화폐 뉴스 분야를 취재해 왔습니다. 그는 나이지리아 국립오픈대학교에서 컴퓨터공학을 전공했으며, 코인포마니아, 암호화폐 뉴스 오스트레일리아, 알코인버즈 등 다양한 암호화폐 뉴스 플랫폼에 기고했습니다. 컴퓨터공학 배경을 바탕으로 현재 암호화폐, 로봇공학, 장수 관련 뉴스를 집중적으로 다루고 있습니다.
