AI 에이전트를 악용한 사이버공격이 빨라지고 있습니다. 구글 위협 인텔리전스 그룹(GTIG)은 2026년 2분기에 클라우드 자원을 뚫은 뒤 6시간 안에 AI 에이전트로 대량의 계정 정보를 긁어모은 사례를 보고했습니다.
이 글에서는 무엇이 달라졌는지 보고, 지금 바로 할 수 있는 계정 점검 체크리스트를 정리했습니다.
✅ 이 글은 공개된 조사 보고서와 언론 보도, 법률 해설을 바탕으로 정리했습니다.
🗓️ 최종 업데이트: 2026년 11월
계정이 한 번 털리면 그다음 단계가 훨씬 빠르게 진행된다는 것이 최근 보고서의 핵심입니다. 공격자가 자동화된 도구를 쓰면서 사람이 일일이 움직이던 시간이 크게 줄었습니다. 그래서 개인도 '비밀번호만 강하게'가 아니라 '로그인 자체를 어렵게' 만드는 방향으로 점검해야 합니다.
"해당 배너는 쿠팡 파트너스 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받습니다."
📑 목차
1. 무엇이 달라졌나: 6시간과 15분
구글 위협 인텔리전스 그룹(GTIG)은 2026년 9월 8일 'From Prompting to Autonomy' 보고서에서, 2분기 중 공격자가 클라우드 자원을 침해한 뒤 계획, 구축, 실행까지 6시간 안에 AI 에이전트 기반의 대량 자격증명 수집 캠페인을 벌였다고 밝혔습니다.
이어 2026년 10월 30일 구글 클라우드 블로그에서는 한 공격자가 처음 탈취한 계정에서 깊은 시스템 접근까지 보통 약 4시간이 걸렸고, 한 사례에서는 15분까지 줄었다고 설명했습니다. 공격자가 탈취한 계정에 관리자 권한을 붙이는 데도 몇 분이면 충분했다는 내용입니다.
2. 공격이 빨라진 이유
보고서에 따르면 공격자는 AI 코딩 도구와 실행 지침, 자동화된 작업 순서를 조합해 스스로 스캔하고 자격증명을 모으는 틀을 만들었습니다. 도구가 막히면 다른 경로로 우회하고, 피해 환경에 맞춰 도구를 바꾸기도 했습니다.
결국 방어하는 쪽은 사람이 눈치채기 전에 계정이 넘어갈 수 있다는 전제에서 움직여야 합니다. 로그인 한 번이 뚫리면 나머지 단계가 금방 따라온다는 점을 기억하세요.
⚠️ 주의: 이 보고서는 기업과 조직의 클라우드 환경을 겨냥한 사례가 중심입니다. 개인 계정도 같은 방식의 자동화 공격을 받을 수 있으므로, 아래 점검은 개인 기준으로 정리했습니다.
3. 지금 바로 하는 계정 점검
- 2단계 인증 켜기: 문자 인증보다 인증 앱이나 패스키가 더 안전합니다. 가능하면 패스키를 함께 등록하세요.
- 비밀번호 재사용 끊기: 여러 사이트에 같은 비밀번호를 쓰는 습관이 가장 위험합니다. 비밀번호 관리자로 사이트마다 다르게 저장하세요.
- 로그인 기록과 기기 목록 보기: 모르는 기기나 위치가 있으면 세션을 모두 끊고 비밀번호를 바꾸세요.
- 연결된 앱과 권한 정리: 더 이상 쓰지 않는 서드파티 앱, 자동화 도구, 액세스 토큰을 해제하세요.
- 복구 수단 확인: 복구 이메일과 휴대전화 번호가 본인 것인지, 더 이상 쓰지 않는 번호는 아닌지 확인하세요.
4. 기기와 브라우저 점검
계정 보안은 기기 보안과 붙어 있습니다. 운영체제와 브라우저를 최신 상태로 유지하고, 출처가 불분명한 확장 프로그램은 지우세요. 메일이나 메신저로 받은 로그인 링크는 바로 누르지 말고 주소창의 도메인을 먼저 확인하는 습관이 필요합니다.
공용 PC에서 로그인했다면 작업이 끝난 뒤 반드시 로그아웃하고, 저장된 비밀번호 목록을 지우세요.
5. 피해가 의심될 때 할 일
평소와 다른 로그인 알림이 오거나 본인이 하지 않은 메일 발송, 설정 변경이 보이면 먼저 모든 기기에서 로그아웃하고 비밀번호를 바꾸세요. 그다음 2단계 인증을 다시 설정하고, 연결된 앱 권한을 전부 확인합니다.
금전 피해가 생겼다면 해당 금융사에 즉시 지급 정지를 요청하고, 사이버 범죄 피해는 경찰청 사이버수사대(182)에 신고할 수 있습니다.
복구 코드는 한 번 발급받으면 종이나 암호화된 메모장처럼 기기 밖에 따로 보관해 두세요. 휴대전화를 잃어버렸을 때 인증 수단이 함께 사라지는 상황을 막을 수 있습니다.
비밀번호 재설정 메일이나 인증번호 문자가 본인이 요청하지 않았는데 계속 온다면, 그것은 누군가 비밀번호를 먼저 알아냈다는 신호일 수 있습니다. 인증번호를 누구에게도 알려주지 말고, 해당 서비스의 공식 앱이나 홈페이지에서 직접 로그인해 기기 목록부터 확인하세요.
마지막으로 한 달에 한 번 정도 '로그인 기록 보기'와 '연결된 앱' 화면을 열어 보는 습관을 들이면, 평소와 다른 흔적을 빨리 찾을 수 있습니다.
6. 자주 묻는 질문
Q1. 15분 만에 털린다는 말은 모든 계정에 해당하나요?
A. 아닙니다. 보고서는 특정 공격 사례에서 걸린 시간을 설명한 것입니다. 다만 한 번 계정이 넘어가면 다음 단계가 빠르게 진행될 수 있다는 점은 같습니다.
Q2. 문자 인증만 켜 두면 충분한가요?
A. 없는 것보다 낫지만, 인증 앱이나 패스키가 더 강합니다. 가능하면 두 번째 수단을 함께 설정하세요.
Q3. 비밀번호 관리자를 쓰면 안전한가요?
A. 사이트마다 다른 비밀번호를 쓰게 해 주므로 재사용 위험을 줄입니다. 관리자 계정 자체를 강하게 보호하는 것이 전제입니다.
핵심 요약 3줄
① 2026년 보고서에서 AI 에이전트 기반 계정 탈취는 6시간, 한 사례는 15분 안에 진행됐습니다.
② 가장 효과적인 방어는 2단계 인증, 패스키, 비밀번호 재사용 중단입니다.
③ 이상 징후가 보이면 모든 기기에서 로그아웃하고 비밀번호와 연결 권한을 먼저 정리하세요.
관련 글
댓글