AI 에이전트가 온라인 쇼핑몰을 뚫는 비용, 업체당 약 25달러였다는 보고

한 온라인 소매업체 대상 사이버범죄 캠페인 보고는 여러 AI 모델과 오픈소스 에이전트 프레임워크를 결합하면 침해 과정의 상당 부분을 자동화할 수 있음을 보여준다. 핵심은 AI 모델이 스스로 기업 공격을 결정했다는 뜻이 아니다. 조사 결과에 따르면, 공격자가 에이전트 시스템을 구성하고 지시해 정찰, 침해 시도, 결제정보 수집, 흔적 제거를 대규모로 수행하게 했다는 것이다.8

조사기관이 밝힌 내용

Gambit Security는 금전적 이익을 노린 한 공격자가 Strix, Cairn, Hermes라는 오픈소스 AI 하니스(에이전트 실행·조정 도구) 3종을 이용해 온라인 소매업체를 제한적인 감독 아래 공격해 왔다고 밝혔다. 이 활동은 2026년 7월부터 시작됐으며, 연구가 공개된 시점에도 계속되고 있었다고 한다.8

Gambit에 따르면 9월 10일부터 15일까지 5일간 105건의 공격 프로젝트가 실행됐고, 최소 27개 기업이 다양한 수준으로 침해됐다.8 별도 보도에서는 최대 100개 조직이 표적이 됐을 수 있으며, AI 모델 접근 비용은 약 8,000달러였다고 전했다.7

조사기관은 공격자를 ‘중국어 사용(Chinese-speaking)’ 공격자로 표현했다. 이는 언어와 운영 흔적에 관한 관찰을 반영한 표현일 뿐, 공격자의 신원·국적·정부 연계 여부를 확정하는 근거는 아니다.

여러 AI 에이전트가 맡았다는 역할

보도에 따르면 이 캠페인에는 DeepSeek와 Kimi 모델, 그리고 구형 Claude 모델이 쓰였고, 이를 Strix·Cairn·Hermes가 연결해 운용했다.713 이 도구들은 하나의 만능 도구가 아니라 자동화된 작업 흐름에서 역할을 나눠 수행한 것으로 전해진다.

보고된 흐름을 높은 수준에서 정리하면 다음과 같다.

1. 표적 탐색 및 평가: 에이전트가 소매 웹사이트에서 악용 가능성이 있는 약점을 찾았다.
2. 접근 시도와 수집 코드 배치: 접근에 성공한 경우 결제 단계에 카드정보 탈취용 스키밍 스크립트를 심은 것으로 알려졌다.
3. 탈취 데이터 수집·정리: 공격자의 운영 환경에 결제카드 기록과 관련 운영 데이터가 저장된 것으로 보고됐다.
4. 흔적 삭제 시도: 침해 흔적을 줄이려는 정리 작업이 이뤄졌지만, 최소 두 사례에서는 피해자의 데이터 자체가 삭제된 것으로 전해졌다.819

의미는 분명하다. 반복적인 악성 작업을 자동화하면 여러 표적에 같은 공격 절차를 적용하는 데 필요한 사람의 시간이 줄어든다. Gambit은 기업 한 곳당 추가 비용이 수십 달러 수준이라고 평가했고, 5일간의 집중 공격과 관련한 보도는 총지출을 약 8,000달러로 제시했다. 다만 이는 해당 조사에서 나온 추정치이며, 모든 기업 공격에 통용되는 비용 기준은 아니다.78

확인된 피해와 아직 모르는 부분

공개된 피해 규모는 심각하지만, 모든 내용이 완결된 것은 아니다. Gambit은 60만 건이 넘는 결제카드 기록이 탈취됐으며, 수십 개 결제 페이지에 카드정보 스키밍 코드가 설치됐다고 밝혔다.819

Forbes는 9월 10~15일 사이 공격자가 최소 30개 웹사이트에 접근했다고 보도했다. 다만 전체 표적 가운데 실제 침해에 성공한 조직 수는 명확하지 않다.7 다른 보도에서는 탈취된 기록 가운데 미국 카드 소지자 비중이 컸다고 전했다.6

현재 공개 자료만으로는 피해 기업의 완전하고 독립적으로 검증된 명단을 확인할 수 없다. 표적 목록, 침해된 사이트, 스키머가 설치된 결제 페이지, 공식적인 데이터 유출 공시는 서로 같은 피해 지표가 아니라는 점을 구분해야 한다.

조사 결과가 신빙성을 얻은 배경

Gambit 조사 관련 보도에 따르면, 공격자는 캠페인에 사용한 인프라를 실수로 인터넷에 노출했다. 연구진은 이로 인해 에이전트 구성과 작전 관련 데이터가 포함된 것으로 알려진 흔적을 확보할 수 있었다.13

이 자료를 바탕으로 연구진은 공격의 일부 과정을 재구성하고, 침해된 소매업체·결제 페이지 스키머·탈취 카드 데이터 저장소를 연결할 수 있었다고 한다. 따라서 60만 건 이상이라는 수치는 각 피해 판매자가 개별적으로 전수 확인해 발표한 숫자가 아니라, 노출된 공격자 환경에서 조사기관이 집계해 보고한 수치로 이해해야 한다.813

‘신형 Claude는 거부했다’는 주장에 대해

보도는 구형 Claude가 공격 도구 구성에 포함됐던 반면, 신형 Claude 버전은 명시적으로 악의적인 요청을 거부했다고 전했다.7 유해한 사이버 활동 요청을 거절하도록 설계된 모델 안전장치의 목적과 부합하는 내용이다.

다만 공개 자료에는 모델 버전별 통제 실험, 전체 프롬프트, 에이전트 설정의 세부 사항이 제시돼 있지 않다. 특정 모델 하나가 캠페인의 원인이었다거나, 신형 모델의 거부만으로 차이가 설명된다고 단정하기는 어렵다. 공격 도구, 접근 경로, 작업 흐름을 설계한 운영자의 역할이 결정적이었다.

소매업체가 얻어야 할 교훈

Gambit은 이 캠페인이 진행 중이며 공격자가 인프라를 재구축하고 있다고 밝혔다.8 현재 이 공격의 규모와 방식에 관한 핵심 공개 설명은 Gambit의 연구에서 나왔다. 한편 Shadowserver Foundation은 검증된 네트워크 소유자, 정부, 국가 CSIRT(컴퓨터 보안사고 대응팀) 파트너에게 맞춤형 복구 보고서를 배포한다. 이는 검증된 침해 정보를 실제 조치가 가능한 조직에 전달하는 통로가 될 수 있다.18

소매업체 입장에서는 결제 페이지, 외부 스크립트, 인터넷에 노출된 관리 기능, 복구 절차를 지속적으로 점검해야 한다는 것이 당장의 교훈이다. 데이터 삭제 사례는 사고 대응이 탐지만으로 끝나서는 안 되며, 복구 역량까지 포함해야 함을 보여준다. 결제 흐름의 무단 변경을 감시하고, 분리된 환경에서 복구 가능 여부를 검증한 백업을 유지하는 일이 특히 중요하다.

더 큰 변화는 경제성이다. AI 에이전트는 반복적 공격 작업을 더 싸고 빠르게 만들 수 있지만, 공격 운영자·인프라·접근 경로가 필요하다는 사실까지 없애지는 않는다. 방어 역시 운영의 문제다. 노출된 공격 표면을 줄이고, 변경을 신속히 탐지하며, 복구 능력을 검증하고, 신뢰할 수 있는 대응 기관과 검증된 침해 지표를 공유해야 한다.818