싱가포르 악성코드 감염 시스템, 2025년 28만4300대로 급증

보고서는 **서비스형 악성코드(Malware-as-a-Service)**의 확산이 공격 진입 장벽을 낮추고 있다고 설명한다. 범죄자가 모든 공격 도구를 직접 개발하지 않아도 악성 기능을 이용할 수 있게 된 것이다. 보안 설정이 잘못됐거나 보안 업데이트가 적용되지 않은 소비자용 사물인터넷(IoT) 기기도 봇넷에 편입될 수 있는 큰 자원으로 지목됐다.

싱가포르에서는 여러 기관의 보안 업데이트가 이뤄지지 않은 라우터를 노린 공격도 확인됐다. 공격자는 라우터에 승인되지 않은 관리자 계정을 만들고, 이후 보안 업데이트가 적용된 뒤에도 남을 수 있는 악성 도구를 설치했다.

이에 따라 싱가포르에서 판매되는 가정용 라우터는 2027년 말까지 사이버보안 라벨링 제도(Cybersecurity Labelling Scheme) 레벨 2 요건을 충족해야 한다. 이 정책은 라우터가 공격자의 침입 경로가 되거나 대규모 봇넷의 일부로 악용되는 일을 줄이기 위한 최소 보안 수준을 높이는 데 목적이 있다.

AI가 공격의 속도와 신뢰도를 높인다

보고서는 AI가 사이버 공격과 사기의 속도·규모·정교함을 높이는 위협 환경의 일부가 됐다고 진단했다. 공격자는 AI를 활용해 설득력 있는 메시지와 합성 미디어를 더 빠르게 대량 제작할 수 있다. 싱가포르 당국도 딥페이크를 비롯한 조작된 미디어를 이용한 사기에 대해 별도로 경고했다.

앞으로는 어색한 문장이나 부자연스러운 이미지처럼 눈에 띄는 오류만으로 사기 메시지를 구별하기 어려워질 수 있다. 기업과 개인은 출처가 불분명한 요청을 신뢰할 수 있는 별도 채널로 재확인하고, 강력한 인증 수단으로 계정을 보호하며, 기기나 계정이 침해됐을 때 피해 범위를 제한하는 통제를 마련해야 한다.

피싱은 줄었지만 ‘안전해졌다’고 단정하기 어려워

신고된 피싱 시도는 2024년 약 6100건에서 2025년 약 4800건으로, 대략 5분의 1 감소했다.

그러나 신고 건수는 실제로 발생한 모든 피싱 시도가 아니라 당국에 접수된 사건을 측정한 수치다. 또한 AI로 생성된 콘텐츠는 사칭과 사기를 더욱 그럴듯하게 만들 수 있다. 따라서 전통적인 피싱 신고량이 줄었다고 해서 공격의 위험이나 효과까지 낮아졌다고 보기는 어렵다.

제공된 자료만으로는 2025년에 가장 많이 사칭된 업종이나 해외 기관을 신뢰성 있게 순위화하기 어렵다. 해당 세부 사항은 확인된 사실로 단정하지 않는 것이 타당하다.

중소기업을 집중적으로 겨냥한 랜섬웨어

랜섬웨어 신고 사례는 2024년 159건에서 2025년 165건으로 소폭 증가했다. 특히 중소기업이 상대적으로 큰 영향을 받았다. 제한된 자원으로 성숙한 사이버 방어 체계를 유지하기 어려운 현실이 배경으로 꼽힌다.

중소기업에 필요한 대응은 거창한 기술보다 기본적인 운영 체계에 가깝다. 정기적인 보안 패치, 실제로 복구 가능한지 확인한 백업, 강력한 접근 통제, 침해 사고 대응 절차를 미리 마련하는 것이 핵심이다. 모든 공격을 막는 것뿐 아니라 침해가 발생했을 때 얼마나 빨리 확산을 차단하고 필수 업무를 복구하느냐가 회복탄력성을 좌우하기 때문이다.

통신사 4곳을 노린 UNC3886와 ‘사이버 가디언’ 작전

2025년 가장 주목할 만한 사건 중 하나는 고도화된 지속적 위협(APT) 세력 UNC3886의 공격 시도였다. UNC3886은 싱가포르의 주요 통신사업자 4곳 모두에 침입을 시도했다.

싱가포르는 이에 대응해 **사이버 가디언 작전(Operation Cyber Guardian)**을 실시했다. 제공된 보도에 따르면 이는 싱가포르 역사상 최대 규모의 조직적 사이버 사고 대응 작전이다. 대응 과정에서 위협은 통제됐으며, 통신 서비스 중단이나 고객 데이터 침해 증거는 보고되지 않았다.

통신·에너지·금융·의료 같은 핵심 인프라 침해가 일반 기업의 정보기술(IT) 사고와 다르게 다뤄지는 이유도 여기에 있다. 한 기관의 문제가 서비스 중단이나 사회 전반의 혼란으로 이어질 수 있어 사업자와 정부 기관 간 공조가 필수적이다.

핵심 인프라에 더 엄격한 기준 적용

싱가포르의 핵심 정보 인프라(CII) 체계가 적용되는 분야는 다음 11개다.

• 항공
• 은행·금융
• 에너지
• 정부
• 의료
• 정보통신
• 육상교통
• 해양
• 미디어
• 보안·긴급 서비스
• 수도

싱가포르 사이버보안청은 핵심 정보 인프라 소유자에게 2027년 말까지 Cyber Trust Mark 레벨 5 인증을 취득하도록 요구하고 있다. 개편된 인증 체계는 전통적인 IT 통제뿐 아니라 클라우드 보안, 운영기술(OT) 보안, AI 보안까지 다룬다.

이는 지정된 시스템 하나만 보호하는 방식에서 벗어나, 해당 시스템과 연결되고 통신하는 네트워크와 공급업체까지 폭넓게 관리하는 접근이다. 공격자가 노출된 라우터나 클라우드 서비스, 운영기술을 발판으로 더 중요한 환경에 접근할 수 있다는 점을 고려한 조치다.

CSA 수장 교체

싱가포르 사이버보안청의 초대 최고경영자이자 사이버보안위원장이었던 데이비드 코는 2026년 7월 1일 두 직책에서 물러났다. 후임은 그웬다 퐁이다.

이는 2025년 위협 데이터를 다룬 보고서의 조사 기간 이후 발생한 인사다. 따라서 2025년 사이버 위협의 결과라기보다는 싱가포르가 다음 단계의 사이버 회복탄력성 전략으로 넘어가는 과정에서 이뤄진 리더십 전환으로 보는 것이 적절하다.

보고서가 보여주는 세 가지 결론

싱가포르의 상황을 단순히 “사이버 공격이 늘었다”고만 요약하기는 어렵다. 공격 생태계는 더 쉽게 확장되고 더 알아보기 어려워졌으며, 동시에 싱가포르의 탐지와 대응 역량도 적극적으로 강화되고 있다.

핵심은 다음 세 가지다.

1. 악성코드 증가세는 심각하지만, 탐지 개선의 영향도 포함한다. 지속적인 봇넷 활동과 감염 기기 탐지 향상이 28만4300대라는 수치에 함께 반영됐다.
2. 피싱 신고 감소가 AI 기반 위험을 상쇄하지는 않는다. 공격자는 신고량이 줄어드는 상황에서도 더 설득력 있고 확장성 높은 사기를 만들 수 있다.
3. 싱가포르는 최소 보안 기준을 의무화하는 방향으로 움직이고 있다. 라우터 보안 라벨 요건과 핵심 인프라 소유자에 대한 레벨 5 Cyber Trust 인증 의무는 제조사·운영자·기관의 책임을 더욱 분명하게 만든다.

결국 싱가포르의 전략은 가시성 확보, 공조 대응, 집행 가능한 보안 기준을 중심으로 재편되고 있다. 동시에 취약한 기기와 보안 역량이 제한된 중소기업이 다음 공격의 약한 고리가 되지 않도록 일상적인 보안 관리도 함께 강화해야 한다.