상반기 서버해킹 487건..DDoS·랜섬웨어 증가

올 상반기 한국인터넷진흥원(KISA)에 신고 및 접수된 침해사고는 1236건으로 집계됐다. 작년 상반기보다 19.5% 증가했다. 하지만 신고·접수가 가장 많았던 2025년 하반기보다는 8.4% 감소했다.

과기정통부와 KISA는 이 같은 내용을 담은 '2026년 상반기 국내 사이버위협 동향' 보고서를 발간했다. 보고서에는 상반기 침해사고 핵심 유형 분류와 국내 8개사와 글로벌 7개사 등 총 15개사의 버전문가 기고문도 함께 수록했다. 국내 8개사는 안랩, 지니언스, 이글루코퍼레이션, NSHC, S2W, SK쉴더스, 플레인비트, 엔키고, 글로벌, 7개사는 시스코 탈로스, 구글, 마이크로소프트, 트렌드마이크로, 팔로알토, 카스퍼스키,지스케일러(Zscaler) 등이다.

보고서에 따르면, 침해사고 유형에서 분산서비스거부 공격(DDoS, Distribute Denial of Service)과 랜섬웨어 감염 신고가 큰 증가세를 보였다. 또 서버 해킹은 조사 대상 전체 기간 중 가장 큰 비중을 차지했지만 신고 건수는 2025년 상반기 531건에서 2026년 상반기 487건으로 8.3% 감소했다.

반면 DDoS 공격은 2025년 상반기 238건에서 2026년 상반기 373건으로 56.7% 큰 증가했다. 랜섬웨어 신고 역시 145건으로 2025년 상반기(82건)보다 63건(76.8%) 증가, 악성코드 감염 신고 201건의 72.1%를 차지했다.

과기정통부와 KISA는 국내 및 글로벌 정보보안 전문기업 15개사 전문가들과 함께 올 상반기 사이버 침해사고 중 핵심 유형 5가지를 도출했다. 이를 유형별로 분류해 사고원인 분석, 기술적 특징 및 기업 정보보호 관리체계에 반영해야할 사항들을 제시, 국내 기업들이 자율적으로 자체 정보보호 역량을 강화할 수 있게 했다.

① 생성형 AI 확산에 따른 보안 위협: 인공지능(AI)은 취약점 탐지, 악성코드 분석, 코드 검토, 보안 이벤트 요약 등 방어 업무 생산성을 높이고 있다. 그러나 공격자들이 AI를 활용하면, 공격 대상의 취약점 탐색, 패치 전후 코드 비교, 공격 코드 초안 작성, 정찰 결과 정리, 반복 실험이 빨라질 수 있다. 모든 공격이 완전히 자동화하는 것은 아니지만, 공격 준비에 드는 시간과 비용이 줄어들면 기존보다 더 많은 대상을 짧은 시간에 분석할 수 있다.

특히, AI 에이전트는 이메일, 코드 저장소, 클라우드 서비스, 협업 플랫폼 등 외부 시스템과 연결돼 자율적으로 업무를 수행하면 공격 표면을 크게 넓힐 수 있다. 특히, 악성 지시문 주입(Prompt Injection), 권한 오남용, 민감정보 유출, 악성 도구 호출, 잘못된 자동 실행이 발생할 수 있다.

② 오픈소스 생태계를 노린 개발자 계정 탈취와 소프트웨어 공급망 공격 고도화: 공격자들은 정보탈취형 악성코드(Infostealer)를 개발자 단말과 클라우드 개발환경에 무단으로 설치하고, 소프트웨어 소스코드 개발 관리(GitHub), 자바스크립트 개발 관리(npm) 및 파이썬 개발 관리(PyPI) 환경의 계정 비밀번호, 개인 접근 토큰(PAT, Personal Access Token), 클라우드 접근 키를 주요 표적으로 삼고 있다. 탈취된 계정정보, 토큰 및 접속 키 등 자격증명은 정상 프로젝트 유지관리 권한을 악용하거나, 지속적 통합·지속적 배포(CI/CD, Continuous Integration/Continuous Delivery) 파이프라인을 통해 악성 패키지를 배포하거나 기업 정보를 탈취하는데 직접 사용하고 있다.

공급망 공격은 개발자 한 명의 피해로 끝나지 않는다. 정상 패키지를 신뢰한 다수 기업과 기관의 빌드 서버, 개발자 단말, 운영환경으로 악성코드가 연쇄 확산될 수 있다. 특히, 자동화 계정과 빌드 파이프라인은 사람 확인 없이 광범위한 배포를 수행하기 때문에 하나의 토큰 노출이 수백 개 저장소와 서비스의 침해 및 정보유출로 이어질 수 있다.

③ 국제 핵티비스트의 국내 대상 DDoS 공격 증가와 서비스 가용성 위협: 국제 핵티비스트(Hacktivist) 그룹이 국내 공공기관과 민간기업을 공격 대상으로 지목하면서 분산 서비스 거부 공격(DDoS, Distributed Denial of Service)에 대한 경계가 높아졌다. RipperSec 해킹조직은 텔레그램 채널 등을 통해 우리나라 기업 등을 공격 대상으로 언급하고 국내 기관에 대한 공격을 예고하거나 공격을 실제 수행했다고 주장한 사례를 소개하기도 하였다.

이들 공격의 주된 목적은 기밀정보 탈취보다 대외 서비스의 가용성을 떨어뜨려 사회적 혼란을 유발하고, 조직의 존재감을 과시하는 데 있다. 공격 성공 여부와 장애 화면을 사회관계망서비스(SNS, Social Networking Service)와 메신저에 게시해 대상 기관의 심리적 부담과 대외적 혼란을 키우는 것을 목적으로 한다.

기업들은 평상시에 인터넷 서비스 제공 사업자(ISP, Internet Service Provider), 클라우드 서비스 제공 사업자(CSP, Cloud Service Provider) 및 한국인터넷진흥원(KISA) 등과 비상 대응 절차를 협의하고, 대응할 수 있는 체제를 갖추어야 한다.

중소기업들은 KISA에서 제공하는 'DDoS 사이버대피소'를 무료로 이용할 수 있다. KISA 보호나라 웹사이트를 통해 사전입주를 신청할 수 있으며, 실제 공격을 받아 서비스가 마비되는 긴급 상황이라면 국번 없이 118 KISA 상담센터, 사이버대피소 담당자 직통 02-405-4769 또는 help@ddos.or.kr로 연락하여 사이버대피소 서비스 지원을 신청하거나 상담받을 수 있다.

④ 랜섬웨어 공격의 지속적인 고도화와 데이터 유출을 결합한 이중 갈취 확산: 랜섬웨어는 제조, 물류, 유통, 정보기술(IT, Information Technology) 서비스 등 산업 전반의 핵심 위협으로 지속되고 있다. 공격자는 시스템을 암호화하기 전에 중요 데이터를 외부로 빼낸 뒤, 복호화 대가와 데이터 비공개 대가를 동시에 요구하는 이중 갈취 방식을 사용하고 있다. 내부망에 장기간 잠복해 자료를 수집한 후 암호화를 수행하면 업무 중단, 정보 유출, 법적 책임, 평판 훼손이 동시에 발생하게 된다.

서비스형 랜섬웨어(RaaS, Ransomware-as-a-Service)와 초기 접근 브로커(IAB, Initial Access Broker)의 분업 구조가 정착되면서 전문 공격자가 아니어도 침해된 계정이나 원격접속 권한을 구매해 공격에 참여할 수 있게 됐다. 협력업체와 공급망 계정을 우회 경로로 이용하는 사례가 늘면서, 대기업뿐 아니라 중소·중견기업과 협력사도 직접적인 표적이 되고 있다.

랜섬웨어 대응은 악성 파일 차단에 국한해서는 안 된다. 초기 침투부터 권한 상승, 내부망 이동, 데이터 수집·압축·외부 전송, 백업 훼손, 대량 암호화까지 공격 전 과정을 탐지하고 복구할 수 있어야 한다.

⑤ API 및 계정 탈취를 악용한 개인정보 유출 위협 지속: 개인정보 탈취 공격은 전통적인 데이터베이스(DB, Database) 서버 침해에서 외부 API와 사용자 계정을 악용하는 방식으로 확대되고 있다. 공격자는 인증 우회, 객체별 권한 검증 미흡, 과도한 데이터 반환, 예측 가능한 식별자 등 API 설계상의 취약점을 이용한다.