80,000개 이상의 기업, AI 로그인 정보 탈취당해: 섀도 AI부터 LLMjacking까지

2026년 여름, 보안 업계는 '탈취된 AI 로그인'이라는 새로운 용어를 배우게 됐다. BleepingComputer가 보도한 대로, 8월 말 Anthropic은 인포스틸러(정보 탈취형 악성코드)로 인한 Claude 세션 탈취 사건에 대응해 사용자를 강제 로그아웃시키고, 저장된 결제 수단을 삭제했으며, 부정 결제로 확인된 금액을 환불했다.

이것이 공급 측면이라면, SOCRadar의 AI Identity Exposure Report(AI 신원 노출 보고서)는 수요 측면을 다룬다. 즉, 직원들의 자격증명이 판매되고 있는 기업들이다.

이번 연구는 AI 서비스와 연관된 100만 건 이상의 인포스틸러 기록, 80,000개 이상의 기업 도메인에서 출발해, 하나의 질문에 답하기 위해 482개의 주요 대기업으로 범위를 좁혔다: AI 로그인 정보가 스텔러 로그(탈취 정보 저장소)에 올라오면, 그것은 누구의 것이며, 구매자는 무엇을 물려받는가?

482개 기업 중 68%는 36개국, 8개 업종에 걸친 매출 10억 달러 이상 기업이며, 북미에 집중돼 있고 그중 수십 곳은 Forbes 순위에 오른 기업이다.

이들 사이에는 1,500개의 개별 기업 이메일 주소와 연관된 5,434건의 스텔러 로그 기록이 존재하며, 482개 기업 중 295곳이 최근 90일 이내에 노출됐다.

ChatGPT가 데이터셋을 지배하며, Hugging Face와 Replit도 개발자 도구가 노출되고 있음을 보여준다

데이터셋을 플랫폼별로 나눠보면 하나의 이름이 차트를 압도한다. 482개 기업 중 358곳에서 탈취된 ChatGPT 또는 OpenAI 세션이 발견됐고, 이 기업들이 연구 전체 기록의 약 90%를 차지한다. Zapier, Notion, Hugging Face, Replit, Lovable, ElevenLabs가 그 뒤를 멀찌감치 따른다.

482개 기업 중 하나 이상의 직원 자격증명 또는 세션이 탈취된 기업 수.

이러한 편중은 중요하지만, 더 흥미로운 부분은 무엇이 빠져있는가이다. 상위권에는 Claude가 없다. Gemini도 없다.

연구자 코멘트

"우리는 ChatGPT의 압도적 비중을 특정 벤더의 보안이 취약하다는 판정이 아니라 섀도 AI(그림자 AI, 관리되지 않는 AI 사용) 신호로 해석한다. ChatGPT의 선점 효과 때문에 훨씬 많은 직원들이 개인 기기에서 업무용 이메일로 조용히 가입했고, 그것이 인포스틸러가 긁어가는 대상 집단이다. 다른 어시스턴트들의 도입률이 따라잡으면 이 차트도 균형을 이룰 것으로 예상한다."

이는 시의적절한 경고다. Anthropic 자체의 8월 말 사건은 Claude 세션도 충분한 규모로 존재하기만 하면 즉시 표적이 된다는 것을 보여줬다. 다만 현재는 수확할 수 있는 기업 내 사용 기반이 더 작을 뿐이다.

CISO(최고정보보호책임자)에게 주는 교훈은 "더 안전한 어시스턴트를 선택하라"가 아니다. 노출은 사용자를 따라가며, 사용자는 당신의 정책이 미치지 않는 모든 곳에 있다는 것이다.

탈취된 AI 로그인이 탈취된 비밀번호보다 더 위험한 이유

전통적인 자격증명은 앱 하나를 여는 열쇠다. AI 계정은 동시에 네 가지다: 검색 가능한 보관소, 실행 엔진, 과금 가능한 리소스, 그리고 신원. 탈취된 세션은 비밀번호 입력 없이 이 네 가지를 모두 넘겨준다.

대화 기록 자체가 유출이다

직원들은 소스코드, 고객 정보, 계약서, 미공개 계획을 프롬프트에 붙여넣는다. 계정은 기업의 기억 저장소가 되고, 그 세션을 재생하는 자는 내부 시스템을 건드리기도 전에 그 보관소를 물려받는다.

세션 쿠키는 MFA를 그냥 지나쳐 간다

탈취된 쿠키는 살아있는 세션이다. Okta의 Jeremy Kirk가 말했듯, 세션 토큰과 API 키는 자격증명 기반 인증을 우회하기 위해 재생될 수 있기 때문에 정확히 노려진다. 비밀번호를 바꿔도 침입자는 로그인된 상태로 남는다.

에이전트는 직원의 권한으로 동작한다

자동화 플랫폼은 CRM, 이메일, 저장소에 대한 상시 OAuth 권한을 보유하고 있다. 탈취된 Zapier 세션은 공격자가 신뢰받는 벤더의 IP 대역에서 정기적으로 데이터를 빼내는 워크플로를 구축하게 해준다.

API 키는 돈이자 자원이며 은폐 수단이다 - LLMjacking

메모 앱이나 워크스페이스 설정 페이지에 복사해둔 키는 다른 모든 것과 함께 빼앗겨 피해자에게 과금되거나 재판매된다. 지하 시장 판매자들은 Claude, Gemini, Cursor 계정에 대한 할인된 접근권을 환불 보증까지 걸고 판매한다.

AI API 키와 세션 쿠키에 대한 최근 지하 시장 판매글.

기술 업종이 앞서지만, 노출은 어디에나 있다

기술 및 인터넷 서비스 기업이 144개사, 전체 기록의 40%로 단일 최대 그룹이며, 이들 기업은 많은 하위 고객사들의 데이터를 보유하고 있다.

제조업, 금융 서비스, 소매, 의료, 에너지 업종도 다수 등장한다.

업종별 영향받은 기업 수와 스텔러 로그 기록 (1/10 축척).

같은 업종을 노출된 AI 종류별로 나눠보면 위험 프로파일이 달라진다. LLM 플랫폼 노출은 거의 모든 업종에서 보편적이며, 에너지 업종이 영향받은 기업의 93%로 가장 높다.

직원의 권한을 다른 시스템으로 끌고 들어가는 에이전트·자동화 도구 노출은 의료, 금융 서비스, 기술 업종에 집중돼 있다.

각 업종에서 자격증명이 탈취된 기업의 비율.

이 중 어느 것도 자율 에이전트 무리 같은 것이 필요하지 않다. 직원 한 명, 관리되지 않는 노트북 한 대, 저장된 ChatGPT 비밀번호 하나, 그리고 2022년부터 텔레그램 채널에서 판매돼온 범용 인포스틸러 하나면 충분하다.

대응 방법

필요한 통제는 특별하지 않다. 새로운 점은 AI 플랫폼이 이제 자격증명 관리 시스템(IdP)이나 코드 저장소와 같은 등급으로 다뤄져야 한다는 것이다.

• 모든 AI 플랫폼을 짧은 세션 수명을 가진 SSO(단일 로그인) 뒤에 두기: 갱신 토큰 로테이션이 적용된 OAuth 2.0 / OIDC를 사용해 탈취된 쿠키가 판매되기 전에 만료되도록 한다. SSO는 저장된 비밀번호는 없앨 수 있어도 살아있는 세션 쿠키는 없애지 못하며, 정책 시행 이전에 개설된 계정에는 아무 효과가 없다.
• API 키의 범위를 제한하고, 한도를 두고, 주기적으로 교체하기: 낯선 ASN(네트워크 대역)이나 이상한 시간대에서의 사용에 알림을 설정한다 - 이는 LLMjacking의 흔적이다.
• 세션 토큰 재사용 모니터링하기: 세션 도중 국가나 기기 지문이 바뀌면 그것은 재생된 세션이다. 스텔러 로그에 등장한 직원은 비밀번호 재설정이 아니라 엔드포인트 침해 사고로 취급해야 한다.
• 섀도 계정을 먼저 찾아내기: 존재하는지 모르는 것은 교체할 수 없다. 먼저 어떤 도메인이 이미 스텔러 로그에 등장하는지 찾는 것부터 시작하라. SOCRadar의 무료 AI Identity Exposure 도구를 사용할 수 있다.

결론

Anthropic이 자사 사건에 대응한 방식은 그대로 따라 할 만한 본보기다: 세션을 무효화하고, 공격자가 악용하던 결제 수단을 제거했으며, 사기가 피해에 이르기 전에 감염된 기기를 사용한 사람들에게 통지했다.

SOCRadar의 전체 보고서 보기.

SOCRadar가 후원하고 작성함.