보안 스캐닝 업체 Detectify가 미국, 영국, 북유럽 고객사 1,293곳의 데이터를 분석한 결과, 인터넷에 노출된 시스템에서 아직 고쳐지지 않은 심각(critical)·높음(high) 등급 취약점 대부분이 90일 넘게 방치되어 있었습니다. 북유럽은 97%, 영국은 92%, 미국은 86%가 이 기준을 넘겼습니다. 특히 공공기관은 다섯 개 업종 중 취약점 해결률이 가장 낮았는데, 예산 절차가 복잡하고 담당 부서가 여러 곳으로 나뉘어 있으며 오래된 레거시 시스템이 많은 것이 원인으로 꼽혔습니다. 또한 Lovable, Base44 같은 AI 도구가 외부에 노출된 조직은 다른 조직보다 절반도 안 되는 속도로 취약점을 고치는 것으로 나타나, AI 인프라에 대한 자산 관리와 거버넌스 강화가 필요하다는 지적이 나왔습니다.
Detectify가 미국·영국·북유럽 고객사 1,293곳의 노출 취약점 데이터를 분석해, 심각·높음 등급 취약점 대부분이 90일 이상 방치되고 있다는 사실을 확인했습니다.
조직들이 이미 알고 있는 공격 가능한 취약점이 장기간 방치되며, 특히 공공기관은 해결률이 8.3%에 불과해 위험 노출이 가장 큽니다.
레거시 인프라, 분산된 자산 소유권, 복잡한 조달·변경관리 절차, 전문 인력 부족, 그리고 AI 도구처럼 팀 단위로 빠르게 배포되며 자산 관리 대상에서 빠지는 '그림자 인프라'가 원인으로 지목됩니다.
Detectify는 오래된 취약점을 방치할지 여부를 의도적으로 판단했는지 확인하고, 노출 자산의 소유권을 명확히 하며, 위험도가 높은 자산을 우선 조치할 것을 권고합니다. AI 도구도 다른 인터넷 노출 자산과 동일한 취약점 관리 절차에 포함시켜야 합니다.
취약점 스캔 결과에서 '오래된 항목'이 나오면 방치가 아니라 실제로 수용 가능한 위험인지, 담당자가 명시적으로 판단했는지부터 점검해야 합니다.
본문
Detectify는 미국, 영국, 북유럽 지역 고객사 1,293곳의 노출 데이터를 분석한 결과, 인터넷에 노출된 시스템에서 여전히 열려 있는 심각한 취약점 대부분이 이미 몇 달째 방치되고 있다는 사실을 발견했습니다. 스냅샷 시점에 열려 있던 심각(critical)·높음(high) 등급 취약점 중 북유럽은 97%, 영국은 92%, 미국은 86%가 90일 넘게 노출된 상태였습니다.
출처: Detectify
이 조직들은 이미 이런 결함을 알고 있습니다. Detectify는 실제 공격 요청을 보내고 응답을 확인하는 페이로드 기반 테스트로 발견 사항을 확인한다고 밝혔는데, 이는 곧 이 백로그가 자사 스캐너가 '악용 가능하다'고 판단한 사안들로 구성되어 있다는 뜻입니다. 가장 성적이 좋은 시장에서도, 열려 있는 심각·높음 등급 발견 사항 중 3개월 미만인 것은 7개 중 1개도 되지 않습니다.
이 90일이라는 수치는 특정 하루의 백로그를 나타낼 뿐입니다. 팀들이 평소 얼마나 빨리 패치하는지를 측정한 것은 아닌데, 오래된 소수의 레거시 문제가 대부분의 발견 사항이 빠르게 해결되는 경우에도 스냅샷을 지배할 수 있기 때문입니다. 연구진은 또한 '심각' 등급으로 분류된 결함이 가치가 낮은 자산에 있거나, 다른 보호 장치 뒤에 있거나, 곧 퇴역할 시스템에 있을 수 있으며, 이 경우 열어두는 것이 의도적인 결정일 수 있다고 인정합니다. 취약점 관리 프로그램을 운영하고 있다면, 오래된 항목마다 던져야 할 유용한 질문은 "누군가 이를 수용하기로 선택했는가"입니다. Detectify는 그 반대 상황을 '리스크 허용 표류(risk tolerance drift)'라고 부르는데, 이는 충분히 오래 열려 있던 결함이 기본적으로 수용된 것처럼 취급되는 현상을 말합니다.
공공기관이 가장 적게 고친다
공공기관은 심각·높음 등급 발견 사항 중 8.3%만을 해결해, 측정된 다섯 개 업종 중 가장 낮은 수치를 기록했습니다. 소비재·브랜드 기업은 46.2%를 해결했고, 이어 기술 업종 37.4%, 금융·은행 업종 30.6%, 제조업 23.9% 순이었으며, 각각 최초 발견 후 90일 이내 기준으로 집계되었습니다. 소비재 브랜드 업종은 전체 보안 위생 점수가 56.2로 모든 업종 중 가장 나빴는데, 이는 주로 대규모 백로그 때문입니다. 모든 심각도를 통틀어, 공공기관은 북유럽에서 4.3%, 미국에서 2.3%의 취약점만 공식적으로 해결했습니다.
"하나의 설명만 있는 것은 아니겠지만, 공공 부문 환경은 대개 방대한 레거시 인프라, 분산된 소유권, 길고 복잡한 조달·변경관리 절차, 제한된 전문 인력, 쉽게 오프라인으로 전환할 수 없는 시스템 등 여러 조건이 함께 얽혀 있어 개선을 어렵게 만듭니다"라고 Detectify의 CEO인 Rickard Carlsson은 Help Net Security에 말했습니다.
"보안팀이 무엇을 바꿔야 하는지 정확히 알고 있어도, 해당 시스템이 다른 부서 소유이거나, 오래된 공급업체에 의존하거나, 조달 절차가 필요하거나, 다운타임이 실질적인 문제를 일으키는 서비스를 지원하고 있을 수 있습니다"라고 그는 말했습니다. "공공기관은 노출된 자산에 대한 더 명확한 소유권, 어떤 노출 자산이 가장 중요한지에 기반한 우선순위 지정, 그리고 가장 큰 위험을 초래하는 소수의 취약점을 해결할 더 빠른 경로가 필요합니다."
영국은 더 많이 지켜보지만 덜 고친다
영국 조직들은 검증된 인터넷 노출 도메인의 72.4%를 적극적으로 모니터링하고 있으며, 이는 북유럽의 31.9%, 미국의 28.9%와 대비됩니다. 그러나 계정 개설 이후 전체 기간을 놓고 보면, 영국 고객사는 지금까지 제기된 모든 심각·높음 등급 발견 사항 중 18.6%만을 해결해, 세 시장 중 가장 낮은 수치를 기록했습니다. 미국은 20.7%입니다. 북유럽은 31.9%로 가장 앞서면서도 동시에 가장 오래된 백로그를 보유하고 있는데, 이는 북유럽 팀들이 전반적으로는 더 많이 해결하지만 해결하기 어려운 잔여 항목을 그대로 남겨둔다는 것을 시사합니다.
미국은 외부인이 접근할 수 있는 시스템, 즉 공격 표면이 가장 크면서도 그중 모니터링하는 비중은 가장 작습니다. 최소 1년 이상 Detectify를 사용한 고객사 기준으로, 미국의 검증된 도메인은 12개월 동안 약 20% 증가해 10만 개 이상이 늘었습니다. 영국 도메인은 14% 늘었고, 북유럽 도메인은 3.4% 늘었습니다.
노출된 AI 도구는 수정 속도가 더 느리다
연구진은 고객 환경에서 Lovable, Base44를 포함해 공개적으로 노출된 AI 플랫폼을 점점 더 많이 발견하고 있습니다. 초기 수치에 따르면 AI 도구가 노출된 조직은 전체 고객 기반 평균보다 절반도 안 되는 속도로 심각·높음 등급 결함을 해결하고 있습니다. Detectify는 이 비교의 근거가 된 정확한 비율이나 조직 수는 공개하지 않았습니다.
"현 단계에서는 이를 '섀도 AI(shadow AI, 승인 없이 사용되는 AI 도구)' 탓으로 돌리는 데 신중해야 합니다"라고 Carlsson은 말했습니다. "우리가 측정할 수 있는 것은 공개적으로 노출된 AI 도구이며, 이것이 반드시 섀도 AI인 것은 아닙니다. 그중 상당수는 이미 알려져 있고 승인된 것일 수 있습니다. 데이터는 상관관계를 보여줄 뿐이며, 한 가지 그럴듯한 설명은 이 둘이 동일한 자산 가시성 및 거버넌스 공백을 반영한다는 것이지만, 이는 계속 조사 중인 사안입니다."
"Open WebUI나 LibreChat 같은 도구는 개별 팀이 빠르게 배포할 수 있으며, 때로는 더 확립된 시스템에 적용되는 것과 같은 자산 목록화, 소유권 지정, 보안 검토 절차를 거치지 않기도 합니다"라고 그는 말했습니다.
"이번 보고서에서 조사한 조직들은 자신들이 노출하고 있는 AI 도구를 인지하고 있을 가능성이 높으므로, 이것이 반드시 관리 소홀의 신호는 아닙니다"라고 Carlsson은 말했습니다. "하지만 조직들은 AI 인프라를 가시화하고 관리 가능하게 만들 필요가 있습니다. 무엇이 실행되고 있는지, 누가 소유하고 있는지, 어떤 데이터와 자격증명에 접근할 수 있는지 파악하고, 다른 모든 인터넷 노출 자산과 동일한 취약점 관리 및 해결 절차 아래 두어야 합니다. 위험한 것은 실험 그 자체가 아니라, 그 실험이 눈에 보이지 않는 인프라가 되어버리는 것입니다."
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
