中 연계 해커, AI로 대규모 공급망 공격

테크 · 2026-10-23 · Tom's Hardware

중국 정부와 연계된 것으로 추정되는 해커 그룹 스톰-0940이 오픈소스 AI 에이전트 프레임워크 '아텍스(ARTEX)'를 활용해 대규모 커넥트와이즈 공급망 공격을 감행했다고 마이크로소프트가 밝혔다. 2,250개가 넘는 MS365 테넌트에 로그인을 시도했으며, 일부는 최고 관리자 권한까지 탈취했다.

마이크로소프트(MS)가 중국 정부와 연계된 것으로 추정되는 해커 그룹 '스톰-0940'이 오픈소스 AI 에이전트 기반 침투 테스트 프레임워크 '아텍스(ARTEX)'를 활용해 대규모 커넥트와이즈(ConnectWise) 공급망 공격을 벌였다고 밝혔다. MS 보안 블로그에 따르면 이 그룹은 멀티테넌트 애플리케이션에 무단 접근한 뒤 탈취한 앱 자격증명으로 로그인을 시도했다. 아텍스는 LLM(대형언어모델) 기반 에이전트가 자율적으로 침투 테스트를 수행하는 체계로, 사람의 개입을 최소화한 채 24시간 작동한다.

공격 규모는 컸다. 2,250개가 넘는 MS365 테넌트에 로그인을 시도했고, 8개 조직의 327개 계정을 겨냥한 자동 비밀번호 추측(패스워드 스프레이) 공격에서는 15만1,000건이 넘는 로그인 실패가 발생했다. 지난 10월 11일 정점에서는 분당 2,900건의 시도가 이뤄졌다. 일부 테넌트에서는 앱이 스스로 최고 관리자 역할을 부여하는 등 권한 탈취 정황도 확인됐다.

공격 대상 산업은 항공우주·방산, 반도체, 정부, 싱크탱크 등 14개 분야에 걸쳤다. 여러 지역의 위협 행위자들이 이 기술을 쓰는 가운데, 이달 공개된 보고에서는 국내 금융기관 침해 사건과의 연관성도 제기됐다. 커넥트와이즈는 클라우드 백업 등 일부 서비스를 예방적으로 중단하고 단계적 복구에 들어갔다. MS는 성공적인 로그인이 곧 데이터 유출을 뜻하지는 않는다며, 복구 지침이 나올 때까지 영향받은 앱 연결을 비활성화할 것을 권고했다.