2026-10-13 수정 IBM 보도자료·보고서 페이지 기준으로 공급망 침해 '전년 대비 4배'를 '2020년 이후 약 4배'로 고치고, '신원 탈취 초기 침투 30%'는 2024년판(2023년 사고 기준) 수치로 바로잡았으며, X-Force 지수에 없는 '평균 침해 비용 448만 달러'는 IBM 'Cost of a Data Breach' 보고서의 연도별 값으로 바꿨습니다. 2026년판 보도자료가 맨 먼저 든 공개 애플리케이션 악용 44% 증가를 중심으로 본문을 다시 정리하고, CodeScan 설명을 실제 점검 범위에 맞춘 뒤 참고 자료를 달았습니다.
2026년, 사이버 위협은 어디로 향하는가
IBM은 2026년 2월 25일 'X-Force Threat Intelligence Index 2026'을 발표했습니다. X-Force가 관찰한 사고·취약점·공격 기법을 바탕으로 한 해의 위협 흐름을 정리하는 연례 보고서입니다. 올해 보도자료의 요지는 AI로 빨라진 공격이 기본 보안 공백을 파고든다는 것입니다. 보도자료가 맨 먼저 든 수치는 공개 애플리케이션 악용입니다. 인터넷에 공개된 애플리케이션을 악용해 시작한 공격이 전년 대비 44% 늘었고, IBM은 주된 원인으로 인증 통제 누락과 AI 기반 취약점 탐색을 들었습니다.
핵심 수치
- 공개 애플리케이션 악용: 이 경로로 시작한 공격 전년 대비 44% 증가, 2025년 사고에서 가장 흔한 초기 침투 경로
- 취약점 악용: 2025년 X-Force가 관찰한 사고의 공격 원인 1위, 전체의 40%
- 인증 없이 악용할 수 있는 취약점: 공개된 취약점의 56%
- 랜섬웨어·갈취 그룹: 활동 중인 그룹 전년 대비 49% 증가, 공개된 피해자 수 약 12% 증가
- 대형 공급망·제3자 침해: 2020년 이후 약 4배
- AI 챗봇 계정 정보: 다크웹 판매용으로 올라온 것 30만 건 이상 (주로 인포스틸러 악성코드로 유출)
수치는 IBM 보도자료·보고서 페이지·IBM X-Force 블로그 기준입니다. 평균 침해 비용은 IBM의 별도 보고서인 'Cost of a Data Breach'에 나옵니다(X-Force 지수에는 없습니다). 전 세계 평균은 2024년판 488만 달러, 2025년판 444만 달러(5년 만의 첫 감소), 2026년판 499만 달러(전년 대비 12% 증가, 역대 최고)입니다.
주요 트렌드 분석
1. 가장 흔한 침투 경로는 공개 애플리케이션
2025년 사고에서 가장 흔한 초기 침투 경로는 공개 애플리케이션 악용이었습니다. 공격 원인으로 보면 취약점 악용이 사고의 40%로 1위였고, 공개된 취약점의 56%는 인증 없이 악용할 수 있었습니다. X-Force Red 모의해킹에서도 자격증명 관리와 소프트웨어 설정의 약점이 계속 드러났고, 가장 흔한 진입점은 잘못 설정된 접근 통제였습니다. 보도자료 제목처럼, AI로 빨라진 공격이 파고드는 곳은 인증 누락·설정 오류·패치 누락 같은 기본 보안 공백입니다.
2. AI는 공격 속도를 높인다
IBM은 공격자가 AI로 피싱 규모를 키우고 악성코드 제작을 앞당기며, 조사와 대량 데이터 분석을 빠르게 하고 공격 경로를 실시간으로 고친다고 밝혔습니다. 공개 애플리케이션 악용이 늘어난 원인으로도 AI 기반 취약점 탐색을 꼽았습니다. IBM은 특히 랜섬웨어 생태계에서 진입 장벽이 무너지고 있다고 짚었습니다. 공격자들이 유출된 도구를 재사용하고 AI로 운영을 자동화하면서 작은 그룹이 늘었고, 활동 중인 랜섬웨어·갈취 그룹은 전년 대비 49% 늘었습니다. 2025년에 확인된 갈취 그룹은 109개로 2024년 73개보다 많았습니다.
3. 공급망·제3자 침해: 2020년 이후 약 4배
대형 공급망·제3자 침해는 2020년 이후 약 5년 동안 약 4배가 됐습니다. IBM은 공격자가 신뢰받는 개발자 계정, CI/CD 플랫폼과 SaaS 연동, 하위 신뢰 관계를 악용해 침해를 퍼뜨렸다고 설명했습니다. 소프트웨어를 만들고 배포하는 환경이 표적이 된 것입니다. 외주 개발사·SaaS·오픈소스별 점검 항목은 공급망 보안 체크리스트에 정리했습니다.
4. 자격증명: 1위는 내줬지만 여전히 핵심 수단
탈취한 자격증명으로 정상 계정에 로그인하는 방식은 2024년판(2023년 사고 기준)에서 피싱과 함께 사고의 30%로 공동 1위였고, 2025년판에서도 선호 침투 경로로 꼽혔습니다. 2026년판에서는 공개 애플리케이션 악용이 1위가 됐습니다. 이 보고서를 인용한 Industrial Cyber 보도(2차 출처)는 2025년 초기 침투에서 공개 애플리케이션 악용이 40%, 도난·오용 자격증명이 32%였다고 전했습니다. 그렇다고 자격증명 위험이 줄어든 것은 아닙니다. 북미에서는 자격증명 수집이 가장 흔한 피해 유형이었습니다. AI 챗봇 계정 정보 30만 건 이상이 다크웹에 판매용으로 올라왔고(Industrial Cyber 보도에 따르면 게시된 정보 가운데 여전히 유효한 것은 없었지만, 인포스틸러 감염이나 과거 유출 자료와의 연관성이 일관되게 관찰됐습니다), IBM은 AI 서비스도 다른 기업용 SaaS와 같은 수준의 자격증명 위험을 안게 됐다고 봤습니다.
기업 보안팀을 위한 시사점
IBM X-Force가 보고서와 함께 낸 권고를 기준으로 정리하면 다음과 같습니다.
- 사전 대응형 보안으로 전환: 사후 대응에 머물지 말고 AI를 활용한 탐지·대응으로 핵심 자산과 공급망 의존 관계를 먼저 보호합니다.
- 사람·비인간 신원 모니터링: 직원 계정뿐 아니라 서비스 계정 같은 기계 신원까지 중앙에서 관리하고, 위험 기반 접근 통제를 계속 적용합니다.
- 취약점 테스트와 헌팅: 안전하지 않은 코드, 약한 자격증명, 잘못된 설정, 누락된 패치를 계속 찾고 모의해킹을 자주 합니다.
- AI 플랫폼 보안: 사내에서 쓰는 AI 서비스에도 강한 인증을 적용하고, 비정상 접근과 자격증명 노출을 감시합니다.
- 외부 노출 자산 파악: 외부에 드러난 자산을 파악하고, 유출된 자격증명과 의심 도메인처럼 공격자가 보는 신호를 추적합니다.
바로 확인할 항목은 다음과 같습니다.
- ☐ 인터넷에 공개된 웹·API 목록을 정리하고, 로그인 없이 열리는 관리 기능이나 API가 없는지 확인
- ☐ 인증 없이 악용할 수 있는 취약점부터 패치 우선순위 지정
- ☐ 개발·배포에 쓰는 계정과 토큰(저장소, CI/CD, 클라우드 키)의 권한과 유효기간 점검
- ☐ 업무에 쓰는 AI 서비스 계정에 다중 인증 적용
공개된 웹서비스부터 점검하세요
CodeScan 무료 스캔은 입력한 URL에서 외부에 노출된 항목(웹 응답·인증서·보안 헤더·공개 정보 노출 등)을 점검합니다. 밖에서 보이는 설정과 노출만 확인하므로, 인증 통제가 빠진 기능이나 로그인 이후 권한 우회가 실제로 악용되는지는 SENTRIX 모의해킹·취약점 진단에서 범위를 정해 점검할 수 있습니다.
참고 자료
- IBM, IBM 2026 X-Force Threat Index: AI-Driven Attacks are Escalating as Basic Security Gaps Leave Enterprises Exposed(2026-02-25)
- IBM, X-Force Threat Intelligence Index 2026(2026-02-25)
- IBM, 2026 X-Force Threat Intelligence Index: Making the case for securing identities, AI-enhanced detection and proactive risk management(2026-02-25)
- IBM, 2025 IBM X-Force Threat Index: Large-Scale Credential Theft Escalates, Threat Actors Pivot to Stealthier Tactics(2025-04-17)
- IBM, X-Force Threat Intelligence Index 2024 reveals stolen credentials as top risk, with AI attacks on the horizon(2024-02-21)
- IBM, Cost of a Data Breach Report 2026(2026년 7월)
- IBM, IBM Report: 13% Of Organizations Reported Breaches Of AI Models Or Applications, 97% Of Which Reported Lacking Proper AI Access Controls(2025-07-30)
- IBM, IBM Report: Escalating Data Breach Disruption Pushes Costs to New Highs(2024-07-30)
- Industrial Cyber, IBM X-Force reports 44% surge in exploitation of public-facing applications as supply chain and identity attacks intensify(2026-03-02, 2차 보도)