MS 보안 보고서 "취약점 발견 뒤 무기화까지 24시간 미만"…피싱 침투 비중 7%→23%

마이크로소프트(MS)가 1일(현지시간) 연례 '디지털 방어 보고서 2026'을 공개하고, 인공지능(AI)이 공격과 방어 양쪽에서 속도를 높이며 보안 대응 주기를 '며칠에서 몇 분으로' 압축했다고 진단했다. 보고서는 2025년 7월부터 2026년 6월까지 MS가 관측한 위협 동향을 담았다.

무기화까지 24시간 미만…올해 취약점 7만2000건 전망

보고서에 따르면 실제 공격 환경에서 취약점이 발견된 뒤 공격 도구로 만들어지기까지 걸리는 시간의 중앙값은 24시간을 크게 밑돌았다. MS는 AI 덕분에 취약점 발견과 무기화가 많은 경우 전문가 작업이 아니라 프롬프트 작성 수준으로 쉬워졌다고 설명했다. 올해 공개되는 소프트웨어 취약점(CVE)은 사상 최대인 약 7만2000건에 이를 것으로 내다봤다.

인터넷에 노출된 클라우드 컨테이너는 가동 후 첫 공격 시도까지 걸린 시간의 중앙값이 5.3시간이었고, 침해된 컨테이너의 절반 이상이 가동 24시간 안에 공격당했다. 보고서는 2026년 7월 초 처음 문서화된 자동화 랜섬웨어 갈취 공격(보안업체 시스딕 명명 '제이드퍼퍼')을 완전 자율 공격으로 넘어가는 초기 징후로 꼽았다. 다만 MS가 관측한 AI 주도 침투의 규모는 아직 작다고 덧붙였다.

정부기관 피해 27%로 1위…피싱 침투 세 배로

업종별로는 정부기관·공공서비스가 관측된 위협 활동의 27%를 차지해 가장 많았다. MS는 이 비중이 2025년 17%에서 늘었다고 밝혔다. 정보기술(17%)과 연구·학계(14%)가 뒤를 이었다. 침해사고 대응 사례로 본 초기 침투 경로는 외부 공개 애플리케이션 취약점 악용이 24%(전년 15%)로 가장 많았고, 피싱은 7%에서 23%로 크게 늘었다. 정상 계정을 이용한 침투의 52.2%에서는 침투 뒤 추가 계정 정보 탈취가 이어졌다.

2026년 1~6월 고객 피해가 가장 많이 관측된 나라는 미국(25.5%)이었고 이스라엘(7.6%), 우크라이나(4.8%), 대만(3.9%), 영국(3.8%) 순이었다. 국가 배후 공격과 관련해서는 일부 중국 행위자가 AI 도구로 취약점과 악용 방법을 찾고 있고, 북한 행위자는 악성코드 제작과 공격 인프라 관리에 AI를 접목하고 있다고 분석했다.

MS는 정부에 대한 우선 과제로 더 빠른 위협에 대한 대비, AI 생태계의 보안 내재화, 사고 확산 대비, 민관 양방향 정보 공유, 장애 속에서도 필수 서비스를 운영할 준비를 제시했다. 보고서 수치는 MS 보안 제품과 고객 사고 대응에서 관측한 자료를 바탕으로 한 것으로, 전체 사이버 공격 현황을 그대로 대표하지는 않는다.

대표 이미지: AI 생성 이미지 / 데이마크

출처: Microsoft On the Issues — Preparing governments for an era of interconnected cyber risk — https://blogs.microsoft.com/on-the-issues/2026/10/01/preparing-governments-for-an-era-of-interconnected-cyber-risk/

출처: Microsoft — 2026 Microsoft Digital Defense Report (PDF) — https://cdn-dynmedia-1.microsoft.com/is/content/microsoftcorp/microsoft/msc/documents/presentations/CSR/2026-Microsoft-Digital-Defense-Report.pdf

출처: BleepingComputer — Microsoft says threat actors are ahead in the early AI race — https://www.bleepingcomputer.com/news/security/microsoft-says-threat-actors-are-ahead-in-the-early-ai-race/

출처: Trending Topics — Cyberattacks: These Are the 10 Hardest-Hit Countries — https://www.trendingtopics.eu/microsoft-digital-defense-report-2026-en/