사실 관계: 2단계 인증을 무력화하는 쿠키 재전송 공격

로그인 페이지의 2단계 인증(2FA)을 거치지 않고 유료 계정에 접속하는 세션 쿠키 재전송(Replay) 공격이 확인됐다. 앤스로픽(Anthropic)은 최근 인포스틸러(Infostealer, 정보 탈취형 악성코드)가 사용자의 컴퓨터에서 클로드 로그인 세션 쿠키를 훔쳐 이를 다시 사용하는 방식으로 계정에 침입했다고 밝혔다.

공격에 사용된 도구는 윈도우 기반의 비다르(Vidar), 루마C2(LummaC2), 스틸C(StealC), 레드라인(RedLine), 에크리드(Acreed)와 맥(Mac) 기반의 아토믹 스틸러(Atomic Stealer) 등 총 6종의 악성코드다. 이들은 브라우저에 저장된 로그인 쿠키와 비밀번호를 복제한다. 서버는 재전송된 쿠키를 이미 인증을 마친 사용자로 인식하기 때문에, SSO(Single Sign-On, 통합 인증)나 2FA 같은 보안 관문이 작동하지 않는다.

침투 경로는 다양했다. 일부 사용자는 불법 복제 게임을 통해 감염됐으며, 다른 사례에서는 앤스로픽의 '아티팩트(Artifact)' 기능을 악용한 가짜 다운로드 페이지나 빙(Bing)의 스폰서 광고를 통해 'FakeAgent' 캠페인에 노출됐다. 앤스로픽은 피해 계정의 세션을 강제 종료하고 저장된 결제 수단을 삭제했으며, 부정 사용된 금액을 환불하는 조치를 취했다.

시장 흐름: '섀도우 AI'가 만드는 기업 보안의 사각지대

이번 사건이 단순한 개인 계정 탈취를 넘어 기업 보안 위협으로 연결되는 지점은 '커넥터(Connector)' 기능에 있다. 클로드 개인 유료 계정은 구글 워크스페이스(Google Workspace)와 연결해 지메일(Gmail)이나 드라이브의 데이터를 읽어올 수 있다. 만약 직원이 회사 업무용 계정을 개인 클로드 계정에 연결해 두었다면, 공격자는 탈취한 쿠키만으로 기업 내부 데이터에 접근하는 '읽기 경로'를 확보하게 된다.

문제는 이러한 연결 권한을 개인 계정 소유자가 가지고 있다는 점이다. 기업의 IT 관리자는 회사 차원의 SSO 계정은 제어할 수 있지만, 직원이 개인적으로 가입해 사용하는 '셀프 서브(Self-serve)' 계정의 권한 부여 상태는 알 수 없다. 레이어X(LayerX)의 데이터에 따르면 기업 내 AI 대화의 47%가 개인 신원(Identity)을 통해 이뤄지며, 클로드의 경우 그 비율이 61%에 달한다. 관리되지 않는 '섀도우 AI' 사용이 실제 데이터 유출 경로가 된 셈이다.

이런 흐름은 'LLMjacking(LLM 자격 증명 탈취)'이라는 새로운 공격 트렌드로 이어진다. 크라우드스트라이크(CrowdStrike)는 2022년 말 이후 탈취된 AI 계정 자격 증명이 암시장에서 거래되고 있으며, 이를 통해 AI 리소스를 무단 사용하여 비용을 발생시키는 '비용 수확(Cost harvesting)' 행위가 빈번해지고 있다고 분석했다.

실무자 판단: 장기 토큰에서 짧은 수명의 정체성 기반 인증으로

AI 에이전트와 서비스 연결이 늘어남에 따라, 기기나 서버에 장기간 저장되는 API 키나 광범위한 권한의 토큰을 사용하는 방식은 더 이상 안전하지 않다. 한 번 탈취되면 수동으로 취소하기 전까지 무기한으로 권한이 유지되기 때문이다. 커먼 룸(Common Room)의 사례처럼, 로컬 MCP(Model Context Protocol) 서버에 장기 API 키를 저장하는 방식을 배제하고 인증 범위를 세분화하는 설계가 요구된다.

최근 오크타(Okta)가 8월 24일 공개한 '에이전트 SSO(Agent SSO)'는 이러한 리스크를 해결하려는 시도다. AI 에이전트를 독립적인 정체성(First-class identity)으로 등록하고, 저장된 자격 증명 대신 수명이 짧은 '정체성 기반 토큰'을 발행해 보안 팀이 네이티브하게 제어하도록 만든다.

기업 AI 실무자와 개발자는 다음 세 가지 지점을 점검해야 한다. 첫째, 사내에서 개인 AI 계정을 통해 기업 데이터 커넥터를 연결해 사용하는 사례가 있는지 파악해야 한다. 둘째, 에이전트 구현 시 '장기 생존 토큰'을 평문으로 캐싱하거나 저장하고 있지 않은지 확인해야 한다. 셋째, 읽기 권한은 허용하되 쓰기 권한은 기본적으로 차단하고 승인 절차를 거치는 '권한 분리' 모델을 적용했는지 검토해야 한다.