GMO Flatt Security, AI 모의 해킹 서비스 시작

GMO Flatt Security는 10월 21일 AI 기반 모의 해킹 서비스 ‘부정 접속 불시 테스트 byGMO’를 시작합니다. 12월 31일까지 신청하면 요금은 세금 별도 98만 엔으로 동일합니다. GMO 인터넷 그룹에서 사이버 보안 사업을 하는 이 회사는 공격자와 같은 입장에서 회사 전체에 부정 접속이 가능한지 검증합니다.

서비스는 인터넷에 공개된 자산을 찾아 이용자가 파악하지 못한 자산까지 검사합니다. AI가 여러 공격 기법으로 침입을 시도해 위험을 다각도로 정밀하게 검증할 수 있다고 회사는 설명합니다. 일반적인 취약점 진단처럼 앱 하나만 조사하거나 사전 시나리오에 따라 테스트하는 대신, 회사 전체를 대상으로 삼습니다.

기사에 따르면 일본에서는 10월 들어 부정 접속 사건이 급증했습니다. 알려진 취약점이나 설정 오류를 노리는 공격 외에도, 공개된 스마트폰 앱을 분석해 API 정보를 알아낸 뒤 부정 조작을 하는 사례와 BI 도구, 직원용 관리 시스템 등 사내 시스템 침해 사례가 보고됐습니다.

테스트에서는 회사의 보안 엔지니어가 AI 에이전트들을 지휘합니다. 이들은 개인정보나 기업 보유 정보 탈취, 시스템 장악을 목표로 외부에서 사전 지식 없이 공격을 시도합니다. 이용자가 준비할 것은 반드시 대상에 포함할 도메인 목록입니다. 회사는 해당 도메인을 출발점으로 ASM(인터넷 공개 자산을 파악하는 관리 기법)을 이용해 자산을 찾아내고, 이용자가 승인한 모든 자산을 검사 대상으로 삼습니다. 테스트는 30일 이내 기간 중 불시에 진행되며, 네트워크 계층부터 애플리케이션 계층까지 알려진 소프트웨어 취약점의 악용과 새로운 취약점의 발견·악용을 시도합니다.

심각한 부정 접속이 가능한 상태를 발견하면 테스트 기간이 끝나기 전에 긴급 통보합니다. 긴급 통보와 최종 보고서에는 발견한 자산, 침입 및 정보 획득 목표의 달성 여부, 최초 침입부터 목표 달성까지의 킬 체인(공격 단계의 연쇄), 공격 경로를 나타낸 시스템 구성도, 실제로 확보한 정보가 담깁니다.

GMO Flatt Security는 10월 21일 AI 기반 모의 해킹 서비스 ‘부정 접속 불시 테스트 byGMO’를 시작합니다. 12월 31일까지 신청하면 요금은 세금 별도 98만 엔으로 동일합니다. GMO 인터넷 그룹에서 사이버 보안 사업을 하는 이 회사는 공격자와 같은 입장에서 회사 전체에 부정 접속이 가능한지 검증합니다.

서비스는 인터넷에 공개된 자산을 찾아 이용자가 파악하지 못한 자산까지 검사합니다. AI가 여러 공격 기법으로 침입을 시도해 위험을 다각도로 정밀하게 검증할 수 있다고 회사는 설명합니다. 일반적인 취약점 진단처럼 앱 하나만 조사하거나 사전 시나리오에 따라 테스트하는 대신, 회사 전체를 대상으로 삼습니다.

기사에 따르면 일본에서는 10월 들어 부정 접속 사건이 급증했습니다. 알려진 취약점이나 설정 오류를 노리는 공격 외에도, 공개된 스마트폰 앱을 분석해 API 정보를 알아낸 뒤 부정 조작을 하는 사례와 BI 도구, 직원용 관리 시스템 등 사내 시스템 침해 사례가 보고됐습니다.

테스트에서는 회사의 보안 엔지니어가 AI 에이전트들을 지휘합니다. 이들은 개인정보나 기업 보유 정보 탈취, 시스템 장악을 목표로 외부에서 사전 지식 없이 공격을 시도합니다. 이용자가 준비할 것은 반드시 대상에 포함할 도메인 목록입니다. 회사는 해당 도메인을 출발점으로 ASM(인터넷 공개 자산을 파악하는 관리 기법)을 이용해 자산을 찾아내고, 이용자가 승인한 모든 자산을 검사 대상으로 삼습니다. 테스트는 30일 이내 기간 중 불시에 진행되며, 네트워크 계층부터 애플리케이션 계층까지 알려진 소프트웨어 취약점의 악용과 새로운 취약점의 발견·악용을 시도합니다.

심각한 부정 접속이 가능한 상태를 발견하면 테스트 기간이 끝나기 전에 긴급 통보합니다. 긴급 통보와 최종 보고서에는 발견한 자산, 침입 및 정보 획득 목표의 달성 여부, 최초 침입부터 목표 달성까지의 킬 체인(공격 단계의 연쇄), 공격 경로를 나타낸 시스템 구성도, 실제로 확보한 정보가 담깁니다.