카스퍼스키, 6개월간 해킹 툴 사용 시도 217만 건 탐지

[테크수다 기자 도안구 eyeball@techsuda.com] 카스퍼스키(Kaspersky)가 2026년 4월부터 9월까지 6개월간 기업 네트워크 내부 이동에 악용되는 해킹 툴 사용 시도 217만 1513건을 탐지했다고 밝혔다. 자사 네트워크 탐지·대응(NDR) 솔루션 카타(KATA) 탐지 알림을 분석한 결과다. 코발트 스트라이크(Cobalt Strike)·넷엑섹(NetExec)·에스큐엘맵(SQLMap) 등 정상적인 보안 점검·시스템 관리용으로 개발된 툴이 공격에 악용되는 양상이 드러났다.

주요 내용:

• 카스퍼스키가 2026년 4월부터 9월까지 6개월간 해킹 툴 사용 시도 217만 1513건을 탐지했다고 밝혔다
• 코발트 스트라이크 13만 6084건·넷엑섹 12만 9560건·에스큐엘맵 10만 7697건 순으로 많이 확인됐다
• 탐지된 사용 시도 중 일부는 정상적인 보안 점검 과정에서 발생했을 가능성이 있다

최근 공격자들은 탐지가 쉬운 악성코드 사용을 피하고 기업 네트워크 정상 트래픽에 섞여 활동하는 경향을 보인다. 이를 위해 시스템에 이미 설치된 이중 용도 툴·관리 유틸리티를 악용한다. 이런 해킹 툴은 원래 네트워크 보안 점검이나 시스템 관리 등 정당한 목적으로 개발됐지만, 공격자는 이를 악용해 네트워크 내부에서 탐지를 피하며 이동하고 계정 인증 정보를 수집하거나 가치가 높은 시스템과 자산을 찾아낼 수 있다. 카스퍼스키의 이번 분석은 기업 네트워크 내부 이동에 악용되는 대표적인 해킹 툴의 사용 양상을 보여준다. 다만 탐지된 사용 시도 중 일부는 정상적인 보안 점검 과정에서 발생했을 가능성이 있다.

카스퍼스키는 2026년 4월부터 9월까지 탐지된 해킹 툴 사용 시도 가운데 세 가지 툴이 가장 많이 확인됐다고 밝혔다. 코발트 스트라이크는 보안 평가를 위해 설계된 툴이지만 공격자들은 침해 이후 활동·네트워크 내부 이동 등 공격 여러 단계에서 이를 악용한다. 넷엑섹은 자동화된 네트워크 보안 평가·보안이 취약한 네트워크 서비스 탐색에 쓰인다. 공격자들은 이를 정찰·시스템 접근에 악용할 수 있다. 에스큐엘맵은 SQL 인젝션 취약점을 자동으로 탐지하고 악용하는 툴이다. 공격자는 이를 이용해 웹 애플리케이션을 경유해 데이터베이스에 무단 접근할 수 있다.

카타(Kaspersky Anti Targeted Attack)는 고도화된 표적 공격을 탐지하고 대응하는 네트워크 탐지·대응 솔루션이다. 카스퍼스키는 10년간 축적한 기술·연구 역량을 바탕으로 카타를 발전시켜 왔고, 이 솔루션은 고도화된 위협 탐지·심층적인 네트워크 트래픽 분석·중앙 집중식 사고 대응·네트워크 전반에 대한 가시성을 제공한다. 현재 약 1만2,500개 네트워크 탐지 규칙을 활용하고 있으며 하루 평균 312,705건 잠재적 공격을 탐지하고 있다.

아렌 토로시안(Aren Torosyan) 카스퍼스키 제품 매니저는 "고도화된 해킹 툴은 엔드포인트 보안 방어를 우회할 수 있다"며 "네트워크 탐지·대응은 눈에 띄지 않는 이상 징후를 포착하고 고도화된 공격을 무력화하는 데 중요한 역할을 한다"고 말했다. 이효은 카스퍼스키 한국지사장은 은밀한 네트워크 내부 이동 공격이 한국 기업과 공공기관에 점점 더 큰 위험이 되고 있다고 지적했다.

카스퍼스키 해킹 툴 탐지, 이런 점이 궁금했나요?

Q. 217만 건은 모두 공격인가?
A. 아니다. 탐지된 사용 시도 중 일부는 정상적인 보안 점검 과정에서 발생했을 가능성이 있다. 통계는 카스퍼스키 시큐리티 네트워크(KSN)에 통계 데이터 제공을 동의한 사용자들의 카스퍼스키 제품 탐지 알림을 바탕으로 집계했다.

Q. 가장 많이 악용된 툴은 무엇인가?
A. 코발트 스트라이크 136,084건·넷엑섹 129,560건·에스큐엘맵 107,697건 순이다. 세 툴 모두 원래 보안 평가·시스템 관리 등 정당한 목적으로 개발됐다.

Q. 카타(KATA)는 무엇인가?
A. 고도화된 표적 공격을 탐지하고 대응하는 카스퍼스키의 네트워크 탐지·대응(NDR) 솔루션이다. 2026년 출시 10주년을 맞았고, 약 1만2,500개 네트워크 탐지 규칙을 활용하며 하루 평균 312,705건 잠재적 공격을 탐지한다.

[테크수다 기자 도안구 eyeball@techsuda.com]