Executive Summary

2025년 사이버 공격은 더 이상 “한 번 침투 후 랜섬웨어 실행” 수준이 아니다.
AI의 도입으로 공격자들은 다중 벡터를 동시에, 상호 보완적으로, 자동화된 시퀀스로 결합하는
Composite Attack(합성 공격 프레임) 을 활용하고 있다.

Composite Attack은 다음과 같은 특징을 가진다:

1. 여러 공격 단계를 하나의 공격 그래프로 연결

2. 각 단계가 이전 단계 결과를 기반으로 실시간 최적화

3. 공격기법이 서로를 보호하거나 강화하는 구조

4. AI가 공격 성공률을 계산해 최적 흐름을 자동 선택

이 방식은 기존 보안 시스템이 단일 벡터만 탐지하도록 설계된 약점을 치명적으로 이용한다.

---

1. Composite Attack이 등장하게 된 배경

1) 단일 벡터 기반 방어 모델의 한계

기존 방어는 “피싱 → 차단”, “악성 파일 → 차단”처럼
단일 이벤트 기반 대응 구조.
Composite Attack은 이벤트 연결 구조라 탐지가 어려움.

2) AI가 공격 의사 결정을 직접 수행

공격자는 목표만 지정하면 AI가 자동으로:

• 취약점 분석

• 권한 상승 경로 선택

• lateral movement 최적화

• 데이터 유출 방식 선택

• 흔적 삭제 및 암호화 순서 결정

까지 수행한다.

3) 공급망·클라우드·IoT 확산으로 공격 표면 증가

AI가 이 넓은 공격 표면을 빠르게 매핑하여
동시에 여러 벡터를 투입하는 구조가 가능해짐.

---

2. Composite Attack 구조 (Attack Graph 기반)

Composite Attack은 Attack Graph 로 표현된다.
각 노드는 공격 벡터, 간선은 AI가 선택한 다음 단계다.

대표 구성 요소:

① Social Engineering Layer

• AI 자동 생성 피싱

• 음성 합성 기반 vishing

• Deepfake 화상 호출 공격

② Identity Subversion Layer

• MFA 피로도 공격

• Synthetic Session Injection

• Token Replay via AI-crafted Credentials

③ Initial Access Layer

• Zero-day / N-day exploit

• VPN Credential Stuffing

• WebShell Auto Deployment

④ Lateral Movement Layer

• AD Mapping

• Kerberoasting

• Credential Graph Mining

⑤ Persistence Layer

• Covert Service Injection

• Cloud IAM Shadow Role 생성

⑥ Exfiltration & Ransom Layer

• Hybrid exfiltration

• Data leakage disguised as normal traffic

• Ransomware deployment & backup wipe

이 전체가 “하나의 공격 세트”가 아니라
하나의 통합 공격 로직으로 작동한다.

---

3. 실제 Composite Attack 시나리오 (2024–2025)

사례 A — 금융사 대상 Composite Attack

1. AI가 Deepfake로 고객센터 상담원 속임

2. 계정 소유자 정보 확보

3. 공격자가 아닌 AI가 AD 구조 자동 스캔

4. 백업 서버 경로 자동 식별

5. 데이터 유출 후 최종 랜섬웨어 실행

→ 탐지 시점엔 이미 유출 + 암호화 + 백업 파괴 끝.

---

사례 B — 클라우드 조직 공격

1. employee phishing →

2. access token 탈취 →

3. cloud IAM privilege escalation →

4. S3 exfiltration →

5. ransomware on compute instance

이 전체가 AI가 자동 생성한 공격 그래프로 진행됨.

---

사례 C — 중견 제조사의 IoT 컴포넌트 침해

1. OT 장비 패스워드 추측

2. PLC 제어 신호 변조

3. 내부망 pivot

4. ERP 서버 암호화

5. extortion-only 모델로 협박

Composite Attack은 IT와 OT 경계를 무너뜨리며
생산 중단 비용을 기반으로 협상 금액 자동 설정함.

---

4. Composite Attack의 위험성

1) 탐지 난이도 극대화

단일 벡터만 탐지하는 보안 솔루션은
공격 그래프 전체를 식별할 수 없음.

2) 속도

AI 기반 Composite Attack의 평균 공격 완료 시간:

3~40분

기존 공격에 비해 10배 이상 빠르다.

3) 피해 규모 증가

여러 벡터가 연속 적용되어
데이터 유출 + 계정 탈취 + 암호화 + 공정 중단 등의
복합 피해가 한 번에 발생.

4) 복구 비용 폭증

공격자가 백업 경로까지 자동 파괴함.

---

5. MITRE ATT&CK 매핑 분석

Composite Attack에서 자주 등장하는 매핑:

• T1566: Phishing

• T1556: Modify Authentication Process

• T1078: Valid Accounts Abuse

• T1550: Token Impersonation

• T1021: Remote Services

• T1003: Credential Dumping

• T1486: Data Encryption for Impact

• T1041: Exfiltration Over Command Channel

이 Sequence 선택도 AI가 자동으로 수행한다.

---

6. 대응 전략 (전문가용)

1) Attack Graph 기반 탐지 모델 도입 (AGD)

단일 이벤트가 아닌 연결된 이벤트 연쇄를 분석해야 한다.

2) Identity Threat Detection & Response (ITDR)

Composite Attack의 핵심이 “신원 전복”이므로
인증·세션·토큰 기반 탐지 체계 강화 필수.

3) Multi-Vector Correlation Engine 구축

이메일·VPN·EDR·IAM·클라우드 로그를 통합해
AI로 상관 분석해야 한다.

4) Autonomous Response 체계 도입

공격 속도가 너무 빨라
사람이 분석하기 전에 대응 AI가 선제적으로 차단해야 한다.

예:

• 토큰 무효화

• 세션 킬

• 권한 강등

• 네트워크 세그먼트 자동 격리

5) Composite Simulation 훈련

공격자가 AI를 쓰는 만큼
기업도 공격 그래프 기반 훈련을 해야 한다.

---

결론 및 전망

Composite Attack은
2025년 이후 거의 모든 공격의 기본 구조가 될 것이다.
단일 벡터 탐지 방식의 방어 체계는
사실상 시대에 뒤처진 것으로 평가된다.

기업은 다음을 준비해야 한다:

• 공격 그래프 기반 탐지

• 통합 Identity 방어

• 클라우드·온프레미스 통합 로그 분석

• 선제적·자동화된 대응 체계 구축

사이버헬퍼는
Composite Attack Defense Framework(CADF)를 기반으로
차세대 공격 패턴을 선제적으로 분석하고
AI 기반 통합 방어 체계를 제공할 것이다.