2025년 제47회 사이버헬퍼 보안 리포트 AI-Led Cross-Identity Correlation Attack (CICA)

 

 

서론
2025년의 공격 흐름을 결정적으로 변화시키는 기술이 등장했다.
바로 CICA(Cross-Identity Correlation Attack).

CICA는 서로 별개로 보이는
이메일 계정 · SNS 계정 · 업무용 계정 · 클라우드 계정 · 금융 계정을
AI가 “하나의 동일 인물”로 연결시키는 공격이다.

즉, 공격자는
한 서비스의 작은 정보만 확보해도
AI가 자동으로 그 사람의 전체 디지털 정체성(Digital Identity Graph) 을 재구성하고
다른 서비스까지 연쇄적으로 침투할 수 있다.

이 공격은
기존의 계정탈취(Account Takeover)보다 훨씬 위험하며
MFA·IP 제한·Zero Trust·행동 탐지까지 우회하는 완전한 차세대 공격 모델이다.

1. CICA가 탄생한 배경

1. 모든 서비스가 계정을 “조각 형태”로 관리한다
   예:

• 회사는 기업 이메일, ERP, Slack

• 사용자는 Gmail, Naver 메일, 카카오계정

• 개발자는 GitHub, AWS IAM

• 금융은 앱 인증, 계좌 인증

문제는
각 계정은 별개로 보이지만
사용자는 동일한 사람이라는 점.

AI는 이 “조각난 정체성”을 하나로 묶어버린다.

1. 공개된 정보만으로도 상관관계가 쉽게 생성된다
   다음은 전부 공개·반공개 정보다.

• GitHub 커밋 시간

• 인스타 업로드 시간

• 회사 이메일 자동 응답 상태

• LinkedIn 역할 변경

• 카카오톡 오픈프로필

• 도메인 WHOIS 기록

• Gmail 회신 패턴

AI는 이런 기록을 이용해
“같은 사람이 관리하는 계정 세트”를 찾아낸다.

1. 계정의 행동 패턴은 사용자별로 고유하다
   예:

• 새벽에 로그인하는 시간

• 파일 정렬 습관

• 메일 답변 속도

• 인증 앱 선택(네이버, 구글, 토스 등)

AI는 패턴만 보고도
같은 사람인지 매우 높은 확률로 식별한다.

1. CICA 공격 구조 (6단계)

Step 1. Identity Fragment Collection
AI는 먼저 “한 사람의 정보 조각”을 수집한다.

예:

• 이메일 주소 일부

• SNS ID 일부

• 회사 도메인

• 문체 특징

• 시간대 패턴

이 조각들은 미약한 연결이지만
AI는 이를 결합해 초기 Identity Graph를 만든다.

Step 2. Behavioral Correlation Modeling
AI는 다음 데이터를 상관 분석한다.

• 로그인 시간대

• 클릭 패턴

• 문서 작성 속도

• 언어 스타일

• 관용구/맞춤법 습관

• 팀 내 역할 기반 행동

사람은 패턴을 숨길 수 없기 때문에
AI는 80% 이상의 정확도로 동일 인물 여부를 판정한다.

Step 3. Service-to-Service Identity Linking
AI는 계정 간 연관성을 확장한다.

예:
Gmail → GitHub 이메일 동일
GitHub → 회사 Slack 연동 발견
Slack → SSO → Microsoft 계정 발견

이렇게 퍼즐처럼 연결되면
하나의 거대한 Identity Graph가 완성된다.

Step 4. Weak Account Exploitation
AI는 Graph에서 가장 취약한 계정을 선택한다.

예:

• 재사용 비번

• MFA 없는 계정

• 오래된 OAuth Token

• 사용하지 않는 계정

• 협력사 게스트 계정

약한 링크 하나만 점령해도
전체 그래프가 흔들린다.

Step 5. Identity Pivot Attack
AI는 탈취한 계정을 기반으로
다른 서비스로 이동(Pivoting)한다.

예:
Gmail 탈취 → GitHub 비번 재설정
GitHub 탈취 → CI/CD 접근
CI/CD 접근 → 회사 인프라 침투

이동 과정은 모두 정상 사용자 활동처럼 보인다.

Step 6. Full Identity Simulation
마지막 단계에서 AI는 “그 사람 자체”를 생성한다.

• 동일 문체

• 동일 시간대 로그인

• 동일 파일 접근 순서

• 동일 메신저 응답 스타일

이제 기업은
“이건 진짜 사용자 활동인가?”를 구분할 수 없게 된다.

1. 실제 위협 시나리오

사례 A — 개발자 전체 인프라 장악
GitHub 이메일과 회사 계정 이메일이 동일하다는 점을 AI가 발견.
→ GitHub MFA 없는 계정 하나 탈취
→ PR 승인 권한 확보
→ CI/CD 배포 파이프라인을 장악
→ 회사 전체 인프라까지 침투

사례 B — 임원 계정 전체 점령
LinkedIn 프로필 업데이트 시간과
마이크로소프트 계정 로그인 시간대가 동일.
AI가 동일 인물이라 판단해 공격 벡터 생성.

사례 C — SaaS 기반 기업 정보 유출
Notion 계정과 Slack 계정의 이메일 패턴이 일치.
AI가 연관성 계산 → OAuth Token 탈취 → 사내 문서 전체 유출.

사례 D — 금융 사기 공격
카카오계정, Gmail, 은행 인증 앱의 행동 패턴을
AI가 동일 사용자로 식별.
하나만 뚫어도 나머지를 연쇄적으로 탈취.

1. 기존 방어 체계가 실패하는 이유

1. 기업은 "내 시스템만" 보호한다
   AI는 “전체 사용자 생태계”를 공격한다.

2. Cross-Identity 공격은 로그가 분산됨
   기업 로그, 개인 계정 로그, SNS 로그가 연결되지 않는다.

3. 행동 패턴 기반 탐지는 오히려 약점
   AI가 행동을 그대로 복제하기 때문.

4. MFA도 무력화됨
   “비밀번호 재설정” 과정 중 취약한 계정 하나만 뚫으면
   전체 계정망이 붕괴한다.

5. 계정 간 상관관계를 파악하는 솔루션은 존재하지 않는다
   이 영역은 사실상 완전한 보안 공백이다.

1. 대응 전략 (전문가용)

1. Cross-Identity Risk Graph 구축
   기업 내부 계정과 외부 계정을
   위험도 기반으로 연결해
   “약한 링크”를 사전에 제거.

2. Identity Drift Analysis
   동일 계정이라도 행동 패턴의
   미세한 변화를 추적.

3. OAuth Token Correlation Monitoring
   여러 SaaS Token 간 동시 이상 활동 탐지.

4. Personal–Enterprise Account Separation Enforcement
   개인 이메일 기반의 업무 시스템 접근을 전면 차단.

5. Single Weak Account Lockdown
   한 계정에서 위험 이벤트가 발생하면
   해당 Identity Graph 전체를 격리.

결론
CICA는 계정을 해킹하는 것이 아니라
“사람 자체를 해킹하는 공격”이다.

이제 공격자는
비밀번호를 부수지 않는다.
그 사람의 모든 계정을 연결하여
정체성 전체를 takeover한다.

사이버헬퍼는
Cross-Identity 분석 모델 및
Identity Graph 기반 위협 탐지 엔진을 연구 중이며
기업 계정 생태계 전체의 위험도를 평가·차단하는
다음 세대 정체성 보호 체계 개발에 집중하고 있다.