영국 NCSC “2028년까지 AI 랜섬웨어의 핵심 기반시설 공격 ‘highly likely’”

영국의 사이버보안 기술 당국이자 정보기관 GCHQ 소속인 국가사이버보안센터(NCSC)가 11월 3일 연례 보고서 ‘State of the Cyber Nation’을 발표했다. 보고서는 2025년 9월 1일부터 2026년 8월 31일까지를 다루며, 기관이 설립 10년째를 결산하는 ‘NCSC Annual Review 2026’과 함께 나왔다. 가장 단호한 대목은 2028년에 관한 것이다. NCSC 발표문에 따르면, 그때까지 AI 기반 악성코드가 영국 국가 핵심 기반시설을 겨냥한 랜섬웨어 공격에 쓰일 가능성은 ‘highly likely’, 즉 매우 높다. 이 말은 있는 그대로 읽어야 한다. 확률에 근거한 정보 평가일 뿐, 확실한 예측도 이미 일어난 사실도 아니다. NCSC는 또 향후 2년 안에 적대 세력의 AI 활용이 랜섬웨어, 사회공학, 취약점 악용이라는 세 가지 활동을 더 광범위하고 효율적으로 만들 가능성이 매우 높다고 본다.

AP통신에 따르면 보고서의 요지는 AI가 새로운 공격을 발명한다는 것이 아니다. 오히려 기존 기법을 더 효과적으로 만든다는 것이다. 오랫동안 방치된 약점을 대규모로 찾아내 악용할 수 있게 해 주기 때문이다. 보고서는 NCSC의 리처드 혼 최고경영자가 발표했다. 그는 연설에서 “In the coming months, we face a real prospect of an unprecedented rise in the number of cyber incidents”라고 말했다. 요컨대 앞으로 몇 달 안에 사이버 사고가 전례 없이 늘어날 현실적 가능성이 있다는 뜻이다. 이어 그는 책임을 공격자 너머로 크게 넓히는 한마디를 덧붙였다. “For decades, we have collectively got away with doing tech on the cheap.” 수십 년 동안 우리 모두가 값싸게 기술을 운영하면서도 그럭저럭 넘어왔다는 것이다.

역시 AP에 따르면 보고서는 중국을 영국에 가장 크고 끈질긴 사이버 과제로 꼽았다. 러시아는 무력 충돌의 문턱 아래에서 작전을 벌이고 있고, 이란은 영국을 공격하며 자국이 위협으로 여기는 사람들을 표적으로 삼는다고 적었다. AP는 NCSC를 인용해 악의적 사이버 활동이 영국 조직에 연간 약 200억 달러의 비용을 안긴다고 전했다. 또 영국과 일부 EU 국가가 2025년 12월 폴란드 전력망 공격을 러시아 연방보안국(FSB)의 소행으로 지목했다는 사실도 상기시켰다. 공격이 성공했다면 최대 50만 명이 겨울에 전기 없이 지낼 수도 있었다. 이 수치들은 AP 기사에서 나온 것으로, AP는 이를 NCSC와 각국 정부의 발표로 밝히고 있다. 전반적으로 이 기사는 NCSC 공식 발표문과 AP 기사를 바탕으로 했으며, 보고서 전문은 확인하지 않았다.

대응책으로 NCSC는 재무장관이 전주에 발표한 세 가지 조치를 언급한다. 첫째는 국가 ‘Cyber Shield’ 1단계에 투입될 6,000만 파운드다. 둘째는 핵심 기반시설과 경제 전반의 취약점을 찾아낼 ‘National Exposure and Real-Time Vulnerability(NERV) Centre’에 배정된 7,000만 파운드다. 셋째는 NCSC가 맨체스터에서 운영할 새 ‘AI Cyber Security Centre of Excellence’다. 관련 조치로는 사이버보안·복원력 법안(Cyber Security and Resilience Bill)과 향후 마련될 ‘National Cyber Action Plan’도 거론했다. 댄 자비스 영국 안보장관은 “The NCSC's latest annual report shows cyber threats are growing more sophisticated”라고 논평했다.

한편 AP가 전한 기본 권고는 놀라울 만큼 단순하다. 기기를 최신 상태로 유지하고, 관리자 권한을 제한하고, 중요한 데이터를 백업하라는 것이다.

AI에 이토록 주목한 보고서가 결국 주로 유지·관리 이야기로 귀결된다는 점이 눈에 띈다. 2028년 전망은 어디까지나 추정이다. 반면 세 가지 권고에는 가정이 전혀 없다. 업데이트, 관리자 권한 제한, 백업. 혼의 비유를 빌리자면, 값싼 기술의 청구서를 내미는 것은 AI가 아니다. AI는 그저 납부 기한을 앞당길 수 있을 뿐이다. — Olya