2026년 상반기 사이버 침해사고 접수, 전년 동기 대비 19.5% 증가

1. 개요

2026년 상반기에는 한국인터넷진흥원에 1,236건의 침해사고가 신고·접수되어 2025년 상반기보다 19.5% 증가했고, 신고·접수가 가장 많았던 2025년 하반기보다는 8.4% 감소했다. 국내 민간 전문가들은 이와 같은 침해사고 신고 추세에 대해 작년 통신 3사 침해사고를 계기로 침해사고 신고에 대한 기업 인식 개선이 25년 하반기 침해사고 신고에 반영되어 가장 높은 침해사고 신고 건수를 기록했을 것이라는 의견을 제시했다.

침해사고 유형별로는 분산 서비스 거부 공격(DDoS, Distribute Denial of Service)과 몸값 요구 악성 프로그램(랜섬웨어) 감염 신고가 큰 증가세를 보였다. ①서버 해킹은 조사 대상 전체 기간 중 가장 큰 비중을 차지하고 있으며, 신고 건수는 2025년 상반기 531건에서 2026년 상반기 487건으로 8.3% 감소했다. 반면, ②분산 서비스 거부 공격(DDoS)은 2025년 상반기에 238건에서 2026년 상반기 373건으로 56.7% 큰 증가세를 보여주고 있다. ③ 몸값 요구 악성 프로그램(랜섬웨어) 신고는 145건으로 악성코드 감염 신고 201건의 72.1%를 차지했다. 이는 2025년 상반기 82건보다 63건(76.8%) 증가를 나타낸다.

2. 2026년 상반기 사이버 위협 동향

과기정통부는 국내 및 국제 정보보안 전문기업 15개 사 전문가들과 함께 올해 상반기 사이버 침해사고 중 핵심 유형 5가지를 도출하였다. 이를 유형별로 분류하여 사고원인 분석, 기술적 특징 및 기업 정보 보호 관리체계에 반영해야 할 사항들을 제시함으로써 국내 기업들이 자율적으로 자체 정보 보호 역량을 강화할 수 있도록 지원하였다.

① 생성형 인공지능 확산에 따른 보안 위협

인공지능은 취약점 탐지, 악성코드 분석, 코드 검토, 보안 이벤트 요약 등 방어 업무의 생산성을 높이고 있다. 그러나 공격자들이 인공지능을 활용하면, 공격 대상의 취약점 탐색, 패치 전후 코드 비교, 공격 코드 초안 작성, 정찰 결과 정리, 반복 실험이 빨라질 수 있다. 모든 공격이 완전히 자동화되는 것은 아니더라도, 공격 준비에 드는 시간과 비용이 줄어들면 기존보다 더 많은 대상을 짧은 시간에 분석할 수 있다.

특히, AI 에이전트는 이메일, 코드 저장소, 인터넷 기반 정보 통신 자원 클라우드 서비스, 플랫폼 등 외부 시스템과 연결돼 자율적으로 업무를 수행하면 공격 표면을 크게 넓힐 수 있다. 특히, 악성 지시문 주입(Prompt Injection), 권한 오남용, 민감정보 유출, 악성 도구 호출, 잘못된 자동 실행이 발생할 수 있다.

② 오픈소스 생태계를 노린 개발자 계정 탈취와 소프트웨어 공급망 공격의 고도화

공격자들은 정보 탈취형 악성코드(Infostealer)를 개발자 단말과 클라우드 개발 환경에 무단으로 설치하고, 소프트웨어 소스 코드 개발 관리(GitHub), 자바스크립트 개발 관리(npm) 및 파이썬 개발 관리(PyPI) 환경의 계정 비밀번호, 개인 접근 토큰(PAT, Personal Access Token), 인터넷 기반 정보 통신 자원 통합·공유(클라우드) 접근 키를 주요 표적으로 삼고 있다. 탈취된 계정정보, 토큰 및 접속키 등 자격증명은 정상 프로젝트의 유지관리 권한을 악용하거나, 지속적 통합·지속적 배포(CI/CD, Continuous Integration/Continuous Delivery) 파이프라인을 통해 악성 패키지를 배포하거나 기업 정보를 탈취하는데 직접 사용되고 있다.

공급망 공격은 개발자 한 명의 피해로 끝나지 않는다. 정상 패키지를 신뢰한 다수 기업과 기관의 구축 서버(빌드 서버), 개발자 단말, 운영환경으로 악성코드가 연쇄 확산될 수 있다. 특히, 자동화 계정과 빌드 파이프라인은 사람의 확인 없이 광범위한 배포를 수행하기 때문에 하나의 토큰 노출이 수백 개 저장소와 서비스의 침해 및 정보 유출로 이어질 수 있다.

③ 핵티비스트의 국내 대상 분산 서비스 거부 공격(DDoS) 증가와 서비스 가용성 위협

국제 해킹 행동가(핵티비스트, Hacktivist) 그룹이 국내 공공기관과 민간기업을 공격 대상으로 지목하면서 분산 서비스 거부 공격(DDoS, Distributed Denial of Service)에 대한 경계가 높아졌다. RipperSec 해킹조직은 텔레그램 채널 등을 통해 우리나라 기업 등을 공격 대상으로 언급하고 국내 기관에 대한 공격을 예고하거나 공격을 실제 수행했다고 주장한 사례를 소개하기도 하였다.

이들 공격의 주된 목적은 기밀정보 탈취보다 대외 서비스의 가용성을 떨어뜨려 사회적 혼란을 유발하고, 조직의 존재감을 과시하는 데 있다. 공격 성공 여부와 장애 화면을 사회관계망서비스(SNS)와 메신저에 게시해 대상 기관의 심리적 부담과 대외적 혼란을 키우는 것을 목적으로 한다.

기업들은 평상시에 인터넷 서비스 제공 사업자(ISP), 클라우드 서비스 제공 사업자(CSP, Cloud Service Provider) 및 한국인터넷진흥원 등과 비상 대응 절차를 협의하고, 대응할 수 있는 체제를 갖추어야 한다.

④ 랜섬웨어 공격의 지속적인 고도화와 데이터 유출을 결합한 이중 갈취 확산

랜섬웨어는 제조, 물류, 유통, 정보기술 서비스 등 산업 전반의 핵심 위협으로 지속되고 있다. 공격자는 시스템을 암호화하기 전에 중요 데이터를 외부로 빼낸 뒤, 복호화 대가와 데이터 비공개 대가를 동시에 요구하는 이중 갈취 방식을 사용하고 있다. 내부망에 장기간 잠복해 자료를 수집한 후 암호화를 수행하면 업무 중단, 정보 유출, 법적 책임, 평판 훼손이 동시에 발생하게 된다.

서비스형 랜섬웨어와 초기 접근 브로커(IAB, Initial Access Broker)의 분업 구조가 정착되면서 전문 공격자가 아니어도 침해된 계정이나 원격 접속 권한을 구매해 공격에 참여할 수 있게 되었다. 협력업체와 공급망 계정을 우회 경로로 이용하는 사례가 늘면서, 대기업뿐 아니라 중소·중견기업과 협력사도 직접적인 표적이 되고 있다.

랜섬웨어 대응은 악성 파일 차단에 국한해서는 안 된다. 초기 침투부터 권한 상승, 내부망 이동, 데이터 수집·압축·외부 전송, 백업 훼손, 대량 암호화까지 공격 전 과정을 탐지하고 복구할 수 있어야 한다.

⑤ API 및 계정 탈취를 악용한 개인 정보 유출 위협 지속

개인 정보 탈취 공격은 전통적인 데이터베이스 서버 침해에서 외부 응용 프로그램 인터페이스(API)와 사용자 계정을 악용하는 방식으로 확대되고 있다. 공격자는 인증 우회, 객체별 권한 검증 미흡, 과도한 데이터 반환, 예측할 수 있는 식별자 등 API 설계상의 취약점을 이용한다.

또한, 다크웹이나 과거 유출 사고에서 확보한 계정정보를 자동화 도구로 대량 대입하는 ‘계정정보 재사용 공격’(크리덴셜 스터핑, Credential Stuffing)을 수행한다. 이러한 요청은 정상 서비스 이용과 형태가 유사해 기존 네트워크 보안장비만으로 비정상 행위를 구분하여 대응하기 어렵다.