전 세계 기업들이 디지털 전환과 클라우드 확산, API 중심 아키텍처 도입을 가속화하면서 보안 위협의 양상도 빠르게 진화하고 있다. 특히, 비즈니스 핵심 서비스를 연결하는 API와 대규모 데이터 환경은 새로운 공격 표면을 만들며, 정교해진 사이버 공격자들의 주요 표적이 되고 있다. 이에 따라 보안 리더들은 단순한 방어책을 넘어 실전형 검증과 지속적인 보안 태세 점검을 요구받고 있으며, 실제 위협 시나리오에 기반한 침투 테스트가 그 어느 때보다 중요해지고 있다.

사이버보안 기업 브리치락(BreachLock, CEO 시만트 세갈)이 ‘2025년 침투 테스트 인텔리전스 보고서’를 발표했다. 이번 보고서는 지난 12개월간 수행된 4200건 이상의 침투 테스트 결과를 바탕으로 현대 조직에 영향을 미치는 주요 취약점을 분석했다.

보고서는 자산 단위 동향, 업계별 영향 분석, 전년 대비 변화를 제공해 보안 리더들이 보안 태세를 객관적으로 평가하고 해결 우선순위를 설정하는 데 도움을 준다. 특히 새롭게 등장한 생성AI 기반 위협과 실제 공격 벡터를 포함한 심층 인텔리전스를 제공해 복잡한 보안 환경 속에서 CISO의 의사결정을 지원한다.

주요 취약점, 손상된 액세스 제어

보고서에 따르면 손상된 액세스 제어가 가장 널리 퍼진 주요 취약점으로, 전체 심각한 취약점의 32%를 차지하며 무단 액세스와 권한 상승을 가능하게 했다.

기술 및 SaaS 공급업체 환경의 API 취약점은 전년 대비 400% 급증했으며, 부실한 액세스 제어, 논리적 결함, 안전하지 않은 노출이 주요 원인으로 나타났다. 금융 산업에서는 약 40%의 기업이 급변하는 IT 환경과 위협에 대응하기 위해 분기별 또는 지속적인 침투 테스트로 빈도를 높였다.

소매 및 소비재 산업의 경우 10개 기업 중 7곳이 권한 구성 오류 또는 데이터 노출 문제가 있는 API를 보유하고 있었으며, API당 평균 15개의 취약점이 발견됐다. 의료 시스템에서는 발견된 취약점의 70%가 중간 또는 높은 심각도를 기록했으며, 이는 기존 시스템 사용과 부적절한 OT 보안 제어가 주요 원인이었다.

테스트된 클라우드 환경의 42%에서는 클라우드 구성 오류와 과도한 권한 부여로 인한 취약성이 드러났다.

시만트 세갈(Seemant Sehgal) CEO는 “위협 환경은 단순히 진화하는 것이 아니라 바이브 코딩과 에이전트 솔루션의 등장으로 더욱 가속화되고 있다. 이번 보고서는 수천 건의 침투 테스트 결과에서 얻은 통찰력을 토대로, 실제 공격 벡터와 AI 기반 위협을 포착해 보안 리더들이 더욱 스마트하고 복원력 있는 결정을 내릴 수 있도록 돕는다.”라고 밝혔다.