AI 봇이 CAPTCHA 뚫고 스팸 전쟁…웹 보안 위협 키우는 ‘AkiraBot’

악성 스팸 공격 도구로 새롭게 떠오른 ‘AkiraBot’이 실시간 웹 보안 위협으로 부상하고 있다. 사이버보안 기업 센티넬원(SentinelOne)의 리서치 조직 센티넬랩스(SentinelLabs)는 최근 발표한 보고서를 통해 이 AI 기반 봇이 CAPTCHA 방어체계를 무력화하고, 수십만 개 웹사이트를 대상으로 대량의 스팸 메시지를 자동 생산해 전송하고 있다고 경고했다. 특히 이 봇은 오픈AI(OpenAI)의 언어 모델을 활용해 각 사이트별 맞춤형 문구를 생성, 기계적 스팸이라는 기존 인식을 뛰어넘는 정교함으로 필터링 탐지를 피해간다.

AkiraBot은 2024년 말 처음 발견된 이후 현재까지 40만 개 이상의 웹사이트를 스캔했으며, 이 중 8만 곳 이상을 실제로 공격한 정황이 포착됐다. 피해 플랫폼은 대부분 쇼피파이(Shopify), 고대디(GoDaddy), 윅스(Wix.com), 스퀘어스페이스(Squarespace) 등 중소기업 비중이 높은 웹서비스였다.

이전에도 스팸봇은 존재했지만 AkiraBot이 차별화되는 점은 메시지 생성 방식에 있다. 단순 반복 텍스트를 활용한 과거 사례들과 달리, 이 봇은 각 웹사이트의 구조와 콘텐츠를 분석해 해당 맥락에 어울리는 문구를 조합한다. 이는 사용자가 진짜 문의 메시지로 착각하고 응답할 가능성을 높이며, 전통적인 필터링 시스템으로는 걸러내기 어려운 이유다.

또한 센티넬랩스는 AkiraBot이 단순 스팸 전송에 그치지 않고, 복잡한 CAPTCHA 우회 기술을 접목했다고 밝혔다. 이미지 인식 기반 자동 응답 시스템은 물론, 플랫폼별로 변형되는 CAPTCHA 스타일에 유동적으로 대응할 수 있는 알고리즘도 적용돼 있다. 덕분에 이 봇은 사람처럼 웹사이트의 채팅 인터페이스나 문의 양식을 자유롭게 오갈 수 있다.

네트워크 단위의 탐지 회피 기술 역시 주목된다. AkiraBot은 프록시 서버를 수시로 교체하고, 패킷마다 헤더를 달리하며 송신 데이터를 무작위화하는 방식으로 보안 시스템의 경고를 피한다. 이러한 방식은 일회성 공격이 아닌 장기적인 캠페인을 가능하게 만든다.

현재 AkiraBot은 ‘Akira’라는 명칭의 검색엔진 최적화(SEO) 서비스 홍보 수단으로 악용되고 있지만, 보안 전문가들은 그 잠재적 위협이 단순 광고성 도배에 머무르지 않을 것으로 경고했다. 해당 프레임워크가 피싱 사기, 악성코드 유포, 사회공학적 해킹 등에 손쉽게 전용될 수 있다는 것이다.

센티넬랩스는 “AkiraBot은 지속적으로 진화해 나가고 있으며, 중소 웹호스팅 플랫폼들이 방어 방식을 바꿀 때마다 새로운 우회기술을 흡수하는 중”이라며 “생성형 AI 기술이 웹 기반 스팸 공격의 범위와 정교함을 극적으로 키우고 있다”고 우려를 표했다. AI의 오용에 대응하기 위한 보안 기술의 고도화가 추후 웹 생태계에 핵심 과제로 부상할 전망이다.