하루 10만 달러 청구서의 충격: 구글이 경고한 LLM재킹 공격과 엔터프라이즈 방어선
기업의 클라우드 서비스 계정과 API 키를 탈취해 대규모 AI 추론 비용을 전가하는 LLM재킹 공격의 구조와 암시장 유통 경로를 분석하고 실무 통제 방안을 제시한다.
발행일: 2026.11.04
단일 인시던트 발생 24시간 내 발생 비용
액세스 차단 전까지 누적된 클라우드 비용
LLM 믹서의 무제한 모델 접근 요금
구글 위협 인텔리전스 그룹(Google Threat Intelligence Group)과 맨디언트(Mandiant)가 대형 언어 모델(LLM) 계정 접근 권한을 탈취해 고비용 컴퓨팅 자원을 무단 사용하는 ‘LLM재킹(LLMjacking)’ 공격에 대한 공식 보안 경고를 발표했다. 침해 사고가 발생한 일부 기업에서는 계정 접근 권한을 회수하기 전까지 누적 청구액이 100만 달러에 달했으며, 단 하루 만에 10만 달러가 넘는 허위 클라우드 비용이 청구된 사례도 확인됐다. 피해 기업은 북미, 남미, 아시아 태평양 전역의 금융, 유통, 기술, 운송 등 다양한 산업군에 걸쳐 분포한다.
과거 가상자산 채굴에 컴퓨팅 파워를 몰래 전용하던 크립토재킹과 달리, LLM재킹은 클라우드 기반 프론티어 모델의 높은 API 단가와 GPU 인스턴스 과금 구조를 직접 타격한다. 공격자는 탈취한 토큰과 계정을 기반으로 초당 수천 건의 프롬프트 스트리밍을 유발하거나 자체 에이전트 워크로드를 배포하여 피해 기업의 인프라 비용을 급격히 폭증시킨다.
탈취된 서비스 계정과 토큰이 유발하는 클라우드 비용 폭증 구조
LLM재킹의 초기 침투 경로는 주로 외부에 노출되거나 유출된 클라우드 신원 토큰이다. 공격자는 IAM 자격 증명, GCP 및 AWS의 서비스 계정(Service Account) 키, 깃허브 개인 액세스 토큰(PAT), 웹 세션 토큰을 확보하여 기업 인프라 내부로 진입한다. 고객 지원 챗봇의 시스템 프롬프트를 조작해 코드를 생성하게 만드는 경량 자원 탈취와 달리, LLM재킹은 모델 백엔드 자원과 직접 통신하는 엔드포인트 자체를 장악한다.
초기 자격 증명 유출부터 암시장 토큰 유통까지의 워크플로우
깃허브 유출, 피싱 포털, 잘못 설정된 서비스 계정을 통해 IAM 토큰 획득
새 API 키 발급 및 임시 서비스 계정 생성으로 프로젝트 권한 확대
GPU 인스턴스 프로비저닝 및 대규모 모델 스트리밍 파이프라인 가동
LLM 믹서를 통해 제3자 공격자들에게 월정액 형태로 무제한 API 라우팅
위협 행위자 UNC6993의 활동 사례는 이 구조를 명확히 보여준다. UNC6993은 권한 설정이 잘못된 클라우드 서비스 계정 키를 통해 대상 인스턴스에 침투한 뒤 백엔드 LLM API 접근 권한을 획득했다. 이들은 정교하게 위장된 세션 하이재킹 포털을 개설하여 개발자들에게 정상 LLM 웹사이트로 이동하도록 유도한 뒤 활성 액세스 토큰이 포함된 원시 JSON 페이로드를 가로채는 수법을 사용했다. 이를 통해 다중 인증(MFA) 통제를 완전히 우회했다.
내부 진입에 성공한 공격자들은 호출 제한(Rate Limit)을 피하기 위해 단기 수명 서비스 계정을 지속해서 생성하고 삭제하는 ‘소각 및 순환(Burn and Rotate)’ 전술을 구사했다. UNC6993은 침해한 클라우드 프로젝트 내부에서 추가 API 키를 무단 생성하여 작업을 확장했고, 이 단일 침해 경로에서만 10만 달러 이상의 청구 요금이 발생했다.
크립토재킹과 LLM재킹의 아키텍처 및 재무 파급력 대조
기존 인프라 침해의 대표 격인 크립토재킹은 CPU와 유휴 GPU의 연산 주기를 장기간 낮고 일정하게 점유하는 방식으로 탐지를 회피했다. 반면 LLM재킹은 프론티어 모델의 토큰당 과금 체계를 악용하여 불과 몇 시간 만에 청구 비용을 임계치 이상으로 급증시킨다.
자원 소비 방식과 재무적 피해 속도의 구조적 차이
- • CPU/GPU 하드웨어 가동률 80–90% 지속 유지
- • 탐지를 피하기 위해 주 단위의 완만한 비용 상승 유도
- • 하드웨어 감가상각 및 표준 전기료·인스턴스 비용 발생
- • 단일 서버 내 마이닝 바이너리 프로세스로 격리 실행
- • 외부 API 엔드포인트 대상 병렬 호출 및 토큰 폭식
- • 수 시간 만에 수만–수십만 달러 단위 비용 폭증 유발
- • 호출 모델별 프리미엄 토큰 단가 기준 실시간 과금
- • 공격자 프록시와 결합해 외부 다크웹 트래픽 허브로 전락
기업 관점에서 두 공격이 미치는 재무적 충격의 격차는 확연하다. 크립토재킹은 서버 모니터링 상에서 이상 고부하를 발견하고 컨테이너를 중지하면 손실이 제한된다. 그러나 LLM재킹은 정상적인 개발 트래픽으로 위장한 채 유효한 인증 토큰을 통해 외부 API를 직접 소비하므로, 정밀한 토큰 소비량 추적 없이는 월말 청구서가 발행될 때까지 탐지되지 않을 위험이 크다.
| 구분 항목 | 전통적 크립토재킹 (Cryptojacking) | 최신 LLM재킹 (LLMjacking) |
|---|---|---|
| 주요 침해 대상 | 유휴 CPU 코어, 로컬 GPU 연산 주기 | LLM 엔드포인트, API 키, 서비스 계정 |
| 비용 발생 속도 | 일 수십–수백 달러 수준 (점진적) | 일 10만 달러 초과 (급격한 스파이크) |
| 공격 지속 기간 | 수 주–수 개월 (장기 잠복 지향) | 수 시간–수 일 (단기 폭발적 자원 소비) |
| 인증 우회 기법 | 셸 취약점, 미인증 RCE | 세션 하이재킹, 서비스 계정 순환 생성 |
| 자원 소진 방식 | 채굴 알고리즘(PoW) 연산 루프 | 에이전트 구동, 병렬 토큰 스트리밍 |
| 월간 최대 피해액 | 수천 달러 내외의 인스턴스 과금 | 단일 사고당 100만 달러 이상의 누적 청구 |
지하 암시장의 수익화 축: ‘LLM 믹서’와 CLI 프록시 변조
LLM재킹 생태계는 초기 침투를 수행하는 브로커와 하류 수익화 인프라를 운영하는 조직으로 전문화되었다. 그 중심에는 탈취된 엔터프라이즈 계정 접근 권한을 프록시 게이트웨이로 묶어 다크웹에서 재판매하는 ‘LLM 믹서(LLM Mixers)‘가 존재한다.
대표적인 불법 서비스인 제트 나이트(Jet Night)는 프론티어 모델에 접근할 수 있는 무제한 토큰 플랜을 월 60달러 선에 판매했다. 이들은 피해 기업의 엔터프라이즈 할당량(Quota)을 중간에서 가로채 일반 사용자 트래픽을 중계함으로써, 침해 사실이 적발되어 차단되기 전까지 막대한 비용을 원소유 기업에 전가했다.
피해 기업 전가 비용 대비 공격자 암시장 판매 가격 격차
브로드컴 산하 시만텍(Symantec)과 카본블랙(Carbon Black)의 분석에 따르면, 공격자들은 오픈에이아이 코덱스(OpenAI Codex)나 앤트로픽 클로드 코드(Claude Code)의 공식 CLI 도구를 악용하는 회색 시장 릴레이 서비스까지 구축했다. 공격자들은 자체 클라이언트를 개발하는 대신 정상 CLI 도구를 타깃 머신에 설치한 후 내부 설정을 변조했다. 샌드박스 보호 기능을 끄고 설정을 완전 접근 모드로 전환한 뒤 모든 요청을 벤더 서버 대신 공격자 소유의 중계 서버로 우회 라우팅하는 방식이다.
이러한 수법은 2026년 초부터 산업 자동화, 반도체 제조, 제약, 석유화학, 데이터 센터 등 아시아 태평양 지역의 주요 엔터프라이즈를 표적으로 광범위하게 확산되었다. 서비스 미지원 지역의 개발자가 비공식 수단으로 도구를 설정하려는 틈을 타 공격자 인프라가 내부망에 침투한 것이다.
인프라 엔지니어링 리스크 차단 및 IAM 보안 운영 관리
LLM재킹으로 인한 재무적 재앙을 차단하기 위해서는 개발 편의 위주로 구성된 AI 파이프라인 접근 통제를 즉시 재설계해야 한다. 단순한 방화벽이나 정적 토큰 관리는 침해된 서비스 계정의 합법적인 권한 오용을 막을 수 없다.
단기 긴급 차단 조치: API 할당량 통제 및 이상 과금 알림
엔지니어링 리더는 클라우드 콘솔의 결제 알림을 단순 월간 예산 단위에서 시간 단위 이상 징후 감지 체계로 전환해야 한다. 평시 사용 패턴을 기준으로 시간당 API 소비 한도(Rate Limit Quota)를 엄격하게 상한선으로 묶어야 한다.
- 시간 단위 하드 캡(Hard Cap) 설정: 클라우드 프로젝트별 일일 최대 청구 한도를 설정하고, 임계치 도달 시 모델 엔드포인트 호출을 자동으로 정지시키는 프로그래밍 차단 루틴을 구축한다.
- 단기 토큰 강제 만료: 영구 지속되는 깃허브 개인 액세스 토큰(PAT) 사용을 금지하고, 최대 수명 8시간 이하의 임시 자격 증명만 허용하도록 중앙 정책을 적용한다.
- 비인가 CLI 환경 구성 감사: 개발 장비 내 코덱스 및 클로드 관련 CLI 설정 파일의 엔드포인트 URL이 외부 프록시 서버나 루프백으로 변조되었는지 주기적으로 검증한다.
중장기 아키텍처 재설계: 서비스 계정 권한 격리와 제로 트러스트
장기적으로는 서비스 계정이 새로운 API 키를 스스로 생성할 수 없도록 권한을 박탈해야 한다. UNC6993과 같은 침해 조직은 프로젝트 소유자(Owner) 권한이나 키 생성 권한이 부여된 서비스 계정을 통해 장악 범위를 넓히기 때문이다.
- 서비스 계정 키 생성 권한(iam.serviceAccountKeys.create) 회수: 중앙 보안 조직의 승인 파이프라인을 거치지 않은 인라인 키 발급을 전사 수준에서 원천 차단한다.
- VPC 서비스 통제(VPC Service Controls): LLM API 호출이 승인된 내부 서브넷 및 지정된 고정 IP 대역 외의 공용 인터넷에서 인입될 경우 접근을 거부하도록 아웃바운드 트래픽을 격리한다.
- 프라이빗 엔드포인트 라우팅: 공용 도메인 대신 클라우드 제공업체의 비공개 링크(PrivateLink 등)를 통해 파운데이션 모델 엔드포인트를 호출하도록 통신 경로를 단일화한다.
조직 내에서 AI 모델을 실험하는 단계가 지나 상용 프로덕션으로 전환되는 시점에서는 AI 인프라 역시 결제와 보안 권한이 분리된 핵심 백본으로 취급되어야 한다. 허위 청구서가 발생한 이후에는 비용을 회수하기 어렵다. 클라우드 계정 권한의 세분화와 토큰 유효 기간 통제만이 잠재적인 백만 달러 규모의 손실을 방지하는 실질적 방어선이다.