도난당한 LLM API 키가 하루 10만 달러 과금을 일으킨다

Hacker News2026-11-03

구글 클라우드의 위협 인텔리전스 조직(GTIG)과 Mandiant이 2026년 처리한 여러 침해 사건에서 공통된 수법이 확인됐다. 공격자들이 기업이 보유한 대형 언어모델 접근 권한을 가로채 자신들의 작업에 쓰는 방식으로, 이들은 이를 LLMJacking이라 부른다. 피해는 북미와 남미, 아시아태평양에 걸쳐 있었고 금융, 유통, 기술, 운송 업종이 포함됐다. 특정 취약점 하나를 찌르는 공격이라기보다 자격증명 관리의 빈틈을 파고드는 유형이다.

규모가 특징적이다. 암호화폐 채굴처럼 서서히 자원을 갉아먹는 것과 달리, LLM 사용량은 몇 시간 만에 수직으로 치솟는다. 사건별로 하루에만 10만 달러를 넘긴 사례가 있었고, 접근이 차단되기 전까지 누적 청구가 100만 달러에 도달한 조직도 있었다. API 호출량 그래프에 찍히는 뾰족한 스파이크가 곧 재무 손실로 이어지는 구조다.

침입 경로는 크게 두 갈래다. 하나는 인터넷에 그대로 열어둔 LLM 엔드포인트다. 조사에서는 공격자가 노출된 Ollama 서버를 자동 스크립트로 훑고 /api/create 엔드포인트를 호출해 자기 모델을 등록하는 장면이 포착됐다. 다른 하나는 자격증명 탈취로, 클라우드 IAM 키와 서비스 계정 키, GitHub 개인 액세스 토큰(PAT), 살아 있는 세션 토큰이 모두 표적이 됐다. 공개 GitHub 저장소에 올라간 기업용 LLM API 키를 그대로 주워 담는 사례도 있었다.

가장 정교한 사례 중 하나로 UNC6993이 추적되는 조직이 있다. 이들은 설정이 잘못된 서비스 계정 키로 클라우드 인스턴스에 들어간 뒤 LLM API 권한까지 확장했고, LLM 사용자 모임에 참여하는 것처럼 보이는 가짜 포털을 운영했다. 방문자를 정식 LLM 서비스로 유도한 다음 활성 액세스 토큰이 담긴 JSON을 붙여넣게 만들어 백엔드로 넘겨받는 방식으로, 비밀번호와 다중 인증(MFA)을 통째로 우회했다.

다른 사건에서는 PAT로 사설 코드 저장소에 접근한 데 이어 컨테이너 환경의 웹 애플리케이션 취약점을 악용해 발판을 넓혔고, 탈취한 IAM 자격증명과 클라우드 페더레이션 토큰을 조합해 새 액세스 키를 프로그램으로 발급받으며 MFA를 피해갔다. 키의 유효성을 확인하는 과정도 눈에 띈다. max_tokens=1처럼 응답을 한 토큰만 받는 초소형 요청을 자동으로 흘려보내, EDR이나 SIEM의 트래픽 이상 탐지에 걸리지 않고 키가 살아 있는지 확인했다.

수익화 쪽에는 분업 구조가 생겼다. GTIG는 초기 침투를 담당하는 조직과 별개로, 탈취한 LLM 접근권을 모아 중계하고 지하 구독자에게 재판매하는 'LLM Mixer'를 추적하고 있다. 한 조사에서는 서로 다른 두 클러스터가 역할을 나눠 기업 LLM 인프라를 뚫고 수익화하는 정황이 확인됐다. 자격증명 장터가 모델 접근권 중개 시장으로 확장되는 흐름이다.

일단 들어오면 권한 확장과 흔적 남기기가 이어진다. 저장소를 통째로 복제해 하드코딩된 시크릿과 개발자 자격증명을 찾고, 클라우드 데이터 웨어하우스의 메타데이터 테이블을 조회해 관리자 비밀번호와 민감 컬럼을 훑는다. IAM 및 서비스 계정을 새로 만들고, 컴퓨트 인스턴스 설정 파일과 메타데이터에 SSH 공개키를 심는다. 내부 청구 최적화 도구처럼 이름 붙인 백도어 서비스 계정을 만들어 탐지를 피한 사례도 있다. LLM 라우팅 소프트웨어 자체의 취약점을 노린 정황도 보고됐다.

개발자 입장에서 달라지는 것은 방어선의 위치다. 모델을 잘 고르는 일보다 키를 어디에 두고 누가 쓸 수 있는지가 비용과 직결된다. 저장소에 키를 커밋하지 않는 기본 수칙, 서비스 계정과 토큰의 최소 권한 부여, 공개 인터넷에 열린 추론 엔드포인트 목록化管理, 그리고 호출량·과금 알림 임계값을 낮게 잡는 운영 습관이 필요하다. 단일 토큰 호출처럼 부피가 작은 악용은 트래픽 기반 탐지를 비껴가므로, 총량이 아니라 호출 패턴과 새벽 시간대의 낯선 소스 같은 맥락 신호를 함께 봐야 한다.

전제도 분명하다. 공개된 내용은 Mandiant이 대응한 개별 침해 사건들의 분석에 기반하며, 등장하는 클러스터 명칭은 위협 인텔리전스 추적용 식별자다. 100만 달러라는 수치는 관측된 사례 안에서의 누적액이고, 시장 전체 규모를 뜻하지는 않는다.