넷스카우트 시스템스(나스닥: NTCT)는 진화하는 분산 서비스 거부(DDoS, 디도스) 공격 환경을 상세히 분석한 최신 연구 결과를 27일(현지 시간) 발표했다. 넷스카우트는 2025년 상반기 전 세계적으로 800만 건이 넘는 DDoS 공격을 모니터링했으며, 이중 320만 건 이상은 EMEA 지역에서 발생한 것으로 나타났다. DDoS 공격은 중요 인프라를 불안정하게 만드는 지정학적 영향력을 가진 정밀 유도 무기로 진화했다.

노네임057(16)과 같은 핵티비스트 그룹은 통신, 교통, 에너지, 국방 부문을 표적으로 매달 수백 건의 조직적인 공격을 감행했다. DDoS 공격 대행 서비스는 공격 도구를 대중화해 초보 공격자도 정교한 공격 캠페인을 실행할 수 있게 했다. AI로 강화된 자동화, 다중 벡터 공격, 융단 폭격 기법은 기존 방어 체계에 심각한 도전이 되고 있다. 봇넷은 수만 대의 IoT 기기, 서버, 라우터를 감염시켜 지속적인 공격을 가하며 심각한 혼란을 야기했다. 이러한 각 요소는 그 자체로도 위험하지만, 함께 작용해 퍼펙트 스톰을 형성하며 전 세계 조직과 서비스 제공업체 네트워크에 전례 없는 사이버 위협을 초래하고 있다.

주요 연구 결과:

·대규모 글로벌 공격량 - 넷스카우트는 2025년 상반기에 네덜란드에서 발생한 3.12Tbps 공격과 미국에서 발생한 1.5Gpps 공격을 포함해 1Tbps를 초과하는 공격 50여 건과 초당 수 기가패킷(Gpps)에 달하는 다수의 공격을 관측했다.

·지정학적 사건으로 촉발된 전례 없는 DDoS 공격 - 5월 인도-파키스탄 분쟁 시기에는 핵티비스트 그룹이 인도 정부와 금융 부문을 표적으로 삼았으며, 6월 이란-이스라엘 분쟁 중에는 이란을 상대로 1만5000건 이상, 이스라엘을 상대로 279건의 공격이 발생했다.

· 봇넷 기반 공격의 고도화 - 3월에는 매일 880건 이상의 봇 기반 DDoS 공격이 발생했고, 최고 1600건을 기록했다. 공격 지속 시간은 평균 18분으로 증가했다.

·새로운 위협 행위자 등장 - DDos 공격 대행 인프라를 활용한 다이넷이 3월 이후 60건 이상의 공격을 실행했으며, 키마우스플러스는 23개국 28개 산업 분야에 걸쳐 73건의 공격을 감행했다.

·노네임057(16)의 지배력 유지 - 이 핵티비스트 그룹은 3월에만 475건 이상의 공격을 감행했다고 주장했으며, 이는 2위 그룹보다 337% 더 많은 수치다. 이들은 스페인, 대만, 우크라이나의 정부 웹사이트를 주요 표적으로 삼았다.

넷스카우트 위협 인텔리전스 디렉터 리차드 험멜은 “핵티비스트 그룹이 자동화, 공유 인프라, 진화하는 전술을 더 많이 활용함에 따라 조직들은 기존의 방어 방식만으로는 더 이상 충분하지 않다는 점을 인식해야 한다”고 말했다. 그는 이어 “어시스턴트의 통합과 웜GPT, 프로드GPT 같은 대규모 언어 모델(LLM)의 사용은 이러한 우려를 더욱 키우고 있다”며 “또한 최근 노네임057(16) 차단에 성공해 이 그룹의 DDoS 봇넷 활동을 일시적으로 줄였지만, 이들이 다시 가장 위협적인 DDoS 핵티비스트 그룹으로 부상하지 않으리라는 보장은 없다. 오늘날의 정교한 공격에 대응하기 위해서는 인텔리전스 기반의 검증된 DDoS 방어 솔루션이 필요하다”고 강조했다.