제로데이 공격 뜻과 대비법, 패치보다 8시간 빠른 공격 막으려면
취약점 공개 전에 공격이 먼저 오는 시대. 제로데이 공격이 뭔지, 개인 이용자가 실제로 위험해지는 지점과 오늘 바로 켜야 할 자동 업데이트 설정을 정리했습니다.
제로데이 공격은 ‘수리(패치)가 나오기 전에 들어오는 공격’이고, 개인이 할 수 있는 가장 확실한 대비는 모든 기기의 자동 업데이트를 켜 두는 것입니다.
2026년 7월 23~24일 서울 코엑스에서 열린 국제 해킹방어대회 ‘코드게이트 2026’에서 나온 진단이 화제가 됐습니다. 취약점이 공개되기도 전에 공격이 먼저 도착하는 시대라는 이야기인데, 이게 일반 이용자에게 무슨 의미인지 정리했습니다.
제로데이가 뭐고, 왜 갑자기 빨라졌나
**취약점(보안 허점)**이 발견되면 보통 제조사가 수리 코드(패치)를 만들어 배포합니다. 제로데이 공격은 그 패치가 나오기 전에 허점을 파고드는 공격을 말합니다. 방어할 준비 기간이 ‘0일’이라 붙은 이름입니다.
이상근 고려대 정보보호대학원 교수는 코드게이트 2026 강연에서 취약점 공개 후 실제 악용까지 걸리는 시간(TTE)의 변화를 이렇게 짚었습니다.
| 구분 | 과거 | 현재 |
|---|---|---|
| 공개 → 악용까지 걸린 시간 | 평균 약 2.3년 | 약 마이너스 8시간 |
| 의미 | 패치 적용할 여유가 있었음 | 공식 공개 전에 이미 공격 진행 |
마이너스라는 건 ‘공개되기 전에 이미 공격이 들어와 있다’는 뜻입니다. 배경으로는 AI가 코드를 대신 짜는 바이브 코딩이 늘면서 세상에 존재하는 코드량 자체가 폭증했고, 그만큼 공개 취약점(CVE) 등록도 급증했다는 점이 지목됐습니다. 미국 국가 취약점 데이터베이스(NVD) 등록 건수가 3만 건에 육박하면서 분석 역량이 포화 상태라는 지적도 함께 나왔습니다.
이 교수는 2028년경에는 토큰 비용만 내면 명령 한 줄로 해킹을 시도할 수 있는 시대가 올 수 있다고 전망하며, 자체 취약점 분석과 자동 패치 역량 확보를 강조했습니다.
AI 시대에 새로 생긴 공격 통로
강연에서 정리된 AI 관련 공격 표면입니다. 용어만 알아둬도 뉴스가 훨씬 잘 읽힙니다.
| 용어 | 한 줄 뜻 |
|---|---|
| 프롬프트 인젝션 | 문서·웹페이지에 숨긴 문장으로 AI에게 몰래 다른 명령을 시키는 것 |
| 탈옥(제일브레이크) | AI의 안전장치(가드레일)를 우회하게 만드는 것 |
| 학습 데이터 유출 | 모델이 학습한 내용 중 개인정보 등이 되돌아 나오는 것 |
| 섀도우 AI | 회사가 모르는 사이 직원이 개인적으로 쓰는 AI 도구 |
개인 이용자가 실제로 위험해지는 지점
공격이 아무리 빨라져도 대부분의 실제 피해는 훨씬 평범한 곳에서 납니다.
- 패치는 이미 나왔는데 업데이트를 안 한 기기 — 제로데이보다 ‘오래된 취약점’에 당하는 경우가 훨씬 많습니다.
- 지원이 끝난 기기·소프트웨어 — 패치 자체가 더 이상 안 나오므로 새 취약점은 영구 방치 상태가 됩니다.
- 여러 사이트에 돌려쓴 같은 비밀번호 — 한 곳이 뚫리면 나머지가 연쇄로 열립니다.
- 급하게 만들어진 소규모 서비스에 민감정보 입력 — 검증 없이 배포된 코드에는 API 키 노출이나 입력값 검증 누락 같은 기본 허점이 남아 있을 수 있습니다.
오늘 바로 할 수 있는 대비 3단계
1단계 — 자동 업데이트 전부 켜기
윈도우·맥·안드로이드·iOS의 OS 업데이트, 브라우저, 백신, 그리고 자주 쓰는 앱까지 자동 업데이트를 켭니다. 공유기(라우터)와 IP 카메라처럼 잊고 지내는 기기의 펌웨어도 확인 대상입니다.
2단계 — 계정 방어선 이중화
2단계 인증(2FA)을 주요 계정에 걸고, 비밀번호 재사용을 끊습니다. 패스키를 지원하는 서비스라면 패스키 전환이 더 안전합니다.
3단계 — 공식 경로로만 설치
앱은 공식 스토어·제조사 사이트에서만 받습니다. ‘업데이트가 필요합니다’ 같은 팝업 링크를 눌러 설치하는 흐름은 그 자체가 전형적인 공격 수법입니다.
참고로 정부와 한국인터넷진흥원(KISA)도 이용자 PC의 취약한 소프트웨어를 백신 프로그램을 통해 진단하고 보안 패치를 안내하는 방향의 서비스를 추진해 왔습니다. 시행 범위와 일정은 바뀔 수 있으니 최신 내용은 KISA 공지에서 확인하는 편이 정확합니다.
정리 — 오늘 할 일 체크리스트
- PC·스마트폰 OS 자동 업데이트 켜짐 상태 확인
- 브라우저·백신 최신 버전인지 확인
- 공유기 펌웨어 업데이트 + 관리자 비밀번호 변경
- 주요 계정 2단계 인증 또는 패스키 적용
- 재사용 중인 비밀번호 목록 정리, 최소한 메일·금융 계정부터 분리
- 지원 종료된 기기·소프트웨어는 교체 계획 세우기
공격 속도는 개인이 통제할 수 없지만, 패치가 나온 뒤 내가 적용하기까지의 시간은 통제할 수 있습니다. 자동 업데이트 한 번 켜 두는 것이 그 시간을 0에 가깝게 만드는 가장 싼 방법입니다.
자주 묻는 질문
제로데이 공격을 개인이 막는 게 가능한가요?
공격 자체를 개인이 원천 차단할 수는 없습니다. 대신 '패치가 나온 뒤 내가 적용하기까지의 시간'은 줄일 수 있고, 실제 피해 대부분은 이미 패치가 나왔는데 업데이트를 안 한 기기에서 발생합니다. 자동 업데이트를 켜 두는 것이 개인이 할 수 있는 가장 효율적인 방어입니다.
업데이트하면 기기가 느려진다던데 미뤄도 되나요?
보안 패치와 기능 대규모 업데이트는 다릅니다. 성능이 걱정된다면 대형 OS 버전 업그레이드는 며칠 지켜보되, 보안 패치(정기 보안 업데이트)는 미루지 않는 것이 원칙입니다. 악용까지 걸리는 시간이 짧아진 만큼 며칠의 지연도 위험 구간이 됩니다.
AI로 만든 앱이나 웹서비스는 쓰면 위험한가요?
AI로 만들었다는 사실 자체가 위험한 것은 아닙니다. 다만 검증 절차 없이 빠르게 배포된 서비스는 API 키 노출, 입력값 검증 누락 같은 기본 취약점이 남아 있을 수 있습니다. 잘 모르는 소규모 서비스에는 다른 곳과 같은 비밀번호나 민감한 개인정보를 넣지 않는 편이 안전합니다.