오픈AI·앤트로픽·딥시크 크롤러 사칭한 해커들, .env·AWS 자격증명 노렸다

오픈AI·앤트로픽·딥시크 등 AI 기업의 웹크롤러(자동 수집 프로그램)를 사칭한 해커들이 전 세계 웹사이트를 훑으며 .env 파일, AWS 자격증명 같은 민감 정보를 노린 것으로 나타났다. 위협 인텔리전스 기업 그레이노이즈(GreyNoise)는 8월 28일(현지시각) 공개한 보고서에서 오픈AI·앤트로픽·구글·퍼플렉시티·아마존 등 8개 기업의 13종 AI 크롤러 신원을 가장한 스캐닝 클러스터를 확인했다고 밝혔다. 이 가운데 앤트로픽·오픈AI·구글·퍼플렉시티와 연관된 위조 크롤러 6종은 7월 28일부터 8월 23일까지(현지시각) 824개 IP 주소, 795개 개별 /24 네트워크 대역에서 거의 동일한 트래픽 양을 기록했다. 이들은 정상 크롤러라면 반드시 확인하는 robots.txt 파일은 한 번도 요청하지 않은 채 .env, /.aws/credentials 같은 경로만 집중적으로 두드렸다. 그레이노이즈는 이 활동이 특정 피해자의 실제 정보 유출로 이어졌다는 증거는 없다고 밝혔지만, 널리 알려진 AI 브랜드에 대한 신뢰를 악용해 자격증명 탈취 스캔을 일반 트래픽 속에 숨기는 방식이 얼마나 쉬운지 보여준다고 지적했다.

위조된 크롤러 신원, 어떻게 만들어졌나

HTTP 요청 헤더 중 유저에이전트(User-Agent)는 구글봇, 클로드봇(ClaudeBot), GPT봇처럼 크롤러가 자신을 알리는 문자열이다. 문제는 이 값이 클라이언트가 스스로 적어 보내는 자기 신고 정보라는 점이다. 실제로 그 요청이 해당 기업에서 왔다는 증거는 되지 못한다. 공격자는 공식 크롤러 문자열을 글자 하나까지 그대로 복사할 수 있어, 유저에이전트만으로 신원을 판단하는 방어 체계는 쉽게 무력화된다.

그레이노이즈는 하나의 HTTP 클라이언트 지문(fingerprint)이 90일 동안 1500개가 넘는 유저에이전트 문자열을 번갈아 사용한 것을 확인했다. 이 가운데 대부분은 일반 웹브라우저를 사칭했고, 일부 기간에만 AI 크롤러 이름이 섞여 등장했다. 앤트로픽·오픈AI·구글·퍼플렉시티 관련 위조 크롤러 6종의 활동은 8월에 집중됐고, 일일 요청량은 8월 23일(현지시각)에 최고치를 기록했다. 그레이노이즈가 이 824개 IP를 오픈AI·앤트로픽·구글·퍼플렉시티·아마존이 공개한 정식 크롤러 IP 대역과 대조한 결과 단 하나도 일치하지 않았다.

robots.txt는 거들떠보지 않았다

정상적인 검색·AI 크롤러는 보통 /robots.txt 파일을 먼저 확인해 어떤 콘텐츠를 수집해도 되는지 판단한다. 실제 앤트로픽의 클로드봇을 같은 기간 관찰한 결과 /robots.txt가 전체 트래픽의 12%를 차지하며 가장 많이 요청된 경로였고, 자격증명 관련 파일은 요청하지 않았다.

반면 위조된 6종의 크롤러는 관찰된 활동 전체에서 /robots.txt를 단 한 번도 요청하지 않았다. 대신 /.env, /app/.env, /api/.env, /backend/.env, /.env.local, /.env.production, /.env.bak, /.aws/credentials, /.git/config 같은 경로를 집중적으로 두드렸다. 그레이노이즈는 이 지문과 연결된 트래픽 전체에서 환경설정 파일, 클라우드 접근 키, 개인 키, 비밀번호 저장소를 노린 요청이 수백만 건 기록됐다고 밝혔다.

위조 대상에는 구글이 AI 학습용 크롤링을 통제하기 위해 robots.txt에 넣는 토큰인 “구글익스텐디드(Google-Extended)”도 포함됐다. 구글은 이 이름이 별도의 HTTP 요청 유저에이전트 문자열을 갖지 않는다고 명시한다. 그런데 그레이노이즈는 이 이름을 자처한 세션 26만3849건을 관찰했다. 구글 설명대로라면 이 세션 전부가 위조된 것이라는 뜻이다. 아마존 크롤러 이름도 더 높은 빈도로 사칭됐지만, 관찰된 유저에이전트 문자열은 아마존이 공개 문서로 밝힌 것과 일치하지 않았다.

왜 막기 어려운가

이번 스캐닝 인프라는 824개 IP가 795개의 서로 다른 /24 네트워크 대역에 흩어져 있다. 특정 호스팅 업체나 소수의 IP 대역만 차단하는 방식으로는 캠페인을 멈추기 어려운 구조다. 그레이노이즈는 관련 취약점으로 웹 개발 도구 뷰트(Vite)의 임의 파일 노출 취약점인 CVE-2025-30208 스캐닝 활동도 이번 캠페인과 연관돼 있었다고 밝혔다.

그레이노이즈는 자사 텔레메트리가 악성 요청이 실제로 전송된 사실은 확인해주지만, 목표 파일이 실제로 탈취됐는지나 특정 피해 조직이 존재하는지까지 증명하지는 못한다고 설명했다. 다만 공격자가 인지도 높은 AI 브랜드 이름을 빌려 탐지를 피해간 정황만큼은 뚜렷하다.

보안팀에 남겨진 숙제

그레이노이즈는 조직들이 유저에이전트 문자열만으로 접근을 허용하거나 보안 경고를 끄는 관행을 멈춰야 한다고 권고했다. 크롤러에 접근 권한을 부여하려면 반드시 해당 기업이 공개한 IP 대역과 대조해야 한다는 것이다. 예컨대 앤트로픽이 공개한 정식 크롤러 대역 중 하나는 216.73.216.0/22이다.

보안팀은 /.env, /.aws/credentials, /.git/config 등 민감 경로에 대한 요청을 모니터링하고 경고를 설정해야 한다. .env·.git 디렉터리와 클라우드 인증 파일, 개인 키는 웹 루트 바깥에 둬야 하며, 공개 URL을 통해 노출됐을 가능성이 있는 클라우드 키는 즉시 교체해야 한다고 강조했다.