AI를 무기화한 사이버 공격이 빠르게 확산되면서 침해사고 피해 규모도 커지고 있다. 공격 비용은 낮아지는 반면 기업이 부담하는 대응 비용은 늘어나는 구조적 불균형이 확인됐다.


IBM은 30일 포네몬연구소(Ponemon Institute)와 공동으로 수행한 ‘2026 데이터 유출 비용 보고서(2026 Cost of a Data Breach Report)’를 발표했다.

2025년 3월부터 2026년 2월까지 전 세계 602개 조직의 실제 침해사고를 분석한 결과, 악의적 침해사고의 25%가 AI를 활용한 공격으로 집계됐다.

이는 전년 대비 56% 증가한 수치다.

AI 기반 침해사고의 평균 피해 비용은 600만 달러로, 전체 평균인 499만 달러를 약 100만 달러 상회했다.

AI 기반 공격은 딥페이크를 이용한 사칭과 AI 생성 악성코드 형태가 주를 이뤘다.

공격에 드는 비용은 수천 달러 수준으로 낮아진 반면, 피해 복구 비용은 수백만 달러에 달해 사이버 리스크의 경제 구조가 근본적으로 바뀌고 있다고 IBM은 분석했다.

반면 보안 운영에 AI와 자동화를 적극 도입한 기업은 침해사고 비용을 평균 200만 달러 절감한 것으로 나타났다.

기업 4곳 중 1곳은 여전히 이러한 기술을 보안에 적용하지 않고 있었다.

IBM 시큐리티 소프트웨어 부문 수자 비스웨산(Suja Viswesan) 부사장은 “AI는 공격을 더 빠르고 저렴하게 만드는 반면, 침해사고 대응 비용은 계속 증가하고 있다”며 “위협 발견 이후 실제 해결까지 시간이 지체될수록 피해 비용은 그대로 늘어난다”고 말했다.

AI 기반 공격의 62%는 핵심 인프라 분야를 겨냥했다.

금융 서비스 업계의 평균 침해사고 비용은 630만 달러, 에너지 산업은 520만 달러로 나타났다.

IBM은 특정 산업 집중 공격이 공급망과 필수 서비스 전반에 연쇄 영향을 미칠 수 있다고 분석했다.

포네몬연구소가 이번 보고서 대상 가운데 456개 조직을 대상으로 후속 조사한 결과, 고도화된 차세대 AI 공격 역량을 인지한 기업의 85%가 보안 투자 확대 계획이 있다고 답했다.

실제 침해사고를 경험한 뒤 보안 투자 확대 의향을 밝힌 기업 비율인 64%를 크게 웃도는 수치다.

다만 위협 탐지·대응에 AI 에이전트를 활용하는 기업은 절반을 넘는 반면, 취약점 관리에 이를 적용하는 기업은 18%에 그쳐 대응 공백이 확인됐다.

주요 추가 발견 사항으로는 △AI 모델·애플리케이션 침해사고 경험 기업 20% 이상 △저장·전송 데이터 전체 암호화 기업 37%에 불과 △랜섬웨어 사고 비중 전년 34%에서 39%로 증가 △랜섬웨어 주요 압박 수단으로 기업 평판(41%)·직원 데이터(35%)·지식재산권(31%) 순으로 집계됐다.