※ 보안뉴스, 데일리시큐, 전자신문, 기타 IT전문언론을 우선순위로 하여 추출됩니다.
※ 가장 상단에 있는 뉴스는 생성형 AI를 이용해 요약한 기사입니다.
✨ 10월 27일 요약 뉴스
- 한 독립 해커들이 국가배후 사이버 공격자들의 활동을 역추적해 한국 정부와 기업의 해킹 피해 사실을 공개합니다.
- '프랙 보고서'를 통해 북한 등으로 추정되는 국가배후 공격자들의 한국 정부 및 기업 해킹 증거 공개
- 활동명 '세이버'와 '사이보그'를 쓰는 해커들이 공격자의 컴퓨터를 역으로 해킹하여 증거물 확보함
- 중국 또는 북한 배후 공격자가 한국 정부와 기업 시스템 접근 인증키 탈취 및 피싱 공격한 내용 정리
- 보고서 공개 약 두 달 전인 6월부터 방첩사, 통일부, 한국인터넷진흥원 등 한국 기관 및 기업에 책임감있는 공개(Responsible Disclosure) 메일 발송
- 피해 당사자들이 준비하고 조사할 시간을 주기 위해 선제적으로 해킹 사실 통보함
- 한국 기관 중 공식적인 답변은 한국인터넷진흥원 침해사고대응팀(KrCERT)만이 보냈음
- 전설적인 보안 잡지 '프랙' 40주년 기념호에 보고서를 실어 국가배후 공격 행태에 대한 해결책 논의를 유도함
- 공격자들의 행태 공개를 통해 탈취된 접근 권한 무력화 및 피해자들의 대응, 윤리적 해커들의 실력 향상에 기여함
- 오픈AI의 생성형 AI 기반 브라우저 '아틀라스'가 자동화 기능의 편리함에도 불구하고 보안 취약점 문제로 기업 도입에 신중해야 한다는 경고가 나옵니다.
- 오픈AI의 생성형 AI 기반 브라우저 '아틀라스'가 웹 탐색 자동화 기능을 제공함
- 아틀라스는 챗봇이 브라우저를 직접 제어하여 웹 기반 작업을 자동 실행 가능함
- 악성 웹페이지에 숨겨진 프롬프트를 통해 사용자 데이터를 탈취하는 '프롬프트 하이재킹' 공격에 취약하다는 지적
- 프롬프트 하이재킹 발생 시 신원 도용이나 지식재산 유출로 이어질 수 있는 위험성
- AI 브라우저를 고위험 기술로 분류하고 보안 체계가 성숙할 때까지 강화된 모니터링 및 명확한 사용 정책 필요성
- 규제된 대규모 환경에서 검증되지 않았으며 에이전트 남용이나 프롬프트 인젝션에 대한 내성이 입증되지 않았음
- 기업은 아틀라스를 기본 브라우저 대체재가 아닌 초기 파일럿 테스트 대상으로 간주하고 보안 및 거버넌스 통제 검증 필요
- 오픈AI도 AI 에이전트의 판단 왜곡 및 민감 정보 유출 가능성 등 일부 보안 문제를 인정함
- 데이터 유출 추적 서비스 '해브아이빈폰드'가 인포스틸러 악성코드를 통해 수집된 1억 8,300만 개의 이메일 계정 유출 데이터를 추가 공개했습니다.
- 데이터 유출 추적 서비스 해브아이빈폰드에 1억 8,300만 개의 유출된 이메일 계정이 새로 추가됨
- 이번 데이터에는 로그인 정보가 유출된 이메일 주소와 그에 대응하는 비밀번호가 포함됨
- 유출된 접근 정보는 시스템에 침투하여 비밀번호 등 민감 정보를 탈취하는 '인포스틸러' 악성코드를 통해 수집됨
- 탈취된 정보는 해커의 손에 넘어가 피싱이나 사기에 활용되거나 다크웹에서 거래됨
- 이번 추가로 해브아이빈폰드에 등록된 전체 유출 계정 수는 153억 개를 넘어섬
- 사용자는 해브아이빈폰드에서 자신의 이메일 주소를 검색하여 유출 여부를 확인할 수 있음
- 계정 유출 확인 시 해당 계정뿐 아니라 같은 비밀번호를 사용하는 모든 계정의 비밀번호를 즉시 변경해야 함
- 해킹 피해 예방을 위해 다중 인증 활성화와 계정별로 다른 강력한 비밀번호 사용 습관 필요함
- AI 웹 브라우저가 웹 페이지나 이미지에 숨겨진 명령어를 사용자 명령으로 착각하여 민감 정보를 탈취할 수 있는 '프롬프트 인젝션' 공격의 새로운 취약점으로 부상하고 있습니다.
- AI 웹 브라우저가 웹 페이지나 이미지에 숨겨진 악성 명령어를 사용자 명령으로 착각해 실행할 수 있는 취약점 노출
- 해커는 이 취약점을 이용해 AI 브라우저가 사용자 계정에 무단 접근하여 이메일, 금융 정보 등을 탈취하도록 유도 가능
- 브레이브 엔지니어들의 테스트 결과, AI 브라우저가 스크린샷 속 보이지 않는 텍스트까지 감지해 악성 명령을 실행하는 것으로 나타남
- AI 모델은 모든 입력을 대화로 처리하기 때문에 악성 코드와 정상 입력을 구분하는 것이 어려워 프롬프트 인젝션 방어에 난항
- 퍼플렉시티 등 AI 브라우저 업체들은 머신러닝 기반 탐지 시스템과 보안 가드레일을 적용하는 등 보안 강화 노력을 강조함
- AI 브라우저의 대중화에 따라 보안 리스크가 커지고 있으며, 민감한 계정이나 금융 서비스와 함께 사용하지 말라는 경고
- 보다 강력한 보안 조치와 함께 AI 브라우저의 안전한 사용에 대한 사용자들의 경각심이 요구됨
- 불법 초소형 기지국을 이용한 KT 무단 소액결제 사태가 두 달이 지났음에도 소액결제에 필요한 개인정보의 취득 경로가 여전히 밝혀지지 않아 불안감이 지속되고 있습니다.
- KT 무단 소액결제 사태의 핵심 의문점인 피해자 개인정보 취득 경로가 아직도 불분명함
- 범인들이 주로 이용한 ARS 결제 방식은 불법 초소형 기지국으로는 얻을 수 없는 이름, 생년월일 등 개인정보를 요구함
- KT는 고객정보 관리 서버가 사이버 공격을 당했을 가능성을 부인하고 있으며, 경찰 수사를 통해 경위가 밝혀지기를 기다리고 있음
- KT의 망 접속 차단 조치로 추가 범행이 멈춘 것인지, 범인들이 수사를 피해 자체적으로 멈춘 것인지 여부도 불분명한 상황
- 불법 펨토셀 등 초소형 기지국이 해외 오픈마켓에서 공공연히 판매되고 있어 유사 범죄 재현에 대한 불안 요소 존재
- 불법 기지국을 차량에 싣고 다니며 네트워크 전파를 가로채는 '워드라이빙' 수법은 해외에서 새로운 일이 아님
- 사태 초기 수십 명 수준이던 피해 범위가 전국적으로 확대되고 피해 금액도 2억 원을 넘어섬
- 실제 금전 피해가 발생한 점에서 파급력이 크며, 향후 유사 피해 예방을 위한 강한 조치가 나올 것으로 예상됨
- LG유플러스가 외주 보안업체 해킹을 통한 내부망 침투 정황을 KISA에 신고하며 통신 3사 모두 보안 문제를 드러냈습니다.
- LG유플러스가 서버 해킹 피해 정황을 KISA에 신고하며 통신 3사 모두 보안 문제에 노출됨
- 외주 보안업체 시큐어키 해킹을 통해 얻은 계정 정보로 LG유플러스 내부망에 침투한 정황이 드러남
- 해커 집단이 8,938대의 서버 정보, 4만 2,256개의 계정, 167명의 직원 정보를 빼돌렸다는 보도 내용
- LG유플러스 자체 분석 결과, 모바일 시스템 접속 시 2차 인증 단계에서 '111111' 입력 및 메모리값 변조를 통한 접근 등 8개의 보안 취약점 확인
- 웹페이지에 별도 인증 없는 관리자 페이지 접근 백도어와 소스코드 내 비밀번호가 평문으로 노출된 심각한 보안 불감증 문제 지적
- 앞서 SKT는 2,300만 명의 개인정보 유출, KT는 무단 소액결제 및 2만여 명의 개인정보 유출 사고를 겪었음
- 통신사 보안 사고의 피해는 이용자에게만 집중되는 구조가 문제로 지적됨
- 금융권을 포함한 여러 업종에서도 해킹 침해 사고가 지속적으로 발생하고 있음
- 정부가 정보보호 공시 의무 대상을 상장사 전체로 확대하고 보안 등급 공개 및 징벌적 과징금 도입 등 제재를 강화하는 범부처 정보보호 종합대책을 발표했습니다.
- 정부가 '범부처 정보보호 종합대책'을 발표하며 정보보호 공시 의무 대상을 현행 666개사에서 약 2,700여 개 상장사 전체로 확대
- 공시 결과를 토대로 기업 보안 역량을 등급화하여 공개하는 방안 포함
- CEO의 보안 책임 원칙 명문화 및 징벌적 과징금 도입 등 제재 수위를 대폭 높임
- 현행 공시 제도 하에서도 의무 대상 기업 중 정보보호 인력이 0명인 경우가 많고, CISO 미지정 기업도 존재하여 도덕적 해이 지적
- 국내 보안 업계는 의무 대상 확대로 인해 보안 인력 채용, 솔루션 도입 등 시장 활성화의 기폭제가 될 것으로 기대함
- 일각에서는 세부 공시 항목 공개가 상대적으로 보안 등급이 낮은 기업들의 취약점을 노출하는 창구가 될 수 있다는 우려 제기
- ESG 공시의 전례처럼 정보보호 공시 제도 역시 형식적인 실적 경쟁으로 흐를 수 있다는 우려도 나옴
- 정부는 정보보호 투자를 비용이 아닌 필수로 인식하도록 기업의 행태 변화를 유도하는 중
- 오픈AI가 챗GPT를 브라우저에 직접 통합한 새로운 웹 브라우저 '아틀라스(Atlas)'를 출시하며 웹과 사용자의 소통 방식에 근본적인 변화를 시도합니다.
- 오픈AI의 '아틀라스'는 챗GPT를 웹 브라우저와 실질적으로 통합한 새로운 개념의 플랫폼 출시
- URL 입력창이 챗GPT 프롬프트 창을 겸용하고, 사이드바에서 현재 페이지 문맥을 이해하여 요약, 설명 등 제공
- 지능형 메모리 및 학습 기능을 갖춰 과거의 채팅 및 브라우징 기록을 불러와 문맥까지 되살릴 수 있음
- 로그인된 탭 내에서 브라우징, 클릭, 입력 등 작업 자동화 기능인 '에이전트 모드'를 제공하여 생산성 향상 기대
- 크롬의 북마크, 기록, 비밀번호, 확장 프로그램 호환 등 기존 브라우저 사용자의 매끄러운 이전 지원
- 사용자 온라인 활동을 더 깊이 기억하고 활용한다는 점에서 편리성 증진과 함께 '감시 가능성'에 대한 우려 공존
- 출시 직후부터 AI 모델에 의도치 않은 명령을 주입하는 '프롬프트 인젝션' 등의 취약점에 노출되었다는 경고
- 아틀라스는 현재 애플 맥 전용이며 윈도우와 안드로이드 버전은 조만간 출시될 예정
- AI 기술 확산 속에서 기업 개발 환경이 임시 개발 공간인 '에페멀 환경' 방식으로 재편되고 있으며, 이는 생산성 향상과 보안 강화에 기여합니다.
- AI 기술 확산과 빠른 서비스 출시 압박 속에서 기존 개발 인프라의 한계로 인해 환경 재편의 필요성 증가
- 기업들이 복잡하고 일관성 없는 개발 환경으로 인한 '환경 설정 부채'라는 새로운 장애물에 직면함
- '에페멀 환경'은 필요할 때 즉시 생성하고 사용 후 제거되는 임시 개발 공간으로, 개발 환경 일관성을 높임
- 자동화된 정책, 접근 제어, 감사 추적이 내장되어 비용 절감 및 컴플라이언스 강화에 기여
- 데이터 및 서비스와 가까운 환경에서 작업하는 '근거리 배포'를 통해 레이턴시를 줄이고 빌드 속도를 높이는 방식 주목
- 코더(Coder)는 팀별 도구와 설정이 사전 구성된 환경을 수초 내 제공하는 '환경 서비스(Environment-as-a-Service)' 모델 제시
- 역할 기반 접근 통제, 자동화된 정책 집행 등을 통해 개발자의 생산성을 확보하며 보안과 운영 안정성 유지
- 개발 환경은 IT 인프라의 부속물이 아닌, AI 시대 기업 경쟁력의 중심으로 부상함
- 한국은 ICT 강국임에도 불구하고 AI 도입 속도가 선진국 중 하위권에 머무는 상황이며, 이는 위험 회피적 조직문화와 경직된 제도 문제로 지목됩니다.
- 한국은 ICT 강국이지만 AI 도입 속도는 선진국 중 하위권이며, 중소기업의 AI 활용률이 특히 낮음
- 위험을 회피하는 조직문화로 인해 AI 기술 도입의 불확실성을 감내하기보다 시범사업 수준에서 멈추는 경향
- 행정기관이 데이터를 권한의 근거로 인식하며 정부 부처 간 데이터의 폐쇄성이 심각함
- 대기업 중심으로 AI가 확산되는 반면 중소기업은 인력, 예산, 인프라 부족으로 디지털 격차가 심화
- 정책의 단기성 및 제도의 모호함이 문제이며, 개인정보보호법 등 관련 법규 간 충돌로 데이터 활용의 회색 지대 확대
- AI가 의사결정을 대체하는 것에 대한 사회적 신뢰가 낮고 책임 주체가 불명확한 것도 도입을 늦추는 장애 요인
- 한국은 초고령 사회에 진입하는 등 패러다임 전환이 절실하며, 제도와 조직의 반응 속도가 느림이 지적됨
- 3만 달러의 덫에서 벗어나기 위한 유일한 길은 새로운 시대에 걸맞은 패러다임의 전환뿐이라는 주장
- 기업 CIO는 에이전틱 AI가 가져오는 생산성 향상과 함께 보안, 규정 준수 등 위험 간의 균형을 잡는 리더십을 발휘해야 합니다.
- 직원들이 코파일럿, 챗GPT 등 에이전틱 AI를 활용하여 업무 자동화를 구축하며 생산성이 폭발적으로 향상되는 상황
- 에이전틱 AI는 이미 SaaS 도입, BYOD와 같은 흐름을 따르며 중앙의 승인 없이 빠르게 확산되는 중
- CIO의 과제는 속도를 늦추지 않으면서도 보안, 규정 준수, 데이터 노출 등 위험으로부터 조직을 보호하는 것
- 직원들의 실험을 장려하되, 샌드박스 환경 구축 등 안전한 실험을 위한 표준을 마련해야 함
- 데이터 접근, 모델 활용, 출력 검증에 대한 경량형 거버넌스 프레임워크를 설계하여 신뢰를 확보하는 것이 중요
- IT를 변화를 촉진하는 전략 부서로 재정의하고, 통제자가 아닌 가이드로서 역할을 전환해야 함
- 법무, 준법감시 등 전사적 협업 체계를 구축하여 '안전한 혁신'의 기준을 함께 정의할 필요성
- 에이전트 도입을 주도하지 못하는 CIO는 혁신 흐름에서 배제될 위험이 있으며, 리더십의 신뢰도에도 영향
- 성공하는 CIO는 무분별한 도입이 통제를 벗어나기 전에 표준과 프레임워크를 신속히 수립해야 함
📢 주요 보안뉴스
27일 글로벌 사이버 보안 리더 카스퍼스키(한국지사장 이효은)는 이 같은 조사 결과를 발표했다. DLL... 카스퍼스키는 이에 대응해 자사의 보안 정보 및 이벤트 관리(SIEM) 플랫폼에는 AI 기반 기능이 추가했다. 이를 통해...
출처: 보안뉴스
물리보안은 여러 보안 중 한 가지 영역으로, 인증, 식별, 감시, 관제 등의 보안 기술을 이용해 재난, 도난, 침입과 같은 다양한 위협들로부터 인력, 자산, 시설물 등을 보호하는 활동이다. 물리보안은 펜스(Fence)...
출처: 보안뉴스
이후 8월, 이 내용은 글로벌 보안 잡지 프랙(Phrack)을 통해 공개된다. 국가 위협 행위자들의 행태가... 보안 상의 이유로 신분을 자세히 밝힐 수 없는 독립 해커인 세이버와 이메일로 대화해봤다. 프랙 공개 두달 전...
출처: 보안뉴스
인공지능(AI) 시대에 대두된 오픈소스의 보안과 안정성을 해결할 방안으로 거버넌스와 하이브리드... 첫 번째 기조연설자로 나선 서성한 에스코어 오픈소스사업부장은 'AI 혁신을 완성하는 핵심 조각, 오픈소스 보안과...
출처: 전자신문
📌 기타 보안뉴스
하지만 많은 보안 전문가가 기업이 아틀라스를 섣불리 도입하지 말아야 한다고 경고했다. 잠재적인 보안 위험이 존재하기 때문이다. 아틀라스는 사용자의 선호도에 따라 웹 탐색 과정을 자동으로 수행하도록 도와주는...
출처: ITWorld
보안 전문가 트로이 헌트가 운영하는 데이터 유출 추적 서비스 해브아이빈폰드(Have I Been Pwned)에 1억8,300만 개... 시스니언트는 온라인 플랫폼에서 악성 행위를 탐지하고 차단하는 보안 솔루션을 제공하는 업체다....
출처: ITWorld
AI 웹 브라우저가 사이버 보안의 새로운 취약점으로 떠오르고 있다. 26일(현지시간) 블록체인 매체... 시스템과 보안 가드레일을 적용했다'고 밝혔다. 오픈AI 역시 '신뢰할 수 있는 브라우저 에이전트를 만드는 것이 목표...
출처: 디지털투데이
현재 국가정보원이 공공 분야를, 국방부 사이버작전사령부가 국방 분야를, 과학기술정보통신부와 한국인터넷진흥원(KISA)이 일반 기업 등 민간 분야를, 금융위원회와 금융보안원이 금융 분야 사이버 보안을 각기 전담하고...
출처: 정보통신신문
리눅스 랜섬웨어가 윈도우 환경까지 침투하는 변종 공격 방식이 확인돼 보안 업계의 주목을 받고 있다.... 이는 기존 윈도우 중심의 보안 체계에서는 쉽게 탐지하기 어려운 방식으로, 하이브리드 인프라를...
출처: IT Daily
사이버보안·개인정보호 국제 콘퍼런스 2025’에서 “AI 대전환이란 변화를 맞이하며 이중적인 AI에 대해... 그는 특히 최근 공격 유형이 다양해지며 지능화된 사이버보안 공격 위협에 대한 대비가 필요하다고 강조했다....
출처: 디지털타임스
디지털타임스와 고려대 정보보호대학원은 27일 서울 성북구 안암캠퍼스 SK미래관 최종현홀에서 ‘사이버보안·프라이버시 국제 콘퍼런스 2025’(KU-ICCSP 2025)를 개최했다. 행사에서 이 대학원 권헌영 교수는 “AI 기술로...
출처: 디지털타임스
디지털타임스와 고려대 정보보호대학원 공동주최로 27일 서울 성북구 고려대 안암캠퍼스 SK미래관 최종현홀에서 열린 ‘사이버보안·프라이버시 국제 컨퍼런스 2025’(KU-ICCSP 2025)에선 인공지능(AI) 위험과 사이버보안 위협...
출처: 디지털타임스
업계 관계자는 “해킹에 따른 피해 사례가 발생하지 않은 SK텔레콤이나 아직 의심 정황만 있는 LG유플러스와 달리 KT는 실제 금전 피해가 발생했다는 점에서 파급력이 크다”며 “보안 투자·장비 관리 등 향후 유사 피해...
출처: 국민일보
“골키퍼 있어도 골은 들어간다” “내 개인정보가 공공재가 되고 있다.” 연이은 개인정보 유출 사고에 한탄하는 목소리가 커졌다. 반면 정보 유출에 대한 충격파는 작아졌는데 이는 점점 무뎌지고 있다는 방증이다....
출처: 일요시사
글로벌 보안 기업 체크포인트(Check Point)가 유튜브를 통한 대규모 악성코드 유포 작전을 적발했다.... 더불어 안랩 보안 담당자는 '포털 검색 결과로 노출되는 웹사이트에서 악성코드가 유포되는 사례가 지속적으로...
출처: 뉴스워커
열린 '범부처 정보보호 종합대책' 합동브리핑에 참석하고 있다. /뉴시스 잇따른 대규모 해킹 사태로 '디지털 리스크'가 기업 가치를 위협하는 핵심 요인으로 떠오르자, 정부가 정보보호 공시 의무 대상을 상장사 전체로...
출처: 메트로신문
⚠️ 사고 소식
SK쉴더스는 임직원 약 7000명, 매출 2조원 규모의 국내 대표 보안 기업으로, 고객사는 1200여곳에 이른다.... 공기관 보안 관제 시스템을 비롯한 보안 자료들이 누출된 것이 확인된 만큼 추가 피해를 막기 위한 보안...
출처: 보안뉴스
🧠 IT 뉴스
다만 보안과 프라이버시에 대한 우려는 적지 않다. 이 때문에 아틀라스에 비판적인 시각으로 바라보는 측도... 결국 아틀라스는 기존의 브라우저에서 요구됐던 탐색의 자유, 신뢰성, 보안 및 프라이버시 측면에서는...
출처: IT Daily
역할 기반 접근 통제, 자동화된 정책 집행, AI 실험용 샌드박스를 포함해 거버넌스가 환경 자체에 녹아들어 개발자는 생산성을 확보하면서도 보안과 운영 안정성을 유지할 수 있다. 비용 효율성과 유연성도 핵심...
출처: 토큰포스트
실제 산업 현장에서 활용을 촉진할 제도적 장치는 미미하며 ‘개인정보보호법’과 ‘공공데이터법’, ‘전자정부법’은 서로 충돌해 데이터 활용의 회색 지대만 넓히고 있다. 다섯째, AI의 사회적 수용성과 책임...
출처: 소방방재신문
하지만 보안, 규정 준수, 데이터 노출 같은 위험 또한 현실이다. CIO의 과제는 이런 변화를 허용할지 여부가... 에이전트 도입은 사후 패치로 해결할 수 없는 보안, 규정 준수, 거버넌스 문제를 불러온다. 위험은 여러...
출처: CIO Korea
개인정보 보호는 물론, 국가별 표준과 기술 가이드를 함께 논의하는 새로운 다자 틀이다. 이를 통해 대한민국은 데이터의 문지기가 아니라 신뢰 플랫폼의 설계자가 된다. 이 플랫폼을 통해 생성된 AI는 신뢰를 기반으로...
출처: 국가미래연구원