발행 글 (2454)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

SOCRadar 연구진은 북한계 해킹 그룹 Famous Chollima 가 Web3 및 암호화폐 전문가를 대상으로 LinkedIn 등 플랫폼을 통해 구직 인터뷰와 평가 테스트를 진행하며 원격 액세스 트로이 (RAT) 를 설치하도록 유도하는 새로운 사회공학 작전을 발견했다. 이 공격은 심리학적 압박과 실시간 감시를 활용하여 신뢰를 구축한 뒤, 시스템 오류가 발생했을 때 사용자가 명령어를 입력하게 함으로써 악성 코드를 배포한다.

ServiceNow AI 플랫폼의 원격 코드 실행 취약점인 CVE-2026-6875에 대해 Searchlight Cyber와 Defused가 기술적 세부사항을 공개하거나 악용 사례를 보고했으나, ServiceNow는 현재까지 호스팅 인스턴스와 관련된 증거는 관찰되지 않았다고 밝혔다. 서비스 제공자는 패치를 배포했으며 자체 호스팅 고객은 이를 직접 설치해야 한다고 안내했다.

금융보안원은 김태수 마이크로소프트 부사장 겸 조지아공대 교수를 초청해 'AI 시대의 사이버 위협 진화와 대응 전략' 특강을 개최했다고 밝혔다. 그는 AI 공격의 속도와 규모가 급변함에 따라 취약점 자동 탐지를 넘어, AI 에이전트 간 협업을 통한 검증과 방어 체계 구축이 필요하다고 강조했다.

사이버위협 인텔리전스 기업 스텔스몰(StealthMole)이 분석한 결과, 다크웹 포럼에서 판매 중인 자료에는 카카오스타일의 코드 저장소 정보와 개발·배포 환경 설정값 등 내부 정보가 포함되어 있는 것으로 확인됐다. 샘플 파일에서는 'kakaostyle'이라는 명칭의 클라우드 경로 및 AWS 계정번호가 발견되었고, 게시자 ExtortionLord는 과거 랜섬웨어 조직 록빗(LockBit)과 연관된 계정이었던 것으로 추정된다. 현재 한국인터넷진흥원(KISA)은 카카오스타일을 대상으로 실제 침해 여부와 정보유출 범위를 조사 중이며, 판매자가 주장한 전체 소스코드 및 데이터베이스 유출 사실은 아직 확인되지 않았다.

개인정보보호위원회는 '본인전송요구권' 제도의 안정적인 정착을 위해 정보전송자와 대리인 간 사전협의 지원 신청 기간을 7월 31일까지 추가로 연장한다. 이번 제도 시행으로 스크래핑 등 자동화 도구를 이용한 개인정보 전송이 전면 금지되거나 기존 서류 자동제출 서비스가 일괄 중단되는 것은 아니다. 공공기관과 대리인이 안전장치를 마련한 경우 자동화된 정보전송은 제한적으로 허용하며, 장기적으로는 API 기반의 통제된 방식으로 전환할 예정이다.

이지서티는 경기도의 '경기 생성형 AI 플랫폼 구축 사업'에 개인정보 필터링 솔루션인 EZRO-UP V4.0 을 공급했다. 이 솔루션은 행정문서를 전처리할 때 OCR 으로 추출된 텍스트에서 개인정보를 검출하고 마스킹 처리한 뒤 결과를 플랫폼에 API 방식으로 반환한다. 또한 외부망 데이터 통합 플랫폼에도 적용하여 사용자가 파일을 업로드하거나 반입할 시 개인정보 유무를 검사하며, 탐지되면 팝업 창을 통해 안내하고 보안 정책에 따라 차단 조치한다.

김소정 대통령실 사이버안보비서관은 21일 서울 중구 롯데호텔에서 열린 제155차 CISO 포럼에서 AI 전환을 기존 보안 체계 강화와 별개로 생각해서는 안됨을 강조했습니다. 김 비서관은 정보보호 종합대책과 '정보통신망 이용촉진 및 정보보호 등에 관한 법률' 개정을 언급하며 10월 시행 시 기업에 정보보호위원회 구성 의무를 부과하고 CISO의 조직적 기반 확대가 이루어질 것이라고 밝혔습니다.

과학기술정보통신부와 한국인터넷진흥원(KISA)은 데프콘 34 본선 진출을 기념하여 출정식을 개최했다. 올해 대회 운영진은 뉴틸리스 인스티튜트에서 베네볼런트 버로 오브 버즈(BBB)로 변경되었으며, AI 및 LLM 도구 활용이 허용되지만 완전 자율 AI 사용은 금지된다. 국내는 BoB 수료생 포함 5개 연합팀으로 총 136 명의 구성원을 보내 데프콘 본선에 진출했다.

데일리시큐는 7월부터 장삼봉 작가의 정보보안 소설《로그아웃되지 않는 밤》을 매주 4편씩 연재한다고 밝혔다. 제9화 'EOS 의 유령'에서는 지원 종료 선언된 운영체제에 새 취약점이 발견되었음에도 패치가 나오지 않고, 교체나 격리 작업이 예산과 인력 부족으로 불가능함을 묘사했다.

서울시설공단이 공공자전거 따릉이 서버 보안 취약점을 악용한 무단 수집으로 2024 년 6 월 30 일 이전 가입 회원 중 일부의 개인정보가 유출됐다고 밝혔다. 공격자들은 6 월 28 일과 29 일에 ID, 휴대폰 번호 등 다양한 항목을 무단 수집했으나 경찰 수사 결과 제3 자 유출이나 실제 피해 정황은 확인되지 않았다. 서울시설공단은 비상대응센터를 가동하고 보안 조치를 강화했으며, 불편을 겪은 회원에게 8 월 중 따릉이 30 일권 이용 쿠폰을 지급할 예정이다.

양자보안 반도체 전문기업 이와이엘은 암호모듈 '크립토립 v1.2'가 국가암호모듈검증(KCMVP) 재검증을 통과했다고 밝혔다. 이를 기반으로 글로벌 HSM 기업 엔트러스트에 제품을 공급하며, 양자물리 기반 엔트로피 기술과 256비트 보안강도를 지원한다. 크립토립 v1.2는 SEED·KDF·빅엔디안 기능을 추가해 금융·공공·국방 및 클라우드 환경에서 적용할 수 있게 되었다.

보안 전문기업 RSA 는 생성형 AI 가 피싱 메일을 자동 제작해 기존 인증 방식의 취약점을 악용할 수 있는 환경에 대응하기 위해 'RSA ID Plus'를 제공한다고 밝혔다. 이 솔루션은 FIDO2 기반 모바일 패스키와 생체인식, QR 코드 등 다양한 요소를 활용하는 패스워드리스 인증을 지원하며 제로 트러스트 보안 체계 구축과 다단계 인증의 복원력 강화를 목표로 한다.