발행 글 (6565)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

엘라스틱의 최고정보보호책임자(CISO) 맨디 앤드레스는 AI를 이용한 공격이 초 단위로 가능해져 전통적인 방어 방식은 더 이상 효과적이지 않다고 지적했습니다. 그는 방어자들도 AI와 에이전트 기반 프로세스를 도입해야 하며, 에이전트에게 충분한 맥락 정보를 주고 최소한의 필요 권한만 부여하는 전략이 필요하다고 강조했습니다. 이에 따라 보안팀은 사고 발생 후 대응하는 방식에서 벗어나 사전에 움직이는 방어로 전환해야 하며, 사람은 AI를 관리하고 판단하는 더 의미 있는 역할을 맡게 될 것이라고 전망했습니다.

아이티센피엔에스가 정부의 양자보안 의무화 정책에 대응해 국가검증 암호 및 키관리 기술 기반의 양자내성암호(PQC) 전환 사업을 본격화한다고 밝혔습니다. 회사는 암호자산 식별 솔루션 '엣지CS'와 암호모듈검증 인증을 받은 하이브리드 방식 암호모듈 '엣지크립토'를 결합한 역량을 확보했습니다. 탐지, 분석, 적용의 3단계 모델을 통해 기존 시스템의 안정성을 유지하며 단계적으로 PQC를 적용하고, 향후 보안 반도체 및 하드웨어 분야로 사업을 확장할 계획입니다.

수산아이앤티는 자사의 SSL 가시화 솔루션 'e프리즘 SSL VA'가 국가정보원 보안기능확인서를 획득했다고 밝혔습니다. 이 솔루션은 암호화된 네트워크 트래픽을 복호화하여 방화벽, 침입방지시스템(IPS) 등 기존 보안장비가 악성코드와 이상 행위를 검사할 수 있도록 지원합니다. 수산아이앤티는 이번 보안기능확인서 획득을 계기로 공공기관 대상 SSL 가시화 사업을 확대할 계획입니다.

워드프레스 코어에서 익명의 방문자가 남긴 댓글을 통해 서버에서 코드를 실행할 수 있는 새로운 취약점(CVE-2026-93485)이 발견되었습니다. "Comment2Shell"로 명명된 이 결함은, 로그인한 관리자가 악성 스크립트가 포함된 댓글 페이지를 열 경우 관리자 세션을 이용해 웹 셸이 담긴 플러그인을 업로드하여 원격 코드 실행으로 이어질 수 있습니다. 워드프레스는 9월 17일 버전 7.1.1에서 이 문제를 해결했으며, 아직 이 취약점이 공격에 사용된 정황은 없습니다.

미국 11개 주에 걸친 14개 군사시설 매점에서 냉장·냉동 설비가 거의 동시에 고장 나 군 당국이 조사에 나섰다. 이번 사건으로 군 보급망의 산업제어장치 보안 문제가 제기되었으며, 사이버 공격 가능성도 거론되고 있다. 한 보안업체가 이전에 냉동 설비 제어장치에서 취약점을 발견했다고 발표했지만, 고장 난 매점에서 해당 장비를 사용했는지나 취약점이 악용되었는지는 확인되지 않았다. 미 육군 범죄수사사령부와 공군 특별수사국 등이 소프트웨어 오류 등 다른 가능성을 포함해 원인을 조사 중이다.

개인정보보호위원회 위원장이 통신 3사 대표들과 만나 AI 시대 개인정보 보호 방안을 논의하고 공동 선언문을 발표할 예정입니다. 개인정보위는 이 자리에서 지난 11일부터 시행된 개정 개인정보보호법의 주요 내용을 안내하고 법령 준수를 당부할 계획입니다. 개정법은 반복적이거나 고의·중과실로 대규모 개인정보 유출 사고를 일으킨 기업에 전체 매출액의 최대 10%를 과징금으로 부과할 수 있도록 합니다.

애플이 iOS 26.6.2에 대한 서명을 중단함에 따라, iOS 27을 설치한 아이폰 사용자는 공식적인 경로로 iOS 26 계열로 다운그레이드할 수 없게 됐습니다. 애플은 보안 취약점이 패치된 iOS 업데이트 이후, 공격에 악용될 가능성을 줄이기 위해 구버전 설치를 막는 서명 제한 조치를 시행합니다. 이로 인해 최신 버전의 오류나 호환성 문제로 이전 버전 복귀를 고려하던 사용자의 선택지가 줄어들게 되었습니다.

미국 사이버보안 및 인프라 보안국(CISA)은 Zyxel GS1900 시리즈 스위치에 영향을 미치는 보안 결함을 '알려진 악용 취약점(KEV)' 목록에 추가했습니다. CVE-2026-7273으로 추적되는 이 스택 기반 버퍼 오버플로우 취약점은 인증되지 않은 공격자가 LAN을 통해 임의의 OS 명령을 실행할 수 있게 합니다. 이와는 별개로, Arctic Wolf는 Veeam Agent for Microsoft Windows의 로컬 권한 상승 취약점(CVE-2026-32996)도 활발히 악용되고 있다고 경고했으며, 이를 통해 공격자는 시스템 수준의 제어권을 얻을 수 있습니다.

카카오게임즈의 개인정보 유출 대상이 기존 140명에서 총 243명으로 증가했습니다. 이는 새로운 공격이 아닌, 기존 침해사고 조사 과정에서 RINK 서비스 이용자 103명의 정보 유출이 추가로 확인된 것입니다. 이번 사고는 외부 공격자가 파트너스와 RINK 시스템의 취약점을 이용해 발생했으며, 타사 식별코드, 자체 식별코드, 일부 국가코드 등이 유출되었습니다. 카카오게임즈는 관계기관에 사고 사실을 신고하고 외부 보안 전문기관과 함께 구체적인 원인과 영향을 조사하고 있습니다.

EU는 2026년 하반기까지 NIS2 지침 준수 여부를 검토할 예정이며, 경영진은 위반 시 개인적인 책임을 질 수 있습니다. NIS2 제21조는 접근 통제 정책, 다중 인증(MFA), 기본 사이버 위생과 같은 최소한의 사이버 보안 위험 관리 조치를 의무화합니다. Passwork와 같은 암호 및 비밀 관리 솔루션은 이러한 요구사항을 자동화하여 준수 절차를 간소화하고 감사 증거 생성을 지원할 수 있습니다.

해커들이 마이크로소프트 팀즈 채팅을 이용해 IT 헬프데스크 직원을 사칭하여 윈도우 비밀번호를 탈취하고 있습니다. 이들은 외부 마이크로소프트 365 테넌트에서 직원에게 연락하여 악성코드 설치나 원격 접근을 유도합니다. 일단 접근 권한을 얻으면, SynkLoader와 같은 악성코드를 설치하여 가짜 윈도우 잠금 화면을 띄웁니다. 사용자가 이 화면에 비밀번호를 입력하면, 공격자는 이를 평문으로 캡처하여 탈취합니다.

AI 플랫폼 전문기업 피씨엔이 개인정보와 기업기밀을 보호하면서 분산된 데이터를 안전하게 분석하고 AI 학습에 활용하기 위한 '분산형 데이터 연합컴퓨팅' 기술을 고도화하고 있습니다. 이 기술은 데이터를 중앙으로 이동시키지 않고 연합 분석과 AI 학습을 수행하는 것을 목표로 하며, AI 모델 주기관리, 분산 데이터 정제, 데이터 사일로 리소스 모니터링 등 핵심 기술 개발에 집중합니다. 향후 의료, 금융, 교육 등 민감정보 활용 분야에서 데이터 주권을 보호하면서 기관 간 데이터 협력과 새로운 AI 서비스 개발을 확대하는 기반이 될 것으로 기대됩니다.