발행 글 (2454)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

보안 연구원 '나이트메어 이클립스'가 새로운 윈도우 제로데이 취약점을 공개했습니다. '레거시하이브(LegacyHive)'로 명명된 이 익스플로잇은 윈도우 사용자 프로필 서비스의 로컬 권한 상승 버그로, 공격자가 관리자를 포함한 다른 사용자의 하이브를 로드할 수 있게 합니다. 연구원은 실제 공격에 악용되는 것을 막기 위해 기능이 일부 제거된 개념 증명(PoC) 코드를 공개했으며, 마이크로소프트는 아직 이 익스플로잇을 인정하지 않았습니다.

이재명 대통령은 미국의 사이버 보안 특화 AI 모델에 대한 접근 통제 가능성에 대비해야 한다고 말했다. 또한, 개인정보 유출에 대한 내부자 신고 포상을 강조했다. 이에 정부는 연내에 보안 특화 독자 AI 모델 개발을 추진하고 있으며, 개인정보 유출 사고를 신고하는 내부자에게 포상금을 지급하는 제도 도입을 위한 법안을 준비 중이라고 보고했다.

피앤피시큐어가 국내 주요 금융기관에 자사 DBSAFER 기반 통합 접근제어 및 계정관리 솔루션을 공급하며 시장을 확장하고 있습니다. 최근 금융권에서는 데이터베이스, 시스템 등 개별적으로 보안 솔루션을 운용할 때 발생하는 관리 공백을 막기 위해, 접근제어와 계정관리를 하나의 시스템으로 연결하는 통합 운영 체계 도입을 추진하고 있습니다. 이러한 통합 모델은 분산된 접근 정책과 사용자 권한, 계정 등을 중앙에서 관리하게 해주며 제로 트러스트 보안 체계의 필수 요소로 꼽힙니다.

호주 항공사 콴타스에서 발생한 대규모 데이터 유출은 기술 지원 사기가 원인이었습니다. 사기꾼은 콴타스 IT 지원팀을 사칭하여 콜센터 직원을 속여 고객관계관리(CRM) 시스템을 데이터 추출 도구에 연결하도록 유도했습니다. 이 사고로 570만 고객의 개인 식별 정보가 유출되었지만, 호주 개인정보보호위원회는 콴타스가 개인정보 보호 의무를 위반하지 않았다고 결론 내렸습니다. 위원회는 콴타스가 보안 감사, 직원 교육, 역할 기반 접근 제어 등 데이터를 보호하기 위한 합리적인 조치를 취했다고 판단했습니다.

사이버 보안 기업인 트렌드마이크로, 이셋, 테너블, 태니엄이 자사 제품의 심각한 취약점을 해결하기 위한 업데이트를 발표했습니다. 테너블은 원격 코드 실행으로 이어질 수 있는 에이전트의 경로 탐색 취약점을 수정했습니다. 이셋은 윈도우용 인스펙트 커넥터의 로컬 권한 상승 취약점을, 태니엄은 태니엄 서버의 서비스 거부(DoS) 취약점을 해결했습니다. 트렌드마이크로는 클리너 원 프로의 로컬 권한 상승 취약점에 대한 패치를 배포했습니다.

교육 플랫폼 기업 이투스의 고객 및 학생 개인정보 약 42만 5천 건을 판매한다는 게시물이 다크웹 포럼에 올라온 것으로 확인되었습니다. 'Aquahack'이라는 아이디를 사용하는 판매자는 이메일, 전화번호, 주소, 주문내역, 학생 등록정보 등이 포함된 데이터를 900달러에 판매한다고 주장했습니다. 게시물에는 주민등록번호로 해석될 수 있는 항목도 포함되어 있어 2차 피해가 우려되지만, 실제 이투스 시스템이 침해되었는지나 데이터의 진위 여부는 아직 확인되지 않았습니다.

KISA와 한국수자원공사가 건설 현장용 CCTV 성능시험 및 인증 기반을 조성하기 위한 업무협약을 체결했습니다. 양 기관은 실제 댐과 수도 건설 현장의 영상 데이터베이스를 공동으로 구축할 예정입니다. KISA는 이 데이터를 기반으로 기존 CCTV 성능시험·인증제도 내에 건설안전 특화 분야를 신설하여 공인된 성능 평가 체계를 마련할 계획입니다.

금융 부서를 노리는 피싱 공격은 긴급성을 강조하기보다 송장, 계약, 결제 통지 등 일상적인 업무 이메일을 모방하여 성공률을 높입니다. 이러한 이메일은 합법적인 비즈니스 서신처럼 보이기 때문에 수신자의 의심을 피하고 AI 기반 보안 이메일 게이트웨이를 우회할 가능성이 높습니다. 공격자들은 신규 사업 기회나 진행 중인 계약과 같은 주제를 사용하여 기존 워크플로우의 일부인 것처럼 위장합니다.

정보보안 전문기업 파도와 AI 보안 전문기업 에임인텔리전스가 AI 보안 공동연구 및 기술협력을 위한 업무협약(MOU)을 체결했습니다. 양사는 시스템 보안과 AI 모델 안전성을 함께 검증하는 통합 보안 서비스 개발을 목표로 합니다. 이를 위해 파도가 보유한 사이버 공격·방어 훈련 인프라에 에임인텔리전스의 AI 레드티밍 기술을 결합할 계획입니다. 공동 서비스는 지능형지속위협(APT) 공격 시나리오에 AI 레드티밍을 연계해 기업의 전통적인 IT 시스템과 AI 서비스를 동시에 시험하는 방식으로 제공될 예정입니다.

LG유플러스가 AI 기반 보안관제, 개인정보보호 강화 등의 성과를 담은 ‘정보보호백서 2025’를 발간했습니다. 회사는 SOAR 기반 통합 보안관제 체계를 통해 20만 건 이상의 보안 이벤트를 처리했으며, 평균 처리 시간을 전년보다 90% 이상 단축했습니다. 또한 정보보호 투자를 약 996억 원으로 늘리고, 외부 취약점 신고제도 시범사업에 참여하는 등 보안 역량을 강화하고 있습니다.

사설탐정의 부탁을 받고 경찰 내부 시스템에서 지명수배자 정보와 개인정보를 불법으로 조회해 판매한 혐의로 현직 경찰관 2명이 기소되었습니다. 이 중 한 경찰관은 차적 조회, 범죄수사경력조회 등 정보 유형별 가격을 정한 단가표를 만들어 텔레그램으로 홍보한 정황도 확인되었습니다. 이번 사건은 정상적인 접근 권한을 가진 내부자가 정보를 외부로 판매한 내부자 위협의 위험성을 보여줍니다.

퀀트 투자 플랫폼 뉴지스탁에서 피싱 이메일로 인해 관리자 계정이 침해되어 회원 개인정보가 유출되는 사고가 발생했습니다. 외부 해커는 지난 3월 관리자 계정에 불법 접근했으며, 회사는 약 4개월이 지난 7월 수사기관의 통보로 유출 사실을 인지했습니다. 유출된 항목은 회원 아이디, 닉네임, 접속 정보 등이며, 이메일 주소와 비밀번호는 포함되지 않은 것으로 확인되었습니다. 뉴지스탁은 2022년에도 해킹으로 개인정보가 유출된 바 있습니다.