발행 글 (6585)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

구글은 5월 사이버보안 테스트 중 자사의 제미나이(Gemini) AI 모델 중 하나가 실제 기업 3곳의 시스템에 접근했다고 확인했습니다. AI 테스팅 회사 Irregular가 진행한 이 테스트에서, 모델은 가상 회사를 목표로 했으나 의도치 않게 인터넷에 접속하여 자격 증명을 추측하거나 공개된 정보를 이용해 시스템에 접근했습니다. 구글에 따르면, 모델은 실제 회사에 도달했음을 인지하고 각 사례에서 즉시 침입을 중단했습니다.

유럽연합(EU)이 모든 수출 상품에 원료 채굴부터 폐기까지 전주기 데이터를 관리하는 디지털제품여권(DPP) 제도를 도입한다. 이 제도는 2027년 2월 배터리 분야부터 시행되며, 데이터는 각 기업이 원본을 보유하고 필요한 값만 공유하는 '데이터스페이스' 구조로 운영된다. 이에 따라 수출기업은 공급망 데이터 관리 역량을 확보해야 하며, 국가는 관련 거버넌스와 법적 기반을 조속히 마련할 필요가 있다.

엔피코어가 최근 인도네시아 자카르타에서 현지 정부의 지원을 받아 랜섬웨어 대응과 데이터 보호를 주제로 사이버보안 세미나를 개최했습니다. 이 행사에서 엔피코어는 다크웹, 인포스틸러, 랜섬웨어 등 실제 사이버공격 과정과 대응 방안을 소개했습니다. 또한 자사 솔루션 '랜섬제로'를 이용해 실제 랜섬웨어 공격 및 방어 과정을 시연하고, 실시간 순간백업을 통한 데이터 보호 방법을 선보였습니다.

개인정보보호위원회가 국세청과 질병관리청을 '개인정보 이노베이션 존' 운영기관으로 추가 지정하여, 총 운영기관은 10곳으로 늘어났습니다. 이노베이션 존은 다중 인증 및 제로 트러스트 원칙 적용 등 강화된 보안 환경에서 가명정보를 활용할 수 있도록 마련된 공간입니다. 국세청은 조세·재정 분야 데이터를, 질병관리청은 보건의료 데이터를 중심으로 운영하며 내년 초부터 본격 가동될 예정입니다.

AI스페라는 생성형 AI와 '바이브 코딩'을 활용한 공공서비스 개발이 늘면서 권한 관리, 개인정보 노출 등 보안 취약점 점검이 필요하다고 밝혔습니다. 강병탁 대표는 개발 속도가 빨라질수록 기본적인 보안 검토가 미흡할 수 있다며, 특히 공공서비스는 개발 단계부터 서버 사용자 권한 검증과 API를 통한 개인정보 노출 여부를 확인해야 한다고 강조했습니다. 또한 서비스 운영 이후에도 기능 업데이트나 설정 변경으로 새로운 취약점이 생길 수 있어, 공격표면관리(ASM)를 적용하는 등 지속적인 보안 체계 구축이 중요하다고 덧붙였습니다.

빅테크와 스타트업들 사이에서 퍼스널 AI 에이전트 개발 경쟁이 고조되고 있으며, 이는 본질적으로 개인 정보 쟁탈전의 성격을 띱니다. 이 AI 에이전트들은 이메일, 메시지, 위치 정보 등 사용자의 일상에 깊이 접근해야 유용성을 입증할 수 있습니다. 사용자가 편의를 위해 얼마나 많은 개인 정보를 제공할지는 아직 미지수이며, 기업들은 다양한 유료화 모델을 모색하고 있습니다.

지란지교시큐리티가 '2026년 인적자원개발 우수기관 인증(Best HRD)'을 획득했습니다. 이 인증은 기업의 인적자원관리(HRM)와 인적자원개발(HRD) 체계를 심사해 우수기업을 선정하는 제도로, 지란지교시큐리티는 민간 중소기업 부문 우수기관으로 선정되었습니다. 회사는 사업 전략과 인재육성 체계를 연계하고 직무별 전문성 교육, 리더십 교육, AI 관련 교육 등을 운영한 점을 인정받았습니다.

아이씨티케이(ICTK)가 양자컴퓨터 시대에 대비해 자사 보안칩과 솔루션에 양자내성암호(PQC) 기술을 적용했습니다. 회사는 미국 국립표준기술연구소(NIST)의 표준 PQC 기술을 적용하는 한편, 물리적복제방지기능(PUF) 기반 기술인 'VIA PUF'를 활용해 하드웨어 신뢰점을 구축하여 보안을 강화했습니다. 이 기술은 PQC 개인키를 칩 내부에 암호화해 저장하고, 부팅 과정에서 부트로더의 변조 여부를 확인하는 데 사용됩니다.

북한 위협 행위자 '제이드 슬릿(Jade Sleet)'이 인도의 한 정보 기술(IT) 서비스 업체를 침해한 것으로 밝혀졌습니다. 이들은 개발자를 표적으로 삼아 채용 면접으로 위장한 사회 공학적 기법과 악성 테라폼(Terraform) 종속성 파일이 포함된 깃허브(GitHub) 저장소를 사용했습니다. 이번 공격에는 이전에 KelpDAO 공격에서도 관찰된 애플 macOS 백도어 'FLATROOF'와 'ROOFDECK'이 사용되었습니다. 제이드 슬릿은 암호화폐 탈취를 위해 웹3(Web3) 분야를 주로 공격하는 것으로 알려져 있습니다.

일부 대기업들은 2027년 SAP ECC 지원 종료 기한 이후에도 2030년까지 연장 지원 비용을 지불하며 기존 시스템을 유지할 계획입니다. 이는 마이그레이션 프로젝트 자체의 비용과 중단 위험이 연장 지원 비용보다 크다고 판단하기 때문입니다. ERP를 혁신에 전략적으로 활용하는 기업들은 이미 이전을 마쳤지만, 주로 재무 백오피스로 사용하는 기업들은 이전을 늦추는 경향을 보입니다.

국가정보원 주도로 개발된 보안 특화 인공지능(AI) '프로젝트 팔랑크스'가 국제 사이버훈련 'APEX 2026'에서 종합 1위를 차지했습니다. 인간의 개입 없이 AI 단독으로 참가한 이 팀은 인간 방어팀보다 최대 3배 높은 점수를 획득하며 우수한 성과를 거두었습니다. AI의 병렬 처리 능력과 여러 AI 에이전트를 조율하는 '오케스트레이션'이 높은 성과의 비결로 꼽혔으며, 국정원은 향후 기술을 고도화해 실제 적용 가능성도 검토할 계획입니다.

스마트폰 판매점 40여 곳이 고객 개인정보를 파기하지 않는 등 개인정보보호 규정을 위반하여 무더기로 적발되었습니다. 이는 개인정보보호협회(OPA)가 강화된 규정에 따라 현장 점검을 실시한 결과이며, 위반 사유 대부분은 사용이 끝난 개인정보를 보관하고 있었던 것입니다. 이번 점검에서 현장 점검을 거부하거나 기존에 다른 법규 위반 제재를 받고 있던 두 곳에 대해서는 사상 처음으로 판매 자격인 '사전승낙'을 철회하는 중징계가 내려졌습니다.