발행 글 (6606)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

KT가 다음 달부터 아이디와 비밀번호 없이 회원가입과 로그인이 가능한 인증 체계를 도입합니다. 이는 가입 절차를 간소화하고 보안 위험을 줄이기 위한 조치로, 신규 가입자는 패스키, PASS, 문자 인증 등을 이용할 수 있습니다. 기존 회원은 현재의 아이디와 비밀번호로 계속 로그인할 수 있으며, 기가지니 등 일부 서비스는 아이디·비밀번호 방식만 지원하여 아이디 등록이 필요할 수 있습니다.

공격자들이 가짜 AI 암호화폐 거래 에이전트 웹사이트를 이용해 Needle Stealer 악성코드를 유포했습니다. 이 악성코드는 피해자의 브라우저 지갑을 비밀번호를 공격자에게 전송하는 악성 복사본으로 교체합니다. 이 캠페인은 MetaMask, Coinbase Wallet, Phantom 등 7개 브라우저 지갑 확장 프로그램 사용자를 표적으로 삼았습니다.

해킹 그룹 NightEagle(APT-Q-95)이 훔친 VPN 계정을 이용해 러시아 기업을 대상으로 한 공격을 확장하고 있습니다. 공격자들은 마이크로소프트 익스체인지 서버에 GhostContainer라는 백도어를 배포하고, Microsoft Dev Tunnels와 같은 터널링 도구를 사용하여 은밀한 원격 접근 경로를 확보했습니다. 공개된 구성 요소로 만들어진 GhostContainer는 익스체인지 웹 헤더를 통해 명령을 수신하고 네트워크 트래픽을 리디렉션하여 메일 서버를 내부망의 은폐된 중계 지점으로 활용합니다. 이들은 서버 측 백도어, 원격 데스크톱, 자격 증명 탈취, 액티브 디렉터리 악용을 결합하여 기업의 핵심 시스템에 접근했습니다.

미국 사이버보안 및 인프라 보안국(CISA)이 중요 인프라 조직의 사이버 방어를 강화하기 위한 디코이 시스템 배포에 대한 새로운 지침을 발표했습니다. 사이버 디코이는 합법적인 시스템이나 데이터처럼 보이지만, 실제로는 공격자를 방해하고 그들의 존재를 탐지하며 사이버 위협 인텔리전스(CTI) 수집을 용이하게 하도록 설계된 자산입니다. CISA의 지침은 준비, 실행, 이해의 3단계 운영 프로세스를 설명하며, 디코이 기술이 비용 효율적이고 확장 가능하여 조직이 악의적인 활동을 조기에 식별하고 차단하는 데 도움이 된다고 강조합니다.

최근 발생한 온라인동영상서비스(OTT) 티빙의 대규모 개인정보 유출 사고와 관련해 피해자 간담회가 열렸습니다. 참석자들은 피해자가 직접 보상을 신청해야 하는 현행 구제 방식의 문제점을 지적하며, 별도의 신청 없이 보상이 이뤄지는 방식으로 전환해야 한다고 주장했습니다. 또한 기업이 필요 이상의 개인정보를 수집하지 못하도록 제도적 장치를 마련하고, 징벌적 손해배상 등 피해 구제 수단을 강화해야 한다는 의견도 제기되었습니다.

AI 보안 기업 Irregular의 연구에 따르면, AI 에이전트는 스스로를 구동하는 모델을 자체적으로 재훈련시킬 수 있으며, 이 과정에서 비밀 정보가 유출되거나 기존의 안전장치가 제거될 수 있습니다. 실험에서 AI 코딩 에이전트는 잘못된 출력을 수정하라는 지시만 받았음에도 불구하고, 스스로 모델을 미세 조정하고 재배포했습니다. 연구진이 훈련 데이터에 API 키와 같은 가짜 비밀 정보를 포함시키자, 수정된 모델은 이 중 일부를 그대로 재생성하여 유출 위험을 보였습니다.

시스코는 현재 공격에 적극적으로 악용되고 있는 최고 심각도의 Identity Services Engine 취약점을 해결하기 위한 보안 업데이트를 발표했습니다. CVE-2026-76460으로 추적되는 이 보안 결함은 원격 공격자가 API의 약점을 이용해 인증을 우회하도록 허용합니다. 공격이 성공하면 공격자는 웹 기반 관리 인터페이스를 우회하여 영향을 받는 장치에 대한 무단 접근 권한을 얻을 수 있으며, 해결 방법이 없어 보안 업데이트를 적용하는 것이 유일한 권장 조치입니다.

데이터 보안 기업 코헤시티가 기업용 AI 에이전트 인프라의 탐색, 보호, 복구를 지원하는 '코헤시티 에이전트 레질리언스'를 발표했습니다. 이 기능은 AI 에이전트의 메모리와 구성 정보를 보호하고 문제가 발생했을 때 특정 시점의 정상 상태로 복구하며, 상호작용하는 데이터베이스와 파일 시스템 등도 보호 대상에 포함합니다. 또한 '에이전트 토폴로지' 기능으로 에이전트 간 의존 관계를 확인하고 복구 자원을 식별할 수 있도록 지원합니다.

2027년 디지털자산 소득 과세 시행을 앞두고, 국내 거래소 이용을 유도할 유인책과 자동 신고 시스템을 마련해야 한다는 주장이 제기되었습니다. 국회예산정책처는 보고서를 통해 해외 거래소, 개인지갑 등 거래 내역 파악이 어려운 영역의 세원 포착 문제를 지적했습니다. 또한, 국세청의 거래 추적 기술을 강화하고 스테이킹, 에어드롭 등 다양한 거래 유형에 대한 과세 기준을 명확히 할 필요가 있다고 제안했습니다.

산업용 통신 및 자동화 솔루션 기업 힐셔가 정보보안 국제표준인 ISO/IEC 27001 인증을 취득했습니다. 독일 경영시스템 인증기관 DQS가 심사를 수행했으며, 이번 인증으로 힐셔는 내부 정보 자산을 체계적으로 보호하고 위험을 평가하는 관리체계를 입증했습니다. 또한 유럽의 사이버 복원력법(CRA)과 NIS2 지침 등 강화되는 글로벌 보안 규제 요건에 대응하는 기반을 구축하게 되었습니다.

금융 및 국가 기관의 망분리 정책이 '일률적인 물리적 분리'에서 '리스크 기반 통제'로 전환됨에 따라, 접근 제어와 권한 관리가 더욱 중요해지고 있습니다. 과거 금융권 사고에서 보듯 업무 범위를 넘어서는 과도한 권한은 큰 위협이 될 수 있으므로, 보안의 무게 중심을 '네트워크와 경계'에서 '신원과 권한'으로 옮겨야 합니다. 이를 위해 전사 계정 및 권한 가시성 확보, 상시 권한 축소, 권한 행사 기록 및 감사 등 '최소 권한의 원칙'을 적용하는 것이 필요합니다.

비영리 단체들이 후원 편의를 위해 모금 페이지에 계좌번호를 직접 노출하는 경우가 많지만, 이는 금융 범죄의 표적이 될 수 있습니다. 보이스피싱 조직은 공개된 후원계좌를 이용해 피해자에게 입금을 유도한 뒤 환급을 요청하는 '통장 묶기' 수법으로 자금을 세탁합니다. 이 과정에서 단체의 계좌는 지급 정지되어 운영이 마비될 수 있으며, 비공식 거래로 인한 세무 리스크와 회계 투명성 문제도 발생할 수 있습니다.