발행 글 (6606)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

개정 개인정보보호법이 시행됨에 따라 사업주와 대표자의 책임이 명시되고 CPO의 권한이 확대되는 등 경영진 차원의 내부통제 책임이 강화되었습니다. 이에 더해 금융감독원도 대형 GA의 외부 DB 업체 선정 심사 및 업무 적정성 점검 항목을 신설하고 지사 단위의 개별 DB 계약을 금지했습니다. 고객 개인정보가 포함된 외부 DB를 적극 활용해 온 보험업계는 금융당국의 규제와 법 개정이 맞물리면서 DB 영업 관리에 대한 부담이 크게 늘어날 전망입니다.

시큐웨이브가 '스마트 워크 & 컨택센터 엑스포 2026'에서 AI와 자동화 기반의 디지털 워크플레이스 운영 센터(DWOC) 모델을 공개했다. DWOC는 엔드포인트 환경을 24X7 모니터링하여 장애 징후를 사전에 탐지하고 조치함으로써 업무 중단을 최소화하는 IT 운영 방식이다. 현장에서는 팀뷰어 DEX 플랫폼과 시큐웨이브의 매니지드 서비스를 결합한 사례가 소개되었으며, 솔루션 검증을 위한 POC 프로그램도 올해 말까지 제공될 예정이다.

앤트로픽, 오픈AI, 구글이 프런티어 AI 모델의 안전성을 공통 기준으로 평가하기 위한 공동 표준기구 설립 방안을 논의 중이다. 이 구상은 모델 출시 전 사이버, 생물학, 기만 능력 등을 독립적으로 평가하는 체계를 목표로 하며 주요 기업 CEO들도 공통 기준 마련에 긍정적인 입장을 보였다. 다만 업계 주도의 평가 구조로 인한 독립성 문제와 이해상충, 중소 연구소에 대한 진입장벽 형성 우려가 과제로 지적된다.

중국 연계 위협 행위자 UTA0560이 구글 크롬과 마이크로소프트 윈도우의 제로데이 취약점 연쇄를 악용해 비정부기구(NGO)를 겨냥한 스피어 피싱 공격을 감행했습니다. 공격자는 미국 대학 웹사이트의 반사형 XSS 취약점을 이용해 악성 인프라로 유도한 뒤, 크롬과 윈도우 ALPC 취약점 3종을 악용하여 브라우저 샌드박스를 우회하고 임의 코드를 실행했습니다. 최종적으로 이 공격 체인을 통해 호스트 정찰, 프로세스 관리, 추가 페이로드 다운로드 기능을 갖춘 자바스크립트 백도어 'GRIMWEDGE'가 유포되었습니다.

mSecure는 자격 증명 및 민감한 정보를 저장할 수 있는 비밀번호 관리자 및 데이터 금고 솔루션으로, iOS, Android, macOS, Windows를 지원합니다. AES-256 암호화와 영지식(Zero-Knowledge) 아키텍처를 기반으로 하며, mSecure 클라우드, Wi-Fi, iCloud, Dropbox 동기화 또는 로컬 전용 저장 방식을 제공합니다. 또한 패스키(passkeys) 지원, 일회용 비밀번호(OTP) 저장, 취약한 비밀번호를 식별하는 보안 센터, 잠금 해제 실패 시 로컬 데이터를 삭제하는 자체 파괴(Self-Destruct) 기능 등을 갖추고 있습니다.

한국인터넷진흥원(KISA)은 현대자동차·기아 판교 AVP 본부에서 관계 기관 및 협력사와 함께 민관 합동 자동차 사이버 침해사고 대응 모의훈련을 진행했다고 밝혔다. 훈련은 공격자가 협력사 시스템에 침입해 차량용 소프트웨어 업데이트 파일을 변조하고 차량 기능 이상을 유발하는 시나리오로 구성됐다. 참가 기관들은 초기 탐지부터 시스템 격리, 원인 분석, 위협 정보 전파, 복구 및 수사까지 전 과정의 공조 체계를 점검했다.

OneTrust의 보고서에 따르면 응답자의 74%가 조직 내 부서 또는 확장된 수준에서 AI를 도입했다고 답했으나, 거버넌스가 설계 단계부터 내재화된 최고 성숙도 수준을 갖춘 조직은 17%에 불과한 것으로 나타났습니다. 위험 분류 및 영향 평가가 가장 흔한 거버넌스 활동으로 꼽혔으며, 상당수 기업이 실행 속도와 일관성, 부서 간 조율 문제로 어려움을 겪고 있습니다. 전문가들은 기존의 정적 규칙에서 벗어나 AI가 작동하는 런타임 자체에서 실시간으로 판단하고 통제하는 거버넌스 접근 방식이 필요하다고 강조했습니다.

정부가 역대 최대 규모인 2조755억원을 투입하는 2027년도 ICT R&D 정부 예산안을 발표했다. 차세대 AI 원천기술 및 사이버보안 분야에는 총 4311억원이 배정되었으며, 이 중 AI 확산에 따른 보안 위협 대응 기술 개발에 1691억원이 투입된다. 아울러 피지컬 AI, AI 반도체, AI 데이터센터 등 3대 메가프로젝트와 함께 연구과제 정보 유출을 방지하기 위한 온프레미스 기반 연구행정 전용 AI 에이전트 도입도 추진된다.

고객 297만 명의 신용정보가 유출된 해킹 사고로 롯데카드에 내려졌던 1.5개월의 신규 카드 발급 업무정지 처분이 15일 종료된다. 조사 결과 롯데카드는 보안 패치 미실시, 주민등록번호 및 비밀번호 암호화 미이행, 로그 파일 내 평문 기록 등 기본적인 보안의무를 위반했던 것으로 드러났다. 이에 금융당국과 개인정보보호위원회로부터 각각 과징금 50억 원과 96억 2천만 원을 부과받았으며, 금융권에서 해킹 정보유출로 업무정지 처분을 받은 첫 선례로 남게 됐다.

시스코(Cisco)는 Secure Email Gateway 어플라이언스에서 원격의 인증되지 않은 공격자가 루트 권한으로 임의 명령을 실행할 수 있는 제로데이 취약점(CVE-2026-76461)이 실제 악용되고 있다고 긴급 경고했습니다. 이 결함은 Cisco AsyncOS 소프트웨어의 이메일 파싱 로직에서 입력값 검증이 미흡해 발생하며, 특수하게 제작된 이메일을 게이트웨이로 전송하는 것만으로 악의적인 SQL 구문이 실행되어 커맨드 인젝션으로 이어집니다. 시스코는 자사 관리형 클라우드 환경에 서버 측 조치를 적용했으나 온프레미스 관리자들에게는 직접 패치를 적용할 것을 당부했습니다.

조지 커츠 크라우드스트라이크 CEO는 이미 위험한 AI 모델들이 시장에 나와 있어 개발 속도를 늦추기보다 보안 강화에 초점을 맞춰야 한다고 강조했다. 특히 그는 보호 장치를 우회할 수 있는 자율형 AI 에이전트를 핵심 위험으로 지목하며, 실행 중인 에이전트를 감시하고 행동을 추적하는 별도의 보안 계층과 가드레일이 필요하다고 밝혔다. 아울러 과도한 정부 규제 대신 AI 개발사와 사이버보안 기업이 협력해 모델 보호 체계를 강화해야 한다고 제안했다.

앤트로픽은 생성형 AI 클로드가 생물학적 무기 개발을 지원할 수 있는 방식으로 악용된 사례 5건을 공개했습니다. 이 중 3건은 치쿤구니아, 고병원성 조류인플루엔자 등 바이러스 변형 연구와 관련된 것이었으며, 나머지 2건은 컴퓨터상에서 세균 및 바이러스 독소를 재설계하거나 독소 목록을 작성한 사례였습니다. 이용자들은 VPN과 위장 계정을 통해 접속 규제를 우회했으며, 앤트로픽의 다리오 아모데이 최고경영자는 AI 생물무기 제조 금지를 위한 국제협정을 제안했습니다.