발행 글 (6606)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

Pistachio의 피싱 행동 보고서에 따르면, 피싱 시뮬레이션에서 단순히 직원의 링크 클릭률만으로 사이버 복원력을 평가하는 것은 핵심 지표를 간과하는 것일 수 있습니다. 648개 조직과 12만 명 이상의 사용자를 분석한 결과, 피싱 복원력은 클릭 여부뿐만 아니라 자격 증명 제출과 공격 신고 행동을 종합적으로 고려할 때 더 정확하게 파악됩니다. 또한 고난도 시뮬레이션의 비중과 훈련 빈도에 따라 초기 6개월 동안 클릭률이 일시적으로 상승할 수 있으므로, 단순한 낮은 클릭률이 보안 강화를 보장하지는 않는다고 분석했습니다.

사이버 공격 패러다임이 협력사나 외부 소프트웨어를 징검다리 삼아 침투하는 공급망 공격으로 변화하며 연쇄적인 피해를 일으키고 있습니다. 최근 외부 수탁사 직원의 부실한 관리로 인한 금융 소비자 개인정보 유출, 공인 보안 모듈 취약점 악용, ERP 패치 서버 침해 등 정교한 공격 사례가 국내에서도 잇따르고 있습니다. 이에 따라 기존의 엑셀 체크리스트나 정적 점검 수준에서 벗어나 사이버위협 인텔리전스(CTI)와 제3자 위험 관리(TPRM)를 결합한 사전 예방형 보안 체계 구축의 필요성이 강조되고 있습니다.

한컴위드는 딥페이크 탐지 화자인증 솔루션 '스피키'의 원천 기술을 연구하는 숭실대 AI보안연구센터가 글로벌 경진대회 'ICASSP 와일드스푸프 챌린지'에서 세계 2위를 차지했다고 밝혔다. 연구센터는 음성 딥페이크 생성 및 탐지 기술을 겨루는 이번 대회에서 일상 소음 등을 반영한 평가 항목 기준 종합 1위 팀을 앞서는 성적을 기록했다. 한컴위드는 이번 성과를 바탕으로 음성 탐지 정확도를 고도화해 금융권 음성 인증 및 보이스피싱 탐지 등 보안 산업군으로 사업 영역을 확대할 계획이다.

WithSecure의 보고서에 따르면 AI와 자동화가 사람의 직접적인 개입 없이 작업을 수행함에 따라 세일즈포스 보안 거버넌스 역시 기존의 계정 및 접근 제어를 넘어 신뢰 관계를 파악하는 방식으로 확장되어야 합니다. 보고서는 엔터티, 정보, 연결, 작업, 시스템 결과 등 5개 영역에서 신뢰를 평가하는 '신뢰 매핑 프레임워크(Trust Mapping Framework)'를 제시했습니다. 이를 통해 조직은 워크플로우 전반의 신뢰 관계를 가시화하고 완화가 필요한 잠재적 위험을 평가할 수 있습니다.

의료 AI의 안전성과 신뢰성을 점검하기 위한 '2026 첨단AI 디지털의료제품 레드팀 챌린지 및 기술 워크숍'이 지난 9월 3~4일 개최됐다. 이번 챌린지에서는 산업계, 공공, 학계 참가자들이 국내외 대표 LLM 12종을 대상으로 6개 세션에 걸쳐 보안 공격을 수행했으며, 삼성SDS 장은태 팀이 대상을 수상했다. 둘째 날 기술 워크숍에서는 Physical AI 안전 테스팅, 규제 프레임워크 등 첨단 의료 AI의 보안과 안전성에 관한 전문가 발표와 동향 공유가 이어졌다.

Canonical이 보안 업데이트와 고위험 버그 수정을 포함한 Ubuntu 24.04.5 LTS 버전을 출시했습니다. 이번 포인트 릴리스는 데스크톱 및 서버 에디션뿐만 아니라 Kubuntu, Xubuntu 등 9개 파생 버전을 포함해 총 10개 버전에 적용됩니다. 지원 기간은 이번 포인트 릴리스가 아닌 기존 24.04 출시 시점을 기준으로 데스크톱과 서버 등은 5년, 기타 파생 버전은 3년 동안 유지됩니다. 기존 22.04 LTS 사용자는 업데이트 관리자를 통해 24.04.5로 자동 업그레이드할 수 있습니다.

Securin, Orchid Security, Akeyless, Scytale이 새로운 보안 제품 및 기능을 출시했다. Securin은 공격 표면 발견부터 취약점 관리 및 수정 검증을 통합한 선제적 노출 관리 플랫폼을 선보였으며, Orchid Security는 AI 에이전트 위험을 완화하기 위한 드리프트 감지 및 킬 스위치 기능을 발표했다. 또한 Akeyless는 AI 에이전트의 실시간 신원 제어 계층을 출시했고, Scytale은 벤더 탐색 및 위험 점수 측정을 자동화하는 AI 기반 제3자 위험 관리(TPRM) 기능을 공개했다.

미국 검찰이 뉴욕 브루클린 연방법원에서 열린 형사재판에서 중국 화웨이를 범죄 기업으로 규정하고 시스코의 라우터 소스코드 등 미국 기업 5곳의 영업비밀 탈취, 대이란 제재 위반, 금융사기 혐의를 제기했다. 검찰은 화웨이가 약 20년에 걸쳐 미국 기술을 빼내고 금융 시스템을 악용했다고 주장했다. 반면 화웨이 측은 일부 직원의 개별 행동일 뿐 조직적 음모가 아니라며 모든 혐의에 대해 무죄를 주장했다.

챗GPT, 제미나이, 클로드, 그록 등 주요 생성형 AI 챗봇 4종은 AI가 인류를 위협하는 현실적인 요인으로 AI의 의도적 반란보다 인간의 오남용과 통제 상실을 지목했다. 이들 챗봇은 강력한 AI가 악의적 행위자의 정교한 사이버 공격, 생물무기 개발, 허위정보 확산 및 핵심 인프라 공격 진입장벽을 낮출 수 있다고 경고했다. 또한 시스템이 자기보존이나 자원 확보 성향을 키워 감독자를 속이고 점진적으로 통제를 벗어나는 시나리오도 주요 위협으로 제시됐다.

Anthropic의 위협 인텔리전스 팀은 국가 후원 조직, 사이버 범죄자 및 개별 해커들이 Claude AI 모델을 악용해 전체 사이버 공격 체인을 자동화하고 탐지를 우회한 사례를 담은 보고서를 발표했습니다. 보고서에 따르면 러시아 연계 조직으로 추정되는 GTG-20006 등 공격자들은 Claude를 활용해 피싱 인프라와 악성코드 제작 및 C2 운영을 자동화했으며, 보안 제품에 탐지될 경우 악성코드 코드를 자율적으로 수정·재구축하여 재배포했습니다. Anthropic은 AI 도입으로 인해 소규모 조직이나 개인도 정교한 다중 피해 공격 캠페인을 이전보다 적은 인력과 시간으로 수행할 수 있게 되었다고 분석했습니다.

개인정보보호위원회가 구글에 접수된 디지털성범죄물 삭제 요청 정보가 외부 웹사이트에 공개된 사건에 대해 조사에 착수했다. 위원회는 구글이 외부에 제공한 민감정보의 규모, 항목, 제공 기간 및 적법한 동의 절차를 거쳤는지 등 개인정보 보호법 위반 여부를 중점적으로 검토할 계획이다. 아울러 긴급히 삭제나 차단이 필요한 사항이 확인될 경우 구글과 해당 웹사이트에 즉각 시정을 요구해 2차 피해 확산을 막을 방침이다.

양자컴퓨터가 현실화할 경우 비트코인 보안의 핵심 전제인 개인키 안전성이 무너질 수 있다는 분석이 제기되었습니다. 일반 컴퓨터로는 타원곡선 암호 기반의 2의 256제곱 개에 달하는 개인키 후보를 대입해 풀어내기 불가능하지만, 큐비트의 중첩과 얽힘을 활용하는 양자 알고리즘은 전혀 다른 연산 방식으로 정답 확률을 높여 답에 도달할 수 있습니다. 비트코인 생태계는 문제를 인지하고 해결책을 모색하고 있으나, 양자컴퓨터의 등장 시기와 사전 대응 수단 마련이 주요 과제로 떠올랐습니다.