SageMaker MLflow가 AWS KMS 기반의 고객 관리형 키(CMK)를 활용한 데이터 암호화 기능을 지원합니다. 이를 통해 엄격한 보안 및 규정 준수 요건을 가진 조직은 자체 암호화 키를 관리하고 AWS CloudTrail 연동으로 종합적인 보안 감사 및 접근 추적을 수행할 수 있습니다. 고객 관리형 키는 MLflow App과 동일한 AWS 계정 및 리전에서 생성된 대칭형 키만 지원되며, MLflow App이 제공되는 모든 AWS 리전에서 정식 출시되었습니다.
미국 법무부는 틱톡 및 모회사 바이트댄스가 아동 온라인 개인정보 보호법(COPPA)을 위반했다는 혐의와 관련해 4억 달러 규모의 합의에 도달했다고 발표했습니다. 법무부는 틱톡이 부모 동의 없이 13세 미만 아동의 일반 계정 생성을 허용하고 개인정보를 수집 및 보유했으며, 부모의 계정 삭제 요청을 이행하지 않는 등 규정을 위반했다고 지적했습니다. 이번 합의에 따라 틱톡은 즉시 3억 달러를 지급하고 향후 법원의 결정에 따라 추가로 1억 달러를 지급할 예정입니다.
사이버 범죄자들이 락스타 게임즈를 사칭한 가짜 GTA 6 데모 사이트를 개설해 정보 탈취 악성코드(인포스틸러)를 유포하고 있습니다. 해당 가짜 웹사이트에서 제공되는 약 1.1MB 크기의 실행 파일(gta6_installer.exe)은 실제 게임 데모가 아니며 브라우저에 저장된 비밀번호, 쿠키, 인증 세션을 탈취하도록 설계되었습니다. 락스타 게임즈는 GTA 6 데모나 PC 버전을 발표한 적이 없으므로 이용자들의 각별한 주의가 요구됩니다.
비영리 표준화 기구인 TCG(Trusted Computing Group)는 기업이 신뢰할 수 있는 플랫폼 모듈(TPM)의 양자내성암호(PQC) 요구사항 충족 여부를 검증할 수 있도록 돕는 새로운 지침을 발표했습니다. 이번 지침은 PTP 1.07 규격 준수 여부를 확인하기 위해 하드웨어를 'TCG PQC-ready TPM'과 'TCG PQC-upgradable TPM'의 두 가지 범주로 분류합니다. TCG는 양자 보안 하드웨어의 신뢰성을 보장하기 위해 향후 PQC 지원 TPM을 검증하는 인증 프로그램도 강화할 계획입니다.
미국 국립표준기술연구소(NIST)는 멀티 클라우드 환경이 단일 클라우드나 온프레미스보다 일관된 보안 정책 및 통제 적용을 어렵게 만든다고 경고했습니다. 8월 21일 발표된 보고서에 따르면 멀티 클라우드는 단일 제공업체 의존도를 낮추는 이점이 있지만, 제공업체마다 서로 다른 보안 모델과 구성으로 인해 고유한 위험이 발생합니다. NIST는 신원 및 접근 통제, 취약점 관리, 사고 대응 등에서 총 23가지의 새로운 보안 과제를 식별했습니다.
사이버보안 기업 ReliaQuest는 보안팀 직원을 사칭한 해커의 사회공학적 공격 대상이 되었으나 데이터 유출 시도는 실패했다고 확인했습니다. 공격자는 가짜 SSO 페이지와 비싱(vishing) 수법을 사용해 한 직원의 자격 증명과 MFA 승인을 얻어 일시적으로 신원 대시보드 조회 권한을 획득했습니다. 그러나 기기 신뢰(device-trust) 제어 정책 덕분에 애플리케이션 및 고객 데이터 접근은 차단되었으며, 회사는 세션 종료 및 자격 증명 재설정 등 대응 조치를 완료했습니다.
다양한 언어를 지원하는 고도화된 멀웨어 제품군이 과거의 기법인 화면 탈취 방식을 다시 도입하여 효과적으로 비밀번호를 훔치고 있습니다. 해당 멀웨어는 이와 함께 여러 가지 새로운 기능들도 갖추고 있습니다.
책임핀테크연구소(RFI)와 세이프헤론이 유럽·중동·아시아 지역 은행 및 금융규제당국과 함께 양자내성 암호화폐 지갑과 온체인 전송 인프라를 테스트하는 파일럿 프로젝트를 공개했습니다. 이번 프로젝트는 미국 NIST의 양자내성 표준 'ML-DSA-65'를 지원하는 다자간컴퓨테이션(MPC) 프로토콜을 활용하며, 양자내성 기반 니어(NEAR) 테스트넷에서 구동됩니다. 아부다비, 부탄, 몰타 등의 규제당국과 비손은행 등이 참여하여 양자컴퓨터의 기존 암호체계 무력화 위협에 대비한 기술 검증을 진행할 예정입니다.
Cato Networks의 연구원들에 따르면 스폰서 검색 결과, 정상 Google Sites 페이지, ClickFix 기법을 결합해 macOS 사용자를 속여 악성코드를 실행하도록 유도하는 가짜 OpenAI Codex 다운로드 캠페인이 발견되었습니다. 공격자들은 Google Sites 페이지에 iframe을 삽입하고 비 macOS 기기나 특정 경로의 접속에는 무해한 페이지를 보여주는 방식으로 분석을 우회했습니다. 피해자가 터미널에 명령어를 입력하면 다단계 쉘 스크립트가 실행되며, 다운로드 격리 메타데이터(quarantine)를 제거해 macOS 보안 경고를 우회한 뒤 최종 Mach-O 페이로드를 실행합니다.
마이크로소프트 브랜드를 사칭한 가짜 보안 검사 웹사이트들이 백신 프로그램을 제거하도록 유도하는 환불 사기가 발견되었습니다. 이 사이트들은 브라우저의 기본 데이터를 읽어 그럴듯한 가짜 보안 검사 결과를 보여준 뒤, 윈도우가 서드파티 백신을 더 이상 지원하지 않는다는 거짓 주장으로 백신 삭제와 개인정보 및 원격 제어 정보 탈취를 시도합니다. 실제 웹사이트는 맬웨어나 메모리 문제를 직접 검사할 수 없으며, 분석 결과 보안 진단 내용 대부분은 미리 작성된 텍스트나 무작위 생성 숫자에 불과한 것으로 드러났습니다.
사후에도 소셜 미디어 계정, 연락처, 온라인 뱅킹 등 개인이 남긴 방대한 디지털 데이터는 사라지지 않고 남아 유족과 플랫폼 기업의 처리 과제로 떠오르고 있습니다. 최근 고인의 데이터를 활용해 챗봇을 만들거나 배우의 모습을 영화에 재현하는 등 인공지능 기반 서비스가 등장하고 있으나, 이를 규율하는 법적 보호 체계는 부족한 실정입니다. 전문가 Tamara Kneese는 사후 고인의 프라이버시 권리를 보호할 법적 메커니즘이 크게 미비하다고 지적했습니다.
공격자들이 구글과 빙의 검색 결과를 조작하여 사용자를 위조된 은행 피싱 페이지로 유인하는 'Chameleon SEO Poisoning' 캠페인이 확인되었습니다. 공격자들은 유사 도메인을 등록해 검색 상위에 노출시키며, 사용자의 로그인 정보 탈취 및 세션 하이재킹을 시도합니다. 특히 클로킹 기법을 사용해 보안 연구원이나 자동 스캐너의 직접 접속 시에는 비활성 페이지를 보여주고, 검색 엔진을 통해 유입된 피해자에게만 정교한 피싱 사이트를 노출함으로써 탐지와 차단을 지연시키고 있습니다.