발행 글 (6583)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

PortSwigger의 연구원 가레스 헤이즈(Gareth Heyes)는 자바스크립트나 기존 악성코드 없이 일반 CSS 코드를 악용해 웹메일에서 실시간으로 비밀번호를 탈취하는 'CSS 폭탄(CSS bomb)' 공격 방식을 공개했습니다. 이 기법은 웹메일 정화기의 허점을 이용해 선택 메뉴 등을 가짜 로그인 상자로 만들고, 사용자의 키입력마다 배경 이미지 요청을 공격자 서버로 전송하여 정보를 탈취합니다. Outlook, Fastmail, Gmail, ProtonMail 등 주요 웹메일 서비스에서 관련 우회 기법이 확인되었으며, 순수 CSS와 HTML만 사용하므로 기존 스팸 필터와 백신 프로그램을 우회할 수 있습니다.

Zscaler ThreatLabz 연구진이 단일 랜섬웨어 캠페인을 분석한 결과, 공격자들은 최고경영자(CEO) 대신 결제 및 예산 영향력을 가진 평균 46세의 중간 관리자를 집중 공격하는 것으로 나타났습니다. 피해자의 약 3분의 2는 관리자급 이상의 직책이었으며, 주로 회계·재무, 영업, 인사 등의 부서나 산업·IT 분야 직원이 표적이 되었습니다. 연구진은 공격자들이 단순한 기술적 관리자 권한보다 결제 승인이나 계약 관리 등 실제 비즈니스 권한을 가진 인물을 타깃으로 삼고 있다고 지적했습니다.

이브로드캐스팅의 '삼프로TV' 애플리케이션에서 외부 불법 접근으로 인해 회원 개인정보 약 46만 건이 유출되었다. 유출 항목에는 이름과 휴대전화번호 외에도 주소 2건, 계좌정보 2,972건, 마스킹 처리된 신용카드 정보 317건 등이 포함되어 보이스피싱 등 2차 피해 우려가 제기된다. 이브로드캐스팅은 악성 접속 경로를 차단하고 보안 진단을 진행했으며 개인정보보호위원회와 한국인터넷진흥원(KISA)에 해당 사실을 신고했다.

지난주 주요 보안 뉴스에서는 악성코드 유포 범위를 추적해 평균 2.4개의 미기재 변종을 찾아내는 Stairwell의 AI 에이전트 'Backstory'가 소개되었습니다. Elastic Defend는 커널 접근 공격 방지를 위해 800개 이상의 취약한 드라이버 대응 및 ARM 지원을 추가했으며, Stellar Cyber의 자동 분류 시스템은 고객 시험 운용 중 8,047건의 오탐 티켓을 자체 처리했습니다. 이 외에도 공격 경로를 사전 제거하는 OWASP 프로젝트와 임원 개인 계정을 노린 공격 및 산업 시설 침해 사례 등이 함께 공유되었습니다.

LG유플러스가 오는 9월 12일과 13일 미국 시카고에서 한인 인재 채용 프로그램인 'US 페어'를 열고 처음으로 정보보안 분야 전문가 채용을 진행합니다. 모집 분야는 보안 솔루션 운영 및 네트워크 보안, 퍼블릭 클라우드 보안, 침해사고 대응·분석, AI 데이터 보안 엔지니어 등입니다. 회사는 성공적인 AI 전환과 서비스 확대를 위해 정보보안 역량 확보가 필수적이라고 판단하고 우수 인재 영입에 힘쓰고 있습니다.

오는 8월 11일과 12일 열리는 ISEC 2026 행사 둘째 날에 '자율 AI 위협의 시대, CISO가 말하는 K-시큐리티 현주소'를 주제로 토크 콘서트가 개최된다. 이번 행사에는 주요 산업 CISO와 보안 기업 전문가들이 참석하여 AI 자율 공격 확산에 따른 대응책과 금융권 망분리 규제 완화 등 산업별 보안 과제를 논의한다. 참석자들은 대형화·플랫폼화되는 글로벌 보안 시장에 맞선 협업 전략과 국내 보안 기술 및 솔루션 생태계의 발전 방향에 대해 의견을 나눌 예정이다.

조승래 더불어민주당 전 사무총장이 당원 커뮤니티 해킹에 따른 개인정보 유출 사고에 대해 당시 사무총장으로서 사과하고 당의 보안 체계 쇄신에 협조하겠다고 밝혔습니다. 조 전 사무총장은 재직 당시 점검 요청과 정보화 진단 TF 구성 등의 노력을 기울였으나 유출을 막지 못해 무거운 책임을 통감한다고 전했습니다. 민주당은 당원 커뮤니티 '블루웨이브' 회원 1만 7088명의 개인정보가 유출된 사실을 인지하고 경찰과 개인정보보호위원회에 신고했습니다.

데프콘 34 CTF 예선에서 한국 해커가 주축이 된 7개 팀이 본선에 진출했습니다. 출전팀 리더들은 한국 해커들의 성과 비결로 뛰어난 AI 활용 역량과 빠르게 배우는 성향, BoB 및 화이트햇스쿨과 같은 인재양성 프로그램을 꼽았습니다. 한편 예선에서 가장 어려웠던 문제로는 AI를 활용할 수 없어 수작업으로 이미지를 이어 붙여 풀어야 했던 'rfc1149a' 문제를 언급했습니다.

과학기술정보통신부와 국가정보원은 'AI 일상화 시대를 준비하는 SW 공급망 보안 로드맵'을 공동 발표했습니다. 이 로드맵은 미토스의 등장으로 부랴부랴 만든 것이 아니라 2024년 가이드라인 발간 이후 2년 넘게 준비해 온 결과물입니다. 로드맵은 개발·공급 단계의 보안 내재화 및 SBOM 활용, 배포·운영 단계의 취약점 관리 및 AI 기반 방어체계 구축, 기업 지원·교육·법·제도 정비의 세 축으로 구성되어 있습니다.

리바이스(Levi Strauss & Co.)가 표적 사회공학 기법 공격으로 인해 무단 제3자가 회사 내부 시스템에 접근하는 보안 사고가 발생했다고 밝혔습니다. 공격자들은 직원 3명을 속여 회사 소유 컴퓨터에 대한 접근 권한을 확보하고 내부 기업 일부 파일을 유출했습니다. 리바이스 측은 신속히 무단 접근을 차단했으며, 초기 조사 결과 소비자 데이터 영향이나 비즈니스 운영 차질은 없는 것으로 나타났다고 전했습니다.

오픈AI가 개발 중인 차세대 AI 모델 '아스트라'의 코딩 및 사이버보안 능력이 급격히 향상됨에 따라 관련 일부 내부 활동을 일시 중단했습니다. 내부 평가 결과 아스트라가 사람의 개입 없이 제로데이 취약점을 찾아 공격까지 수행하는 '크리티컬' 수준의 사이버 역량을 갖췄을 가능성이 제기되었습니다. 이에 따라 오픈AI는 개발 환경의 보안 통제를 강화하고 외부 AI 안전 기관에 평가를 맡길 예정입니다.

Head Mare 해킹 그룹이 보안 패치가 적용되지 않은 TrueConf 화상회의 서버의 취약점을 악용하여 클라이언트 설치 프로그램을 백도어로 변조하는 공격을 진행했습니다. 카스퍼스키 연구진에 따르면 공격자들은 서버 취약점을 이용해 최상위 권한을 획득하고 웹셸을 설치한 뒤 PhantomCore 백도어가 포함된 악성 설치 파일로 교체했습니다. 또한 Microsoft OneDrive를 통해 명령을 수신하고 LSASS 메모리 덤프 등을 수행하는 PhantomGraph 백도어도 함께 유포했습니다.