발행 글 (6458)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

개인정보보호위원회는 '본인전송요구권' 제도의 안정적인 정착을 위해 정보전송자와 대리인 간 사전협의 지원 신청 기간을 7월 31일까지 추가로 연장한다. 이번 제도 시행으로 스크래핑 등 자동화 도구를 이용한 개인정보 전송이 전면 금지되거나 기존 서류 자동제출 서비스가 일괄 중단되는 것은 아니다. 공공기관과 대리인이 안전장치를 마련한 경우 자동화된 정보전송은 제한적으로 허용하며, 장기적으로는 API 기반의 통제된 방식으로 전환할 예정이다.

이지서티는 경기도의 '경기 생성형 AI 플랫폼 구축 사업'에 개인정보 필터링 솔루션인 EZRO-UP V4.0 을 공급했다. 이 솔루션은 행정문서를 전처리할 때 OCR 으로 추출된 텍스트에서 개인정보를 검출하고 마스킹 처리한 뒤 결과를 플랫폼에 API 방식으로 반환한다. 또한 외부망 데이터 통합 플랫폼에도 적용하여 사용자가 파일을 업로드하거나 반입할 시 개인정보 유무를 검사하며, 탐지되면 팝업 창을 통해 안내하고 보안 정책에 따라 차단 조치한다.

김소정 대통령실 사이버안보비서관은 21일 서울 중구 롯데호텔에서 열린 제155차 CISO 포럼에서 AI 전환을 기존 보안 체계 강화와 별개로 생각해서는 안됨을 강조했습니다. 김 비서관은 정보보호 종합대책과 '정보통신망 이용촉진 및 정보보호 등에 관한 법률' 개정을 언급하며 10월 시행 시 기업에 정보보호위원회 구성 의무를 부과하고 CISO의 조직적 기반 확대가 이루어질 것이라고 밝혔습니다.

과학기술정보통신부와 한국인터넷진흥원(KISA)은 데프콘 34 본선 진출을 기념하여 출정식을 개최했다. 올해 대회 운영진은 뉴틸리스 인스티튜트에서 베네볼런트 버로 오브 버즈(BBB)로 변경되었으며, AI 및 LLM 도구 활용이 허용되지만 완전 자율 AI 사용은 금지된다. 국내는 BoB 수료생 포함 5개 연합팀으로 총 136 명의 구성원을 보내 데프콘 본선에 진출했다.

데일리시큐는 7월부터 장삼봉 작가의 정보보안 소설《로그아웃되지 않는 밤》을 매주 4편씩 연재한다고 밝혔다. 제9화 'EOS 의 유령'에서는 지원 종료 선언된 운영체제에 새 취약점이 발견되었음에도 패치가 나오지 않고, 교체나 격리 작업이 예산과 인력 부족으로 불가능함을 묘사했다.

서울시설공단이 공공자전거 따릉이 서버 보안 취약점을 악용한 무단 수집으로 2024 년 6 월 30 일 이전 가입 회원 중 일부의 개인정보가 유출됐다고 밝혔다. 공격자들은 6 월 28 일과 29 일에 ID, 휴대폰 번호 등 다양한 항목을 무단 수집했으나 경찰 수사 결과 제3 자 유출이나 실제 피해 정황은 확인되지 않았다. 서울시설공단은 비상대응센터를 가동하고 보안 조치를 강화했으며, 불편을 겪은 회원에게 8 월 중 따릉이 30 일권 이용 쿠폰을 지급할 예정이다.

양자보안 반도체 전문기업 이와이엘은 암호모듈 '크립토립 v1.2'가 국가암호모듈검증(KCMVP) 재검증을 통과했다고 밝혔다. 이를 기반으로 글로벌 HSM 기업 엔트러스트에 제품을 공급하며, 양자물리 기반 엔트로피 기술과 256비트 보안강도를 지원한다. 크립토립 v1.2는 SEED·KDF·빅엔디안 기능을 추가해 금융·공공·국방 및 클라우드 환경에서 적용할 수 있게 되었다.

보안 전문기업 RSA 는 생성형 AI 가 피싱 메일을 자동 제작해 기존 인증 방식의 취약점을 악용할 수 있는 환경에 대응하기 위해 'RSA ID Plus'를 제공한다고 밝혔다. 이 솔루션은 FIDO2 기반 모바일 패스키와 생체인식, QR 코드 등 다양한 요소를 활용하는 패스워드리스 인증을 지원하며 제로 트러스트 보안 체계 구축과 다단계 인증의 복원력 강화를 목표로 한다.

오픈텍스트는 FIFA 월드컵 우승팀의 철저한 준비를 비유하며, 기업들도 랜섬웨어 공격이나 시스템 장애 등 다양한 위협에 대비하기 위해 사전 데이터 보호 전략이 필수적이라고 강조했다. 오픈텍스트는 많은 기업이 백업만 있으면 충분하다고 생각하지만 현대 IT 환경에서는 신속한 검증 복구 능력을 포함한 사이버 복원력 확보가 중요하다고 설명했다. 이를 위한 핵심 요소로는 변경 불가능 백업, 자동 복구 오케스트레이션, 엔드포인트 보안 및 지속적인 복구 검증이 있으며, 데이터 프로텍터 등 제품군을 통해 온프레미스와 클라우드 환경을 아우르는 비즈니스 연속성을 지원한다.

NIST NVD 데이터 분석에 따르면 공개되는 CVE 취약점 건수는 크게 늘고 있으나 치명적인 취약점 비율은 2024년 약 13%에서 2025년 약 7%로 줄었으며 실제 악용되는 비율은 1% 미만을 유지하고 있습니다. CVE 수치 급증은 소프트웨어의 보안성 악화가 아닌 AI 기반 오류 탐지 및 보고 체계 변화 등 구조적 요인에 기인한 것입니다. 이로 인해 NVD의 분석 지연이 발생하면서 NIST는 모든 CVE 대신 위험 등급에 따라 우선순위를 두어 분석을 진행하고 있습니다.

Ostium 플랫폼의 오프체인 가격 공급 인프라가 침해되어 유동성 제공자 보트에 약 2375 만 달러가 탈취당했다. 공격자는 위장된 가격 보고서를 제출하고 대규모 포지션을 급격히 조작하여 이익을 발생시켰으며, 일반 트레이더의 담보 자산은 영향을 받지 않았다고 밝혔다. Ostium 는 지난 16 일 거래를 일시 정지했으며 현재는 피해 인프라 보안을 강화하는 작업을 진행하고 있다.

JadePuffer 자율 에이전트는 EncForge라는 맞춤형 말웨어를 탑재하여 AI 자산인 학습 데이터셋, 벡터 데이터베이스 및 모델 체크포인트를 암호화하는 데 집중하고 있습니다. Sysdig에 따르면 공격자는 기술적 어려움을 실시간으로 극복하며 침투 기작을 최적화했고, Go 기반의 EncForge는 현대적인 AI/ML 스택에서 약 180 개의 파일 확장자를 대상으로 합니다. 초기 페이로드 다운로드 실패 후 운영자는 단 5 분 만에 6 개의 파이썬 스크립트를 개발하여 최종 배포를 완료했으며, 이 과정에서 노출된 Docker 소켓을 통해 루트 권한 제어에 접근했습니다.