과학기술정보통신부, 한국인터넷진흥원(KISA), 한국정보보호산업협회(KISIA)가 제15회 정보보호의 날을 기념해 '기업연계 초청연수'를 운영했습니다. 이번 행사는 KISA의 글로벌 사이버보안 협력 네트워크인 CAMP 비즈니스 상담회와 연계 개최되어 국내 정보보호 기업들의 해외 시장 판로 개척을 지원했습니다. 행사 기간 동안 총 104건의 비즈니스 상담이 이루어졌으며, 일부는 현장에서 업무협약(MOU) 체결로 이어지는 성과를 거두었습니다.
Microsoft가 Microsoft Entra ID로 관리되는 Windows 11 버전 24H2 및 25H2 기기에서 IT 관리자가 Windows SSO 권한을 자동으로 수락할 수 있도록 하는 새로운 레지스트리 기반 정책을 도입합니다. 이 정책은 관리형 기업 환경에 SSO 프롬프트 경험을 관리할 수 있는 유연성을 제공하기 위해 도입되었습니다. 개인 Microsoft 계정 사용자나 정책 관리 환경 외부의 기기 사용자는 계속해서 SSO 권한 프롬프트를 받게 됩니다.
새로운 IoT 봇넷 프레임워크인 TuxBot v3가 인터넷에 연결된 기기를 감염시켜 분산 서비스 거부(DDoS) 공격에 악용하고 있습니다. 이 악성코드는 텔넷 암호 추측, 취약점 공격 등 다양한 경로로 침투하며, 여러 프로세서 아키텍처를 지원합니다. 특히 개발 과정에서 대규모 언어 모델(LLM)을 사용해 코드의 상당 부분을 생성한 것으로 보이며, 이로 인해 심각한 결함도 함께 발견되었습니다.
Zoom이 윈도우용 제품에 영향을 미치는 심각한 보안 취약점을 해결하기 위한 보안 업데이트를 발표했습니다. CVE-2026-53412로 추적되는 이 결함은 인증되지 않은 사용자가 네트워크를 통해 계정을 탈취할 수 있도록 허용할 수 있습니다. 이번 보안 수정에는 권한 상승으로 이어질 수 있는 3개의 높은 심각도의 취약점도 포함되었습니다. 현재까지 해당 취약점들이 실제 공격에 악용되고 있다는 징후는 없습니다.
윈스테크넷이 생성형 AI 데이터 보안 솔루션 'SNIPER AIVAX'를 통해 국가망보안체계(N2SF) 대응 시장 공략을 본격화합니다. N2SF는 데이터 중요도에 따라 보안 수준을 차등화하는 다중망 보안 체계로, 공공기관이 생성형 AI나 클라우드 같은 기술을 도입할 수 있도록 지원합니다. 'SNIPER AIVAX'는 사용자가 생성형 AI 서비스와 주고받는 모든 입출력 데이터를 분석해 개인정보나 기밀 데이터가 외부로 유출되는 것을 탐지하고 차단합니다.
보안 연구원 '나이트메어 이클립스'가 새로운 윈도우 제로데이 취약점을 공개했습니다. '레거시하이브(LegacyHive)'로 명명된 이 익스플로잇은 윈도우 사용자 프로필 서비스의 로컬 권한 상승 버그로, 공격자가 관리자를 포함한 다른 사용자의 하이브를 로드할 수 있게 합니다. 연구원은 실제 공격에 악용되는 것을 막기 위해 기능이 일부 제거된 개념 증명(PoC) 코드를 공개했으며, 마이크로소프트는 아직 이 익스플로잇을 인정하지 않았습니다.
이재명 대통령은 미국의 사이버 보안 특화 AI 모델에 대한 접근 통제 가능성에 대비해야 한다고 말했다. 또한, 개인정보 유출에 대한 내부자 신고 포상을 강조했다. 이에 정부는 연내에 보안 특화 독자 AI 모델 개발을 추진하고 있으며, 개인정보 유출 사고를 신고하는 내부자에게 포상금을 지급하는 제도 도입을 위한 법안을 준비 중이라고 보고했다.
피앤피시큐어가 국내 주요 금융기관에 자사 DBSAFER 기반 통합 접근제어 및 계정관리 솔루션을 공급하며 시장을 확장하고 있습니다. 최근 금융권에서는 데이터베이스, 시스템 등 개별적으로 보안 솔루션을 운용할 때 발생하는 관리 공백을 막기 위해, 접근제어와 계정관리를 하나의 시스템으로 연결하는 통합 운영 체계 도입을 추진하고 있습니다. 이러한 통합 모델은 분산된 접근 정책과 사용자 권한, 계정 등을 중앙에서 관리하게 해주며 제로 트러스트 보안 체계의 필수 요소로 꼽힙니다.
호주 항공사 콴타스에서 발생한 대규모 데이터 유출은 기술 지원 사기가 원인이었습니다. 사기꾼은 콴타스 IT 지원팀을 사칭하여 콜센터 직원을 속여 고객관계관리(CRM) 시스템을 데이터 추출 도구에 연결하도록 유도했습니다. 이 사고로 570만 고객의 개인 식별 정보가 유출되었지만, 호주 개인정보보호위원회는 콴타스가 개인정보 보호 의무를 위반하지 않았다고 결론 내렸습니다. 위원회는 콴타스가 보안 감사, 직원 교육, 역할 기반 접근 제어 등 데이터를 보호하기 위한 합리적인 조치를 취했다고 판단했습니다.
사이버 보안 기업인 트렌드마이크로, 이셋, 테너블, 태니엄이 자사 제품의 심각한 취약점을 해결하기 위한 업데이트를 발표했습니다. 테너블은 원격 코드 실행으로 이어질 수 있는 에이전트의 경로 탐색 취약점을 수정했습니다. 이셋은 윈도우용 인스펙트 커넥터의 로컬 권한 상승 취약점을, 태니엄은 태니엄 서버의 서비스 거부(DoS) 취약점을 해결했습니다. 트렌드마이크로는 클리너 원 프로의 로컬 권한 상승 취약점에 대한 패치를 배포했습니다.
교육 플랫폼 기업 이투스의 고객 및 학생 개인정보 약 42만 5천 건을 판매한다는 게시물이 다크웹 포럼에 올라온 것으로 확인되었습니다. 'Aquahack'이라는 아이디를 사용하는 판매자는 이메일, 전화번호, 주소, 주문내역, 학생 등록정보 등이 포함된 데이터를 900달러에 판매한다고 주장했습니다. 게시물에는 주민등록번호로 해석될 수 있는 항목도 포함되어 있어 2차 피해가 우려되지만, 실제 이투스 시스템이 침해되었는지나 데이터의 진위 여부는 아직 확인되지 않았습니다.
KISA와 한국수자원공사가 건설 현장용 CCTV 성능시험 및 인증 기반을 조성하기 위한 업무협약을 체결했습니다. 양 기관은 실제 댐과 수도 건설 현장의 영상 데이터베이스를 공동으로 구축할 예정입니다. KISA는 이 데이터를 기반으로 기존 CCTV 성능시험·인증제도 내에 건설안전 특화 분야를 신설하여 공인된 성능 평가 체계를 마련할 계획입니다.