발행 글 (6447)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

미국 사이버보안·인프라 보안청(CISA), 국가안보국(NSA), 국제 파트너들이 소프트웨어 제조업체 및 온라인 서비스 제공업체를 위한 공동 지침을 개발했습니다. 이 지침은 외부 보안 연구원과 협력하기 위한 조정된 취약점 공개(CVD) 프로그램을 설계하고 구현하는 모범 사례를 담고 있습니다. 지침에는 명확한 취약점 공개 정책(VDP)과 보고된 취약점을 분류, 수정, CVE 식별자 할당하는 프로세스가 포함됩니다. 또한 CISA와 같은 제3자 중개인을 활용하여 CVD 프로그램을 보완하거나 대체하는 방안도 제시합니다.

미국 사이버보안·인프라 보안국(CISA)이 실제 악용 증거에 따라 두 개의 새로운 취약점을 '알려진 악용 취약점(KEV)' 카탈로그에 추가했습니다. 해당 취약점은 KNX Association의 KNX 프로토콜(CVE-2023-4346)과 Oracle E-Business Suite(CVE-2026-46817)에 영향을 미칩니다. CISA는 구속력 있는 운영 지침(BOD) 26-04에 따라 연방 기관에 KEV 카탈로그 취약점의 신속한 해결을 요구하며, 모든 조직에도 이를 권고하고 있습니다.

사이버보안 컨설팅 기업 노바인시큐와 에너지 기술 기업 크로커스가 글로벌 사이버보안 컨설팅 사업 확대를 위해 업무협약을 체결했습니다. 양사는 각사의 전문인력과 기술 역량을 결합해 정보보호 관리체계(ISMS) 구축, 제로트러스트 기반 보안체계 구축, 클라우드 보안 컨설팅 등에서 공동 사업을 추진합니다. 이번 협력을 통해 보안 정책 수립부터 기술 검증까지 아우르는 통합 보안 서비스를 제공하고 공공 및 주요 산업 분야로 사업을 확대할 계획입니다.

미국 사이버보안 및 인프라 보안국(CISA)은 공격자들이 인터넷에 노출된 온프레미스 셰어포인트 서버 인스턴스를 해킹하기 위해 3가지 취약점을 적극적으로 악용하고 있다고 경고했습니다. 이 보안 결함들은 인증 우회, 원격 코드 실행을 가능하게 하며, 공격자들은 이를 이용해 기계 키를 훔치고 악성코드를 배포하는 등의 활동을 수행합니다. CISA는 보안팀에게 영향을 받는 서버를 면밀히 모니터링하고 마이크로소프트의 최신 패치를 적용할 것을 촉구했습니다.

마이크로소프트가 에이전틱 AI를 활용한 취약점 탐지 도입 등의 영향으로 7월 패치 튜스데이에서 역대 최대인 570개의 CVE에 대한 보안 업데이트를 발표했습니다. 이번 업데이트에는 야생에서 악용된 CVE-2026-56155(Active Directory 연동 서비스 권한 상승)와 CVE-2026-56164(SharePoint Server 권한 상승) 등 3개의 제로데이 취약점이 포함되었습니다. 공개된 제로데이인 CVE-2026-50661은 공격자가 물리적 접근을 통해 암호화된 데이터에 접근할 수 있는 Windows BitLocker 보안 기능 우회 취약점입니다.

AWS가 중앙 집중식 보안 플랫폼인 시큐리티 허브(Security Hub)에 AI 워크로드 보호 및 마이크로소프트 애저(Microsoft Azure) 보안 모니터링 기능을 추가했습니다. 애저 보안 모니터링 기능은 애저 가상 머신, 컨테이너 이미지 등을 발견하고 잘못된 구성, 인터넷 노출, 소프트웨어 취약점을 평가합니다. 새로운 가드듀티(GuardDuty) 기능은 아마존 베드록(Amazon Bedrock)과 아마존 세이지메이커(Amazon SageMaker)에 대한 위협 탐지를 제공하며, 도용된 자격 증명을 사용해 피해자에게 비용을 전가하는 '비용 수확(cost harvesting)' 공격 등을 탐지합니다. 이를 통해 보안팀은 단일 인터페이스에서 멀티클라우드 환경 전반의 위험을 평가할 수 있습니다.

영국 정부는 국가 위험 등록부(National Risk Register)의 최신 개정판에 데이터 인프라, 용수 인프라, 경찰 시스템에 대한 사이버 공격과 민주적 절차 간섭 등 신규 사이버 위험 시나리오를 추가했습니다. 데이터센터에 대한 정교한 사이버 공격은 복구에 수년이 걸리고 최대 200명의 사망자와 수억 파운드의 손실을 초래할 수 있으며, 용수 회사 OT 시스템 공격은 대규모 물 공급 차질과 인명 피해를 일으킬 수 있습니다. 또한 경찰 인프라 공격은 수사 및 공소 제기를 차질되게 하고 일선 경찰 활동의 효과를 감소시킬 위험이 있는 것으로 평가되었습니다.

데일리시큐에서 연재하는 정보보안 소설《로그아웃되지 않는 밤》은 설 연휴에 홀로 당직 근무를 하는 보안 담당자 한도윤의 이야기를 담고 있습니다. 그는 명절 이벤트로 인한 시스템 부하에 대응하는 동시에, 이 거대한 트래픽의 그늘에 숨어 관리 경로를 노리는 공격 시도를 발견하고 두 개의 위협에 맞섭니다.

이 글은 수많은 오탐 속에서 실제 위협을 찾아야 하는 보안 담당자의 현실을 다룬 소설의 일부입니다. 한 담당자가 특정 로그인을 정상으로 판단하자, 선임자는 결과가 정상이더라도 그 판단 과정에 내재된 위험성을 지적합니다. 그는 반복되는 경보에 무뎌져 진짜 공격을 놓칠 수 있음을 경고하며, 근거를 가지고 판단하고 의심스러울 때 멈추는 자세의 중요성을 강조합니다.

중소벤처기업부의 '모두의 창업' 프로젝트가 개인정보 유출 사태를 수습하는 과정에서 또다시 관리 부실이 드러났습니다. 경기창조경제혁신센터와 강원창조경제혁신센터는 안내 메일을 발송하며 수신자를 숨김 처리하지 않아 참여 기업명, 담당자 성명, 이메일 주소 등을 노출했습니다. 또한 창업진흥원은 보안이 검증되지 않은 외부 설문 플랫폼을 사용해 기업 정보를 수집한 것으로 확인되었습니다.

베스핀글로벌이 AI 기반 보안운영센터 서비스인 '헬프나우 AI SOC'를 정식 출시했다. 이 서비스는 기업의 데이터를 외부로 보내는 기존 방식과 달리, 기업 자체 인프라 내부에 AI 관제 환경을 직접 구축하여 데이터 통제권을 유지하게 한다. 멀티 클라우드와 하이브리드 환경을 실시간 감시하며, 위협 감지 시 감염 자산 격리부터 복구까지 자동으로 처리하고 반복적인 수동 업무를 자동화한다.

구글과 모질라가 각각 크롬 150과 파이어폭스 152의 새로운 업데이트를 통해 '위험(critical)' 등급의 보안 취약점을 해결했습니다. 모질라는 파이어폭스 152.0.6에서 익스플로잇 코드가 공개된 두 개의 위험 등급 결함을 패치했습니다. 구글은 최신 크롬 업데이트를 통해 오존(Ozone)의 두 가지 위험 등급 사용 후 해제(use-after-free) 결함을 포함한 총 15개의 취약점을 수정했습니다. 두 회사 모두 해당 취약점들이 실제 공격에 악용된 사례는 인지하지 못했다고 밝혔습니다.