동형암호 기술 기업 크립토랩이 자사의 AI 검색 솔루션 '인벡터(enVector)'를 구글 클라우드 마켓플레이스에 입점시켰습니다. '인벡터'는 데이터를 암호화한 상태에서도 성능 저하 없이 실시간 벡터 검색을 수행하여, 생성형 AI 등에서 민감 데이터가 노출될 수 있는 보안 취약점을 해결합니다. 이번 입점으로 전 세계 기업들은 클라우드 환경에서 동형암호 기술을 쉽게 테스트하고 기존 AI 워크플로우와 연동해 안전한 검색 환경을 구축할 수 있게 되었습니다.
기업의 정보보호 환경이 데이터 흐름 중심으로 확장됨에 따라, CISO는 제한된 자원 내에서 효과적인 운영 전략을 수립해야 합니다. 이를 위해 현업의 업무 흐름을 이해하고 데이터 노출을 최소화하면서도 업무 연속성을 보장하는 실질적인 보안 정책을 설계하는 것이 중요합니다. 또한 ISMS-P와 같은 정보보호 인증을 단순한 규제 준수를 넘어, 조직 내 보안 조치의 우선순위를 확보하고 자원 배정의 근거로 활용하는 전략적 도구로 사용해야 한다고 필자는 강조합니다.
IT 서비스 대기업 액센츄어(Accenture)가 데이터 유출을 당했음을 확인했습니다. '888'로 알려진 해커는 7월에 35GB의 소스 코드, RSA 키, 애저(Azure) 액세스 토큰 등을 훔쳤다고 주장하며 이를 사이버 범죄 포럼에서 판매하고 있습니다. 액센츄어는 이 사건이 해결되었으며 운영에는 영향이 없다고 밝혔으나, 유출된 데이터의 구체적인 내용에 대해서는 언급하지 않았습니다.
보안 기업 바로니스(Varonis)는 구글의 AI 챗봇 개발 플랫폼 다이얼로그플로우 CX(Dialogflow CX)에서 '로그 에이전트(Rogue Agent)'라는 취약점을 발견했습니다. 이 취약점은 공격자가 AI 챗봇 데이터를 탈취할 수 있도록 허용했으며, 현재는 구글에 의해 패치되었습니다. 이번 사건은 AI 인프라 보안의 중요성을 강조합니다.
중국 해킹 그룹 'UAT-7810'이 주로 패치되지 않은 루커스(Ruckus) 라우터 등 인터넷 연결 네트워크 장비를 감염시켜 작전용 릴레이 박스(ORB) 네트워크를 확장하고 있습니다. 이들은 알려진 취약점을 악용하며, 기존 SHORTLEASH 백도어의 업그레이드 버전인 LONGLEASH를 비롯해 DOGLEASH, JARLEASH 등 새로운 악성코드를 사용합니다. 해당 ORB 네트워크는 다른 중국 연계 APT 그룹들이 트래픽을 중계하여 탐지를 회피하고 공격 출처를 숨기는 데 사용되는 보안 인프라 역할을 합니다.
미국의 한 카운티 정부가 사이버 갈취 그룹 '카이로스'에 100만 달러의 몸값을 지불한 것으로 알려졌습니다. 카이로스는 2025년 5월 무차별 대입 공격으로 2TB가 넘는 데이터를 탈취했으며, 이를 공개하겠다고 협박했습니다. 이번 공격은 파일 암호화 없이 데이터만 훔치는 순수 갈취 공격이었으며, 유출된 정보에는 45,487명의 이름, 사회보장번호 등 민감한 개인정보가 포함되었습니다.
여러 Tenda 라우터 펌웨어 버전에서 숨겨진 인증 백도어가 발견되었습니다. 이 취약점(CVE-2026-11405)은 공격자가 특정 비밀번호를 사용해 사용자 이름과 상관없이 기기의 웹 관리자 접근 권한을 획득하도록 허용합니다. 현재 제조사의 패치가 없는 상태이며, CERT/CC는 원격 웹 관리 패널을 비활성화하여 인터넷을 통한 접근을 막을 것을 권고했습니다.
AWS가 유럽(프랑크푸르트) 리전에서 Amazon EC2 C8ine 인스턴스를 출시했습니다. 이 인스턴스는 6세대 인텔 제온 스케일러블 프로세서와 AWS 니트로 카드를 탑재하여 이전 세대보다 최대 43% 향상된 성능을 제공합니다. 특히 가상 방화벽, 로드 밸런서 등 보안 및 네트워크 가상 어플라이언스 워크로드에 최적화되어 설계되었습니다.
VECT 랜섬웨어 그룹이 TeamPCP라는 위협 그룹과 협력하여 새로운 공급망 공격을 수행하고 있습니다. TeamPCP는 널리 사용되는 오픈소스 패키지를 변조하여 개발자 자격증명을 대량으로 훔치고, VECT는 이 훔친 자격증명 데이터베이스에서 공격 대상을 선택하여 랜섬웨어를 배포합니다. 이 방식은 기존의 정찰 단계를 생략하는 새로운 공격 형태로, FBI는 도난당한 자격증명이 장기간에 걸쳐 악용될 수 있다고 경고했습니다.
중국 연계 추정 위협 그룹 'UNK_MassTraction'이 미국과 캐나다 대학의 취약한 Roundcube 메일 서버를 공격해 계정 정보를 탈취하고 네트워크 침투를 시도했습니다. 이들은 XSS 취약점(CVE-2024-42009)을 악용한 피싱 이메일로 'IceCube' 자바스크립트 페이로드를 실행하여 로그인 정보 및 인증 데이터를 수집했습니다. 이후 역직렬화 취약점(CVE-2025-49113)을 활용해 웹셸을 배포하고 'VShell' 백도어를 메모리에 설치하여 추가적인 원격 접근 권한을 확보했습니다.
스페인 경찰이 친러시아 해킹 그룹 '사이버아미 오브 러시아 리본(CARR)'의 멤버로 의심되는 남성을 체포했습니다. 이 용의자는 다른 해커의 러시아 탈출을 돕고, 암호화된 메시징 앱을 통해 그룹 활동을 조정하는 등 물류 및 운영 지원을 제공한 혐의를 받습니다. FBI의 정보 제공으로 시작된 이번 수사를 통해 용의자의 자택에서 컴퓨터와 암호화폐 저장 장치가 압수되었습니다.
개인정보보호위원회는 'MPIS 리더스 포럼 2026'에서 AI 시대에 증가하는 개인정보 유출 위험에 대응하기 위해 사후 제재가 아닌 사전 예방 중심의 보호 체계로 전환해야 한다고 강조했습니다. 특히 진료기록 등 민감정보를 다루는 의료기관은 AI 도입 시 단순 동의를 넘어 데이터 수집, 학습, 접근권한 등 전 과정에 걸쳐 종합적인 위험 관리가 필수적입니다. 정부는 중대 위반에 대한 제재를 강화하는 한편, 기업의 자발적인 보호 투자를 유도하는 방향으로 정책을 추진할 계획입니다.