발행 글 (6365)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

러시아 연계 APT 그룹인 툴라(Turla)가 우크라이나 정부 및 군사 조직을 대상으로 새로운 백도어 'StockStay'를 이용한 사이버 첩보 활동을 전개하고 있습니다. 이 백도어는 2022년부터 개발되었으며, 주식 시장 정보 도구로 위장했으나 최근에는 PDF 뷰어나 계산기 등으로 위장하여 악성 행위를 수행합니다. StockStay는 명령 및 제어 통신을 위해 보안 웹소켓을 사용하며, 파일 다운로드/유출, 화면 캡처 등 다양한 기능을 지원합니다.

ESET의 신규 보고서에 따르면, 지난 1년 동안 중소·중견기업(SMB)의 45%가 사이버 침해 사고를 겪었으며 61%는 향후 12개월 내 공격을 우려하고 있는 것으로 나타났습니다. 침해 사고 발생 시 복구에 2주에서 6주가 소요된다고 답한 비율이 34%에 달해 비즈니스 운영에 심각한 지장을 초래할 수 있습니다. 한편 SMB의 73%가 위험성에도 불구하고 AI를 도입하고 있으며, AI 기반 악성코드를 가장 우려스러운 위협 요소로 꼽았습니다.

PTC Windchill의 제로데이 취약점(CVE-2026-12569)이 처음으로 실제 공격에 악용되었습니다. 이 취약점은 원격 인증 없이도 특수하게 조작된 요청을 통해 임의 코드를 실행할 수 있게 합니다. CISA는 이 취약점을 악용된 취약점 목록에 추가했으며, 공격자들은 이를 이용해 원격 명령 실행 및 데이터 유출을 위한 웹쉘을 배포하고 있습니다.

충남대학교 COSS 사업단이 학생들의 진로 탐색을 돕기 위해 안랩과 AWS 코리아를 방문하는 'COSS Career Insight Tour'를 운영했다. 이 프로그램은 보안 및 클라우드 분야 기업의 현직자와의 만남을 통해 채용 트렌드와 직무 정보를 공유하고, 산업 현장 체험 기회를 제공했다. 학생들은 블록체인 및 생성형 AI, 클라우드 기술 관련 실습과 멘토링을 통해 실질적인 인사이트를 얻었다.

영국 사이버모니터링센터(CMC)는 교육 기술 기업 Instructure의 Canvas 시스템에서 발생한 데이터 유출 사고에 대한 분석 및 가이드라인을 발표했습니다. 이 사고로 전 세계 약 9,000개의 교육 기관이 영향을 받았으며, 기밀 정보가 유출되었습니다. CMC는 이번 사건이 대규모 시스템 중단과는 다른 재정적 영향을 미칠 수 있음을 지적하며, 복구 및 위험 관리 활동이 주요 손실 요인임을 분석했습니다.

국립한국해양대학교는 선박기자재업체 씨넷을 대상으로 해양기자재 운영기술(OT) 사이버보안 실무 특강을 진행했습니다. 이번 교육은 강화되는 IMO 사이버 규제에 대응하고 선박의 디지털화에 따른 보안 역량을 강화하기 위해 마련되었으며, 국제표준 기반의 위험 평가부터 원격 접속 제어까지 실무 중심의 교육으로 진행되었습니다. 교육 참가자들은 실제 선박 시스템에 국제기준을 적용하는 실습을 통해 사이버보안을 설계 및 개발 단계부터 핵심 품질 요건으로 반영하는 중요성을 체감했습니다.

GDPR 시행 10주년을 맞아 데이터 보호는 강화되었으나 기업들은 관료주의와 법적 불확실성 증가로 비판적인 입장을 보이고 있습니다. GDPR 시행 이후 독일 기업들의 데이터 보호 요건 이행률은 크게 증가했으며, 개인 데이터 보호에 대한 인식도 높아졌습니다. 그러나 기업들은 GDPR로 인해 비즈니스 프로세스가 복잡해지고 규정 준수에 대한 부담이 커지고 있다고 느끼고 있습니다.

중앙선거관리위원회를 대상으로 한 북한의 사이버 공격 시도가 올해 상반기에만 3,543건으로 작년 대비 68배 폭증했습니다. 이는 역대 최대 규모인 10만 건 이상의 공격 시도 중 일부로, 북한은 민주주의 체제의 정당성을 무력화하기 위해 선거 시스템 침투를 시도하고 있습니다. 선관위는 내부 취약점과 신뢰도 하락 문제 해결을 위해 전면적인 사이버 보안 혁신이 시급합니다.

한 고객사에서 보안 강화를 위해 다단계 인증(MFA)을 도입하려 했으나, 최고운영책임자(COO)가 MFA 도입으로 인해 업무가 마비되었다고 주장하며 즉각적인 롤백을 요구했습니다. 조사 결과 MFA 자체의 문제는 아니었고, 연동된 송장 시스템의 오류가 원인이었으나, 결국 보안 강화 조치는 철회되었습니다.

AI 기술을 악용한 딥페이크 성착취, 금융사기 등 범죄에 대응하기 위해 10개 부처가 참여하는 'AI 범죄 대응 범부처 협의체'가 공식 출범했습니다. 협의체는 AI 범죄 예방, 탐지, 수사, 피해회복 등 전 과정을 아우르는 종합 대응 계획을 마련하고, 관계 부처 간 신속한 정보 공유와 공동 대응을 위한 통합 대응체계를 구축할 예정입니다.

kt cloud와 카카오가 AI 서비스의 안전성 확보를 위한 협력 체계를 구축했다. 양사는 생성형 AI 도입 확산에 따른 보안 위협에 대응하기 위해 kt cloud의 생성형 AI 플랫폼에 카카오의 AI 가드레일 모델을 연동하고, AI Safety 도구 및 운영 플랫폼 분야로 협력을 확대할 계획이다. 이를 통해 공공 및 민간 분야에서 신뢰할 수 있는 AI 활용 환경을 조성하고 보안 컴플라이언스 기준에 효과적으로 대응할 수 있을 것으로 기대된다.

개인정보보호위원회가 빗썸이 개인정보 국외이전 규정을 위반한 사실을 적발하고 과징금 2억 1000만원을 부과했습니다. 빗썸은 해외 거래소와 오더북을 공유하고 가상자산을 이전하는 과정에서 이용자의 별도 동의를 받지 않거나, 동의받은 내용과 다른 시스템으로 개인정보를 이전했습니다. 이에 개인정보위는 시정명령과 함께 블록체인 서비스 개인정보 보호 가이드라인을 발표하며 신기술 환경에서의 개인정보 보호 기준 마련을 강조했습니다.