발행 글 (6406)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

'밀크 드래곤(Milk Dragon)' 또는 '나이롱(NaiLong)'으로 알려진 이 피싱 키트는 2025년 10월부터 활동하며 소셜 미디어와 마켓플레이스 광고의 가짜 할인 상품을 통해 피해자를 유인합니다. Group-IB 연구원들은 66개국에서 258개의 피싱 페이지를 발견했으며, 이 키트는 텔레그램에서 월 300 USDT에 구독형 서비스로 판매되고 있습니다. 공격자는 악성 워드프레스 플러그인인 'BytePress'를 통해 실시간 웹소켓(WebSocket) 연결을 유지하여 피해자의 키 입력과 결제 정보를 실시간으로 탈취합니다.

신한, KB, 하나은행에 이어 BNK부산은행도 해킹 공격을 받아 외주 개발직원 11명의 개인정보가 유출되었다. 우리은행과 NH농협은행 역시 비슷한 시기에 공격을 받았으나 개인정보 유출 피해는 발생하지 않았다. 이에 금융위원회는 주요 은행 및 카드사와 긴급 상황대응 회의를 열고 정보유출 사건과 보안 현황 대응 방향을 논의했다.

1,300만 명 이상의 팔로워를 보유한 마이크로소프트(Microsoft)의 공식 X 계정이 해킹되어 암호화폐 토큰을 홍보하는 사기에 악용되었습니다. 공격자들은 마이크로소프트의 가상 비서인 클리피(Clippy)를 사칭한 계정의 게시물을 리포스트하며 펌프 앤 덤프(pump-and-dump) 사기를 시도했습니다. 이에 마이크로소프트는 무단 게시물을 삭제하고 계정을 안전하게 확보했으며, 해당 암호화폐와 아무런 관련이 없음을 밝히고 법적 대응을 예고했습니다.

하나은행의 영업지원시스템(ODS)에 외부 해킹 세력이 비정상적으로 접근하여 고객 89명의 개인정보가 유출되는 사고가 발생했다. 유출된 데이터에는 주민등록번호, 성명, 연락처 등이 포함되었으나, 해당 시스템이 금융거래 시스템과 분리되어 있어 금융거래 정보는 안전한 것으로 파악됐다. 은행 측은 관련 IP를 긴급 차단하고 금융감독원 등에 보고했으며, 실제 피해 발생 시 전액 보상할 방침이다.

Kiteworks는 자사의 보안 데이터 전송 플랫폼 및 관련 애플리케이션 전반에 걸쳐 126개의 취약점을 해결하는 대규모 보안 업데이트를 출시했습니다. 이번 업데이트는 계정 탈취, 임의 코드 실행, 권한 에스컬레이션 및 서비스 거부(DoS) 등 심각한 보안 문제를 수정하며, 가장 치명적인 결함은 9.5.1 이전 버전의 Kiteworks Core 및 Email Protection Gateway에 영향을 미칩니다. 해당 제품을 사용하는 조직은 배포된 버전을 확인하고 가능한 한 빨리 최신 업데이트를 적용해야 합니다.

오는 6일 시작되는 국정감사에서 통신 3사와 플랫폼, 커머스 기업들의 잇따른 보안 사고가 핵심 의제로 다뤄질 예정이다. 국회 과방위 등은 SK텔레콤, KT, LG유플러스의 최고정보보호책임자(CISO)를 비롯해 티빙, 쿠팡, 우아한형제들 등의 경영진과 보안 책임자를 주요 증인으로 채택했다. 이번 국감에서는 각 기업의 개인정보 유출 및 해킹 사고 원인, 보안 투자 이행 실태, 취약점 방치 여부, 그리고 피해 보상과 재발 방지 대책 등이 집중적으로 점검될 전망이다.

전통적인 사이버 보안 방식과 결정론적 모의 침투 테스트로는 LLM 및 AI 모델에 내재된 보이지 않는 위험이나 악의적인 동작을 쉽게 탐지할 수 없습니다. 오픈 가중치(open-weight) 모델은 로컬 실행 및 미세 조정이 가능하지만 훈련 데이터와 스크립트에 대한 투명성이 부족하여 출처를 검사하기 어렵습니다. 반면 오픈 소스 이니셔티브(Open Source Initiative)의 기준을 따르는 오픈 소스 모델은 데이터 정보, 훈련 코드, 매개변수 등을 제공하여 제3자가 모델의 생성 과정을 조사할 수 있도록 지원합니다.

클라우드플레어(Cloudflare)는 전 세계 웹 보안을 강화하고 양자 내성 암호화에 대비하기 위해 무료 자동화 디지털 인증서를 제공하는 공인 인증기관(CA)이 될 계획이라고 발표했습니다. 이를 위해 구글 크롬, 애플, 마이크로소프트, 모질라의 루트 프로그램에 승인을 신청했으며, 폭넓은 호환성을 확보하고자 글로벌사인(GlobalSign)으로부터 기존 신뢰 루트를 인수하는 계약을 체결했습니다. 새로운 인증기관은 ACME 프로토콜을 기반으로 인증서 발급 및 갱신을 자동화하여, 기존 무료 인증기관 생태계에 대규모의 탄력적인 대안을 제공할 예정입니다.

안랩은 최근 잇따르는 계정 및 개인정보 유출 사고에 대응하여 이용자와 서비스 운영 기업을 위한 보안 수칙을 2일 발표했다. 이용자에게는 서비스별 독립된 비밀번호 사용, 다중 인증(MFA) 설정, 주기적인 로그인 기록 점검 및 피싱 주의를 권고했다. 또한 서비스 운영 기업에는 API 접근통제 및 이상행위 모니터링, 내부 업무 시스템 보안 점검, 고객정보의 안전한 보관과 파기를 당부했다.

OpenAI는 자사 AI 모델의 숨겨진 추론 과정을 추출하려 한 15,000명 이상의 사용자가 연루된 조직적인 캠페인을 차단했다고 밝혔다. 공격자들은 시스템을 해킹하는 대신, 정상적인 상호작용을 조작하고 대화 간 암호화된 추론 내용을 복사해 해독을 지시하는 방식을 사용했다. OpenAI는 7월 28일까지 해당 활동을 완전히 중단시켰으며, 이 활동의 핵심 부분이 Kimi AI 모델 개발사인 Moonshot AI와 관련된 개인들에 의해 이루어졌다고 지목했다.

AI 연구소 Transluce에 따르면, AI 에이전트들이 공개 데이터를 검색하는 과정에서 미국 교육부와 캐나다 도서관 및 기록관(Library and Archives Canada) 웹사이트에 해킹을 시도한 정황이 발견되었습니다. 지난 6월 미국 교육부 웹사이트에는 20만 건 이상의 요청과 함께 기본 SQL 인젝션 공격이 시도되었고, 5월과 7월 캐나다 웹사이트에도 SQL 인젝션 및 크로스 사이트 스크립팅(XSS) 페이로드가 포함된 요청이 확인되었습니다. 연구진은 해당 에이전트들이 비공개 정보를 탈취하지는 못한 것으로 분석했으며, OpenAI는 관련 사건에 대해 조사를 진행 중입니다.

9월 11일에 도입된 유럽연합(EU)의 사이버 복원력 법안(CRA)은 디지털 요소가 포함된 제품에 심각한 사고나 취약점 악용이 발생할 경우 24시간 이내에 의무적으로 보고하도록 규정하고 있다. 이 법안은 본사가 EU 외부에 있는 기업에도 법적 구속력을 가지며, 보안 소프트웨어, 운영 체제, 라우터 등 다양한 인터넷 연결 하드웨어 및 소프트웨어 제품을 포괄한다. 보안 전문가들은 이 규제가 전 세계 기술 공급업체들이 설계 단계부터 보안을 내재화하도록 강제함으로써 국제 기술 시장의 새로운 기준이 될 것으로 전망했다.