발행 글 (6435)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

새마을금고중앙회는 한국노인인력개발원과 비수도권 인구감소지역 취약계층을 대상으로 금융사기 예방교육을 추진하는 업무협약을 체결했다. 양 기관은 보이스피싱 및 메신저피싱 등 금융사기 사례와 예방 방법을 교육할 예정이다. 또한, 새마을금고중앙회의 금융사기 대응 전문인력이 현장 교육에 참여하여 고령층의 대응 역량을 높일 계획이다.

탈레스(Thales)는 소스 코드 변경 없이 컴파일된 애플리케이션을 AI 기반 리버스 엔지니어링 및 자동화된 취약점 발견으로부터 보호하는 '센티넬 엔벨로프 플러스(Sentinel Envelope Plus)'를 발표했다. 탈레스의 자체 테스트 결과, AI 에이전트는 보호되지 않은 애플리케이션에서 10개의 취약점 중 8개를 찾아냈으나 해당 솔루션이 적용된 앱에서는 970배의 토큰을 소비하고도 취약점을 전혀 발견하지 못했다.

영국 정보기관인 MI5는 100명 이상의 영국 관련 학자들이 중국 국가안전부(MSS)와 연관된 기관의 자금 지원을 받아 중국의 스파이 역량 향상을 도왔다고 경고했습니다. 이들 학자들은 인공지능, 사이버 보안, 은닉 통신 시스템 및 심층 암호(steganography) 등의 연구에 기여했으며, 일부는 자금 출처가 중국의 CGTRI(또는 CAGT)라는 사실을 인지하지 못했을 수 있습니다. 이에 MI5는 학술 기관들에게 중국 기관과의 연구 협력 및 자금 출처를 철저히 검토할 것을 권고하며, 외국 정보기관 협력에 따른 법적 처벌 가능성을 강조했습니다.

지난 9월 24일부터 25일까지 파르나스호텔앤리조트의 통합 멤버십 '파르나스 리워즈'에서 외부 제3자의 불법 접근으로 인해 회원 개인정보가 유출되는 사고가 발생했다. 유출된 항목은 멤버십 아이디, 이름, 예약정보, 휴대전화번호 등 8개이며, 회사는 9월 29일 개인정보보호위원회와 한국인터넷진흥원(KISA)에 해당 사고를 신고했다. 파르나스호텔 측은 유출된 예약정보를 악용해 왓츠앱 등 비공식 채널로 추가 결제를 요구하는 사칭 피싱 메시지에 대한 고객들의 각별한 주의를 당부했다.

AI의 확산으로 클라우드 인프라 성장이 가속화되면서, 사용자 실수와 설정 오류 및 복잡한 공급망을 노린 클라우드 보안 위협도 급증하고 있다. 이에 대응하여 유럽연합(EU)은 NIS2, DORA, CRA 등의 법안을 통해 클라우드 서비스 제공자의 보안 책임과 데이터 주권 요건을 대폭 강화하고 있다. 국내에서도 과학기술정보통신부의 클라우드보안인증(CSAP) 단일 검증체계 도입과 공공 분야 망분리 의무화 규정 폐지 등 클라우드 보안 관련 정책이 개선되고 있다.

암호화폐 지갑 제공업체 메타마스크(MetaMask)가 자사 인프라 일부에 영향을 미치는 보안 사고가 발생했다고 목요일에 밝혔습니다. 회사 측은 메타마스크 지갑에 대한 즉각적인 위협은 없다고 설명하며, 예방 조치로 비수탁형 스테이킹 운영 내에서 영향을 받은 검증자(validator)들을 선제적으로 종료하고 있다고 덧붙였습니다. 리도 파이낸스(Lido Finance)에 따르면 관련 검증자들은 리도 프로토콜에서 종료 절차를 시작했으며, 2026년 10월 7일까지 종료가 완료될 예정입니다.

BlackFog는 기업 내 생성형 및 에이전트 AI의 사용을 통제하고 관리할 수 있도록 AI 보안 기능을 확장한 'ADX Vision 2.0'을 출시했습니다. 이 솔루션은 데이터가 AI 서비스에 도달하기 전 엔드포인트에서 직접 작동하여 프롬프트 인젝션이나 무단 데이터 노출과 같은 위험을 방지하며, 7가지 계층의 프롬프트 보호 기능을 제공합니다. 또한 조직이 AI 요청을 공식 승인된 LLM 서비스로 리디렉션하여 보안 정책을 시행하고, 프롬프트 감사 기능을 통해 가시성을 확보할 수 있도록 지원합니다.

미국에서 고령층을 겨냥해 공개된 개인정보를 악용한 온라인 사기가 급증하고 있으며, 인코그니 분석에 따르면 2024년 60세 이상 대상 관련 범죄 손실액은 약 42억달러로 추산됐다. 공격자들은 '심 스왑(SIM swap)' 수법으로 계정을 탈취해 2단계 인증 코드를 가로채거나, AI 음성 복제로 가족을 사칭해 송금을 요구하는 등 수법을 고도화하고 있다. 이에 FBI와 미국 사이버보안·인프라보안국(CISA)은 긴급 연락 시 별도 경로로 당사자를 확인하고, 문자 대신 인증 앱 등 안전한 다중인증 수단을 사용할 것을 권고했다.

엘세븐시큐리티는 자체 개발한 광학문자인식(OCR) 엔진을 탑재한 'ImageOCR & OCR Filtering V3.0'으로 개인정보보호위원장상을 수상했다. 이 솔루션은 이미지나 스캔 파일에 포함된 개인정보를 식별해 차단 및 마스킹 처리하며, GPU 없이 CPU만으로 95% 이상의 문자 인식률을 제공해 구축 비용을 낮춘 것이 특징이다. 회사는 향후 해당 기술을 홈페이지 차단뿐만 아니라 서버, 이메일, 인공지능 학습데이터 정제 등 다양한 영역으로 확대 적용할 계획이다.

위협 행위자들은 공격을 수행하기 위해 항상 최고 수준의 기술이나 매우 복잡한 악성코드를 사용하는 것은 아닙니다. 때로는 기존 애플리케이션을 단순히 악용하기도 합니다.

Swimlane이 AI를 도입한 보안 운영 인력 500명을 조사한 결과, 약 90%가 반복 업무 감소로 인해 업무 만족도가 높아졌다고 답했습니다. 그러나 응답자의 약 25%는 AI가 보안 기술 습득을 저해한다고 밝혔으며, 거의 절반은 신입 직원이 기초를 배우던 업무를 AI가 대체함에 따라 초급 일자리를 구하기가 더 어려워질 것으로 예상했습니다. 한편 분석가들의 90% 이상은 AI의 잘못된 권장 사항을 스스로 찾아낼 수 있다고 확신하며 결과물 검토에 더 많은 시간을 할애하고 있습니다.

암호화폐 거래소 비트겟(Bitget)은 지난주 발생한 3억 8,750만 달러 규모의 암호화폐 도난 사건이 제3자 보안 제품의 제로데이 취약점 악용으로 인해 발생했다고 확인했습니다. 슬로우미스트(SlowMist)의 조사에 따르면, 공격자는 2026년 8월 31일부터 취약점을 악용해 데이터베이스 비밀번호를 탈취했으며, 이후 내부 직원의 신원을 이용해 비정상적인 출금 명령을 실행했습니다. 이 사건으로 이더리움 등 11개 블록체인이 영향을 받았으며, 비트겟은 관련 공급업체에 이를 통보하고 패치가 완료될 때까지 해당 기능을 비활성화했습니다.