취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
공공미국 사이버보안 기관 CISA가 '사이버 미끼(디셉션)' 기술을 활용해 침입자를 탐지하는 방법에 관한 실무 가이드를 발표했습니다. 이 기술은 공격자가 건드릴 경우 즉시 경보가 울리는 가짜 계정·파일·시스템을 환경 곳곳에 심어두는 방식으로, 합법적인 자격증명을 도용하거나 정상 도구를 악용하는 공격자를 탐지하는 데 효과적입니다. CISA는 이미 보유한 보안 도구(EDR, IAM 등)와 무료 오픈소스 솔루션만으로도 구현 가능하다고 강조하며, 예산이 부족한 조직도 적용할 수 있다고 밝혔습니다. 가이드는 MITRE ATT&CK와 MITRE Engage 프레임워크를 기반으로 어디에 미끼를 배치할지 우선순위를 정하는 방법도 안내합니다. 미끼 자체가 공격자의 실제 시스템 침투 경로가 되지 않도록 설계에 주의해야 한다는 점도 강조됩니다.
자세히 보기
공공한국에서 23개국 300명이 참가한 국제 사이버 훈련 'APEX'가 열렸습니다. 올해는 사람의 개입 없이 위협 탐지·분석·보고서 작성까지 스스로 수행하는 자율형 AI 방어팀 '프로젝트 팔랑크스(Project Phalanx)'가 처음 도입되어 주목받았습니다. 훈련은 전력망·5G·지하철 등 국가 핵심 시설을 표적으로 한 공격을 가정했으며, 기술 대응뿐 아니라 언론 대응과 법적 대응까지 포함한 실전 시나리오로 구성됐습니다. AI 방어팀의 대응 속도가 인간을 크게 앞질러 점수 산정에서 제외될 정도였으며, 각국 참가자들은 AI 활용 역량과 실전 연계 훈련 방식에 높은 평가를 내렸습니다. 이번 훈련은 사이버 위협 대응에서 국제 공조와 AI 협업 모델의 중요성을 확인하는 계기가 됐습니다.
자세히 보기
공공미국 FBI가 오랫동안 운영되어 온 DDoS(분산 서비스 거부 공격) 대행 서비스인 'NightmareStresser'의 도메인을 압수하고 운영을 차단했습니다. 이 서비스는 2022년부터 전 세계 수십만 건의 DDoS 공격에 악용되었으며, 교육기관·정부기관·게임 플랫폼 등 광범위한 피해자를 대상으로 삼았습니다. FBI는 캐나다 왕립기마경찰 등 국제 법집행기관과 공동으로 'Operation PowerOFF' 작전의 일환으로 이번 압수를 진행했습니다. 지난 8년간 검찰은 DDoS 대행 서비스 운영자 12명을 기소하고 100개 이상의 관련 도메인을 압수하는 성과를 거두었습니다. DDoS 대행 서비스는 기술 지식이 없어도 대규모 공격을 손쉽게 의뢰할 수 있어 위협 진입 장벽이 계속 낮아지고 있다는 점에서 기업 보안 담당자의 지속적인 주의가 필요합니다.
자세히 보기
중요공공중국과 연계된 국가 지원 해킹 그룹 FamousSparrow가 'SparroWocky'라는 새로운 백도어(해커가 몰래 심어두는 원격 접근 악성 프로그램)를 사용해 2025년 8월부터 라틴아메리카 여러 국가의 정부 기관을 집중 공격하고 있습니다. 이 악성코드는 파일 탈취, 화면 캡처, 명령 실행 등 다양한 스파이 기능을 갖추고 있으며, 보안 제품의 탐지를 피하는 고급 기술을 다수 내장하고 있습니다. ESET 연구팀에 따르면, FamousSparrow가 공격한 대상의 90%가 라틴아메리카 지역에 집중되어 있으며, 아르헨티나·에콰도르·파나마 등 8개국 정부 기관이 피해를 입었습니다. 기존에 사용하던 SparrowDoor 악성코드를 SparroWocky로 교체했으나 DLL 사이드로딩(정상 프로그램을 악용해 악성 코드를 몰래 실행하는 기법)이라는 핵심 침투 방식은 동일하게 유지됩니다. 초기 침투 경로는 아직 밝혀지지 않았으며, 감염 여부 확인과 네트워크 탐지 규칙 업데이트가 필요합니다.
자세히 보기
공공국가정보원과 국가보안기술연구소가 주최한 국제 사이버 훈련 'APEX 2026'이 서울 코엑스에서 열렸습니다. 세계 33개국 사이버 전문가들이 참가한 이번 훈련에서는 사람 개입 없이 스스로 방어 작전을 수행하는 자율형 AI 방어팀 '프로젝트 팔랑크스(Project Phalanx)'가 세계 최초로 실전 검증에 투입돼 주목받았습니다. 외국인 참가자는 AI가 위협 분석부터 시스템 복구까지 인간과 비교할 수 없는 속도로 수행하는 것에 큰 충격을 받았다고 밝혔습니다. 훈련은 지하철 관제 시스템 등 실제 사회 기반시설을 모사한 사이버-물리 환경(CPS)에서 진행됐으며, 해킹·방어 외에도 가짜뉴스 대응 같은 비기술 영역까지 포함한 복합 시나리오가 운영됐습니다.
자세히 보기
중요공공중국과 연관된 해킹 그룹 FamousSparrow가 'SparroWocky'라는 새로운 백도어(해커가 몰래 시스템에 침입하기 위한 악성 프로그램) 악성코드를 이용해 라틴아메리카 정부 기관들을 1년 이상 공격해 왔습니다. 아르헨티나, 에콰도르, 과테말라 등 8개국이 표적이 됐으며, 목적은 미국의 중국 경제 압박에 대한 라틴아메리카 각국 정부의 동향을 파악하는 것으로 추정됩니다. SparroWocky는 파일 탈취, 화면 캡처, 원격 명령 실행 등 광범위한 첩보 수집 기능을 갖추고 있으며, 보안 솔루션을 피하기 위한 다양한 탐지 회피 기술도 내장되어 있습니다. 악성코드는 DLL 사이드로딩(정상 프로그램에 악성 DLL 파일을 끼워 넣는 기법)으로 설치되며, 정상 Windows 구성 요소로 위장해 보안 제품의 탐지를 피합니다. 보안 담당자는 공개된 침해지표(IoC)를 참고해 관련 C2(명령·제어 서버) 주소를 즉시 차단하고 의심스러운 DLL 로딩 행위를 모니터링해야 합니다.
자세히 보기
공공한국 국가정보원(국정원)이 주관하는 국제 사이버 방어훈련 'APEX 2026'이 서울 코엑스에서 열렸습니다. 나토를 포함한 33개국 300여 명의 사이버 안보 전문가가 참가했으며, 올해 처음으로 사람 없이 스스로 공격에 대응하는 'AI 자율 방어팀(프로젝트 팔랑크스)'이 실제 팀들과 동일한 조건으로 훈련에 투입됐습니다. 전력망·5G 통신망·의료망·지하철·해양 선박 등 국가 핵심 인프라를 지키는 시나리오로 진행됐으며, 실제 산업 현장의 프로토콜과 제어 시스템을 그대로 모사해 현실감을 높였습니다. 올해는 기술적 방어 외에 가짜뉴스·법률 대응 등 '인지전' 트랙도 처음 도입됐습니다.
자세히 보기
공공국가정보원(NIS)이 공공기관 정보화 사업에서 국가망 보안체계(N2SF, 정부 기관의 네트워크 보안 기준 체계)가 제대로 반영되지 않은 문제를 공식 확인하고, 사업 기획·예산 요구 단계부터 보안 대책을 의무적으로 포함시키는 절차를 마련 중이라고 밝혔습니다. 또한 PC에 설치되는 플러그인 소프트웨어가 취약점 패치 전까지 지속 노출되어 해킹 사고로 이어진다는 문제를 지적하며, 공공분야부터 설치형 소프트웨어를 최소화하고 브라우저 기반·클라우드 기반 공동인증서 방식으로 전환을 추진한다고 설명했습니다. 이 외에도 AI 보안, 소프트웨어 공급망 보안, 양자내성암호(기존 컴퓨터와 양자 컴퓨터 모두의 공격에 견디는 암호 기술) 전환 등 다양한 정책 방향이 함께 소개됐습니다.
자세히 보기
공공네이버클라우드가 정부 주관 '사이버 서밋 코리아 2026' 행사에서 정부가 추진 중인 사이버보안 특화 AI 파운데이션 모델(보안특파모) 개발 사업의 방향성을 공개했습니다. 김유원 네이버클라우드 대표는 경쟁 컨소시엄에 참여했던 안랩, KISIA 등 보안 기업들과도 협력을 논의 중이라고 밝혔습니다. 이 모델은 한국의 보안 환경에 특화된 AI를 만들어 반도체·금융·통신·방위산업 등 국가 핵심 산업을 보호하는 것을 목표로 합니다. 나아가 나토 사이버 방위 센터, 엔비디아 주도 오픈소스 AI 얼라이언스 참여 등을 통해 보안특파모를 글로벌 시장으로 확장하겠다는 계획도 제시됐습니다. 기업 보안 담당자에게는 즉각적인 대응이 필요한 사안은 아니나, 국가 차원의 사이버보안 AI 전략 동향으로 참고할 수 있습니다.
자세히 보기
공공일본 정부 디지털청에서 약 24만 6000건의 개인정보가 외부로 유출됐습니다. 공격자는 VPN(가상사설망) 제품의 취약점(보안 구멍)을 악용해 직원 계정을 통해 정부 파일 서버에 몰래 접근했습니다. 유출된 정보에는 이름, 이메일 주소, 전화번호 등이 포함되며, 주민번호나 금융 계좌 정보는 포함되지 않았습니다. 디지털청은 침해를 발견한 직후 해당 서버의 외부 접속을 차단하고 공격에 사용된 직원 계정을 정지했습니다. 이번 사고는 공개된 VPN 취약점이 패치 전에 실제 공격에 활용된 사례로, 빠른 취약점 대응의 중요성을 보여줍니다.
자세히 보기
공공한국의 개인정보보호위원회가 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증심사 방식을 서류 위주에서 현장 직접 검증 중심으로 바꾸는 법령 개정안을 2026년 9월 16일부터 입법예고했습니다. 가장 큰 변화는 침해사고나 개인정보 유출이 발생한 기업에 대해 전문 기술인력이 현장에서 취약점 진단과 모의침투(해커처럼 직접 시스템을 공격해 허점을 찾는 테스트)를 수행할 수 있게 된다는 점입니다. 또한 개인정보 처리 규모가 크거나 사회적 파급력이 큰 기업에는 더 엄격한 보호 기준이 적용될 수 있는 근거도 마련됩니다. ISMS-P 인증 의무 대상 기업이 인증 취소를 받더라도 재취득 준비 기간 1년 동안 과태료 부과가 유예되는 규정도 새로 생깁니다. 의견 제출 기한은 10월 26일까지이며, 연내 고시 개정을 통해 제도 전반을 강화할 예정입니다.
자세히 보기
공공온라인에서 쉽게 살 수 있는 휴대용 위치추적기가 스토킹 등 범죄에 악용되는 사례가 잇따르면서, 정부가 관련 사업자 49곳을 조사했습니다. 그 결과, 법에서 요구하는 위치정보사업자 등록이나 신고 없이 이용자의 위치정보를 수집·활용한 것으로 의심되는 사업자 3곳이 경찰 수사를 받게 됐습니다. 위치정보법(개인의 위치 데이터를 수집·이용하는 사업을 규제하는 법)을 위반하면 최대 5년 이하 징역 또는 5000만 원 이하 벌금이 부과될 수 있습니다. 정부는 앞으로도 위치정보 활용 서비스에 대한 등록·신고 여부와 보호 조치 이행 실태를 지속적으로 점검할 방침입니다.
자세히 보기