TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

개인정보위 키워드 뉴스

중요기업

The Hacker News·2026. 09. 25.

ThreatsDay: AI 검색 포이즈닝, AI 코딩 도구의 저장소 유출, 원클릭 코드 실행 및 13가지 추가 위협

이번 주 보안 위협 모음집에는 총 16가지 사례가 담겨 있습니다. 안드로이드 뱅킹 악성코드, AI 코딩 도구의 소스코드 유출, 원클릭으로 VS Code를 장악하는 취약점, AI 검색 결과를 조작하는 대규모 허위정보 캠페인, 소프트웨어 공급망 공격 등 기업 환경을 직접 겨냥한 위협이 가득합니다. 특히 VS Code 취약점은 링크 하나 클릭만으로 공격자가 사용자 권한으로 코드를 실행하고 SSH 키·클라우드 토큰까지 탈취할 수 있어 즉각적인 대응이 필요합니다. 공급망 공격에서는 인기 오픈소스 프로젝트와 npm 패키지에 북한과 연계된 악성코드가 심겨 개발자 환경이 감염될 수 있음을 보여줍니다. 대부분의 공격은 정교한 기술 없이도 잘못된 설정, 낡은 소프트웨어, 사람의 실수 하나만으로 성공하고 있습니다.

#AI #EDR #GitHub

공공

ZDNet Korea·2026. 09. 23.

AI 에이전트 시대, 프라이버시 보호는…개보위, 2차 민관 회의

개인정보보호위원회가 AI 에이전트 시대의 개인정보 보호 방향을 논의하는 민관 정책협의회 2차 전체회의를 개최했습니다. 국내외 15개 기관 현장 인터뷰 결과, 에이전틱 AI(스스로 과업을 수행하는 인공지능)의 주요 위험 요소로 프롬프트 인젝션(AI에 악의적인 명령어를 주입해 의도치 않은 동작을 유도하는 공격)과 과도한 권한 부여가 꼽혔습니다. 개인정보위는 올해 말 '에이전틱 인공지능 개인정보 처리 안내서'를 공개할 예정이며, 2027년 3월부터는 개정된 개인정보 보호법도 시행됩니다. 기업 보안 담당자는 향후 AI 에이전트 도입 시 적용될 책임 구조·로그 보관·파기 기준 등 규제 변화를 미리 파악해 둘 필요가 있습니다.

#AI #AI 에이전트 #개인정보

공공

전자신문 보안·2026. 09. 23.

개인정보위, 민관 정책협의회 개최…AI 에이전트 개인정보 보호 방안 논의

개인정보보호위원회가 AI 에이전트와 관련된 개인정보 보호 기준 마련을 위한 민관 협의회를 개최했습니다. 국내외 AI 도입 기관 15곳을 인터뷰한 결과, 프롬프트 인젝션(외부 공격자가 AI에 악의적인 명령을 삽입하는 기법)과 AI에 부여된 과도한 권한이 주요 보안 위험으로 지목됐습니다. AI가 자율적으로 처리할 수 있는 업무 범위와 사람이 직접 승인해야 하는 영역의 경계를 명확히 해야 한다는 의견이 제시됐습니다. AI 시스템의 로그·메모리에 남는 개인정보의 보관 및 파기 기준도 새로 마련될 예정입니다. 개인정보위는 논의 결과를 올해 말 공개할 '에이전틱 AI 개인정보 처리 안내서'에 반영할 계획입니다.

#AI #AI 에이전트 #개인정보

통신/IT

전자신문 보안·2026. 09. 22.

개인정보위·통신3사, 28일 개인정보 보호 공동선언

개인정보보호위원회(개인정보위)가 침해사고를 겪은 SK텔레콤·KT·LG유플러스 통신 3사와 함께 개인정보 보호 공동선언을 발표할 예정입니다. 오는 28일 서울 프레스센터에서 열리는 간담회에서는 AI 시대 사전예방 보호 체계 구축 방안을 논의합니다. 지난 11일부터 시행된 개정 개인정보 보호법에 따르면, 고의·중과실로 1,000만 명 이상의 개인정보를 유출한 기업은 전체 매출액의 최대 10%까지 과징금을 물 수 있습니다. 반면 개인정보 보호에 사전 투자한 기업은 과징금을 최대 40%까지 감경받을 수 있어, 기업들의 보안 투자 유인이 커졌습니다.

#AI #개인정보 #개인정보 유출

공공

전자신문 보안·2026. 09. 21.

국세청·질병관리청 '개인정보 이노베이션 존' 지정

개인정보보호위원회가 국세청과 질병관리청을 '개인정보 이노베이션 존' 운영기관으로 새로 지정했습니다. 이노베이션 존이란 다중 인증(여러 단계로 본인을 확인하는 방식)과 실시간 화면 녹화 같은 강화된 보안 환경 안에서 가명처리된 개인정보를 안전하게 연구·분석할 수 있도록 마련된 공간입니다. 개인정보위는 이 공간 전반에 제로 트러스트(아무도 기본적으로 신뢰하지 않고 매번 검증하는 보안 원칙)를 적용해 데이터 처리의 안전성을 관리합니다. 국세청은 서울 국세통계센터에, 질병관리청은 충북 청주 별관에 각각 분석공간을 구축할 예정이며, 현장실사를 거쳐 내년 초부터 본격 운영됩니다. 기업 보안 담당자 입장에서는 직접적인 즉시 대응 사안은 아니지만, 국내 공공 데이터 보안 인프라 확장 흐름으로 참고할 수 있습니다.

#AI #개인정보 #개인정보위

기업

ZDNet Korea·2026. 09. 17.

"개인정보 국외 이전...SCC·BCR 도입해야"

한국 개인정보보호위원회가 주최한 전문가 포럼에서 개인정보의 해외 이전을 더 안전하고 편리하게 하기 위해 EU처럼 SCC(표준계약)와 BCR(구속력 있는 기업 내부규칙)을 국내에도 도입해야 한다는 주장이 제기됐습니다. SCC는 개인정보를 해외로 보낼 때 보호 의무를 담은 표준 계약서를 쓰는 방식이고, BCR은 다국적 기업이 당국의 승인을 받은 자체 보호 규칙을 마련해 계열사 간에 데이터를 이전하는 방식입니다. 현재 EU, 일본, 중국 등이 이미 유사 제도를 운영 중이며, 국내 도입 시 AI·바이오 분야 글로벌 공동연구의 법적 장벽이 낮아질 것으로 기대됩니다. 개인정보위 위원장은 정보주체의 권리를 지키면서도 국제 혁신 활동을 지원할 수 있도록 관련 정책을 마련하겠다고 밝혔습니다.

ISMS-P 인증심사 강화…현장심사·취약점 점검 확대

한국의 개인정보보호위원회가 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증심사 방식을 서류 위주에서 현장 직접 검증 중심으로 바꾸는 법령 개정안을 2026년 9월 16일부터 입법예고했습니다. 가장 큰 변화는 침해사고나 개인정보 유출이 발생한 기업에 대해 전문 기술인력이 현장에서 취약점 진단과 모의침투(해커처럼 직접 시스템을 공격해 허점을 찾는 테스트)를 수행할 수 있게 된다는 점입니다. 또한 개인정보 처리 규모가 크거나 사회적 파급력이 큰 기업에는 더 엄격한 보호 기준이 적용될 수 있는 근거도 마련됩니다. ISMS-P 인증 의무 대상 기업이 인증 취소를 받더라도 재취득 준비 기간 1년 동안 과태료 부과가 유예되는 규정도 새로 생깁니다. 의견 제출 기한은 10월 26일까지이며, 연내 고시 개정을 통해 제도 전반을 강화할 예정입니다.

뤼튼·테슬라코리아·딥시크·오픈AI·나이키, 개인정보 처리방침 후속 점검서 미흡 확인

개인정보보호위원회(개인정보위)가 2025년 개인정보 처리방침 평가에서 '미흡' 판정을 받은 기업들을 대상으로 후속 점검을 실시했습니다. 점검 결과, 뤼튼테크놀로지스·테슬라코리아·딥시크·오픈AI(OpenAI)·나이키(Nike) 5개 사업자가 여전히 개인정보 관련 이용자 문의에 제대로 응하지 않거나, 영어·중국어로만 답변하는 등 미흡한 부분이 확인됐습니다. 특히 해외 사업자들이 국내 이용자 민원 대응을 위해 지정한 '국내대리인'이 형식적으로만 운영되는 문제가 드러났습니다. 개인정보위는 해당 기업들에 권리행사 창구를 실질적으로 개선하도록 권고했으며, 앞으로도 처리방침 이행 여부를 지속 점검할 방침입니다.

#AI #개인정보 #개인정보위

공공

전자신문 보안·2026. 09. 16.

[IT메가비전 2026] "AI 보안도 국가 경쟁력"…정부, '약한 고리' 보완 시급

한국 정부 주요 부처 관계자들이 AI 시대 사이버 보안 강화를 위한 정책 과제를 논의했습니다. 과기정통부는 중소기업의 낮은 보안 역량이 향후 3~5년간 가장 위험한 약한 고리라고 지목하며, 기업 간 협력과 지원 확대 필요성을 강조했습니다. 행정안전부는 공공기관 간 보안 역량 격차를 줄이기 위해 사이버보안 실태점검 대상을 현행 400개에서 약 1,500개 기관으로 확대하고 정보보호 인력도 늘릴 계획이라고 밝혔습니다. 개인정보보호위원회는 AI 에이전트(사용자 대신 여러 시스템에 자동으로 접근하는 AI 소프트웨어)가 개인정보를 무단 수집하거나 악성 지시에 따라 외부로 전송할 위험이 있다고 경고하며, 최소 권한 부여와 활동 로그 관리 체계를 갖춰야 한다고 강조했습니다. 연말까지 AI 에이전트 관련 개인정보 보호 안내서를 발간할 예정입니다.

#AI #AI 보안 #AI 에이전트

공공

전자신문 보안·2026. 09. 16.

ISMS-P 인증심사 강화한다…개인정보위, 시행령 개정안 입법예고

개인정보보호위원회가 ISMS-P(정보보호 및 개인정보보호 관리체계 인증) 심사 방식을 강화하는 법령 개정안을 입법예고했습니다. 최근 통신사와 이커머스 업체 등 인증을 받은 기업에서 해킹과 개인정보 유출 사고가 잇따르면서, 서류 검토만으로는 한계가 있다는 문제의식에서 비롯됐습니다. 개정안은 기존 서면심사에 현장심사와 실제 취약점 점검·모의해킹(침투 테스트)을 병행할 수 있도록 해 실효성을 높입니다. 또한 개인정보 처리 규모나 사회적 영향력에 따라 인증 기준을 차등 적용하고, 인증이 취소된 기업에는 재취득 기간을 위한 과태료 1년 유예도 허용합니다. 의견수렴과 법제처 심사를 거쳐 최종 개정이 추진될 예정입니다.

#AI #ISMS #개인정보

공공

전자신문 보안·2026. 09. 16.

개인정보위, 개인정보 처리 미흡 5개사에 개선 권고

한국 개인정보보호위원회(개인정보위)가 뤼튼테크놀로지스, 테슬라코리아, 딥시크, 오픈AI, 나이키 등 5개 사업자에게 개인정보 처리방침 운영 미흡을 이유로 개선을 권고했습니다. 주요 문제는 이용자가 개인정보 관련 문의를 해도 회신이 없거나, 국내 이용자에게 영어·중국어로만 답변하는 등 권리 행사가 제대로 이루어지지 않은 점입니다. 또한 처리방침에 적힌 내용과 실제 운영 방식이 일부 달랐고, 처리방침 접근 경로가 복잡하거나 이전 처리방침을 공개하지 않은 문제도 발견됐습니다. 개인정보위는 각 사업자에게 운영체계 개선 및 국내대리인 관리·감독 강화를 요구했습니다. 국내에서 서비스를 제공하는 기업은 개인정보보호법상 이용자 권리 보장 의무를 철저히 이행해야 한다는 점을 다시 한번 상기시키는 사례입니다.

"무늬만 국내대리인" 둔 오픈AI·나이키... 개인정보위 "상담 민원 관리 강화하라"

개인정보보호위원회(개인정보위)가 오픈AI·나이키·테슬라·딥시크·뤼튼테크놀로지스 등 5개 사업자에게 개인정보 처리 방식을 개선하라고 권고했습니다. 뤼튼은 이용자 문의에 아예 답하지 않았고, 테슬라는 영어, 딥시크는 중국어로 회신해 국내 이용자가 자신의 개인정보 권리를 제대로 행사하기 어려웠습니다. 오픈AI와 나이키는 국내에 대리인을 두고 있다고 표시했지만 실제 문의에는 응답하지 않아 '유명무실한 대리인'으로 운영한 사실이 확인됐습니다. 개인정보위는 이들 기업이 이용자 문의를 실질적으로 처리할 수 있도록 운영 체계를 정비하라고 요구했습니다. 기업 보안·개인정보 담당자는 국내 개인정보 처리방침의 실제 운영 실태가 규제 당국의 점검 대상임을 인식하고, 법적 의무 이행 여부를 재점검할 필요가 있습니다.

#AI #개인정보 #개인정보위

이전2 / 4다음