취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
공공개인정보보호위원회가 국세청과 질병관리청을 '개인정보 이노베이션 존' 운영기관으로 새로 지정했습니다. 이노베이션 존이란 다중 인증(여러 단계로 본인을 확인하는 방식)과 실시간 화면 녹화 같은 강화된 보안 환경 안에서 가명처리된 개인정보를 안전하게 연구·분석할 수 있도록 마련된 공간입니다. 개인정보위는 이 공간 전반에 제로 트러스트(아무도 기본적으로 신뢰하지 않고 매번 검증하는 보안 원칙)를 적용해 데이터 처리의 안전성을 관리합니다. 국세청은 서울 국세통계센터에, 질병관리청은 충북 청주 별관에 각각 분석공간을 구축할 예정이며, 현장실사를 거쳐 내년 초부터 본격 운영됩니다. 기업 보안 담당자 입장에서는 직접적인 즉시 대응 사안은 아니지만, 국내 공공 데이터 보안 인프라 확장 흐름으로 참고할 수 있습니다.
자세히 보기
기타한국전자통신연구원(ETRI) 산하 인공지능안전연구소와 스케일 AI가 공동으로 AI 모델의 다국어 안전성을 평가하는 벤치마크 'ROK-포트리스'를 개발했습니다. 연구 결과, AI에게 위험한 내용을 요청할 때 영어보다 한국어로 물으면 유해한 응답이 나올 가능성이 낮았으며, 이 언어 효과는 미국·한국 등 지정학적 맥락을 바꾸는 것보다 2.5배 더 크게 작용했습니다. 다만 역할극·가상 배경 같은 '포장'을 제거하고 직접 질문하면 한국어의 이 안전 이점이 대부분 사라졌고, 특히 오픈소스 모델은 오히려 한국어로 유해 요청에 응할 가능성이 높아졌습니다. 연구진은 영어 프롬프트를 단순 번역하는 방식만으로는 실제 서비스 환경의 AI 안전성을 제대로 평가할 수 없다고 결론지으며, AI 레드팀(취약점을 찾아 악용 가능성을 검증하는 활동)을 지속할 계획입니다.
자세히 보기
공공행정안전부 산하 국가정보자원관리원이 생성형 AI를 이용한 사이버 공격 증가에 대응하기 위해 내부 업무망 웹서비스 750개를 대상으로 긴급 보안 점검을 추진합니다. 그동안 전문인력 부족으로 점검이 충분하지 않았던 내부망(인터넷에 직접 연결되지 않은 업무용 네트워크)의 보안 취약점을 이번 기회에 집중적으로 찾아내고 조치할 계획입니다. 점검 항목은 SQL 인젝션(데이터베이스를 조작하는 공격), XSS(크로스사이트 스크립팅, 웹 페이지에 악성 코드를 심는 공격), 인증 우회, 파일 업로드 취약점 등 21개 필수 항목입니다. 자동화 도구뿐 아니라 전문가가 직접 모의 해킹을 수행하며, 취약점 발견 시 실제 조치 완료 여부까지 재점검합니다. 사업 규모는 약 20억 7천만 원이며 계약 후 90일 이내에 완료해야 합니다.
자세히 보기
기업보안업체 포에버 시큐리티가 악성 브라우저 확장프로그램 하나만으로 구글 크롬, 마이크로소프트 엣지 등 5개 브라우저의 AI 기능을 장악할 수 있다는 연구 '브랙잭(BragJack)'을 공개했습니다. 이 공격은 AI 자체를 속이는 것이 아니라, AI와 브라우저 사이의 통신 과정을 가로채는 방식이라 AI 안전장치를 우회할 필요조차 없습니다. 악성 확장프로그램이 설치되면 로컬 파일 읽기, 화면 캡처, 카메라·마이크 접근, 로그인된 웹서비스에서 AI가 사용자 대신 행동하는 것이 가능합니다. 단, 이 공격은 악성 확장프로그램이 이미 설치돼 있어야 하며, 인터넷에서 곧바로 브라우저를 장악하는 제로클릭 원격 공격은 아닙니다. 구글과 마이크로소프트 모두 패치를 완료했으므로 브라우저를 최신 버전으로 업데이트하고, 기업 환경에서는 확장프로그램 허용목록 관리가 필요합니다.
자세히 보기
중요기업앤트로픽이 자사 AI 모델 '클로드'를 악용한 사이버공격 사례를 분석한 위협 인텔리전스 보고서를 공개했습니다. 보고서에 따르면 AI가 단순한 코드 작성 도우미를 넘어 정찰·침투·데이터 탈취까지 공격 전 과정을 자동화하는 '오케스트레이터' 역할을 맡기 시작했습니다. 대규모 데이터 유출로 유명한 샤이니헌터스(ShinyHunters) 계열 공격자는 AI와 자동화 도구를 결합해 안드로이드 앱(APK) 180만 개에서 숨겨진 API 키와 클라우드 자격증명(계정 접속 정보)을 대량으로 수집했습니다. 실제 침해 사례에서는 개발자 토큰 하나만으로 3시간 만에 기업 클라우드 전체 관리자 권한을 탈취하고, SaaS 공급망을 통해 고객사 200여 곳의 데이터에 연쇄적으로 접근한 사례도 확인됐습니다. 기업들은 소스코드와 앱 내 하드코딩된 자격증명 점검, AI API 키의 엄격한 관리, 단기 수명 토큰 사용 등 즉각적인 대응이 필요합니다.
자세히 보기
공공국가정보원(국정원)이 연간 1조 6000억 원 규모의 대규모 국가·공공 정보화 사업에 새로운 보안 체계인 N2SF(국가 망 보안체계)를 의무 적용하기로 했습니다. 기존의 망분리 의무 규정을 삭제하고 N2SF 조항으로 대체하는 법령 개정도 이미 완료됐으며, 기밀(C)·민감(S)·공개(O) 등급으로 데이터를 분류하는 체계가 핵심입니다. 정보화 사업의 기획·예산 단계부터 보안 요건을 반영하도록 한국지능정보사회진흥원(NIA) 등과 세부 절차를 논의 중입니다. 보안통제 항목도 기존 276개에서 300여 개로 늘렸고, 원격근무·통합인증(SSO)·모바일 환경 등 최신 업무 형태도 반영했습니다. 공공기관과 협력하는 민간 기업이라면 N2SF 요건 충족 여부를 사전에 점검해 둘 필요가 있습니다.
자세히 보기
공공국가정보원(NIS)이 내년 하반기부터 국가·공공기관에 납품할 수 있는 보안 제품의 범위를 넓힐 계획입니다. 기존에는 국정원이 직접 검증한 암호 모듈(KCMVP 인증)만 허용했지만, 앞으로는 AES 같은 국제표준 암호 인증을 받은 제품이나 CC인증(국제 보안 인증) 장비도 공공기관에 납품할 수 있게 됩니다. 또한 공공 클라우드 보안 등급 체계가 기존 '상·중·하'에서 'C·S·O' 3단계로 개편되며, 중간 등급(S등급) 데이터에 한해 물리적 망분리 대신 논리적 분리도 허용하고 운영 인력의 국외 위치도 조건부로 가능해집니다. 이 개정안은 'AI 시대'를 반영한 네 번째 클라우드 보안 정책 개정으로, 현재 의견 수렴 중이며 내년 하반기 시행 예정입니다.
자세히 보기
중요기업보안업체 핵트론(Hacktron) 연구진이 AI 도구를 활용해 이미지 처리 라이브러리(libheif)의 메모리 취약점을 실제 원격코드실행(원격에서 서버를 마음대로 제어할 수 있는 공격)으로 발전시키고, 오픈AI 커뮤니티 포럼 서버를 장악한 뒤 직원의 챗GPT·코덱스 계정까지 탈취하는 공격 경로를 확인했습니다. 특히 앤트로픽의 Claude Opus 5가 약 3시간 만에 실제 환경에 맞는 공격코드를 완성하는 데 핵심적으로 활용돼, AI가 고난도 취약점 악용의 진입 장벽을 크게 낮출 수 있음을 보여줬습니다. 오픈AI는 신고 14시간 만에 수정을 완료했고, 디스코스도 패치를 배포하며 이미지 처리 과정을 샌드박스로 격리하는 추가 조치를 적용했습니다. 이번 사례는 외부에 노출된 서비스와 내부 시스템이 동일한 SSO(통합 로그인) 신뢰 범위를 공유할 때 주변부 침해 하나가 내부 핵심 계정 탈취로 확산될 수 있음을 실증했습니다. 이미지 업로드 기능을 운영하거나 직원 계정에 AI 에이전트·협업 도구를 연결한 기업은 libheif 업데이트와 SSO 신뢰 범위 점검이 시급합니다.
자세히 보기
기업AI 딥페이크 기술이 연예인을 넘어 일반인·미성년자까지 피해를 주는 사회적 위협으로 커지고 있습니다. 특히 가족이나 기업 임원의 목소리를 정교하게 복제해 송금을 유도하는 음성 딥페이크 금융 사기가 급증하고 있으며, 국내 보험사기 적발액이 1조 1,500억 원을 넘어섰습니다. 현재 딥페이크를 100% 탐지할 수 있는 기술은 존재하지 않는데, 이는 가짜 콘텐츠를 만드는 AI와 이를 찾아내는 AI가 서로를 속이며 함께 진화하기 때문입니다. 전문가들은 얼굴·음성 확인에만 의존하는 대신, 일회용 인증 코드나 다중 승인처럼 제로 트러스트(Zero Trust·아무도 자동으로 신뢰하지 않는 보안 원칙)를 적용한 신원 확인 체계로 전환해야 한다고 강조합니다. 개인도 출처가 불분명한 합성 영상을 공유하지 않고, 금융 거래 시 다중 승인 절차를 습관화하는 것이 중요합니다.
자세히 보기
중요기업'RatHat'이라는 새로운 안드로이드 악성코드가 발견됐습니다. 이 악성코드는 문자 피싱(스미싱)이나 가짜 앱 배포 사이트를 통해 퍼지며, 설치되면 스마트폰의 접근성 기능과 ADB(안드로이드 개발자 디버그 도구)를 악용해 일반 앱 보안 울타리를 벗어나 기기를 장악합니다. 가장 큰 특징은 피해자가 앱을 직접 삭제해도 공격자가 기기 접근 권한을 유지할 수 있다는 점입니다. 또한 생성형 AI를 활용해 화면을 자동으로 탐색·조작하며, 문자 메시지·비밀번호·화면 녹화·키 입력 등 광범위한 정보를 탈취합니다. 중국 기반 위협 조직이 운영하는 것으로 추정되며, 기존 서명 기반 모바일 보안 솔루션으로는 탐지가 어렵습니다.
자세히 보기
중요금융국내 금융보안원이 AI 에이전트를 이용한 금융권 대상 사이버 공격 시도를 실제로 탐지했습니다. 공격자가 AI를 활용해 금융 시스템과 데이터를 연결하는 API를 자동으로 공략하려 한 정황이 포착된 것으로, 금융보안원이 AI 에이전트 기반 공격 주체를 확인한 것은 이번이 처음입니다. 아직 실제 침해사고로 단정할 수는 없으나, API 보안키 노출 여부 점검과 인증·권한관리 강화가 긴급 과제로 제시됐습니다. AI 에이전트가 취약점 탐색부터 내부 데이터 접근까지 공격의 여러 단계를 자동화할 수 있어, 금융회사 보안 담당자들의 주의가 요구됩니다.
자세히 보기
공공국가정보원장이 '사이버 서밋 코리아 2026' 개회사에서 AI 시대의 사이버 위협이 빠르게 고도화되고 있다고 경고했습니다. 랜섬웨어가 공급망을 타고 확산하고, 생성형 AI가 피싱과 해킹을 더욱 정교하게 만들고 있다는 점이 주요 우려로 지적됐습니다. 정부는 보안을 혁신의 걸림돌이 아닌 필수 조건으로 보고, AI 강국 도약을 위한 기반으로 삼겠다는 방향을 제시했습니다. 네이버클라우드 대표도 기조연설에서 "공격자에게 국경이 없듯 방어에도 국경이 없어야 한다"며 국제 협력의 필요성을 강조했습니다. 행사에서는 AI 위협 대응, 소프트웨어 공급망 보안, 양자내성 암호(현재 컴퓨터로는 풀기 어려운 암호 방식) 전환 등 핵심 의제들이 논의됐습니다.
자세히 보기