TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

피싱 키워드 뉴스

통신/IT

Help Net Security·2026. 09. 21.

인텐트 주입 공격, AI 네이티브 6G 네트워크의 새로운 위협으로 부상

인텐트 기반 네트워킹(IBN)은 운영자가 원하는 결과만 지정하면 소프트웨어가 알아서 네트워크 정책으로 바꿔주는 기술로, AI 기반 6G 설계의 핵심으로 떠오르고 있습니다. 오타와 대학교와 Nokia Bell Labs 연구진은 이 구조에서 공격자가 정상 요청 사이에 악성 명령을 숨겨 시스템을 침해하는 '악의적 인텐트 주입' 공격이 가능하다고 경고했습니다. 연구팀은 1,100개의 인텐트 데이터셋을 만들어 두 가지 머신러닝(ML) 탐지기를 시험했으며, 연속된 요청의 패턴을 분석하는 방식으로 최대 96%의 악성 요청을 잡아낼 수 있음을 확인했습니다. 단건 요청만 분석하는 기존 방식(탐지율 50~60%)보다 연속 흐름을 함께 보는 접근이 훨씬 효과적이었습니다. 아직 연구 단계이지만, 6G 상용화를 앞두고 IBN 보안 아키텍처 설계 시 이 위협을 미리 반영할 필요가 있습니다.

#AI #API 키 #LLM

금융

ZDNet Korea·2026. 09. 21.

"추석 선물 택배 오류"…명절 연휴 노린 스미싱·보이스피싱 '주의보'

추석 연휴를 앞두고 택배 오류나 과태료 미납을 사칭한 스미싱(문자 메시지를 이용한 피싱) 사기가 기승을 부릴 것으로 예상됩니다. 출처 불명의 링크를 클릭하면 악성 앱이 설치돼 개인정보와 금융정보가 탈취될 수 있습니다. 또한 중고 거래 플랫폼을 통한 외화 거래를 미끼로 보이스피싱 자금 세탁에 나도 모르게 연루될 수 있어 주의가 필요합니다. 악성 앱 감염이 의심되면 즉시 비행기 모드로 전환하고 이동통신사를 방문해 앱 삭제 및 기기 초기화를 해야 합니다. 카카오뱅크 등 금융사들은 연휴 기간 이상거래탐지시스템(FDS)을 24시간 운영하며 피해 예방에 나서고 있습니다.

"연체자도 피싱·스팸 차단"... 과기부-통신3사, 추석맞아 사이버 민생범죄 예방

과학기술정보통신부(과기정통부)와 통신 3사가 추석 연휴를 맞아 사이버 민생범죄 예방을 위한 공동 대응 체계를 구축했습니다. 한국인터넷진흥원(KISA)과 함께 택배·쇼핑몰·교통 등 명절에 많이 쓰이는 서비스를 대상으로 사이버 위협 모니터링을 강화하고, 통신사들은 24시간 비상 상황반을 운영합니다. 카카오는 최근 급증하는 '팀 미션 사기' 같은 피싱 범죄 예방 메시지를 약 2,700만 명에게 발송합니다. 통신비를 연체한 이용자도 본인확인 및 피싱·스팸 차단 기능은 계속 사용할 수 있도록 제도도 개선됐습니다. 기업 보안 담당자 입장에서는 명절 전후 피싱·스미싱 공격이 집중되는 시기인 만큼 임직원 대상 예방 안내가 필요합니다.

남성 패션 플랫폼 '룩핀', 개인정보 유출 공지…이메일·비밀번호 해시 등

남성 패션 플랫폼 '룩핀'을 운영하는 레벨13이 이용자 개인정보 유출 사실을 공지했습니다. 데이터 분석 도구인 '메타베이스(Metabase)'의 보안 취약점이 공격에 악용되었으며, 이메일 주소와 비밀번호 해시(암호화된 비밀번호), 일부 이용자의 경우 휴대폰 번호와 접속 IP 주소까지 유출된 것으로 확인됐습니다. 회사는 사고 당일 미확인 계정을 발견한 후 약 2시간 30분 만에 관련 시스템 접근을 차단했으며, 한국인터넷진흥원(KISA)에 침해사고 및 개인정보 유출 신고를 완료했습니다. 이용자들에게는 비밀번호 변경과 유출된 정보를 악용한 피싱(사기성 이메일·문자) 공격에 주의할 것을 당부했습니다.

[배종찬의 보안 빅데이터] 가족마저 손쉽게 속아 넘어가는 'AI 딥페이크'

AI 딥페이크 기술이 연예인을 넘어 일반인·미성년자까지 피해를 주는 사회적 위협으로 커지고 있습니다. 특히 가족이나 기업 임원의 목소리를 정교하게 복제해 송금을 유도하는 음성 딥페이크 금융 사기가 급증하고 있으며, 국내 보험사기 적발액이 1조 1,500억 원을 넘어섰습니다. 현재 딥페이크를 100% 탐지할 수 있는 기술은 존재하지 않는데, 이는 가짜 콘텐츠를 만드는 AI와 이를 찾아내는 AI가 서로를 속이며 함께 진화하기 때문입니다. 전문가들은 얼굴·음성 확인에만 의존하는 대신, 일회용 인증 코드나 다중 승인처럼 제로 트러스트(Zero Trust·아무도 자동으로 신뢰하지 않는 보안 원칙)를 적용한 신원 확인 체계로 전환해야 한다고 강조합니다. 개인도 출처가 불분명한 합성 영상을 공유하지 않고, 금융 거래 시 다중 승인 절차를 습관화하는 것이 중요합니다.

#AI #금융 사기 #금융사

기업

BleepingComputer·2026. 09. 18.

Microsoft Teams, 관리자가 사용자 정의 파일 확장자를 차단할 수 있는 기능 도입 예정

마이크로소프트가 Teams(팀즈)의 보안 기능을 강화하는 업데이트를 2026년 11월부터 순차 제공할 예정입니다. 가장 핵심적인 변화는 관리자가 악성코드와 연관된 위험 파일 확장자 차단 목록을 회사 정책에 맞게 직접 편집할 수 있게 된다는 것입니다. 또한 12월부터는 랜섬웨어 조직 등 사이버 범죄 집단이 Teams를 이용한 사회공학 공격(직원을 속여 정보를 빼내는 수법)에 악용하지 못하도록 외부 사용자를 차단하는 기능도 추가됩니다. 이 밖에 외부 발신자가 보낸 QR코드를 자동으로 흐리게 처리하는 피싱 방어 기능, 수상한 게스트 초대를 신고하는 기능, 외부 봇의 회의 참여를 자동 차단하는 정책도 함께 도입됩니다. 기업 보안 담당자라면 출시 시점에 맞춰 정책 검토 및 적용 계획을 미리 세워두는 것이 좋습니다.

#AI #랜섬웨어 #사회공학

기업

ZDNet Korea·2026. 09. 18.

"사이버 공격, AI시대 맞아 운영 전반 확대"

AI를 이용한 사이버 공격이 단순히 악성코드나 피싱 메일을 만드는 것을 넘어, 공격 계획부터 실행·결과 분석까지 전 과정을 자동화하는 방향으로 진화하고 있습니다. 오아시스시큐리티는 피해자 시스템이 아닌 공격자 환경을 직접 분석해, 공격자들이 AI 에이전트에게 단계별로 지시를 내리고 결과를 받아 다음 공격을 설계하는 방식을 쓰고 있음을 확인했습니다. 실제로 통신사·정부기관·교육기관을 겨냥한 공격에서 AI가 공격 속도와 규모를 크게 키웠습니다. 전문가는 침해 발생 후 대응하는 방식에서 벗어나, 공격자가 쓰는 AI 도구·프롬프트·에이전트 설정 등을 사전에 파악하는 방어 전략으로 전환해야 한다고 강조했습니다. 방어의 속도도 AI 시대 공격의 속도에 맞춰 빨라져야 한다는 것이 핵심 메시지입니다.

#AI #AI 보안 #AI 에이전트

중요기업

The Hacker News·2026. 09. 18.

RatHat 안드로이드 악성코드, ADB 악용해 앱 삭제 후에도 셸 접근 유지

'RatHat'이라는 새로운 안드로이드 악성코드가 발견됐습니다. 이 악성코드는 문자 피싱(스미싱)이나 가짜 앱 배포 사이트를 통해 퍼지며, 설치되면 스마트폰의 접근성 기능과 ADB(안드로이드 개발자 디버그 도구)를 악용해 일반 앱 보안 울타리를 벗어나 기기를 장악합니다. 가장 큰 특징은 피해자가 앱을 직접 삭제해도 공격자가 기기 접근 권한을 유지할 수 있다는 점입니다. 또한 생성형 AI를 활용해 화면을 자동으로 탐색·조작하며, 문자 메시지·비밀번호·화면 녹화·키 입력 등 광범위한 정보를 탈취합니다. 중국 기반 위협 조직이 운영하는 것으로 추정되며, 기존 서명 기반 모바일 보안 솔루션으로는 탐지가 어렵습니다.

#AI #EDR #MDM

기업

Help Net Security·2026. 09. 18.

방치된 IoT 앱, 여전히 끊어진 서버로 민감 데이터 전송 중

미국 매사추세츠대학교 연구팀이 더 이상 업데이트되지 않는 안드로이드 IoT 앱 6만 1,500개를 분석한 결과, 약 4분의 3에서 알려진 보안 취약점을 가진 소프트웨어 라이브러리가 발견됐습니다. 이런 방치된 앱들은 스마트 플러그, 카메라, 온도 조절기 같은 기기를 제어하는 데 수백만 명이 여전히 사용하고 있으며, 일부는 다운로드 수가 1억 건을 넘기도 했습니다. 앱 안에 하드코딩된 서버 주소 중 상당수는 이미 접속 불가 상태이거나 소유자가 바뀐 도메인이며, 앱의 67% 이상에는 피싱·스파이웨어·악성코드와 연관된 차단 목록 도메인이 포함돼 있었습니다. 카메라·위치·저장소 접근 권한으로 수집된 민감한 정보가 안전하지 않은 서버로 계속 전송될 수 있다는 점이 핵심 위험입니다. 연구팀이 개발사에 취약점을 통보했지만 약 20%의 이메일이 반송됐고, 실제로 패치를 진행한 곳은 소수에 불과했습니다.

유명 수학 학원 '생각하는황소' 해킹... 학부모 피싱 사기 주의해야

유명 수학 학원 '생각하는황소'의 시험 예약 사이트가 해킹을 당해 학부모 이름·전화번호, 학생 이름·학교·학년·생년월일 등 민감한 개인정보가 대규모로 유출됐습니다. 학원 측은 시험 예약 이력이 있는 모든 이용자의 정보가 유출됐을 가능성이 높다고 밝히고 사이트를 임시 폐쇄했습니다. 유출된 정보는 이미 2차 범죄에 악용되고 있으며, 학부모들을 겨냥한 보이스피싱(전화 사기)·스미싱(문자 사기) 시도가 실제로 보고되고 있습니다. 이번 사고는 보안 인프라가 상대적으로 취약한 중소 규모 민간 서비스가 해커의 표적이 되고 있음을 보여주는 사례로, 학원가에서 미성년자 개인정보 유출이 연속으로 발생하고 있어 주의가 요구됩니다.

#개인정보 #개인정보 유출 #데이터 탈취

기업

보안뉴스·2026. 09. 18.

[카드뉴스] "보안 점수 100점인데 비번은 다 털렸다?"… 다크웹 쏟아지는 '브라우저 자동 로그인'의 최후

기업의 보안 평가 점수가 높아지고 있음에도 불구하고, 다크웹에 유출되는 임직원 계정과 비밀번호 정보는 사상 최대 규모를 기록하고 있습니다. 핵심 원인은 브라우저의 '자동 로그인' 기능으로, 여기에 저장된 아이디·비밀번호와 세션 쿠키(이미 로그인된 상태를 유지하는 인증 정보)가 피싱(사기성 링크나 이메일로 정보를 빼내는 공격) 한 번에 통째로 탈취될 수 있습니다. 공격자는 훔친 세션 쿠키를 이용해 비밀번호를 몰라도 사내 내부망에 침투할 수 있어, 외형적 수치보다 실질적인 계정 탈취 방어 체계 구축이 시급합니다. 기업은 브라우저 계정 저장 금지, 다크웹 유출 상시 모니터링, 세션 즉시 만료 정책을 도입해야 합니다.

#AI #AI 보안 #API 키

공공

전자신문 보안·2026. 09. 17.

"보안은 혁신의 필수조건"…이종석 국정원장, AI 시대 사이버안보 강조

국가정보원장이 '사이버 서밋 코리아 2026' 개회사에서 AI 시대의 사이버 위협이 빠르게 고도화되고 있다고 경고했습니다. 랜섬웨어가 공급망을 타고 확산하고, 생성형 AI가 피싱과 해킹을 더욱 정교하게 만들고 있다는 점이 주요 우려로 지적됐습니다. 정부는 보안을 혁신의 걸림돌이 아닌 필수 조건으로 보고, AI 강국 도약을 위한 기반으로 삼겠다는 방향을 제시했습니다. 네이버클라우드 대표도 기조연설에서 "공격자에게 국경이 없듯 방어에도 국경이 없어야 한다"며 국제 협력의 필요성을 강조했습니다. 행사에서는 AI 위협 대응, 소프트웨어 공급망 보안, 양자내성 암호(현재 컴퓨터로는 풀기 어려운 암호 방식) 전환 등 핵심 의제들이 논의됐습니다.

#AI #PQC #공급망

이전7 / 15다음