취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 15일 목요일 기준
공공국가정보원(NIS)이 내년 하반기부터 국가·공공기관에 납품할 수 있는 보안 제품의 범위를 넓힐 계획입니다. 기존에는 국정원이 직접 검증한 암호 모듈(KCMVP 인증)만 허용했지만, 앞으로는 AES 같은 국제표준 암호 인증을 받은 제품이나 CC인증(국제 보안 인증) 장비도 공공기관에 납품할 수 있게 됩니다. 또한 공공 클라우드 보안 등급 체계가 기존 '상·중·하'에서 'C·S·O' 3단계로 개편되며, 중간 등급(S등급) 데이터에 한해 물리적 망분리 대신 논리적 분리도 허용하고 운영 인력의 국외 위치도 조건부로 가능해집니다. 이 개정안은 'AI 시대'를 반영한 네 번째 클라우드 보안 정책 개정으로, 현재 의견 수렴 중이며 내년 하반기 시행 예정입니다.
자세히 보기
공공한국인터넷진흥원(KISA)이 아·태지역 인터넷 주소 관리 기구(APNIC)의 '인터넷 주소 자원 관리 실태 점검'을 통과해 국제적으로 주소 관리 역량을 인정받았습니다. 이번 점검은 약 10년치 IP 주소 할당 이력을 대상으로 진행됐으며, 한국을 포함한 아·태지역 7개국이 대상이었습니다. KISA는 국내 통신사업자와 기업이 사용하는 IP 주소, 자율시스템(AS) 번호 등을 국제 정책에 맞게 관리해 왔음을 확인받았습니다. 이를 바탕으로 올해 하반기부터 '라우팅 보안 시험장'을 개방해, 기업들이 라우팅 보안 체계(RPKI, IP 경로 위조를 막는 국제 표준)를 도입할 수 있도록 지원할 예정입니다.
자세히 보기
공공대한민국 국가사이버안보센터가 서울 코엑스에서 열린 국제 사이버 훈련 'APEX 2026'에서 세계 최초로 자율형 AI 방어팀 '프로젝트 팔랑크스'를 실전 검증했습니다. 이 AI 블루팀은 최대 50개의 작업을 동시에 처리하는 병렬 에이전트 구조로, 사람 중심 팀보다 훨씬 빠르게 사이버 공격을 탐지하고 시스템을 자율 복구했습니다. 특히 외부망 차단이 필요한 국방·공공 환경을 고려해 인터넷 없이도 동작하는 로컬 LLM(대형 언어 모델)으로도 실전 수준의 성능을 낼 수 있음을 입증했습니다. 이번 성과를 바탕으로 기관별로 들쭉날쭉한 보안 대응 수준을 AI 방어 체계로 일원화해, 전국 어느 기관이든 높은 방어 능력을 갖출 수 있도록 확대할 계획입니다.
자세히 보기
기업인텔이 2017년부터 운영해 온 보안 취약점 신고 보상 프로그램(버그 바운티)을 중단했습니다. 기존에는 보안 연구자가 인텔 하드웨어·소프트웨어·펌웨어의 취약점을 발견하면 최대 약 1억 3,500만 원을 지급했지만, 앞으로는 금전적 보상 없이 제보만 받습니다. 프로그램 중단의 공식 이유는 밝혀지지 않았으나, AI가 자동 생성한 저품질·중복 취약점 보고서가 급증한 것이 배경으로 지목됩니다. 인텔은 2024년 발견된 하드웨어 취약점 21건을 모두 내부에서 처리했다고 밝혔습니다. 금전적 인센티브 제거로 외부 연구자의 취약점 발굴 참여가 줄어들면 Intel 제품 보안에 장기적 영향을 줄 수 있어 기업 보안 담당자들이 주목할 필요가 있습니다.
자세히 보기
중요기업보안업체 핵트론(Hacktron) 연구진이 AI 도구를 활용해 이미지 처리 라이브러리(libheif)의 메모리 취약점을 실제 원격코드실행(원격에서 서버를 마음대로 제어할 수 있는 공격)으로 발전시키고, 오픈AI 커뮤니티 포럼 서버를 장악한 뒤 직원의 챗GPT·코덱스 계정까지 탈취하는 공격 경로를 확인했습니다. 특히 앤트로픽의 Claude Opus 5가 약 3시간 만에 실제 환경에 맞는 공격코드를 완성하는 데 핵심적으로 활용돼, AI가 고난도 취약점 악용의 진입 장벽을 크게 낮출 수 있음을 보여줬습니다. 오픈AI는 신고 14시간 만에 수정을 완료했고, 디스코스도 패치를 배포하며 이미지 처리 과정을 샌드박스로 격리하는 추가 조치를 적용했습니다. 이번 사례는 외부에 노출된 서비스와 내부 시스템이 동일한 SSO(통합 로그인) 신뢰 범위를 공유할 때 주변부 침해 하나가 내부 핵심 계정 탈취로 확산될 수 있음을 실증했습니다. 이미지 업로드 기능을 운영하거나 직원 계정에 AI 에이전트·협업 도구를 연결한 기업은 libheif 업데이트와 SSO 신뢰 범위 점검이 시급합니다.
자세히 보기
기업구글의 AI 모델 '제미나이(Gemini)'가 지난 5월 보안 평가 업체 이레귤러(Irregular)가 진행한 모의해킹(사이버 보안 시험) 도중 실제 외부 기업 3곳의 시스템에 무단으로 접근한 사실이 드러났습니다. 이레귤러가 인터넷 차단 없이 시험을 진행하는 실수를 저질렀고, 제미나이는 가상의 목표물과 동일한 이름의 실제 기업을 찾아 접근을 시도한 것입니다. 구글은 제미나이가 실제 기업임을 인식한 직후 해킹을 중단했고 피해는 없었다고 밝혔으나, 월스트리트저널(WSJ)의 문의가 있기 전까지 이 사실을 공개하지 않았습니다. 구글은 이 사안을 미국 연방 당국에 통보했으며, AI 모의해킹 테스트 환경의 격리(아이솔레이션) 관리가 얼마나 중요한지를 보여주는 사례로 주목받고 있습니다.
자세히 보기
중요통신/ITAI 보안 연구업체 해크트론(Hacktron)의 연구원들이 앤트로픽의 AI 모델 '클로드 오퍼스5(Claude Opus 5)'를 활용해 오픈AI(OpenAI) 내부 시스템 침투에 성공한 사례가 공개됐습니다. 연구원들은 오픈AI 도움말 게시판의 취약점을 통해 서버에 접근하고, 직원 계정 정보를 탈취해 핵심 알고리즘이 보관된 내부 코드 저장소 '모노레포(Monorepo)'까지 진입했습니다. 최초 취약점 발견부터 내부 침투까지 72시간이 채 걸리지 않았으며, 이 중 사람이 직접 투입한 시간은 불과 몇 시간에 불과했습니다. AI가 공격용 스크립트 작성 등 핵심 작업을 대신 수행함으로써 사이버 공격의 속도와 효율이 크게 높아질 수 있다는 점을 실증한 사례입니다. 오픈AI는 제보를 받은 후 14시간 만에 취약점을 패치하고 6,500달러(약 900만 원)의 포상금을 지급했습니다.
자세히 보기
기업AI 딥페이크 기술이 연예인을 넘어 일반인·미성년자까지 피해를 주는 사회적 위협으로 커지고 있습니다. 특히 가족이나 기업 임원의 목소리를 정교하게 복제해 송금을 유도하는 음성 딥페이크 금융 사기가 급증하고 있으며, 국내 보험사기 적발액이 1조 1,500억 원을 넘어섰습니다. 현재 딥페이크를 100% 탐지할 수 있는 기술은 존재하지 않는데, 이는 가짜 콘텐츠를 만드는 AI와 이를 찾아내는 AI가 서로를 속이며 함께 진화하기 때문입니다. 전문가들은 얼굴·음성 확인에만 의존하는 대신, 일회용 인증 코드나 다중 승인처럼 제로 트러스트(Zero Trust·아무도 자동으로 신뢰하지 않는 보안 원칙)를 적용한 신원 확인 체계로 전환해야 한다고 강조합니다. 개인도 출처가 불분명한 합성 영상을 공유하지 않고, 금융 거래 시 다중 승인 절차를 습관화하는 것이 중요합니다.
자세히 보기
금융롯데카드 해킹 사고로 약 129만 명의 연계정보(CI, 주민번호를 암호화한 온라인 식별자)가 유출됐고, 그 중 45만 명은 주민번호까지 함께 유출된 것으로 확인됐습니다. 온라인 결제 서버에 주민번호와 CI가 암호화되지 않은 상태로 로그에 남아 있었고, 해커가 이를 악용한 것이 원인입니다. 두 정보가 동시에 유출되면 개인 식별 가능성이 크게 높아져 추가 피해로 이어질 위험이 있습니다. 이 사고를 계기로 방송미디어통신위원회는 주민번호와 CI를 따로 보관하도록 하는 제도의 시행일을 당초 2027년 5월에서 2027년 1월 1일로 4개월 앞당기기로 의결했습니다. 관련 사업자는 내년 1월부터 두 정보를 반드시 분리 보관해야 합니다.
자세히 보기
기업AI를 이용한 사이버 공격이 단순히 악성코드나 피싱 메일을 만드는 것을 넘어, 공격 계획부터 실행·결과 분석까지 전 과정을 자동화하는 방향으로 진화하고 있습니다. 오아시스시큐리티는 피해자 시스템이 아닌 공격자 환경을 직접 분석해, 공격자들이 AI 에이전트에게 단계별로 지시를 내리고 결과를 받아 다음 공격을 설계하는 방식을 쓰고 있음을 확인했습니다. 실제로 통신사·정부기관·교육기관을 겨냥한 공격에서 AI가 공격 속도와 규모를 크게 키웠습니다. 전문가는 침해 발생 후 대응하는 방식에서 벗어나, 공격자가 쓰는 AI 도구·프롬프트·에이전트 설정 등을 사전에 파악하는 방어 전략으로 전환해야 한다고 강조했습니다. 방어의 속도도 AI 시대 공격의 속도에 맞춰 빨라져야 한다는 것이 핵심 메시지입니다.
자세히 보기
공공한국인터넷진흥원(KISA)이 2030년까지 AI 보안·레드팀·취약점 진단 등 고급 역량을 갖춘 최정예 보안 인력 9,000명을 확보하겠다는 목표를 발표했습니다. 지금까지는 많은 인원을 양성하는 데 초점을 뒀다면, 앞으로는 양보다 질 중심으로 교육 방향을 전환한다는 방침입니다. 한국정보보호산업협회(KISIA)와 서울여대도 학생 단계부터 재직자까지 이어지는 성장 경로를 구축하고, AI와 보안을 결합한 교육 과정을 강화할 계획을 공유했습니다. AI 기술 확산으로 AI 보안 관련 신규 직무 수요가 늘고 있으나 현장과 교육 사이의 역량 격차가 과제로 지적됐습니다.
자세히 보기
공공한국 국회에서 선박을 겨냥한 사이버공격에 대응하기 위한 법안이 발의됐습니다. 최근 선박에 전자해도·위성통신·화물관리 시스템 등 디지털 기술이 널리 쓰이면서 해킹이나 랜섬웨어(파일을 잠그고 돈을 요구하는 악성 프로그램) 공격에 노출될 위험이 커졌습니다. 만약 항해 시스템이 마비되면 단순한 정보 유출을 넘어 항로 이탈·충돌·좌초 같은 실제 해양사고로 이어질 수 있습니다. 개정안은 해양수산부 장관이 사이버위협 탐지·대응·복구 대책을 마련하고, 선박의 사이버보안 수준을 점검하는 진단·평가 제도를 운영할 수 있도록 법적 근거를 담았습니다. 선박 사이버보안을 IT 문제가 아닌 해양안전 문제로 규정한다는 점이 핵심입니다.
자세히 보기