TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 15일 목요일 기준

← 뉴스 홈으로

국내 매체 뉴스

기업

데일리시큐·2026. 09. 13.

[KCSCON 2026] 익스웨어랩스 윤영 대표 "AI 바이브 코딩 확산, 기존에 없던 새로운 공격표면 만든다"

AI에게 자연어로 코드 작성을 맡기는 '바이브 코딩(Vibe Coding)'이 확산되면서, 기존에는 주목받지 않던 파일들이 새로운 보안 위협으로 떠오르고 있습니다. CLAUDE.md, AGENTS.md 같은 AI 코딩 도구 전용 설정·지침 파일이 인터넷에 노출되면, 공격자가 애플리케이션의 내부 구조와 접속 정보를 손쉽게 파악할 수 있습니다. AI가 자동 생성한 시연용 계정·비밀번호나 인증 토큰이 보안 검토 없이 운영 환경에 그대로 올라가는 사례도 실제로 확인됐습니다. 북한 라자루스(Lazarus) 그룹의 공격 인프라에서도 AI로 개발한 흔적이 발견되는 등, 공격자 역시 AI를 이용해 악성 도구를 더 빠르게 만들고 있다는 점도 주목됩니다. 기업은 AI 코딩 도구를 생산성 도구만으로 보지 않고, 배포 전에 AI가 생성한 파일·설정·임시 계정까지 보안 점검 범위에 포함해야 합니다.

#AI #AI 에이전트 #APT

기업

ZDNet Korea·2026. 09. 13.

[안광섭 AI 진테제] 미 정부 사이버보안 권고문이 의미하는 것

미국 NSA·CISA·FBI 세 기관이 공동 사이버보안 권고문(AA26-251A)을 발표하며, 딥시크·문샷AI·알리바바 등 중국 AI 기업 6곳이 Claude·GPT·Gemini·Grok 같은 미국 대형 AI 모델에서 수십억 개의 토큰을 무단으로 뽑아내 자사 모델 훈련에 사용했다고 지목했습니다. 주목할 점은 이 권고문이 '증류(distillation, 큰 모델의 출력을 학습 데이터로 삼아 다른 모델을 만드는 기법)' 행위를 단순 약관 위반이 아닌 MITRE ATLAS(AI 공격 기법 분류체계)에 매핑된 공격으로 격상시켰다는 것입니다. 또한 AI 제공사에게 의심 계정에는 몰래 성능을 낮춘 응답을 제공하되, 그 사실을 해당 사용자에게 알리지 말라고 권고해, 정상적으로 API를 사용하는 기업 고객도 영문도 모른 채 품질 저하를 겪을 수 있는 위험이 생겼습니다. 기업 실무자는 자체 회귀 테스트 세트를 구성하고, API 경로를 단순화하며, 계정을 개인 인증 단위로 분리하는 대응이 필요합니다.

#AI #결제 #공급망

금융

ZDNet Korea·2026. 09. 13.

"자산 식별 없는 제로트러스트는 모래성"

한국정보보호학회가 주최한 '제5회 금융보안워크숍'에서 보안 전문가들이 제로트러스트(Zero Trust, 아무것도 믿지 않고 모든 접근을 검증하는 보안 철학) 구현을 위해 반드시 '자산 식별'이 먼저 이루어져야 한다고 강조했습니다. 미국은 데이터 등급 분류와 자산 식별을 기반으로 제로트러스트를 단계적으로 도입하는 반면, 한국은 솔루션 도입부터 시작하는 역순을 밟고 있다는 지적이 나왔습니다. 전문가들은 제로트러스트는 단일 솔루션으로 완성되는 것이 아니라 장기적인 여정이며, 각 기업의 보안 성숙도 수준에 맞춰 1~2개 핵심 요소에 집중하는 '선택과 집중' 전략이 필요하다고 조언했습니다. 특히 레거시 시스템이 많은 금융권에서는 자산 식별 없이 제로트러스트를 도입하는 것은 모래 위에 성을 쌓는 것과 같다고 경고했습니다.

#AI #AI 보안 #규제

통신/IT

ZDNet Korea·2026. 09. 13.

LGU+, 추석 연휴 보이스피싱 차단...AI로 악성 앱 서버 추적

LG유플러스가 추석 연휴를 앞두고 보이스피싱·스미싱 피해를 막기 위해 AI 기반 24시간 특별 모니터링 체계를 운영한다고 밝혔습니다. 핵심은 악성 앱을 원격으로 조종하는 외부 서버(C2 서버)를 AI로 추적해 차단하는 것으로, LG유플러스는 국내 통신사 중 이 방식을 직접 운영하는 유일한 사업자라고 설명했습니다. 악성 앱에 감염된 정황이 확인된 고객에게는 카카오톡 알림톡으로 직접 경고를 보내고, 경찰과의 핫라인을 통해 즉각 공조합니다. 이용자는 출처 불명의 문자 링크를 클릭하지 말고, 감염이 의심되면 감염된 기기가 아닌 다른 전화로 1394에 신고해야 합니다.

금융보안원, 보이스피싱 대응 'ASAP 활용 설명회' 개최

금융보안원이 보이스피싱 대응을 위한 AI 기반 정보공유 플랫폼 'ASAP'의 활용 설명회를 개최했습니다. 이번 설명회에는 금융회사와 가상자산거래소 실무담당자 약 200명이 참석했으며, 최근 통신사기피해환급법 개정으로 정보공유 범위가 제2금융권·통신사·수사기관까지 확대된 내용이 소개됐습니다. ASAP을 통해 공유되는 정보 유형도 기존 9개에서 14개로 늘어났으며, 오는 10월에는 AI 분석 기능이 추가될 예정입니다. 금융회사 실무자들은 이 플랫폼을 통해 보이스피싱 관련 정보를 더 빠르고 편리하게 확인하고 피해 예방에 활용할 수 있게 됩니다.

#AI #가상자산 #거래소

공공

전자신문 보안·2026. 09. 11.

KCPO, 개인정보 보호책임자 지정·신고 실무 매뉴얼 발간

한국개인정보보호책임자협의회(KCPO)가 개인정보보호위원회, KISA와 함께 'CPO(개인정보 보호책임자) 지정·신고 실무 매뉴얼'을 발간했습니다. 개정 법령에 따라 연 매출 1,800억 원 초과 기업, 대형 대학, 상급종합병원, 주요 공공기관 등은 CPO를 지정하거나 변경·해제할 때 이사회 의결을 거쳐 6개월 이내에 신고해야 합니다. 매뉴얼에는 신고 대상·자격 요건·절차·Q&A 등 실무에 필요한 내용이 망라되어 있습니다. 다만 2027년 12월 31일까지는 계도기간으로, 위반 시에도 과태료가 부과되지 않습니다.

#KISA #개인정보 #개인정보보호법

기업

ZDNet Korea·2026. 09. 11.

앤트로픽 "알리바바·문샷AI, 클로드 핵심 능력 무단 추출"

중국 AI 기업들이 앤트로픽의 AI 모델 '클로드'에서 핵심 능력을 무단으로 대규모 추출하려 한 사실이 공식 보고서를 통해 드러났습니다. '증류 공격'이란 고성능 AI 모델의 사고 과정을 대량으로 수집해 자체 모델 학습에 활용하는 방식으로, 이번에는 약 2억 건의 대화가 관련된 것으로 확인됐습니다. 알리바바와 연계된 캠페인이 가장 규모가 컸으며, 5월부터 7월 사이 하루 최대 300만 건의 요청이 쏟아졌습니다. 공격자들은 번역 요청 등으로 질문을 위장해 클로드가 내부 사고 흔적을 드러내도록 유도하는 우회 기법을 사용했습니다. 이번 사례는 AI 모델이 새로운 지식재산 탈취의 표적이 될 수 있음을 보여주며, AI 서비스를 운영하는 기업의 사용 패턴 모니터링과 이상 탐지의 중요성을 일깨웁니다.

#AI #위협 인텔리전스 #이상 징후

중요기업

전자신문 보안·2026. 09. 09.

[이슈플러스] 사후 제재서 사전 예방으로…개인정보 보호 판 바뀐다

한국 정부가 개인정보 보호법을 대폭 개정해 2026년부터 반복적·중대한 개인정보 침해에 대한 과징금 상한을 매출액의 3%에서 최대 10%로 올렸습니다. 반면 사전에 보안 인력·예산·설비에 투자한 기업은 과징금을 최대 40%까지 깎아주는 인센티브도 함께 도입해, 기업이 사고 이후 수습보다 사전 예방에 투자하도록 유도합니다. 특히 CEO(최고경영자)를 개인정보 처리·보호의 최종책임자로 법에 명시해, 보안사고가 발생하면 실무진뿐 아니라 경영진의 관리·감독 의무 이행 여부까지 따질 수 있게 됐습니다. CPO(개인정보 보호책임자)는 이사회에 보안 현황을 보고하고, 일정 규모 이상 기업은 CPO 변경 시 이사회 의결 및 개인정보위 신고가 의무화됩니다. 기업 보안팀은 이번 개정에 맞춰 예방 투자 근거 문서화, 경영진 보고 체계 정비, CPO 역할 재정립을 서둘러야 합니다.

#AI #개인정보 #개인정보 유출

중요기업

전자신문 보안·2026. 09. 09.

과징금 세지고 CEO 책임 커진다…11일 개인정보보호법 새 체계 가동

2026년 9월 11일부터 개정 개인정보 보호법이 시행되면서 국내 개인정보 보호 규제가 대폭 강화됩니다. 가장 큰 변화는 과징금 상한이 전체 매출액의 3%에서 최대 10%로 올라간다는 점으로, 반복·중대 위반이나 1,000만 명 이상 피해 사고 시 적용됩니다. CEO가 개인정보 보호의 최종 책임자로 법에 명시되어, 사고 발생 시 경영진이 직접 책임을 지게 됩니다. 반대로 보호 예산·인력·설비에 투자한 기업은 과징금을 감경받을 수 있어, 사전 예방 투자가 실질적인 리스크 관리 수단이 됩니다. 올해 상반기 개인정보 유출 신고가 이미 432건으로 작년 연간 수준에 근접한 만큼, 기업들의 신속한 대응 체계 정비가 시급합니다.

#AI #개인정보 #개인정보 유출

중요공공

ZDNet Korea·2026. 09. 10.

700~800명 지정 CPO들 '권한' 강화…CEO는 '책임' 강화

한국 개인정보보호법과 시행령이 2026년 9월 11일부터 시행되며, 기업의 개인정보 보호 의무가 대폭 강화됩니다. 가장 큰 변화는 CEO(대표자)의 최종 책임을 법으로 명시하고, CPO(개인정보보호책임자)의 권한과 독립성을 높인 것입니다. 고의·반복적 개인정보 유출 사고에는 전체 매출액의 최대 10%까지 징벌적 과징금을 부과할 수 있게 됐습니다. 반면 보안에 사전 투자한 기업에는 과징금을 최대 40% 감경해 주는 인센티브도 도입됩니다. 또한 개인정보 유출이 확정되기 전이라도 유출 가능성이 높다고 판단되면 72시간 이내에 당사자에게 통지해야 하는 '유출 가능성 통지제'가 처음으로 도입됩니다.

#ISMS #개인정보 #개인정보 유출

공공

ZDNet Korea·2026. 09. 11.

[인터뷰] 2000억 투입한 네이버, '보파모'로 사업보국 실현…"AI 보안 주권 지킬 것"

한국 정부(과학기술정보통신부)가 발주한 '사이버보안 특화 AI 파운데이션 모델 개발' 사업의 수행기관으로 네이버클라우드가 선정되어, 약 2000억원 상당의 자체 GPU 4000장을 투입해 보안 전용 AI 모델을 개발한다고 밝혔습니다. 네이버클라우드(방어)와 LG AI연구원(공격) 이 투 트랙으로 역할을 나눠, 공격 AI가 취약점을 찾으면 방어 AI가 이를 탐지·차단하는 방식으로 서로 성능을 높이는 구조입니다. 악성코드 프로파일링·공격 IP·전문가 대응 이력 등 830TB에 달하는 실전 보안 데이터를 학습에 활용하며, 내년 2월까지 약 300억 개 파라미터(300B) 규모의 모델을 완성하는 것이 중간 목표입니다. 완성된 모델은 금융·통신·전력 등 국가 기반시설에 우선 실증되고, 공공·국방처럼 망분리 규제가 강한 분야에는 직접 설치하는 구축형으로 제공될 예정입니다. 공격에 직접 악용될 수 있는 익스플로잇 하네스 등 일부 구성 요소는 공개 범위를 제한해 오남용을 막을 방침입니다.

#AI #AI 보안 #EDR

기타

전자신문 보안·2026. 09. 11.

네이버-LG, 18일 보안 특화 AI 개발 착수…"세계 1위 도전"

네이버클라우드와 LG CNS 컨소시엄이 오는 18일부터 보안 전문 인공지능(AI) 모델 공동 개발에 착수합니다. 네이버의 HyperCLOVA X는 방어, LG AI연구원의 EXAONE은 공격에 특화된 모델을 각각 개발한 뒤 서로 공격·방어를 반복하며 성능을 높이는 방식입니다. 21개 기관에서 모은 약 831TB 규모의 보안 데이터를 학습에 활용하며, 최종 목표는 700억 개 매개변수급(700B) 전문가혼합(MoE) 모델로 글로벌 벤치마크 1위 달성입니다. 개발된 모델은 오픈소스로 공개되고 API·SDK·보안 에이전트 형태로 국내 보안기업에 제공될 예정입니다. 전력·금융·통신·반도체·방위산업 등 7대 분야에서 실증도 진행됩니다.

#AI #AI 보안 #SaaS

이전21 / 28다음