취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
기업랜섬웨어 공격에서 실제 피해 규모는 공격자가 내부 네트워크를 얼마나 자유롭게 돌아다닐 수 있느냐에 따라 크게 달라집니다. 박정수 강남대 교수는 네트워크를 구역별로 나누는 '세그멘테이션'과, 위치가 아닌 신원·행위를 기반으로 매번 접근을 검증하는 '제로트러스트(Zero Trust)' 원칙을 함께 적용하면 공격자의 이동 경로를 차단할 수 있다고 설명했습니다. 실제 사례로 2024년 미국 의료기업 Change Healthcare는 MFA(다중인증)와 네트워크 분할이 미흡해 크리덴셜(계정 정보) 탈취 후 단 9일 만에 대규모 랜섬웨어 피해를 입었습니다. 핵심은 침투 자체를 막는 것뿐 아니라, 이미 침투한 공격자가 조직 전체로 퍼지지 못하도록 이동 경로와 접근 가능 자산을 최소화하는 '전주기 대응 체계'를 갖추는 것입니다.
자세히 보기
공공한국에서 23개국 300명이 참가한 국제 사이버 훈련 'APEX'가 열렸습니다. 올해는 사람의 개입 없이 위협 탐지·분석·보고서 작성까지 스스로 수행하는 자율형 AI 방어팀 '프로젝트 팔랑크스(Project Phalanx)'가 처음 도입되어 주목받았습니다. 훈련은 전력망·5G·지하철 등 국가 핵심 시설을 표적으로 한 공격을 가정했으며, 기술 대응뿐 아니라 언론 대응과 법적 대응까지 포함한 실전 시나리오로 구성됐습니다. AI 방어팀의 대응 속도가 인간을 크게 앞질러 점수 산정에서 제외될 정도였으며, 각국 참가자들은 AI 활용 역량과 실전 연계 훈련 방식에 높은 평가를 내렸습니다. 이번 훈련은 사이버 위협 대응에서 국제 공조와 AI 협업 모델의 중요성을 확인하는 계기가 됐습니다.
자세히 보기
기업한국 개인정보보호위원회가 주최한 전문가 포럼에서 개인정보의 해외 이전을 더 안전하고 편리하게 하기 위해 EU처럼 SCC(표준계약)와 BCR(구속력 있는 기업 내부규칙)을 국내에도 도입해야 한다는 주장이 제기됐습니다. SCC는 개인정보를 해외로 보낼 때 보호 의무를 담은 표준 계약서를 쓰는 방식이고, BCR은 다국적 기업이 당국의 승인을 받은 자체 보호 규칙을 마련해 계열사 간에 데이터를 이전하는 방식입니다. 현재 EU, 일본, 중국 등이 이미 유사 제도를 운영 중이며, 국내 도입 시 AI·바이오 분야 글로벌 공동연구의 법적 장벽이 낮아질 것으로 기대됩니다. 개인정보위 위원장은 정보주체의 권리를 지키면서도 국제 혁신 활동을 지원할 수 있도록 관련 정책을 마련하겠다고 밝혔습니다.
자세히 보기
공공온라인에서 쉽게 살 수 있는 휴대용 위치추적기가 스토킹 등 범죄에 악용되는 사례가 잇따르면서, 정부가 관련 사업자 49곳을 조사했습니다. 그 결과, 법에서 요구하는 위치정보사업자 등록이나 신고 없이 이용자의 위치정보를 수집·활용한 것으로 의심되는 사업자 3곳이 경찰 수사를 받게 됐습니다. 위치정보법(개인의 위치 데이터를 수집·이용하는 사업을 규제하는 법)을 위반하면 최대 5년 이하 징역 또는 5000만 원 이하 벌금이 부과될 수 있습니다. 정부는 앞으로도 위치정보 활용 서비스에 대한 등록·신고 여부와 보호 조치 이행 실태를 지속적으로 점검할 방침입니다.
자세히 보기
기업쿠팡에서 지난해 11월 약 3,367만 명의 개인정보가 유출되는 사고가 발생했습니다. 피해 소비자들이 집단분쟁조정을 신청한 결과, 한국소비자원 소비자분쟁조정위원회는 쿠팡이 1인당 10만 원을 배상해야 한다는 조정안을 내렸습니다. 그러나 쿠팡은 이 조정안을 수용하지 않겠다고 서면으로 통보했습니다. 쿠팡 측은 이미 1조 6,850억 원 규모의 자발적 보상안을 이행했고 추가적인 2차 피해도 확인되지 않았다는 점을 거부 이유로 들었습니다. 조정안이 거부됨에 따라 피해자들은 별도의 소송 등 법적 절차를 통해 배상을 요구해야 할 상황이 됐습니다.
자세히 보기
중요금융국내 디지털자산 지갑 앱 '디센트(D'CENT)'를 운영하는 아이오트러스트에서 해킹이 발생해, 약 1억 5천만 원 상당의 리플(XRP) 암호화폐가 탈취됐습니다. 피해는 주로 해외 이용자에게 집중됐으며, 탈취된 자산은 현재 해커가 관리하는 8개 지갑 주소에 분산 보관된 상태입니다. 해킹의 원인으로는 지갑의 '니모닉 시드 문구(지갑을 복구하는 데 쓰이는 비밀 단어 조합)' 생성 과정의 결함이 의심되고 있으며, 지난달 캐나다 보안기업이 공개한 유사 공격 수법과의 연관성도 검토 중입니다. 현재 아이오트러스트는 KISA(한국인터넷진흥원)에 신고하고 거래소에 자산 동결을 요청한 상태이며, 디센트 앱 지갑 이용자에게는 즉시 자산을 안전한 지갑으로 옮길 것을 권고하고 있습니다.
자세히 보기
기업엔비디아·팔란티어·부즈 앨런 해밀턴 등 글로벌 기업들이 외부 AI 서비스(오픈AI, 앤트로픽 등)를 사용할 때 내부 기밀이 유출될 수 있다는 우려로 사용 범위를 줄이거나 강화된 데이터 보호 조건을 요구하고 있습니다. 핵심 쟁점은 앤트로픽이 2024년 6월 이용 기록을 최장 30일 보관할 수 있도록 약관을 바꾼 것으로, 기업들은 업무 내용이 AI 기업의 서버 로그에 남는 것을 문제로 보고 있습니다. 이에 따라 데이터가 아예 저장되지 않는 '제로 데이터 보존(ZDR)', 외부 인터넷과 완전히 분리된 '에어갭(air-gap)' 환경, 자체 서버에서 AI를 돌리는 '온프레미스' 방식에 대한 수요가 늘고 있습니다. 기업용 AI 시장의 선택 기준이 모델 성능을 넘어, 데이터를 어디에 얼마나 오래 보관하고 누가 접근할 수 있는지를 고객이 직접 통제할 수 있느냐로 옮겨가고 있습니다.
자세히 보기
기업마이크로소프트가 AI 모델이 해서는 안 되는 행동을 규정한 행동강령 초안을 공개했습니다. 핵심은 AI가 사이버공격에 쓰일 수 있는 익스플로잇 코드나 공격 도구를 만들어주거나, 인간의 통제를 피하기 위해 속임수를 쓰는 것을 금지하는 것입니다. 기업 보안 담당자 입장에서는 앞으로 마이크로소프트 AI 제품이 보안 관련 요청을 어떻게 처리할지 기준을 미리 파악할 수 있는 내용입니다. 아직 확정된 규정이 아닌 초안으로, 6주간 의견 수렴 후 연말에 수정본이 공개되고 2027년 이후 실제 모델 개발 지침으로 적용될 예정입니다.
자세히 보기
공공한국에서 해킹·사기·보이스피싱 등으로 개인정보가 유출된 피해자들이 주민등록번호 변경을 신청하는 사례가 빠르게 늘고 있습니다. 2023년부터 2025년까지 사기·해킹을 이유로 한 변경 신청이 2년 만에 약 107% 증가했으며, 전체 변경 신청의 88% 가까이가 재산 피해를 이유로 한 것으로 나타났습니다. 보이스피싱이 가장 많은 비중을 차지했고, 그 뒤를 신원 도용과 해킹·사기 등이 이었습니다. 전문가들은 사후 구제에만 의존하는 현 방식의 한계를 지적하며, 개인정보의 불필요한 수집·보관을 줄이고 다량 보유 기관의 보안 실태를 선제적으로 점검해야 한다고 강조합니다.
자세히 보기
공공미국 국방부가 AI를 이용해 만든 소프트웨어 코드를 '검증되지 않은 입력'으로 취급하고, 최종 보안·기능 책임은 반드시 사람이 지도록 하는 공식 지침을 시행했습니다. AI가 보안이나 안전에 중요한 코드를 변경했을 경우 사람이 직접 검토하고 승인해야 합니다. 군 내부 기밀 정보가 외부 생성형 AI 모델에 유입되거나 학습에 쓰이는 것을 막는 계약상 보장도 요구합니다. 또한 어떤 AI 모델과 버전을 사용했는지 반드시 기록해 문제 발생 시 추적할 수 있도록 했습니다. AI 코드 생성이 빠르게 확산되는 환경에서 보안 취약점·라이선스 위험 등을 사전에 차단하는 거버넌스 체계를 갖춘 사례로, 민간 기업에도 참고할 만한 기준이 됩니다.
자세히 보기
기타앤트로픽이 자사 AI '클로드'를 위험한 바이러스 연구에 악용하려 한 과학자들의 계정을 차단했습니다. 문제가 된 연구들은 바이러스의 전파력이나 면역 회피 능력을 강화하는 '기능획득 연구'로, 일부는 군사 연구기관에서 진행될 예정이어서 생물무기로 악용될 가능성이 우려됐습니다. 같은 보고서에서 러시아 연계 세력이 클로드를 사이버 공격과 선전에 활용하고, 중국·이란 정부 연계 세력이 반체제 인사 감시에 AI를 이용하려 한 사례도 확인됐습니다. AI 모델의 과학 연구 지원 능력이 높아질수록 악용 시 위험도 함께 커지는 것이 핵심 문제입니다. 앤트로픽은 생물학 관련 고위험 요청을 실시간으로 탐지·차단하는 안전장치를 운영 중이며, 검증된 연구자에게만 일부 고성능 기능을 제공하고 있습니다.
자세히 보기
중요금융취약점이 세상에 공개되기도 전에 공격자가 먼저 실제 공격을 시작하는 상황이 벌어지고 있습니다. '취약점 공개 후 첫 공격까지 걸리는 시간(TTE)'이 -1.1일로 측정됐는데, 공격자들이 AI를 활용해 취약점을 스스로 찾아내고 즉시 악용하기 때문입니다. 또한 AI 모델에게 "메일을 요약해줘"라고 시킬 때, 이메일 속에 숨겨진 악성 명령이 함께 실행돼 내부 데이터가 외부로 빠져나가는 '제로클릭 프롬프트 인젝션' 공격도 금융권에 새로운 위협이 되고 있습니다. 금융보안원은 GPT 5.5 모델을 활용해 금융사 웹페이지를 선제 점검하고 AI 보안 가이드를 배포하는 등 대응에 나서고 있습니다. 전문가들은 AI 레드팀·블루팀 훈련, 상시 자동 탐지 체계 전환, 양자내성암호(PQC) 전환 등 다층적 대응이 필요하다고 강조했습니다.
자세히 보기