TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

ZDNet Korea 뉴스

기업

ZDNet Korea·2026. 09. 13.

[안광섭 AI 진테제] 미 정부 사이버보안 권고문이 의미하는 것

미국 NSA·CISA·FBI 세 기관이 공동 사이버보안 권고문(AA26-251A)을 발표하며, 딥시크·문샷AI·알리바바 등 중국 AI 기업 6곳이 Claude·GPT·Gemini·Grok 같은 미국 대형 AI 모델에서 수십억 개의 토큰을 무단으로 뽑아내 자사 모델 훈련에 사용했다고 지목했습니다. 주목할 점은 이 권고문이 '증류(distillation, 큰 모델의 출력을 학습 데이터로 삼아 다른 모델을 만드는 기법)' 행위를 단순 약관 위반이 아닌 MITRE ATLAS(AI 공격 기법 분류체계)에 매핑된 공격으로 격상시켰다는 것입니다. 또한 AI 제공사에게 의심 계정에는 몰래 성능을 낮춘 응답을 제공하되, 그 사실을 해당 사용자에게 알리지 말라고 권고해, 정상적으로 API를 사용하는 기업 고객도 영문도 모른 채 품질 저하를 겪을 수 있는 위험이 생겼습니다. 기업 실무자는 자체 회귀 테스트 세트를 구성하고, API 경로를 단순화하며, 계정을 개인 인증 단위로 분리하는 대응이 필요합니다.

#AI #결제 #공급망

금융

ZDNet Korea·2026. 09. 13.

"자산 식별 없는 제로트러스트는 모래성"

한국정보보호학회가 주최한 '제5회 금융보안워크숍'에서 보안 전문가들이 제로트러스트(Zero Trust, 아무것도 믿지 않고 모든 접근을 검증하는 보안 철학) 구현을 위해 반드시 '자산 식별'이 먼저 이루어져야 한다고 강조했습니다. 미국은 데이터 등급 분류와 자산 식별을 기반으로 제로트러스트를 단계적으로 도입하는 반면, 한국은 솔루션 도입부터 시작하는 역순을 밟고 있다는 지적이 나왔습니다. 전문가들은 제로트러스트는 단일 솔루션으로 완성되는 것이 아니라 장기적인 여정이며, 각 기업의 보안 성숙도 수준에 맞춰 1~2개 핵심 요소에 집중하는 '선택과 집중' 전략이 필요하다고 조언했습니다. 특히 레거시 시스템이 많은 금융권에서는 자산 식별 없이 제로트러스트를 도입하는 것은 모래 위에 성을 쌓는 것과 같다고 경고했습니다.

#AI #AI 보안 #규제

통신/IT

ZDNet Korea·2026. 09. 13.

LGU+, 추석 연휴 보이스피싱 차단...AI로 악성 앱 서버 추적

LG유플러스가 추석 연휴를 앞두고 보이스피싱·스미싱 피해를 막기 위해 AI 기반 24시간 특별 모니터링 체계를 운영한다고 밝혔습니다. 핵심은 악성 앱을 원격으로 조종하는 외부 서버(C2 서버)를 AI로 추적해 차단하는 것으로, LG유플러스는 국내 통신사 중 이 방식을 직접 운영하는 유일한 사업자라고 설명했습니다. 악성 앱에 감염된 정황이 확인된 고객에게는 카카오톡 알림톡으로 직접 경고를 보내고, 경찰과의 핫라인을 통해 즉각 공조합니다. 이용자는 출처 불명의 문자 링크를 클릭하지 말고, 감염이 의심되면 감염된 기기가 아닌 다른 전화로 1394에 신고해야 합니다.

#AI #개인정보 #공공기관

기업

ZDNet Korea·2026. 09. 11.

앤트로픽 "알리바바·문샷AI, 클로드 핵심 능력 무단 추출"

중국 AI 기업들이 앤트로픽의 AI 모델 '클로드'에서 핵심 능력을 무단으로 대규모 추출하려 한 사실이 공식 보고서를 통해 드러났습니다. '증류 공격'이란 고성능 AI 모델의 사고 과정을 대량으로 수집해 자체 모델 학습에 활용하는 방식으로, 이번에는 약 2억 건의 대화가 관련된 것으로 확인됐습니다. 알리바바와 연계된 캠페인이 가장 규모가 컸으며, 5월부터 7월 사이 하루 최대 300만 건의 요청이 쏟아졌습니다. 공격자들은 번역 요청 등으로 질문을 위장해 클로드가 내부 사고 흔적을 드러내도록 유도하는 우회 기법을 사용했습니다. 이번 사례는 AI 모델이 새로운 지식재산 탈취의 표적이 될 수 있음을 보여주며, AI 서비스를 운영하는 기업의 사용 패턴 모니터링과 이상 탐지의 중요성을 일깨웁니다.

#AI #위협 인텔리전스 #이상 징후

중요공공

ZDNet Korea·2026. 09. 10.

700~800명 지정 CPO들 '권한' 강화…CEO는 '책임' 강화

한국 개인정보보호법과 시행령이 2026년 9월 11일부터 시행되며, 기업의 개인정보 보호 의무가 대폭 강화됩니다. 가장 큰 변화는 CEO(대표자)의 최종 책임을 법으로 명시하고, CPO(개인정보보호책임자)의 권한과 독립성을 높인 것입니다. 고의·반복적 개인정보 유출 사고에는 전체 매출액의 최대 10%까지 징벌적 과징금을 부과할 수 있게 됐습니다. 반면 보안에 사전 투자한 기업에는 과징금을 최대 40% 감경해 주는 인센티브도 도입됩니다. 또한 개인정보 유출이 확정되기 전이라도 유출 가능성이 높다고 판단되면 72시간 이내에 당사자에게 통지해야 하는 '유출 가능성 통지제'가 처음으로 도입됩니다.

#ISMS #개인정보 #개인정보 유출

공공

ZDNet Korea·2026. 09. 11.

[인터뷰] 2000억 투입한 네이버, '보파모'로 사업보국 실현…"AI 보안 주권 지킬 것"

한국 정부(과학기술정보통신부)가 발주한 '사이버보안 특화 AI 파운데이션 모델 개발' 사업의 수행기관으로 네이버클라우드가 선정되어, 약 2000억원 상당의 자체 GPU 4000장을 투입해 보안 전용 AI 모델을 개발한다고 밝혔습니다. 네이버클라우드(방어)와 LG AI연구원(공격) 이 투 트랙으로 역할을 나눠, 공격 AI가 취약점을 찾으면 방어 AI가 이를 탐지·차단하는 방식으로 서로 성능을 높이는 구조입니다. 악성코드 프로파일링·공격 IP·전문가 대응 이력 등 830TB에 달하는 실전 보안 데이터를 학습에 활용하며, 내년 2월까지 약 300억 개 파라미터(300B) 규모의 모델을 완성하는 것이 중간 목표입니다. 완성된 모델은 금융·통신·전력 등 국가 기반시설에 우선 실증되고, 공공·국방처럼 망분리 규제가 강한 분야에는 직접 설치하는 구축형으로 제공될 예정입니다. 공격에 직접 악용될 수 있는 익스플로잇 하네스 등 일부 구성 요소는 공개 범위를 제한해 오남용을 막을 방침입니다.

#AI #AI 보안 #EDR

기업

ZDNet Korea·2026. 09. 11.

MS "AI 악용 100만 건 이상 송장 사기 메일 전송 발견"

마이크로소프트(MS)가 AI를 이용해 100만 건 이상의 금융 사기 이메일을 발송한 대규모 공격 캠페인을 발견했습니다. 공격자는 여러 기업의 CEO·CFO 등 경영진을 사칭하고, 서비스나우(ServiceNow)의 가짜 연간 구독 송장을 덧붙여 회계·지급 담당 직원이 약 5만 달러를 공격자 계좌로 이체하도록 속였습니다. AI를 활용해 수신자별 맞춤형 이메일을 자동 제작하고, 가짜 이메일 대화까지 삽입해 의심을 피하도록 정교하게 설계됐습니다. 이메일 주소와 발신자 표시 이름이 일치하지 않거나 'ACH Payment' 같은 금융 키워드가 제목에 들어가는 등 몇 가지 탐지 단서가 있습니다. MS는 Microsoft Defender for Office 365, ZAP(Zero-hour Auto Purge) 등 다계층 보호 기능 활용과 이메일 인증 설정을 권고했습니다.

#AI #결제 #금융 사기

기업

ZDNet Korea·2026. 09. 09.

美 NSA·CISA·FBI, 중국 AI 6개사 '지식 증류' 경보…"수십억 토큰 빼갔다"

미국 국가안보국(NSA)·사이버보안인프라보안국(CISA)·연방수사국(FBI)이 중국 AI 기업 6곳이 미국 주요 AI 모델에서 대규모로 학습 데이터를 빼내고 있다는 공동 경보(AA26-251A)를 발표했습니다. 이 기업들은 2024년 말부터 수백만 건의 요청을 보내 수십억 개의 토큰(AI 학습에 쓰이는 텍스트 단위)을 Claude·GPT·Gemini·Grok 등의 모델에서 추출한 것으로 파악됩니다. 이는 미국 AI 기업들의 이용약관을 위반한 행위이며, 세 기관은 중국 정부가 이를 인지하고 있을 가능성이 높다고 밝혔습니다. API(프로그램 간 통신 접점) 접근 통제 강화, 비정상 사용량 탐지, 대규모 토큰 추출 차단 등 기술적 대응이 권고됩니다. 미국 정보기관이 특정 중국 기업을 공개 지목한 것은 이례적으로, 이번 경보는 AI 데이터 보안을 국가 차원의 위협으로 공식 규정한 첫 사례입니다.

#AI #API 키 #데이터센터

기업

ZDNet Korea·2026. 09. 09.

10월부터 불법스팸 발송·방치하면 매출 6% 과징금 부과한다

한국에서 10월 1일부터 불법 광고성 스팸을 발송하거나, 자신의 서비스가 스팸 전송에 악용되는 것을 막지 않은 사업자에게 관련 매출액의 최대 6%를 과징금으로 부과하는 제도가 시행됩니다. 방송미디어통신위원회가 정보통신망법 시행령 개정안을 의결한 것으로, 기존 과태료 제재만으로는 반복적인 불법스팸을 억제하는 데 한계가 있다는 판단에 따른 조치입니다. 특히 스팸이 보이스피싱(전화 사기)·스미싱(문자 사기) 등 금전 피해 범죄의 출발점이 될 수 있다는 점이 강조됐습니다. 과징금 산정 시에는 위반의 고의성, 수신자 사전 동의 절차 준수 여부, 수신 거부 기능 제공 여부 등이 종합적으로 고려됩니다. 이메일·문자 마케팅을 운영하는 기업은 수신 동의 체계와 스팸 악용 방지 조치를 10월 시행 전에 점검해야 합니다.

#규제 #금융 사기 #금융사

금융

ZDNet Korea·2026. 09. 09.

"소형 쇼핑몰 API키가 문제...하드코딩돼 해커 먹이감"

토스페이먼츠의 가맹점인 소형 쇼핑몰 한 곳이 해킹을 당해 고객 2,671명의 결제내역 4,131건이 유출됐습니다. 해커는 해당 쇼핑몰 웹사이트의 자바스크립트 소스코드에 그대로 노출된 API 키(시스템 간 통신에 사용하는 인증 암호)를 발견하고, 이를 이용해 정상 사용자처럼 위장해 결제정보를 조회했습니다. 카드 비밀번호·유효기간·CVC 등 결제 실행에 필요한 민감 정보는 포함되지 않아 2차 결제 피해는 없을 것으로 보입니다. 토스페이먼츠는 유출 사실 확인 즉시 해당 접근 경로를 차단하고, 신용정보법에 따라 피해자 통지 및 금융감독원·금융위원회에 신고했습니다. 보안 인력이 부족한 영세 쇼핑몰에서 API 키를 코드 안에 직접 박아두는(하드코딩) 관행이 주요 원인으로 지목됩니다.

#AI #API 키 #결제

기타

ZDNet Korea·2026. 09. 09.

'비트코인 암호' 며칠 만에 풀까… 아이온큐가 실험했더니

양자컴퓨터 기업 아이온큐(IonQ)가 비트코인에 쓰이는 암호(타원곡선 암호 secp256k1)를 양자컴퓨터로 풀어내는 데 약 25.7일이 걸린다는 계산 결과를 발표했습니다. 필요한 조건은 1만 9,397개의 물리적 큐비트(양자컴퓨터의 기본 연산 단위)를 갖춘 내결함성 시스템인데, 아이온큐는 2027~2028년경 이 수준에 근접할 것으로 보고 있습니다. 다만 현재 기술로는 아직 이런 규모의 양자컴퓨터가 존재하지 않아 당장 비트코인이나 기존 암호 체계가 위협받는 것은 아닙니다. 이번 연구는 단순 이론이 아니라 실제 구현을 위한 공학적 청사진이라는 점에서, 보안 담당자들이 양자 내성 암호(포스트 퀀텀 암호)로의 전환 시기를 가늠하는 구체적인 지표가 될 수 있습니다. 타원곡선 암호(ECC)는 비트코인 외에도 TLS, 전자서명 등 기업 인프라 곳곳에 쓰이므로 장기적인 대비가 필요합니다.

#PQC #TLS #데이터 보호

공공

ZDNet Korea·2026. 09. 09.

우본, 개인정보 관리 체계 강화...직원 조회권한 축소

우정사업본부(우본) 직원이 업무상 접근 가능한 고객 개인정보를 목적 외로 조회해 제3자에게 넘긴 혐의로 경찰 수사를 받고 있습니다. 이 사건은 우체국 물류 직원이 수취인 정보를 유출해 범죄에 악용된 내부자 정보 유출 사고입니다. 우본은 해당 직원의 시스템 접근 권한을 즉시 회수하고 직위해제 조치를 완료했습니다. 재발 방지를 위해 직원별 개인정보 조회 권한을 추가로 축소하고, 월 1회인 처리 이력 점검 주기를 단축하며, 정상적인 업무 조회 시에도 일부 정보에 마스킹을 적용할 예정입니다. 피해가 확인된 고객에게는 유출 사실과 피해구제 방법을 개별 안내할 계획입니다.

#개인정보 #공공기관 #정보유출

이전7 / 9다음