'2025/02'에 해당되는 글 24건

2월 26일 뉴스입니다.

[기자수첩] 이토록 귀찮은 보안

보안의 번거로움에도 불구하고 정보 보호를 위해 필수적인 조치를 지속해야 한다.
- 보안이 귀찮은 이유로 '내 일이 아님', '이미 정보가 유출됨', '강제적으로 해야 함' 등이 꼽힌다.
- AI 기반 공격이 정교해지며, 피싱 메일 및 개인정보 탈취 수법이 고도화되고 있다.
- 유출된 정보는 재사용될 수 있으며, 연쇄적인 보안 사고를 유발할 가능성이 크다.
- 기업과 개인 모두 보안의 중요성을 인식하고 적극적인 보안 조치를 취해야 한다.
- 2차 인증, 주기적인 비밀번호 변경 등 기본적인 보안 습관이 필수적이다.

해외사업자의 국내대리인 지정 강화…개인정보보호법 개정안 국회 상임...

해외사업자의 국내대리인 지정 요건이 강화되어 개인정보 보호 책임이 증가할 전망이다.
- 국회 정무위원회에서 해외사업자의 개인정보 보호 책임 강화를 위한 개인정보보호법 개정안을 의결했다.
- 기존에 형식적으로 운영되던 국내대리인 지정이 실질적으로 강화되는 방향으로 개정되었다.
- 해외사업자가 국내 법인을 보유한 경우 해당 법인을 국내대리인으로 지정하도록 의무화되었다.
- 국내대리인의 관리 및 감독 책임이 해외 본사에 부여되며, 위반 시 제재 규정이 마련되었다.
- 개인정보보호위원회는 후속 시행령 개정 및 정기적인 실태 점검을 통해 제도의 실효성을 높일 계획이다.

스파이웨어 'LightSpy', 소셜미디어 정보 수집 기능 강화…새로운 안드로...

최신 스파이웨어 및 악성코드가 정교화되며, 정보 탈취와 기기 통제 기능이 강화되고 있다.
- 'LightSpy' 스파이웨어는 페이스북, 인스타그램 데이터 추출 기능을 추가하여 위험성이 증가했다.
- 'SpyLend' 악성코드는 금융 애플리케이션으로 위장하여 사용자 정보를 탈취하는 수법을 활용한다.
- LightSpy는 다양한 OS에서 작동하며, 감염 기기의 제어 및 데이터 수집 기능을 보유하고 있다.
- SpyLend는 특정 지역 사용자를 대상으로 악성 기능을 활성화하며, 보안 심사를 우회하는 기법을 사용한다.
- 공식 마켓의 애플리케이션도 안전하지 않으며, 앱 다운로드 시 신뢰성 검토 및 보안 수칙 준수가 필수적이다.

교묘해지는 피싱, 고도화하는 보안 솔루션

피싱 공격이 정교해지면서 정보보호기업들이 예방 솔루션을 고도화하고 있다.
- KISA는 연이은 피싱 공격 사례를 발표하며 사용자들의 주의를 당부했다.
- 피싱 공격은 카드 배송 사칭, 설 연휴 스미싱, 기업 문자발송 시스템 해킹 등 다양한 형태로 진화하고 있다.
- 안랩의 V3 모바일 솔루션은 머신러닝을 활용하여 스미싱 및 보이스피싱을 탐지한다.
- 시큐리온의 온앱스캔은 AI 기반 탐지 시스템을 통해 피싱 앱 및 URL의 위험도를 분석한다.
- 보안 솔루션의 발전에도 불구하고, 개인의 보안 인식과 예방 조치가 무엇보다 중요하다.

“기본 중의 기본” 이제는 필수가 된 PC 보안 소프트웨어

온라인 보안 강화를 위해 바이러스 백신, 비밀번호 관리자, 2FA, 패스키 및 이메일 마스크 도구 사용이 필수적임.
- 온라인 공격이 점점 정교해지며 개인이 조심해도 데이터 유출이 발생할 가능성이 높아짐.
- 마이크로소프트 내장 보안 기능이 강화되었으나, 추가 보안이 필요한 경우 노턴 360 등 유료 백신 사용 권장.
- 비밀번호 관리자를 활용하면 강력한 비밀번호 생성 및 계정 보안 강화 가능.
- 2단계 인증(2FA)은 필수이며, SMS보다 인증 앱을 사용하는 것이 더 안전함.
- 패스키를 활용하면 비밀번호 없이 안전한 로그인 가능하나, 모든 웹사이트에서 지원하는 것은 아님.
- 이메일 마스킹 서비스를 사용하면 개인정보 보호 및 피싱 위험 감소 가능.
- 구글 보이스 번호를 활용하면 SMS 기반 인증의 보안 취약점을 줄일 수 있음.

[염태정의 시선] 위협받는 프라이버시

AI 및 IoT를 활용한 개인정보 수집이 증가하면서 중국 및 국내 기업의 개인정보 유출 위험이 커지고 있음.
- AI 및 IoT 발전으로 개인정보 수집이 전방위적으로 확대되며, 프라이버시 보호가 어려워지고 있음.
- 중국 쇼핑 플랫폼 테무 및 AI 프로그램 딥시크 등에서 개인정보 국외 유출 우려가 발생함.
- 중국 전기차 및 로봇청소기 등 다양한 기기를 통한 개인정보 유출 가능성이 제기됨.
- 국내에서도 개인정보 유출 사례가 증가하고 있으며, 개인정보보호위원회가 관련 기업에 과징금을 부과함.
- 경기 용인 수지구에서는 건축물대장 유출 사건이 발생하여 주민 개인정보가 외부로 유출됨.
- 개인정보 자기 결정권을 강화하고, 보안 조치를 철저히 할 필요성이 커지고 있음.

해커들, 깃허브 악용해 암호화폐 탈취…카스퍼스키 경고

해커들이 GitHub에 악성 프로젝트를 개설해 암호화폐를 탈취하는 GitVenom 캠페인을 수행 중.
- 카스퍼스키는 해커들이 GitHub에서 가짜 프로젝트를 운영하며 악성 코드를 배포한다고 경고.
- 해커들은 원격 액세스 트로이 목마(RAT)와 정보 탈취 악성코드를 포함한 프로젝트를 게시.
- 일부 프로젝트는 비트코인 지갑 관리 봇 등으로 위장해 신뢰성을 높임.
- 프로젝트 커밋 기록을 조작해 지속적인 개발이 이루어지는 것처럼 연출.
- 피해자가 악성 파일을 실행하면 저장된 계정 정보와 암호화폐 지갑 데이터가 탈취됨.
- 클립보드 하이재킹을 통해 암호화폐 주소를 해커의 주소로 자동 변경.
- 작년 11월 한 피해자는 5 BTC(약 6억 3천만 원)를 잃은 사례가 보고됨.
- 해커들은 향후 새로운 변형을 추가하며 공격을 지속할 것으로 예상됨.

[논단]4000만 개인정보 유출, 솜방망이 처벌 언제까지

카카오페이가 4000만 명의 개인정보를 해외로 무단 이전해 60억 원 과징금을 부과받음.
- 개인정보보호위원회가 카카오페이의 무단 해외 데이터 이전에 대해 과징금 60억 원 부과.
- 기업의 개인정보 보호 인식 부족이 문제의 근본 원인으로 지적됨.
- 과징금 규모가 기업 매출 대비 미미해 실효성 부족 논란 발생.
- 글로벌 IT 기업들은 한국의 개인정보보호법 규제를 비용 대비 효과로 판단해 위반 감수.
- 유럽연합(EU) GDPR과 달리 한국의 처벌 규정이 상대적으로 약함.
- 정부는 법 개정을 통해 처벌 수위를 강화하고 사전 심사 기능을 도입해야 한다는 지적.
- 경영진의 법적 책임을 강화해 개인정보 보호의 실효성을 높여야 한다는 의견 제기.
- 이용자 권리 강화를 위해 집단소송 제도 도입 및 보상 절차 간소화 필요.

[기고] AI 시대와 법률 이슈

AI 기술 발전으로 법률 및 보안 이슈가 증가하며, 관련 법률이 제정되고 있음.
- AI 기술이 금융, 의료, 법률 등 다양한 분야에서 빠르게 확산 중.
- ‘인공지능 발전과 신뢰 기반 조성 등에 관한 기본법’이 2026년 시행 예정.
- AI 관련 법률 문제로 창작물 소유권, 법적 책임, 범죄 처벌 등이 논의됨.
- AI를 활용한 보이스피싱과 로맨스 스캠 등 신종 범죄가 증가하고 있음.
- 딥페이크 영상 악용 범죄가 증가하면서 법적 대응이 강화되고 있음.
- AI 기술을 이용한 범죄 예방을 위해 URL 링크 클릭을 주의해야 함.
- 중국 AI 서비스 ‘딥시크’가 개인정보보호법 위반으로 국내 서비스 중단됨.
- 법률 시스템이 AI 시대에 맞춰 신속하게 개정될 필요성이 강조됨.

[기자수첩] 이토록 귀찮은 보안 귀찮아도 해야만 하는 ‘보안’[보안뉴스 박은주 기자] 보안은 귀찮다. 2차 인증과 비밀번호 변경 알림, 보안 프로그램 설치안내 등을 보면 눈살부터 찌푸려진다. 매일 보안 사고를 접하고, 그 위험을 잘 아는 기자도...

[오늘의 보안 영어] above the fray (정치적 긴장감이 고조됨에 따라 뉴스 앵커는 중립을 지키면서 사실만 제공하는 걸 목표로 삼았다.)※ 이 코너는 보안뉴스에서 발간하는 프리미엄 리포트의 [데일리 보안뉴스...

제조업, 랜섬웨어 감염 ‘속출’..주의! 외부 접속·계정·백업관리 등 강화해야 [보안뉴스 김경애 기자] 최근 제조업을 노린 랜섬웨어 감염 사고가 지속 발생하고 있다. 기업은 생산중단과 정보 유출 등의 피해를 입지 않도록 사전 보안 점검과 대비가...

해외사업자의 국내대리인 지정 강화…개인정보보호법 개정안 국회 상임... 해외사업자의 국내대리인 지정 요건을 강화하는 내용의 개인정보보호법 개정안이 국회 상임위원회를 통과했다. 이로 인해 해외사업자의 개인정보보호 책임이 한층 강화될 전망이다. 지난 2월 24일 국회 정무위원회(이하...

스파이웨어 'LightSpy', 소셜미디어 정보 수집 기능 강화…새로운 안드로... 수집된 정보는 피해자를 협박하는 데 사용되며, 개인 정보를 조작해 허위 콘텐츠를 제작한 후 금전을 요구하는 방식으로 악용된다. 사이퍼마에 따르면, 'SpyLend'는 지역 기반 타겟팅을 통해 특정 사용자만 악성...

[ET톡]코로나와 백신, 그리고 제로데이 해킹 용어로 제로데이는 알려지지 않았거나 보안 패치가 되지 않은 취약점을 악용한 공격을 말한다. 방어자는 손쓸 방법이 없어 공격당할 수밖에 없다. 5년 전 백신이 없어 코로나19 팬데믹에 휩쓸렸던 상황과 꼭 닮았다....

교묘해지는 피싱, 고도화하는 보안 솔루션 또 지난달 31일엔 기업 문자발송 시스템 해킹을 통한 스미싱 위협이 커졌다며 피싱 주의보를 내린 바 있다. 이처럼 피싱 공격이 횡행하면서 국내 정보보호기업은 피싱 공격에 대응하기 위한 솔루션을 갈고 닦고 있다....

<보안뉴스>

<IT소식>

<정보보호 신간/신제품 소개>

2월 25일 뉴스입니다.

SK하이닉스, 직원 개인정보 처리..판례·가이드라인상 위법

SK하이닉스의 직원 개인정보 수집 논란이 대법원 판례 및 개보위 가이드라인 위반 가능성으로 논쟁 중.
- 대법원은 직원 하드디스크 조사 시 ‘필요한 범위 내’에서만 정당행위로 인정.
- 개인정보 보호 가이드라인은 ‘제한적인 범위 내’에서 기업의 수집·이용을 허용.
- 핵심 쟁점은 SK하이닉스가 ‘최소한의 원칙’을 지켰는지 여부.
- SK하이닉스는 기술 유출 방지를 위한 동의만 받았으며, 정보 수집은 하지 않았다고 해명.
- 보안 전문가들은 사내 보안문화와 소통 부족이 문제의 근본 원인이라고 지적.

“챗GPT야! 개인정보 수집 가능해?”…내 개인정보가 위험하다 [탈탈털...

챗GPT 등 생성형 AI를 활용한 개인정보 수집 및 피싱 공격 가능성이 연구를 통해 확인됨.
- 연구진이 챗GPT4o를 통해 특정 인물의 연락처 정보를 빠르게 확보 가능함을 시연.
- AI를 이용한 자동화된 피싱 공격이 쉽고 빠르게 이루어질 수 있음.
- 60명을 대상으로 한 피싱 이메일 실험에서 46%가 링크를 클릭할 가능성이 있다고 응답.
- 챗GPT 외에도 다크웹에서는 AI를 활용한 범죄 가이드가 공유됨.
- AI 서비스 제공 업체는 악용 방지를 위한 보안 필터를 강화해야 한다고 전문가들이 조언.

SK하이닉스, 직원 개인정보 처리..판례·가이드라인상 위법 사내 소통, 보안 문화 부재가 근본 원인.[보안뉴스 문가용 기자] SK하이닉스의 직원 개인정보 수집 논란이 일파만파 커지고 있다. 대법원 판례와 개보위 가이드라인 등에 위배된다는 의견이 제기되면서다.24일 보안...

[월드시큐 황.당.사] MS 365 노리는 거대 봇넷 外 * 지난 밤, 세계 각지에서 보도된 ‘보안 외신’을 간략 정리한다. 당신이 잠든 사이에 일어난 일들을 짚는다.1. MS 365 노리는 거대 봇넷 등장13만개 장비로 구성된 봇넷이 발견됐다. 공격자들은 이 봇넷을 사용해 MS...

[오늘의 보안 영어] raise the bar (최근 기술 발전 때문에 우리는 스마트폰에 대한 기대치를 한껏 높이게 됐다.)※ 이 코너는 보안뉴스에서 발간하는 프리미엄 리포트의 [데일리 보안뉴스+] 콘텐츠를 통해 2주 빨리...

랜섬웨어 조직 내부정보 유출..불평·험담 가득 블랙바스타에 치명적 사건..부활 불가능할 듯.[보안뉴스 문가용 기자] 악명 높은 랜섬웨어 블랙바스타(BlackBasta)의 내부 정보가 유출됐다. 랜섬웨어 조직 멤버들끼리 무슨 이야기를 나누는지, 랜섬웨어 조직은 어떤...

해외사업자, 韓 법인에 ‘국내대리인’ 지정해야..개보위, 法 개정 해외사업자 개인정보 보호책임·강화 기대해외사업자, 국내대리인 지정 및 본사에서 관리·감독..위반 시 제재[보안뉴스 박은주 기자] 해외사업자의 국내 법인은 국내대리인으로 지정하는 등 개인정보 보호책임이...

[배종찬의 보안 빅데이터] 중국산 ‘로봇 청소기’ 정보 유출, 과연 사실... 우려 [보안뉴스= 배종찬 인사이트케이 연구소장] 로봇 청소기는 이제 가정의 필수 아이템으로 자리잡았다.... 가정과 상업 시설에서 보안·안전을 위해 실시간 현장 확인용으로 설치된 IP캠은 중국산이 그야말로 광범위하게...

올해부터 공공망 분리 규제 완화...'네트워크 보안 위험성도 커져' 주제로 보안보고서 '씨큐리포트'(CQ Report)를 25일 발표했다. 씨큐비스타는 올해부터 공공망 분리 의무화 규제가 풀리면서 국가 네트워크 보안 프레임워크가 본격 적용돼 AI(인공지능), 클라우드 등 보안업계에 신기술...

[이슈플러스] 중국 가전,정보보호는 '허점 투성이' 중국 가전 기업의 허술한 정보보호 대책으로 사생활 보안에 대한 우려가 커지고 있다. 로보락은 개인정보보호 처리방침에 따라 IP캠 등으로 수집한 국내 사용자의 개인정보를 중국 항저우에 본사를 둔 사물인터넷(IoT)...

<보안뉴스>

<사고소식>

<IT소식>

2월 24일 뉴스입니다.

中企 정보유출, '취약한 인증 관리' 탓…“제로 트러스트 보안 도입해야...

중소기업 정보유출 사고의 주요 원인은 인증 관리 취약성으로, 제로 트러스트 도입과 보안 교육이 필요하다.
- KISA 보고서에 따르면, 중소기업 정보유출 사고 중 33.3%가 인증 및 세션 관리 취약점으로 발생했다.
- 주요 침입 경로로 SQL 인젝션(25%)과 취약한 접근 통제(19.4%)도 확인됐다.
- 공격자들은 탈취한 정보를 텔레그램 등 공개 채널을 통해 유포하는 경우가 많았다.
- 해커들은 국내 대기업 협력사의 보안 취약점을 노려 주요 자료를 탈취했다.
- KISA는 제로 트러스트 모델 도입과 최신 보안 동향 공유를 통한 예방 조치를 권장했다.
- OS 및 서드파티 소프트웨어 보안 패치를 즉시 적용할 것을 강조했다.
- 정기적인 보안 교육과 캠페인을 통해 보안 인식을 제고해야 한다.

서버 노리는 랜섬웨어 기승…FBI가 제안한 모바일 기기 지키는 방법

미국 FBI는 모바일 운영체제보다 서버 및 네트워크 장치를 노리는 해킹 위협을 경고했다.
- 고스트 랜섬웨어는 모바일 OS가 아닌 서버 애플리케이션과 네트워크 장치를 주요 타깃으로 삼고 있다.
- 스마트폰이 손상된 네트워크에 연결되면 민감한 데이터가 유출될 수 있다.
- 공격은 여러 공통 취약점(CVE)과 연관되어 있으며 일부 취약점은 16년간 패치되지 않았다.
- 랜섬웨어는 중요 파일을 잠그고 몸값을 요구하는 방식으로 작동한다.
- FBI는 운영체제 및 앱을 항상 최신 상태로 유지하고, 의심스러운 사이트 및 이메일을 피할 것을 권고했다.
- 데이터 암호화를 위해 VPN 사용과 공공 Wi-Fi 연결 자제를 강조했다.

기업 보안 담당자들서 AI 기반 보안·클라우드 보안 강화 최대 이슈로

기업 정보보호 담당자들은 2025년 보안 최대 이슈로 AI 보안과 클라우드 보안 강화를 꼽았다.
- CONCERT 보고서에 따르면, 생성형 AI 보안과 클라우드 보안이 올해 최우선 과제다.
- AI 활용 증가로 데이터 유출과 프롬프트 인젝션이 주요 보안 위협으로 떠올랐다.
- 기업들은 DLP 필터링, 접근제어(RBAC), API 모니터링 등을 강화하고 있다.
- AI 기반 이상행위 탐지 및 침입 탐지 시스템(NIDS, EDR) 도입이 확대되고 있다.
- AI 탐지 시스템의 오탐률과 대규모 로그 처리 성능이 해결 과제로 지적됐다.
- 기업 정보보호 예산은 평균 11% 증가했지만, 환율 상승으로 실질적 보안 강화 효과가 미흡한 경우도 있다.
- CONCERT는 보안 투자 증대가 단순한 예산 증가가 아닌 전략적 접근이 필요하다고 강조했다.

[인터뷰] 'AI로 진화하는 사이버 위협…클라우드처럼 보편적 도구 될 것...

사이버 공격자들이 AI를 악용한 공격을 증가시키면서 AI 보안 전략의 고도화가 필요하다.
- 생성형 AI는 피싱 메일, 악성 코드 제작 등 해킹에 활용되고 있다.
- 해커들은 AI를 이용해 더욱 정교한 사이버 공격을 수행하고 있다.
- 기업들은 AI 기반 실시간 탐지 및 자동 대응 시스템을 도입하며 대응을 강화하고 있다.
- AI 공격이 자율적인 위협으로 발전하기까지는 비용적 장벽이 존재한다.
- 한국은 북한 배후 해킹 조직의 주요 타깃으로, 공급망 공격 위험이 크다.
- 기업 규모와 관계없이 보안 체계를 강화할 필요가 있다.

AI가 AI를 해킹한다…성공률 93% 'J2 공격' 등장

AI 모델이 다른 AI를 공격하는 'J2' 기법이 93% 이상의 성공률을 기록하며 보안 우려를 증폭시킴.
- AI가 AI를 공격하는 'J2' 기법이 발견되었으며, GPT-4o를 대상으로 93% 이상의 높은 성공률을 기록함.
- 픽션화 기법과 심리적 전략을 활용해 LLM의 보안 시스템을 우회하는 사례가 보고됨.
- 9가지 레드팀 전략을 통해 AI 시스템의 보안 필터를 우회하는 다양한 방식이 개발됨.
- 공격 성능 최적화를 위해 6회 이상의 사이클이 필요하며, 모델별로 효과적인 공격 방식이 다름.
- AI 모델이 자체 보안 시스템을 우회할 가능성이 확인되었으며, 이는 AI 보안의 새로운 취약점으로 부각됨.
- AI 안전성 강화를 위해 악의적 데이터 학습 방지, 회로 차단기 도입 등 방어 기법이 제시됨.
- AI의 지능 향상이 공격과 방어 능력을 동시에 증가시키는 ‘양날의 검’ 효과를 초래할 가능성이 있음.
- 인간이 포함된 자동화 레드팀 테스트의 확장이 AI 보안 연구의 중요한 과제로 부각됨.

[MT시평]개인정보 보호법의 형사처벌

수능감독 교사가 시험 과정에서 알게 된 개인정보를 사적으로 사용했으나, 개인정보 보호법 위반으로 처벌받지 않음.
- 감독 교사가 수험생 연락처를 알아내 개인적 목적(사적인 문자 발송)으로 사용함.
- 개인정보 보호법상 ‘개인정보취급자’의 부당 이용에 대한 명확한 처벌 조항이 부족함.
- 1심과 대법원은 감독 교사가 개인정보취급자에 해당하므로 형사처벌 대상이 아니라고 판단함.
- 피해자는 정신적 충격을 받고 거주지를 이전하는 등의 피해를 입음.
- 개인정보 보호법의 허점으로 인해 명백한 부적절 행위가 처벌되지 않는다는 비판이 제기됨.
- 유사 사례 방지를 위해 법 개정 및 보완이 필요함.

[조간브리핑]생성형 AI 악용 위험··· 세계 각국 '사이버 탈옥'과의 전...

[임홍철 칼럼] 비밀번호는 개인정보일까

비밀번호를 개인정보로 간주하는 것이 타당한지에 대한 논쟁이 온라인에서 이루어짐.
- 비밀번호의 수집에는 정보주체 동의가 필요하지 않다는 의견이 대체로 우세함.
- 비밀번호가 개인정보에 해당하는지에 대해 의견이 분분함.
- 일부는 비밀번호가 사용자의 창작물이므로 개인정보로 보기 어렵다고 주장함.
- 현행법상 비밀번호는 개인정보로 규정되어 있으나, 해석에 따라 논란의 여지가 있음.
- 개인정보 보호 범위가 지나치게 광범위하다는 비판이 제기됨.
- 다양한 의견이 존재하며, 향후 법적·사회적 논의가 필요함.

기관·기업 보안 담당자들 '망 분리 제도·제로트러스트 구체화 시급' 한...

망분리 완화 및 제로트러스트 2.0 구체화, CISO 지정제도 개선이 올해 보안 정책 주요 이슈로 떠올랐다.
- 한국침해사고대응팀협의회(CONCERT)는 보안 담당자들이 원하는 정책으로 망분리 제도 개선, 제로트러스트 2.0 구체화, CISO 지정제도 개선을 발표했다.
- 정부는 기존 망분리 제도를 완화한 국가 네트워크 보안 프레임워크(N²SF)를 발표하여 AI, 클라우드 등 신기술 활용을 지원하고 있다.
- 금융위원회는 금융사가 내부망에서도 생성형 AI 및 클라우드를 사용할 수 있도록 금융규제 샌드박스를 통해 규제 특례를 추진 중이다.
- 보안 담당자들은 망분리 완화 정책이 신기술 활용을 가능하게 했으나, 보다 세분화된 보안 가이드라인이 필요하다고 지적했다.
- 제로트러스트 2.0 가이드라인은 도입과 확산을 목표로 하지만, 구체적인 자율보안체계 구축 및 모범 사례 공유가 필요하다는 의견이 나왔다.
- CISO 지정제도는 겸직 금지와 임원급 제한으로 인해 계약직 전환 및 고용 불안정 문제를 야기하고 있다.
- 정보보호 및 개인정보보호 관리체계(ISMS-P) 유지기간 연장, 수탁사 관리 기준 명확화 등의 필요성이 제기됐다.

빅테크·알테쉬 '먹통 국내대리인' 막는다…법안 상임위 통과

해외사업자의 국내 개인정보 보호책임을 강화하는 개정안이 국회 상임위를 통과했다.
- 해외 개인정보처리자의 국내법인이 있는 경우, 대리인을 대행사가 아닌 해당 법인으로 지정해야 한다는 법안이 가결되었다.
- 법안 시행 이후, 국내 대리인 관리 및 감독 의무를 소홀히 할 경우 과태료가 부과된다.
- 개인정보보호법 개정안은 해외 사업자의 개인정보 보호 책임을 강화하는 것을 목표로 한다.
- 기존에는 해외 기업들이 대행사나 법무법인을 국내대리인으로 지정하여 실질적인 책임을 회피하는 사례가 많았다.
- 조사에 따르면 해외 빅테크 기업 12곳이 같은 주소의 대행사 3곳을 국내대리인으로 지정하는 방식으로 제도를 악용했다.
- 개인정보위 조사 담당자는 대행사 대리인이 실질적인 권한이 없어 해외 본사와 직접 연락을 시도해야 했고, 조사가 수년간 지연된 사례가 있었다고 밝혔다.
- 법안 시행 이후, 해외 사업자의 개인정보 보호 의무 이행이 더욱 강화될 것으로 예상된다.
- 미국 등 주요 국가에서 한국의 규제를 비관세 장벽으로 간주할 가능성이 있어 국제적 반발이 우려된다.

이준호의 사이버보안 이야기 <30> 사이버보안과 노동의 미래: AI가 내 일...

AI 기반 보안 시스템이 도입되면서 보안 전문가의 역할 변화가 요구되고 있다.
- AI 보안 시스템이 실시간 침입 탐지, 이상 징후 분석, 자동 대응 기능을 제공하며 보안팀의 업무 부담을 줄이는 역할을 하게 된다.
- AI는 수백만 개의 로그 데이터를 실시간 분석하고, 기존 패턴과 비교하여 해킹 시도를 탐지하는 기능을 수행한다.
- AI 기반 침입 탐지 시스템(IDS)과 보안 정보 이벤트 관리(SIEM) 시스템은 네트워크 활동을 모니터링하고 이상 징후를 자동 감지한다.
- 랜섬웨어 탐지 시 AI 기반 EDR(Endpoint Detection and Response) 솔루션이 즉각 실행되어 감염을 차단한다.
- AI는 보안 업무의 많은 부분을 자동화하고 있지만, 창의적인 해킹 기법을 예측하는 데 한계가 있다.
- AI는 정형화된 데이터를 기반으로 학습하지만, 새로운 공격 벡터나 사회공학적 기법을 파악하는 데 어려움을 겪는다.
- 보안 전문가들은 AI를 활용한 보안 대응 전략을 수립하고, AI가 놓칠 수 있는 부분을 보완하는 역할이 요구된다.
- AI가 보안 전문가를 완전히 대체하는 것은 어려우며, 인간과 AI의 협업이 보안의 핵심 요소가 될 것으로 전망된다.

기업 경영진 91% 'AI, 이미 도입했거나 도입할 계획'

국내 기업들의 AI 도입 의지는 높지만, 전문 인력 부족과 투자 효과 불확실성이 주요 걸림돌로 작용함.
- 국내 기업의 52%가 AI를 도입했으며, 39%는 도입 계획이 있다고 응답함.
- 기업 규모가 클수록 AI 도입 비율이 높아, 자산 2조 원 이상 기업의 73%가 AI를 활용 중임.
- AI 투자 의지는 강하며, 82%의 기업이 향후 2년 내 투자 확대를 계획함.
- AI 도입 기대 효과로 운영 효율화(68%), 데이터 분석 정확도 향상(64%), 제품·서비스 혁신(48%)이 꼽힘.
- AI 도입의 가장 큰 장애물로 내부 전문 인력 부족(60%)과 투자 효과 불확실성(57%)이 지적됨.
- 초기 비용 부담(34%)과 사이버 보안 우려(25%)도 도입을 저해하는 요소로 나타남.
- 중소기업일수록 AI 투자에 신중한 경향을 보이며, 기업 규모에 따른 AI 접근 격차가 확인됨.
- AI 인재 양성과 투자 수익(ROI) 확보가 시급한 과제로 대두됨.

[김병필의 인공지능 개척시대] 인공지능 투명성 딜레마

중국 AI 기업 딥시크의 신모델이 높은 성능과 저비용으로 주목받았지만, 데이터 도용 의혹과 투명성 문제로 논란이 일고 있다.
- 딥시크 AI는 뛰어난 성능을 보이면서도 훈련 비용이 낮아 ‘가성비’가 뛰어나다는 평가를 받음.
- 경쟁사의 데이터를 무단 도용했을 가능성이 제기되며, AI 학습 데이터의 출처 투명성이 문제로 떠오름.
- AI 활용 시 이용자의 개인정보나 영업비밀이 저장·활용될 위험성이 있음.
- 유럽연합과 미국 일부 주에서는 AI 학습 데이터의 투명성을 강화하는 법안을 추진 중임.
- AI 투명성 의무가 기업의 영업비밀 보호와 충돌할 수 있어 적절한 규제 수준 설정이 필요함.
- 한국의 AI 기본법은 마련되었으나, 국제 규범과 조화로운 규제 보완이 요구됨.

“30원만 주세요. 다 찾아 드려요.”..KAIST, AI ‘개인정보 악용’ 가능... 생성형 AI, 수 초 내 최소 30원 수준으로 개인정보 수집..95.9% 정확도 자랑KAIST 연구팀 “챗GPT 등 AI 에이전트에 보안장치 필요”[보안뉴스 박은주 기자] KAIST가 LLM 에이전트를 이용한 개인정보 탈취 가능성을...

유출 피해 中 보안업체, 알고보니 해킹 앞잡이 중국 보안 대기업 탑섹, 유출 사고 당함.2. 내부 정보 다수..열람하니 정부와 손잡은 정황.3. 감시와 검열, 언론 통제 위한 기술 제공.[보안뉴스 문가용 기자] 중국 국영 보안 기업의 데이터가 유출되면서 중국 정부의...

中企 정보유출, '취약한 인증 관리' 탓…“제로 트러스트 보안 도입해야... 그치지 않고 기업 핵심 정보와 사업 전략까지 노출될 수 있는 심각한 문제”라면서 “기업과 개인이 협력해 최신 보안 기술과 대응책을 활용하고, 일상적으로 정보보호 문화를 실천하는 노력이 필요하다”고 전했다.

<보안뉴스>

<IT소식>

2월 22일 ~ 2월 23일 뉴스입니다.

[배종찬의 보안 빅데이터] 트럼프도 못 막는 중국의 ‘제로데이’ 공격 그럼에도 불구하고 정작 미국 정부는 중국의 파상적인 해킹 공격에 맥을 못 추고 있다. 보안 전문 언론... 중국의 솔트타이푼(Salt Typhoon)이라는 해킹 단체가 공격자로 지목되고 있는 상황이다. 솔트타이푼은 2021년부터 미국...

2조원대 ‘최대규모’ 이더리움 해킹...北 라자루스 지목 가상화폐 거래소 바이비트, 역대 최대 규모 해킹 당해공격 패턴 유사한 北 해킹조직 ‘라자루스’ 지목[보안뉴스 조재호 기자] 세계 최대 가상화폐 거래소 중 하나인 바이비트가 2조원대 해킹을 당한 것으로...

블랙 바스타 랜섬웨어 조직 내부 채팅 기록 유출…내부 운영 실태 드러... 블랙 바스타(Black Basta) 랜섬웨어 조직의 내부 채팅 기록 약 20만 건이 유출되면서 조직 내부의 갈등과 운영 방식이 공개됐다. 2022년 4월 활동을 시작한 블랙 바스타는 다수의 대형 사이버 공격을 주도한 조직으로, 이번...

<보안뉴스>

<IT소식>

<신간>

2월 21일 뉴스입니다.

[월드시큐 황.당.사] 토렌트 크랙 게임 주의보 外

최은선 정보보호산업 과장 '제로트러스트 민간에 확산'

제로트러스트 보안 모델 확산을 위해 정부가 시범사업 6개 과제를 추진하고 8개 기업의 컨설팅을 지원한다.
- 제로트러스트는 내부망 접근도 엄격히 제한하는 보안 모델로 미국이 2020년부터 추진해왔다.
- 한국 정부는 제로트러스트 확산을 위해 시범사업 및 컨설팅 지원을 진행 중이다.
- 2023년 제로트러스트 가이드라인 1.0 발표 후 2024년 12월 2.0이 발표되었다.
- 시범사업은 공공기관과 금융사를 대상으로 진행되었으며, 일부 기업은 해외 시장 진출 성과를 거두었다.
- 제로트러스트는 특정 기술이 아니라 보안 개념과 철학을 의미하며, 자원 분리 및 보호 원칙을 따른다.
- 2022년 랩서스 해킹, 2023년 APT 공격 등 공급망 취약점 사례가 제로트러스트 필요성을 강조한다.
- 미국 CISA 성숙도 모델을 참고하여 국내 환경에 맞는 성숙도 3단계 모델이 도입되었다.
- 2.0에서는 4단계 성숙도 모델, 보안 기능 확대, 구현 방안 구체화 등의 변화가 포함되었다.

“신기술이 개인정보·데이터 보호 공백 만든다” 영국 ICO 경고

ICO는 신기술로 인해 대규모 개인정보 수집 가능성이 증가하면서 기업들이 데이터 보호 문제에 직면하고 있다고 경고했다.
- 커넥티드 교통 시스템, 양자 감지, 합성 AI 등이 개인정보 보호 문제를 초래할 수 있다.
- 차량 내 디지털 시스템 발전으로 운전자 데이터를 실시간으로 수집 및 공유할 가능성이 높아졌다.
- 센서 기술 발전으로 사용자의 동의 없이도 방대한 개인정보가 수집될 위험이 있다.
- 양자 센서는 의료 데이터를 실시간으로 수집하며, 보호 조치 미비 시 신경 차별 등의 문제가 발생할 수 있다.
- AI 생성 콘텐츠(딥페이크 등)는 개인 식별 정보 오용 문제를 발생시킬 가능성이 크다.
- 신기술로 인해 기업의 데이터 보호 부담이 증가하고 있으며, 설계 단계에서부터 보호 기능을 내재화할 필요가 있다.
- 데이터가 여러 기관과 기업 간에 공유될 때 책임 소재가 불분명해질 위험이 있다.
- 기업은 단순한 규정 준수를 넘어 새로운 데이터 보호 전략을 수립해야 한다.

이셋, 글로벌 프리랜서 개발자 대상 악성코드 유포 포착

프리랜서 개발자를 노린 악성코드 유포 캠페인이 발견되어 주의가 요구된다.
- 글로벌 보안기업 이셋(ESET)은 '디셉티브디벨롭먼트' 사이버 공격 캠페인을 발견하고 보고서를 발표했다.
- 공격자는 가짜 채용 제안을 통해 프리랜서 개발자들에게 접근해 악성코드를 유포했다.
- 트로이목마 '비버테일'과 원격제어 악성코드 '인비저블페럿'을 이용해 피해자의 암호화폐와 정보를 탈취했다.
- 공격자는 깃허브 계정을 탈취하거나 거짓 프로필을 이용해 신뢰도를 높였다.
- 이 공격은 북한과 연계된 것으로 추정되며, 라자루스 그룹의 이전 활동과 유사한 점이 많다.
- 이셋 연구원은 온라인 구직 플랫폼의 악용 가능성을 경고하며 주의를 당부했다.

[인터뷰] '2025년은 AI 에이전트의 해…알아서 일하고 고치는 동료 만날...

AI 에이전트의 발전으로 기업 업무와 보안 환경이 변화하고 있다.
- 체크포인트 AI부문 부사장은 AI 에이전트가 단순 도구가 아닌 독립적인 업무 수행체로 진화하고 있다고 밝혔다.
- AI 에이전트는 단순 번역을 넘어 정보 검색, 업무 수행 및 수정까지 가능하도록 발전하고 있다.
- 보안 분야에서도 AI 에이전트 활용이 증가하고 있으며, 이상 징후 감지 및 대응 역할을 수행할 수 있다.
- AI 에이전트의 활용이 증가하면서 보안 정책과 가드레일 설정의 중요성이 강조되고 있다.
- AI 사용이 확대됨에 따라 일자리 감소 우려가 있지만, 인간의 창의적인 업무에 집중할 기회를 제공할 것으로 전망된다.
- 체크포인트는 엔비디아 등과 협력해 AI 보안을 강화하고 있으며, AI 시대의 보안 위협에 적극 대응할 계획이다.

내 디자인이 다크패턴? 개정된 전자상거래법, 쉽게 정리했습니다

정부가 기만적 UI/UX 디자인인 '다크패턴'을 규제하는 전자상거래법 개정을 시행했다.
- 다크패턴은 소비자의 착각과 부주의를 유발해 불필요한 지출을 유도하는 기만적 UI/UX 디자인이다.
- 개정된 전자상거래법은 다크패턴을 금지하며, 위반 시 시정조치 및 최대 500만 원의 과태료를 부과한다.
- 특정 조건을 충족하면 최대 1년간 영업 정지 처분도 가능하다.
- 다크패턴의 주요 유형에는 원치 않는 구독 유지, 해지 과정 복잡화, 가격 정보 왜곡 등이 포함된다.
- 방통위 조사 결과, 61.9%의 응답자가 구독 취소 과정에서 다크패턴을 경험했다고 답했다.
- 개정법 시행으로 온라인 환경의 투명성과 소비자 보호가 강화될 것으로 기대된다.

오픈소스 vs 폐쇄형

오픈 소스와 폐쇄형 진영의 경쟁이 OS에서 모바일, AI까지 확장되고 있음.
- 1990년대 유닉스(폐쇄형)와 리눅스(오픈 소스) 간 경쟁에서 리눅스가 기업 서버 시장을 주도하게 됨.
- 모바일 시장에서는 안드로이드(오픈 소스)와 iOS(폐쇄형)의 경쟁이 지속되며 안드로이드가 시장 점유율 80%를 차지.
- AI 시장에서도 GPT(오픈AI), 제미나이(구글) 등 폐쇄형 모델과 메타·딥시크 등의 오픈 소스 진영이 경쟁 중.
- 메타 CEO는 AI도 오픈 소스가 주도할 것으로 예상하며 리눅스의 사례를 언급.
- 오픈 소스가 반드시 무료는 아니며, 유지 보수 및 응용 프로그램 이용에 비용이 부과될 수 있음.

[월드시큐 황.당.사] 토렌트 크랙 게임 주의보 外 새로 발견된 설트타이푼 공격 도구, 점블드패스중국 해킹 그룹 설트타이푼(Salt Typhoon)이 직접 제작하거나 커스타마이징 한 것으로 추정되는 해킹 도구가 발견됐다. 이름은 점블드패스(JumbledPath)로, 피해자...

구글 교회 검색시, 개인정보 노출 문제! [IMAGE2][IMAGE3][지진솔 기자(digital@boannews.com)]www.boannews.com) 무단전재-재배포금지>

<보안뉴스>

<사고소식>

<IT소식>

<행사/교육소식>

14년동안 IT업계에 있으면서 한번쯤 뒤를 돌아보게 됩니다.
애초에 대기업을 생각한적도 없었고 내가 하고싶은 다양한 일을 해보고 싶어 중소기업과 스타트업을 떠돌았고 후회가 되지는 않습니다.
하지만 이런저런 다양한 일을 하면서 고민도 많았고 걱정도 많았기에 저 말고도 이런 고민을 하는 사람들이 많지 않을까 하는 마음에 글을 한번 적어봤습니다.
신방과를 나왔지만 글솜씨에는 재주가 없는지라 ChatGPT의 힘을 빌렸습니다.
이 글을 읽는 커리어에 대한 고민을 하고 계신 많은 분들이 하루라도 빨리 본인의 길을 찾았으면 하는 바램입니다.

살다 보면 커리어가 계획대로 흘러가지 않을 때가 많다. 특히 중니어 시절에는 "내 커리어가 꼬인 게 아닐까?"라는 고민을 하는 순간이 온다. 나 또한 그랬다. 하지만 지금 돌아보면, 다양한 경험이 결국 나만의 길을 만들어 주었다.

내 커리어는 정말 꼬였던 걸까?

나는 신문방송학을 전공했지만, 첫 직장은 시스템 엔지니어였다. 1년 후 개발자로 전직했지만, 회사에서 보안 담당자가 필요하다는 이유로 보안 업무까지 병행하게 됐다. 그렇게 7년이 지나고, 결국 정보보안과 개인정보보호 업무를 전문적으로 담당하게 되었다.

처음에는 불안했다. 시스템 엔지니어로 깊이 있는 경험을 쌓지도 못했고, 개발자로도 특출난 실력을 가지기 전에 보안 업무까지 병행해야 했다. "나는 대체 무슨 일을 하고 있는 걸까?"라는 고민을 수도 없이 했던 시기였다.

제너럴리스트 vs 스페셜리스트: 나는 무엇을 선택했나

보안 업무를 하면서 알게 된 점이 있다. 보안은 단순히 한 분야의 깊이만으로 해결할 수 있는 영역이 아니라는 것이다. 시스템, 네트워크, 개발, 정책, 법률 등 다양한 요소가 얽혀 있기 때문에, 오히려 여러 분야를 경험한 것이 강점으로 작용했다.

또한, 사회과학을 전공하면서 길러진 분석력과 커뮤니케이션 능력도 보안 업무에서 큰 도움이 되었다. 처음에는 '어느 하나도 전문성이 부족하다'는 고민을 했지만, 나만의 조합이 결국 강점이 된 것이다. 나는 제너럴리스트로서 폭넓은 시야를 가지면서, 동시에 보안과 개인정보보호라는 특정 분야에서 스페셜리스트가 되기로 결정했다.

꼬인 커리어는 오히려 기회다

한 가지 분야에서만 커리어를 쌓아온 사람들은 깊이는 있지만 넓은 시야를 가지기 어렵다. 반면, 다양한 경험을 가진 사람은 문제를 바라보는 방식이 다르고, 여러 요소를 종합적으로 판단하는 능력이 뛰어나다.

나의 커리어를 돌아보면, 신문방송학 전공, 시스템 엔지니어 경험, 개발자로의 경험, 보안 업무까지 모든 과정이 연결되며 시너지를 일으켰다. 결과적으로, 나는 IT 기술을 이해하면서도 정책을 수립하고, 경영진과 기술팀을 모두 설득할 수 있는 보안 전문가로 성장할 수 있었다.

중니어들에게 전하는 조언

지금 커리어가 꼬였다고 느낀다면, 잠시 멈춰서 생각해 보자.

1. 한 방향으로만 커리어를 바라보지 말자. 다양한 경험이 결국 나만의 강점이 될 수 있다.
2. 지금까지의 경험을 단절된 것이 아니라, 어떻게 연결할 수 있을지 고민해 보자.
3. 제너럴리스트와 스페셜리스트 중 하나를 선택하기보다는, 넓은 시야를 가진 스페셜리스트를 목표로 해보자.

꼬인 길처럼 보이던 커리어가, 결국 나만의 길이 될 수도 있다. 중요한 것은, 주어진 환경 속에서 나만의 강점을 찾아 성장하는 것이다. 그러니 지금까지의 경험을 부정하지 말고, 어떻게 활용할 수 있을지를 고민해보자. 결국 모든 경험이 모여, 당신만의 유니크한 커리어가 만들어질 것이다.

2월 20일 뉴스입니다.

개인정보 전문가 2명 중 1명, “AI 활성화는 현행법 완화에 달려”

개인정보 전문가들은 AI 산업 활성화를 위해 개인정보보호법 규제 완화를 요구하고 있으며, 현행법이 보호 중심이라는 인식이 증가하고 있다.
- 개인정보전문가협회 조사 결과, 47.3%가 개인정보보호법 규제 완화를 희망.
- AI기본법 시행을 앞두고 중복 규제 우려가 제기됨.
- 응답자의 66%가 개인정보보호법이 보호 중심이라고 평가.
- 개인정보 활용 확대를 위해 법적 개념 조정 및 동의 중심 법제 유연화 필요.
- 개인정보·위치정보·신용정보 등 중복 규제 문제 해결이 필요.
- AI 시대에 맞는 개인정보 규율 체계 전환 필요.
- 조사 응답자의 63.4%가 산업계 전문가로 구성됨.

[사설]코드서명 해킹 탈취, 작게 볼 일 아니다

국내 보안기업 소만사의 코드서명 인증서 유출 사건이 발생했으며, 국가 단위 해킹그룹의 SW 공급망 공격이 의심된다.
- 보안기업 소만사의 코드서명 인증서가 유출됨.
- KISA와 기업이 신속히 대응하여 2차 피해 방지를 진행.
- 국가 단위 해킹그룹이 SW 공급망 공격을 위해 인증서를 탈취한 것으로 추정됨.
- 미국 크라우드스트라이크의 사례처럼 SW 공급망 공격이 심각한 피해를 초래할 수 있음.
- 해킹 목적은 악성코드를 공급망 내에 퍼뜨려 신뢰성을 위협하는 것.
- 정부 기관이 SW 공급망 보안을 주요 보안 이슈로 지정하고 대응 강화 중.
- 2027년까지 SW 공급망 보안 국가 로드맵 수립 예정.
- 보안 위협을 사전에 탐지하고 차단하는 것이 중요함.

체크포인트, 해커들의 'AI 무기화' 경고…보안 위기 '고조'

AI가 해킹을 자동화하며 공격 전략을 실시간으로 최적화하는 시대가 도래하여 기존 보안 체계로는 대응이 어려워지고 있다.
- AI 기반 해킹이 자동화되면서 보안 솔루션 탐지를 회피하는 능력이 강화됨.
- 해킹 도구로 활용되는 AI가 공격 환경을 분석하고 최적화된 전략을 자동 생성함.
- '페이로드 LLM'을 이용한 변형 가능한 악성코드가 탐지를 회피하며 지속적인 공격을 수행.
- AI 기반 해킹은 보안 시스템의 방어 장벽을 실시간으로 우회하는 능력을 갖춤.
- '비정형 페이로드' 개념이 등장하여 공격 대상 환경에 맞춰 코드가 자동 변형됨.
- '제로데이 LLM'이 기존에 알려지지 않은 취약점을 자동으로 탐색하여 보안 패치 이전에 공격 가능.
- 다크웹에서 AI 기반 해킹 도구가 거래되며, 초보 해커도 강력한 공격을 실행 가능.
- AI 모델 자체가 해킹의 대상이 될 위험도 존재함.

사이버 범죄자들의 새 표적, 비밀번호 관리자와 브라우저 저장소

비밀번호 저장소를 노리는 멀웨어가 급증하며, 자격 증명 탈취가 사이버 범죄의 주요 표적이 되고 있다.
- 보안 전문가들은 비밀번호 관리자 및 브라우저에 저장된 자격 증명을 노리는 멀웨어가 3배 증가할 것으로 예상.
- 피커스 시큐리티 연구에 따르면, 전체 악성 행동의 93%가 10개의 MITRE ATT&CK 기법에 해당.
- RedLine Stealer, Lumma Stealer 등 정보 탈취 멀웨어가 비밀번호 저장소를 주요 공격 대상으로 삼음.
- 다크 웹에서 판매되는 도난 자격 증명이 증가하며, 랜섬웨어 공격의 주요 경로로 활용됨.
- 기업 보안 관리자는 제로 지식 암호화, 최소 권한 액세스, 멀티팩터 인증(MFA) 적용이 필수적.
- 많은 기업이 MFA를 도입하지 않아 여전히 비밀번호 중심의 보안 체계를 유지.
- 자동화된 공격 도구 확산으로 대규모 인증 정보 탈취 및 악용 가능성이 증가.
- 보안 취약성이 만연한 환경에서 자격 증명 도난이 사이버 범죄의 핵심 전략으로 자리 잡음.

보안 침해까지 쉽게 바꿔버리는 AI, 어떻게 대응할까

생성형 AI가 내부 데이터 유출 및 보안 위협을 증대시키며, CISO의 대비가 필수적이다.
- 생성형 AI 사용 증가로 기업의 민감한 데이터가 무분별하게 노출될 가능성이 커짐.
- Microsoft 365 Copilot, Salesforce AI 등 AI 도구가 기업 생산성을 높이는 동시에 보안 리스크를 증가시킴.
- 직원이 인지하지 못한 채 과도한 데이터 접근 권한을 가지며, AI가 이를 활용해 민감한 정보를 제공할 수 있음.
- 내부자는 자연어 질의를 통해 쉽게 데이터에 접근하고 외부로 유출 가능.
- AI가 권한 상승과 측면 이동을 돕는 도구로 활용될 가능성이 있음.
- 보안 장벽이 낮아지면서 공격자는 더 쉽게 기업 데이터를 탐색하고 탈취할 수 있음.
- AI 도구 도입 시 최소 권한 원칙과 강력한 접근 통제 정책이 필요함.
- 기업은 AI 기반 보안 위협을 분석하고, 보안 정책을 AI 환경에 맞게 지속적으로 개선해야 함.

레노버, CIO 플레이북 2025 발표…'AI 규제 준수' 최우선 과제 급부상

AI 도입 시 컴플라이언스 이슈가 중요해지며, 한국의 AI 투자가 급격히 증가하고 있다.
- AI 거버넌스 및 규제 준수가 비즈니스 최우선 과제로 부상.
- 한국의 AI 투자 증가율이 아태지역에서 가장 높음(6.2배).
- 국내 기업 76%가 AI 도입을 고려하거나 12개월 내 도입 계획 중.
- AI 확장의 주요 장애 요소는 IT 인프라 비용, 데이터 품질, GRC 요건 등.
- 레노버는 AI 도입을 위한 데이터 전략 강화 및 단계적 실행을 제안.

구독 해지·탈퇴·취소? 이제 어렵지 않아요!

전자상거래에서 다크패턴 방지를 위한 법 개정으로 소비자 보호가 강화되었다.
- 다크패턴은 소비자의 착각을 유도해 불필요한 결제를 유발하는 방식.
- 공정위는 6개 유형의 다크패턴을 규율하는 전자상거래법 개정 시행.
- 숨은 갱신, 순차공개 가격책정, 특정옵션 사전선택 등의 방식이 규제 대상.
- 가입은 쉽게, 해지는 어렵게 만드는 취소·탈퇴 방해도 포함됨.
- 반복적인 광고·결제 요청(반복간섭)도 규제하여 소비자 불편 해소.
- 위반 시 사업자는 영업정지 및 최대 500만 원의 과태료 처분 가능.
- 소비자 피해를 줄이기 위해 정부가 다크패턴 사례집을 발간.

개인정보 전문가 2명 중 1명, “AI 활성화는 현행법 완화에 달려” (CISO) 등 개인정보 전문가와 학계·공공기관·시민단체 전문가 112명을 대상으로 실시했다. 전체의 63.4%가 산업계 인사이며 설문 참여자 10명 중 4명 이상이 10년 이상 개인정보보호·정보보안 경력이 있는 것으로 확인됐다.

금융보안원, 금융권 AI 활용 조성 지원 “보안성 평가 실시” 금융보안원(원장 박상원)이 금융권에 AI 기술이 활용될 수 있게 적극 지원한다. 금융보안원은 혁신금융서비스 지정을 받은 금융회사의 보안대책을 신속하게 평가하고, 모의 공격 기반으로 AI 모델 보안성 검증을 돕는다....

[사설]코드서명 해킹 탈취, 작게 볼 일 아니다 최근 국내 보안기업 소만사는 자사 보안솔루션을 도입해 쓰고 있는 고객들에 외부 해킹공격을 받아 자사... 보안업계와 전문가들은 이번 해킹이 우선 국가단위 해킹그룹에 의해 저질러졌다고 진단한다. 더욱이 코드서명...

<보안뉴스>

<사고소식>

<IT소식>

<행사/교육소식>

2월 19일 뉴스입니다.

아카마이, '2025 보안 전략 가이드' 발표…진화하는 사이버 위협 대응 전...

아카마이, APJ 지역 사이버 보안 강화를 위한 '2025 보안 전략 가이드' 발표
- APJ 지역, 전 세계에서 가장 많은 웹 애플리케이션 DDoS 공격 발생
- 중앙집중식 보안 체계 부재로 기업들이 개별적으로 보안 전략 수립 필요
- AI 기반 해킹 도구 확산으로 리스크 점수 평가 중요성 증가
- 새로운 리스크 점수 모델 제시 및 엔드포인트 보호 전략 포함
- VPN 취약점 및 XSS 공격 방어 대책 제공
- 쿠버네티스 보안 위협 분석 및 보호 전략 제시
- 다층 방어 전략을 통한 실질적인 보안 인사이트 제공

김경환 민후 대표 변호사 “메타 상대로 우리 국민의 자기결정권 지켜내...

법원, 메타의 타사 행태정보 수집 관련 과징금 처분 정당 판결
- 메타, 이용자 동의 없이 맞춤형 광고를 위한 행태정보 수집
- 개인정보위, 구글 및 메타에 총 1000억 원 과징금 부과
- 메타, 동의 의무 위반이 아니라며 행정소송 제기
- 법원, 개인정보위 손 들어주며 메타의 주장 반박
- 판결로 대규모 플랫폼 사업자의 개인정보 보호 책임 강화
- 민후, 국제 판례 및 증거 분석 통해 승소에 기여
- 정부, 2심 및 이후 재판에서도 적극 대응 계획

[배종찬의 보안 빅데이터] 성심당 빵마저 피하지 못하는 ‘해킹’ 명심해야 [보안뉴스= 배종찬 인사이트케이 연구소장] 밥보다 빵을 좋아하는 사람들이 점점 더 많아지고... 보안 전문 언론 매체인 에 따르면 성심당 공식 인스타그램 계정이 해킹된 것으로 알려지고 있다. 성심당은 지난...

[오늘의 보안 영어] ramp up (시작에서 조금 느렸던 마케팅 팀은 현재 소셜 미디어 캠페인을 확대하는 중이다.)※ 이 코너는 보안뉴스에서 발간하는 프리미엄 리포트의 [데일리 보안뉴스+] 콘텐츠를 통해 2주 빨리...

KISIA, 융합보안 인력양성 교육생 모집 AI보안 신규 개설...총 8개분야 20회 교육 실무중심 인재 500명 양성[보안뉴스 김경애 기자] 오는 4월부터 ‘융합보안 전문인력 교육과정’이 개설된다. 한국정보보호산업협회(KISIA·회장 조영철)는...

아카마이, '2025 보안 전략 가이드' 발표…진화하는 사이버 위협 대응 전... 그러나 AI 기반 해킹 도구의 확산으로 인해 초보 해커부터 고급 해커까지 누구나 사이버 공격을 시도할 수 있는 상황이 되어 기업들의 리스크 평가가 더욱 중요해지고 있다. 이에 아카마이는 '2025 보안 전략 가이드...

김경환 민후 대표 변호사 “메타 상대로 우리 국민의 자기결정권 지켜내... 결국 법원은 최근 판결에서 페이스북의 이런 행위에 대한 시정명령과 과징금 판결이 옳다고 개인정보보호위원회의 손을 들어줬습니다.” 김경환 민후 대표변호사는 최근 판결난 구글과 메타의 맞춤형 광고를 위한 타사...

<보안뉴스>

<사고소식>

<IT소식>

2월 18일 뉴스입니다.

삼성SDS, ‘2025년 5대 사이버 보안 위협’ 발표

삼성SDS는 AI 보안 위협, 클라우드 보안 위협, 랜섬웨어, SW 공급망 보안 위협, OT/IoT 보안 위협을 2025년 5대 보안 위협으로 발표했다.
- AI 악용 피싱 공격 증가로 AI 기반 보안 시스템 필요
- 클라우드 환경에서 장기 방치된 자격 증명 등이 보안 취약점으로 작용
- 랜섬웨어 공격이 이중 갈취 전략으로 진화하여 피해 규모 확대
- 오픈소스 활용 증가로 SW 공급망 보안 위협 확대
- 초연결사회에서 OT/IoT 보안 위협이 커지며 정기적 업데이트 필요

생성형 AI 오용, 2027년까지 AI 데이터 침해의 40% 차지할 것

가트너는 2027년까지 AI 관련 데이터 유출 사고의 40% 이상이 생성형 AI의 국경 간 데이터 전송 문제로 발생할 것이라고 전망했다.
- AI 기술 도입 속도가 데이터 보안 조치를 앞지르고 있음
- 의도치 않은 국경 간 데이터 전송이 발생할 가능성이 높음
- 글로벌 AI 표준화 격차로 인해 운영 비효율성 증가
- AI 데이터 보호 및 규정 준수를 위한 거버넌스 필요
- 기업들은 AI 거버넌스 및 보안에 대한 투자를 확대해야 함

[김경환 변호사의 디지털법] 〈46〉AI시대에 부합하도록 계정 관련 약관...

온라인 서비스 약관은 계정 양도 및 사용허락을 금지하지만, 대법원 판례는 일정한 조건에서 사용권을 인정하고 있어 법적 정합성이 논란이 되고 있다.
- 온라인 서비스는 약관을 통해 계정 양도와 사용허락을 금지
- 일부 서비스는 사용자 동의를 받아 계정 접근을 허용하는 방식으로 운영됨
- 대법원 판례는 계정주의 동의하에 사용권을 인정하는 경우가 있음
- 접근권한과 사용권 개념을 명확히 구분할 필요
- AI 시대에 맞춰 계정 사용 관련 약관 개정 필요

가트너 '국가간 개인정보 보호 격차, AI 데이터 침해 위협 높여'

중국은 AI 기술 발전을 위해 대량의 데이터를 수집하고 있으나, 데이터 활용 방식이 불투명하여 정보 보호 논란이 커지고 있다.
- 중국은 생성형 AI 기술 발전을 위해 데이터 수집 및 저장 확대
- 데이터 활용의 투명성 부족으로 사생활 및 저작권 침해 우려
- 유럽 및 한국은 강력한 개인정보 보호 제도를 운영
- 국가별 데이터 보호 수준 차이로 AI 데이터 침해 사고 증가 전망
- 글로벌 AI 거버넌스 표준화 격차로 인해 기업 운영 비효율성 확대

‘데이터 블랙홀’ AI, 사용자 동의 없이 개인 정보 털어가

일론 머스크의 AI 챗봇 '그록(Grok)3' 출시 예고 후 개인정보 유출 우려 확산
- 이전 AI 모델들이 사용자 동의 없이 X의 게시물을 학습 데이터로 활용한 사실이 논란
- AI가 엑스레이·MRI 등 민감한 의료 기록 입력을 권장하며 개인정보 보호 문제 대두
- 생성형 AI 확산으로 개인정보 수집이 무차별적으로 이루어지는 문제 지적
- 데이터 비식별화에도 불구하고 대량의 정보가 결합되면 개인 식별 가능성 존재
- 생성형 AI 맞춤형 보안 솔루션 부족으로 해킹 위험 증가
- 연구 결과, 의료 AI 모델에 대한 악성 공격으로 81% 확률로 민감한 정보 접근 가능
- 전문가들은 AI 사용 시 민감한 정보 입력을 자제할 것을 권고

‘자녀보호앱’ 사용 ↑… 방통위 미승인·개인정보 침해 문제는?

초등학생 피살 사건 이후 자녀 보호 앱 사용 급증, 개인정보 보호 및 교권 침해 논란
- 실시간 위치 추적 및 주변 소리 청취 기능 제공하는 자녀 보호 앱의 다운로드 급증
- 일부 자녀 보호 앱이 방송통신위원회 승인 없이 운영되며 개인정보 침해 우려 제기
- 방통위는 위치 정보 보호를 위한 사업 승인 절차를 요구하지만 전수 점검이 어려운 상황
- 자녀 보호 앱의 소리 청취 기능이 교사들의 수업 도청 문제로 이어져 논란 발생
- 일부 학부모들이 수업 내용을 녹음하여 단체 채팅방에 공유한 사례 존재
- 전문가들은 앱의 남용을 방지할 법적 절차 마련 및 경고 시스템 도입 필요성 강조

[아유경제_오피니언] 「개인정보 보호법」 위반사례

재건축·재개발 사업에서 개인정보 유출 및 부적절한 사용 사례 증가
- 정보공개청구제도가 조합 반대자들에 의해 악용되는 사례 발생
- 조합원 명부를 확보한 후, 조합 집행부를 비방하는 문자 전송 사례 존재
- 법원은 개인정보 보호법 위반으로 개인정보 무단 공개 및 사용을 처벌
- 개인정보를 고소장 등에 기재해 유출한 사례에서 벌금형 선고
- 재건축 추진위에서 수집한 개인정보를 목적 외 사용하여 단체 문자 전송한 사례 존재
- 법원은 재개발 반대 목적이라도 개인정보를 무단 이용하는 행위는 위법으로 판단
- 개인정보 사용 시 원래 목적을 벗어나지 않도록 주의 필요

[수요칼럼 ] 한국의 개인정보 보호법 문제는 없는가?

한국의 개인정보 보호법이 AI와 빅데이터 산업 발전을 저해한다는 지적이 제기됨.
- 한국 개인정보 보호법은 데이터 활용 시 정보 주체의 동의를 요구해 AI 학습에 제약이 있음.
- 2020년 개정법에서 ‘가명 정보’ 개념을 도입했으나 활용 범위가 제한적임.
- EU, 미국, 중국 등은 AI 발전을 위해 데이터 활용 규제를 유연하게 운영 중.
- 개인정보 유출 사고 시 기업에 대한 과징금 부담이 큼.
- 개인정보 보호와 AI 경쟁력 강화를 위한 법 개정 필요성이 대두됨.
- 한국의 AI 기술 경쟁력은 세계 6~7위 수준으로, 미국 대비 크게 부족함.
- AI 관련 기업의 법인 이전 증가 가능성이 있으며, 글로벌 경쟁력 약화 우려가 있음.
- 개인정보 보호와 데이터 활용의 균형을 맞추는 정책 수립이 요구됨.

AI 코딩 툴의 환각을 줄이는 방법 8가지

AI 코딩 툴의 환각 현상을 방지하기 위한 8가지 방법이 소개됨.
- AI 코딩 툴은 확률적 특성으로 인해 존재하지 않는 함수나 비효율적인 코드를 생성할 수 있음.
- 경험이 적은 개발자는 AI가 생성한 코드의 오류를 인지하지 못할 위험이 있음.
- 잘못된 AI 코드로 인해 보안 취약점, 기술 부채 증가 등의 문제가 발생할 수 있음.
- 명확하고 상세한 프롬프트 작성이 환각 현상을 줄이는 데 도움됨.
- AI 툴이 출처 제공 기능을 지원하는 경우, 참고 자료 요청이 유용함.
- 최신 정보 학습 여부를 확인해 오래된 데이터를 기반으로 한 오류를 방지해야 함.
- 원하는 코드 패턴을 AI에게 반복적으로 학습시켜 일관성을 유지하는 것이 중요함.
- 검색 증강 생성(RAG) 기법을 활용해 AI 코드를 신뢰할 수 있는 정보에 기반하도록 개선 가능함.

AI 서비스 사용률 90% 육박…소비자 신뢰도는 '걸음마 단계'

AI 사용이 증가했지만 소비자 신뢰도는 여전히 낮아, 신뢰성 및 보안성 강화가 중요한 과제로 떠오름.
- 응답자의 89.7%가 AI 사용 경험이 있으며, 특히 84.6%가 생성형 AI를 사용한 경험이 있음.
- ChatGPT가 93.9%의 사용률로 가장 높았지만, 소비자 추천지수(NPS)는 -3점으로 낮게 평가됨.
- AI 활용 기업에 대한 신뢰도는 41.3%로, 필요성은 인정하면서도 불신이 존재함.
- AI 서비스 도입 시 가장 중요한 요소로 ‘정확성 및 신뢰성’(43.7%)과 ‘개인정보 보호 및 보안 정책’(30.9%)이 꼽힘.
- 신뢰 확보를 위해 AI 기업은 투명성과 윤리적 운영을 강화할 필요가 있음.

칼럼 | 과유불급··· CIO 역할, 2개로 나누면 족하다

CIO의 역할이 지나치게 세분화되면서 IT 전략의 복잡성이 증가, 단순화 및 통합 전략이 필요함.
- CIO의 역할이 CTO, CISO, CDO 등으로 분화되면서 책임과 소유권이 불분명해짐.
- IT와 사이버 보안 복원력은 밀접하게 연관되어 있지만, 기업 내에서는 별개로 운영되는 경우가 많음.
- 복잡한 IT 아키텍처가 문제를 유발하며, 단순화 및 통합이 필요한 상황임.
- CIO와 CISO는 함께 IT 전략의 단순화 및 거버넌스 강화를 추진해야 함.
- 기업은 개별 솔루션 도입보다는 통합 솔루션을 활용해 복잡성을 줄이는 방향으로 가야 함.
- CIO 역할을 ‘기술 혁신 및 보안’과 ‘데이터 및 운영’의 두 개 축으로 단순화하는 방안이 대안으로 제시됨.

[오늘의 보안 영어] banner year 해외 여행객이 쏟아져 들어오고 있기 때문이다.)※ 이 코너는 보안뉴스에서 발간하는 프리미엄 리포트의 [데일리 보안뉴스+] 콘텐츠를 통해 2주 빨리 만나실 수 있습니다.[국제부...

[월드시큐 황.당.사] 텔레그램 악용하는 새 멀웨어 外 *지난 밤, 세계 각지에서 보도된 ‘보안 외신’을 간략 정리한다. 당신이 잠든 사이에 일어난 일들을... 브루트캣(Brutecat)이라는 이름으로 활동하는 보안 전문가가 지난 주말 찾아낸 것으로, 연달아 익스플로잇 했을...

AI기본법·국가 망 보안 체계..‘CISO 포럼’서 심층 논의 국정원, 국가 망 보안 체계 확립 앞장[보안뉴스 김경애 기자] 생성형AI 제품 사업자는 AI기반 운용을 이용자에 사전 고지해야 한다. 위반 시 3000만원 이하 과태료가 부과된다. 또 ‘국가 망 보안체계’ 보안통제...

삼성SDS, ‘2025년 5대 사이버 보안 위협’ 발표 AI·클라우드·랜섬웨어·SW공급망·OT 보안위협 선정[보안뉴스 김경애 기자] 삼성SDS가 ‘2025년 주의해야 할 5대 사이버 보안 위협’을 발표했다. 18일 삼성SDS에 따르면 ‘2025년 5대 사이버 보안 위협’은 △AI 악용...

생성형 AI 오용, 2027년까지 AI 데이터 침해의 40% 차지할 것 여기에는 정기적 개인정보 영향 평가와 데이터 계보, 데이터 전송 영향 평가 통합이 포함된다. ◇거버넌스 위원회 설립- AI 감독을 강화하고 AI 배포 및 데이터 처리에 대한 투명한 커뮤니케이션을 보장하기 위한...

[김경환 변호사의 디지털법] 〈46〉AI시대에 부합하도록 계정 관련 약관... 접근권한은 정보통신망법 제48조 제1항에 근거한 것이고, 접근권한은 개인정보나 시스템, 파일, 폴더 등을 접속하여 사용할 수 있는 자격으로서, 대법원은 오래 전부터 접근권한은 서비스 제공자가 부여한 기준을 근거로...

KISA, 공급망 보안 강화 본격화…SW 취약점 DB 구축 지원 또 북한 해킹그룹 라자루스가 지난 2022년 국내 금융SW의 취약점을 악용해 국가·공공기관 등 60여곳에서 개인용컴퓨터(PC) 200여대를 해킹한 사실이 드러나기도 했다. 더욱이 SW공급망 위협은 갈수록 커지고 있다....

<보안뉴스>

<IT소식>

<행사/교육소식>

2월 17일 뉴스입니다.

임시 저장된 ‘작성 중 메일’도 공격 도구

아웃룩의 ‘작성 중 메일’ 기능을 C&C 서버로 악용하는 파이널드래프트 멀웨어가 등장했다.
- 파이널드래프트 멀웨어는 아웃룩의 ‘작성 중 메일’ 기능을 이용해 C&C 서버와 통신한다.
- 공격자는 MS 그래프 API를 활용해 탐지를 회피하고 데이터 탈취, 프록싱, 프로세스 주입 등의 악성 행위를 수행한다.
- 해당 멀웨어는 패스로더(PathLoader)를 통해 감염이 시작되며, 정적 분석을 우회하는 암호화 기법을 사용한다.
- 윈도 버전뿐만 아니라 리눅스 변종도 발견되었으며, REST API 및 리버스 UDP 등을 이용해 공격을 수행한다.
- 남미의 한 정부 기관이 피해를 입었으며, 공격 인프라가 동남아 조직들과 연관된 정황이 포착되었다.
- 보안업체 엘라스틱시큐리티는 해당 캠페인을 레프7707(REF7707)으로 명명하고 추적 중이다.
- 탐지를 위해 야라(YARA) 규칙을 공개했으며, 보안 담당자들은 모니터링 강화를 고려해야 한다.

“잘 키운 ‘보안인재’ 해외 유출 골머리”..기술사회가 꼽은 보안 이...

국내 보안 전문가들은 보안이 ‘유망 직종’이 아닌 핵심 직종으로 자리 잡아야 한다고 강조했다.
- 보안 인재 육성뿐만 아니라 유출 방지 환경 조성이 필요하다는 의견이 제기되었다.
- AI 보안 전문가를 국내에 유지하려면 근무 환경과 처우 개선이 필요하다.
- 해외에서는 보안 및 AI 전문가의 연봉이 높은 반면, 국내 보안 인력 유출 문제는 여전히 심각하다.
- 인재 유출 방지를 위해 정책적 지원과 생태계 구축이 필수적이라는 의견이 나왔다.
- AI 보안과 관련하여 딥시크 쇼크(DeepSeek Shock) 및 국가 차원의 소버린 AI 구축 필요성이 언급되었다.
- AI 기본법 제정에 대해 보안 측면에서 실효성 있는 시행령이 마련되어야 한다는 주장이 나왔다.
- 정보보호 분야 국가자격전문가 단체인 한국정보공학기술사회가 보안 이슈 논의를 주도하고 있다.

KISA, 10만 사이버보안 인재 양성 위한 '사이버보안 교육' 본격 추진

KISA는 2026년까지 10만 명의 사이버보안 인재를 양성하는 교육 프로그램을 시작한다.
- KISA, 과기정통부, 고용노동부, 한국산업인력공단이 협력하여 맞춤형 사이버보안 교육을 진행한다.
- Security-Gym은 침해사고 대응, 정보보호제품 실습, 버그헌팅 등 실전 훈련을 제공한다.
- K-Shield는 재직자를 대상으로 보안 컨설팅, 침해사고 대응, 디지털 포렌식 등 8개 분야 교육을 운영한다.
- K-Shield 주니어는 청년 구직자를 위한 정보보호 직무 교육으로 구성되어 있다.
- AI 보안관제 전문인력 과정은 보안관제 실무를 포함하며, 채용 연계 인턴십도 지원한다.
- 교육 이수 시 과기정통부 및 KISA 인증서를 발급받을 수 있다.
- KISA는 보안 산업의 경쟁력 강화를 위해 실무 중심 교육을 지속할 계획이다.

새로운 위협 징후의 선제적 감지… 효과적인 ‘이상 탐지’ 구현법

이상 탐지는 사이버 사고를 조기에 감지할 수 있는 강력한 도구지만, 기존 탐지 기법과 균형이 필요하다.
- 이상 탐지는 기존 행동 패턴에서 벗어난 이벤트를 감지하는 분석 기법으로, 침입 탐지에 활용된다.
- 1987년 도로시 데닝이 처음 제안한 개념으로, 이후 보안 실무 및 제품에 적용되며 발전해왔다.
- 기존 시그니처 기반 탐지와 이상 탐지를 병행해 보안 탐지 역량을 극대화해야 한다.
- 턴게이트 CEO는 이상 탐지가 제대로 구현되면 기존의 악성 요소 목록 없이도 위협을 감지할 수 있다고 강조했다.
- 기업 내부 위협을 감지하려면 정상적인 시스템 상태를 정의하고 이상 징후를 식별하는 것이 중요하다.
- CISO는 이상 탐지 기술을 적용하면서도 경보 피로(alert fatigue) 문제를 고려해야 한다.
- 트래픽 급증, 특정 서버의 비정상적 활동 등 이상 징후를 신속히 감지하는 것이 핵심이다.

[비바100] 비밀번호 분실·유출 걱정 없는 ‘패스키’, 얼굴·지문으로 ...

비밀번호를 대체하는 패스키 기술이 확산되며 글로벌 기업들이 적극 도입 중이다.
- 패스키(Passkey)는 생체인증 기반의 로그인 방식으로, 비밀번호 입력 없이 인증이 가능하다.
- FIDO 2.0 기반으로 웹 환경에서도 생체인증을 활용할 수 있도록 설계되었다.
- 구글, 애플, 마이크로소프트 등 글로벌 IT 기업들이 패스키 도입을 확대하고 있다.
- 공개키 암호화 방식으로 보안성을 강화하며, 피싱과 같은 공격에 강하다.
- 아마존, 네이버, 카카오 등 주요 기업들이 패스키 도입을 발표하며 적용 범위를 넓히고 있다.
- 사용자 편의성이 높아지면서 비밀번호 관리의 번거로움이 줄어들고 보안 수준이 향상될 것으로 기대된다.

소비자 낚는 온라인 ‘다크패턴’…앞으로 이러면 처벌받는다 [D:로그인...

다크패턴(눈속임 상술) 규제가 본격 시행되며, 전자상거래법 개정으로 소비자 보호가 강화됨.
- 개정 전자상거래법이 시행되어 숨은 갱신, 순차 공개 가격책정, 특정옵션 사전선택 등 6개 다크패턴이 금지됨.
- 법 위반 시 시정조치, 영업정지, 500만원 이하 과태료 등의 제재가 부과됨.
- 숨은 갱신의 경우 무료 체험 후 유료 전환 시 30일 이내 명시적 동의를 다시 받아야 함.
- 순차 공개 가격책정 금지로 인해 초기 화면에서 총금액이 명확히 표시되어야 함.
- 특정옵션 사전선택이 금지되어 소비자가 무심코 유리하지 않은 선택을 하도록 유도하는 행위가 제한됨.
- 가입보다 해지가 어렵게 설계하는 등의 복잡한 절차가 규제 대상이 됨.
- 소비자에게 반복적으로 광고 정보 수신이나 개인정보 제공 동의를 요구하는 반복간섭 행위도 금지됨.

“버퍼 오버플로우는 ‘용서 불가 실수’, 당장 고쳐라”··· FBI·CISA, ...

미국 정부가 버퍼 오버플로우 취약점이 포함된 소프트웨어 출하를 금지하는 지침을 발표함.
- FBI와 CISA는 버퍼 오버플로우 취약점을 ‘용납할 수 없는 실수’로 간주하고 경고문을 발표함.
- MS, VM웨어, 이반티 등의 주요 벤더 소프트웨어에서 해당 취약점이 지속적으로 발견됨.
- 버퍼 오버플로우는 메모리 안전성과 관련된 취약점으로, 공격자가 시스템 권한을 탈취할 수 있음.
- CVE-2025-21333, CVE-2024-49138 등 주요 취약점이 지목되었으며, 일부는 제로데이 공격에 이미 활용됨.
- CISA와 FBI는 보안 강화를 위해 메모리 안전성이 확보된 언어 사용을 권장함.
- 소프트웨어 제조업체는 메모리 안전 취약점을 줄이기 위해 러스트, 고, 스위프트 등의 언어로 전환 중임.
- 보안 지침 준수를 통해 소프트웨어 개발 과정에서 근본적인 취약점을 예방할 필요가 있음.

이준호의 사이버보안 이야기 <29> 사이버보안과 정신 건강: 해커들의 새...

AI와 해킹 기술이 결합해 감정을 조작하는 새로운 보안 위협이 부상하고 있음.
- AI 딥페이크 기술을 활용한 가짜 뉴스가 확산되면서, 사회적 혼란과 경제적 피해가 발생하고 있음.
- 해킹된 AI 음성이 기업 CEO의 위기 발언으로 조작되어 주가가 급락한 사례가 있음.
- 정신 건강 상담 챗봇이 해킹되어 사용자에게 부정적인 메시지를 보내 자살 충동을 유발한 사례가 보고됨.
- SNS 알고리즘이 조작되어 공포, 불안, 분노 등의 감정을 증폭시키는 공격이 발생함.
- 해커들은 특정 정치적·경제적 목적을 달성하기 위해 대중의 감정을 조작하는 전략을 사용함.
- 감정 해킹의 위협이 증가하면서, 정보 검증 능력과 보안 기술의 중요성이 커지고 있음.
- 기업과 정부는 AI 기반 보안 위협을 막기 위해 감정 해킹 대응책을 마련해야 함.

[오늘의 보안 영어] there is no let up (적절한 치료를 받기 전까지 환자의 고통은 경감되지 않을 거라고 의사는 경고했다.)※ 이 코너는 보안뉴스에서 발간하는 프리미엄 리포트의 [데일리 보안뉴스+] 콘텐츠를 통해 2주 빨리...

[월드시큐 황.당.사] 랜섬허브가 새로운 왕 外 러시아 스톰2372, 로그인 정보 훔쳐 계정 장악2024년 8월부터 러시아의 해킹 그룹 스톰2372(Storm-2372)가 다수 지역의 정부 기관과 NGO들을 공격하고 있다. 특히 ‘장비 코드 피싱’(device code phishing)이라는 기술을 사용하고...

임시 저장된 ‘작성 중 메일’도 공격 도구 동남아로 확산되는 조짐.[보안뉴스 문가용 기자] 아웃룩 이메일 애플리케이션의 ‘작성 중 메일’ 혹은... 공격 과정보안 업체 엘라스틱시큐리티(Elastic Security)가 상세히 밝힌 내용에 따르면 공격은 패스로더...

中 해커만 알고 美 재무부는 몰랐던, ‘제로데이’ 연쇄 공격 별개로 보일 수 있었던 두 사건이 하나로 연결됐으며, 중국의 설트타이푼(Salt Typhoon)이라는 해킹 단체가 공격자로 지목됐다. 설트타이푼은 2021년부터 미국 내 서버 6만8500대를 침해한 것으로 알려진...

“잘 키운 ‘보안인재’ 해외 유출 골머리”..기술사회가 꼽은 보안 이... 정보공학기술사회, 결산 좌담회서 지적“세계적 AI 보안 전문가 나와도, 국내 머물 가능성 희박”[보안뉴스 조재호 기자] “지금도 보안은 유망주입니다. 언제까지 ‘유망’만 해야 합니까? 핵심 직종이어야죠.”문광석...

KISA, 10만 사이버보안 인재 양성 위한 '사이버보안 교육' 본격 추진 17일부터 '사이버보안 교육'을 시작한다고 밝혔다. 이번 교육은 2026년까지 10만 명의 사이버보안 인재를 양성해 국내 보안 산업의 경쟁력 강화를 목표로 한다. KISA는 실전형 사이버훈련장(Security-Gym) 최정예...

딥시크 앱, 국내 서비스 잠정 중단…개인정보보호법 위반 개선 나서 딥시크 앱의 국내 서비스가 개인정보보호법(이하 보호법) 위반 문제로 2월 15일 오후 6시부터 잠정 중단됐다. 개인정보보호위원회(이하 개인정보위)는 딥시크 서비스의 개인정보 처리 문제점을 점검하고, 보호법에 따른...

AI, 보안 솔루션 고도화 첨병으로 자리매김 사이버 보안기업도 AI를 적용해 솔루션을 고도화하고 있다. AI를 기반으로 사이버 위협을 사전에 탐지하고 운영과 위험 관리 효율성을 높이는 등 보안 솔루션을 갈고닦는 모습이다. 트렌드마이크로는 사이버 위협...

국가AI위원회, 전체회의 열고 생태계·기업지원·개인정보 논의한다 업계 관계자는 “이번 회의를 계기로 학습용 데이터, 보안, 미국·중국 등 해외 국가와 같은 전폭적인 지원방안이 마련되고 정책 추진 일정이 보다 빨라지길 기대한다”며 “대다수 부처가 연초 업무보고에 AI 관련...

<보안뉴스>

<IT소식>

<행사/교육소식>