'2025/02'에 해당되는 글 6건

2월 6일 뉴스입니다.

[월드시큐 황.당.사] 北 라자루스, 자바스크립트 스틸러 유포 外

CISO의 역할 강화…CEO 보고와 이사회 협업 증가

CISO의 기업 내 위상이 강화되며, 이사회와의 협력이 보안 전략에 중요한 요소로 작용하고 있다.
- CISO의 82%가 CEO에게 직접 보고하며, 83%가 이사회 회의에 자주 참석.
- 이사회 내 보안 전문가 포함 시 보안 의사결정이 효과적이지만, 현재 포함된 비율은 29%에 불과.
- 보안 목표 조율과 예산 확보에서 이사회와 협력하는 CISO의 성과가 더 뛰어남.
- 이사회와 CISO 간 보안에 대한 인식 차이 존재하며, 규정 준수에 대한 시각 차이도 나타남.
- 사이버 보안 예산 부족으로 인해 보안 솔루션 축소, 인력 채용 중단 등의 문제가 발생.
- AI의 보안 활용이 증가하고 있으나, 공격자에게 유리한 환경을 조성할 위험도 존재.
- 기업 보안을 위해 CISO와 이사회 간 지속적인 협력과 이해가 필수적.

네이버, '개인정보보호 리포트' 공개…지난해 활동 담아

네이버가 개인정보 보호 활동을 정리한 '2024 네이버 개인정보보호 리포트'를 발간했다.
- 리포트는 '변화 대응', '투명성 강화', '인식 제고', '보호 활동' 4개 영역으로 구성.
- AI 서비스 출시 시 '프라이버시 바이 디자인' 개념을 적용해 개인정보 보호 강화.
- 통신비밀 보호업무 외부 검증 및 결과 보고서를 공개함.
- 아동·청소년 대상 개인정보 보호 교육 및 파트너사 컨설팅 프로그램 진행.
- 개인정보 보호 리포트는 네이버 프라이버시센터에서 확인 가능.

생성AI, 보안 측면에서는?…'적극 도입 vs 우려 증대' 공존

생성형 AI 도입이 확대되면서 기업 보안 담당자들은 효율성과 보안 우려 사이에서 고민하고 있다.
- 기업의 50%가 생성AI를 데이터 분석, 고객 서비스, 콘텐츠 자동화에 활용.
- 64.5%의 보안 담당자가 생성AI의 민감 데이터 유출을 주요 우려 사항으로 지적.
- 87%가 LLM 보안을 위한 전문 솔루션이 필요하며, 민감 데이터 유출 차단 기능을 가장 중요하게 고려.
- 58%는 AI 도입을 고려 중이나, 24%는 내부 정책상 AI 사용을 제한하고 있음.
- AI 활용이 증가함에 따라 보안 기술의 지속적 개발과 대응이 필요함.

[IT백과] N²SF와 제로트러스트의 만남, '오버레이(Overlay)'

공공기관의 망분리 환경 개선을 위한 국가망보안체계(N²SF) 가이드라인 초안이 공개됐다.
- 정부 전산망을 기밀(C)·민감(S)·공개(O) 등급으로 분류하는 내용을 포함.
- 제로트러스트 보안과 연계 가능성이 논의되며, 인증 강화 및 초세분화 원칙 적용이 핵심.
- N²SF와 제로트러스트의 개념 차이로 인해 적용 방식에 대한 혼란이 발생할 가능성 존재.
- '오버레이(Overlay)' 개념을 활용해 보안통제 항목을 조정하는 방식이 대안으로 제시됨.
- 미국 국립표준기술연구소(NIST) 위험관리프레임워크(RMF)의 오버레이 개념을 적용 가능성이 있음.

EU, AI 법 중 '허용불가능한 위험' 관련 지침 발표…빅테크 기업의 반응...

유럽연합, AI법 시행 앞두고 일부 조항 2025년 2월 2일부터 조기 적용
- AI 기반 조작 및 사기, 취약점 악용, 사회적 점수 평가 등 8가지 관행 금지
- 직장과 교육기관에서 감정 인식 및 생체 인식 분류 금지
- 법 집행 목적의 실시간 원격 생체 인식 식별 제한
- AI 기반 다크 패턴 및 사회경제적 취약층 대상 악용 방지 조치 포함
- AI법 위반 시 최대 3500만 유로 또는 글로벌 매출의 1.5~7% 벌금 부과 가능
- 빅테크 기업, AI 모델 코드 접근 및 투명성 요구 조항에 반대
- 미국 트럼프 대통령, EU AI 규제 조치를 '조세'로 간주하며 반발
- 4월까지 범용 AI 관련 실무 규범 협상 진행 중

민병덕 의원, 개인정보보호법 발의…'AI 시대 맞춤형'

국내 AI 기반 개인정보 처리 절차 정비를 위한 개인정보 보호법 개정안 발의
- AI 기술 발전으로 개인정보 활용 및 보호의 균형 필요성 증대
- AI 개발 및 성능 개선 시 개인정보 활용 가능하도록 법적 근거 마련
- 개인정보보호위원회의 심의·의결을 거쳐 적법한 데이터 활용 허용
- 개인정보 처리 과정의 투명성 강화 및 사전 위험 평가 의무화
- 개인정보보호위원회, 중국 딥시크의 개인정보 수집 방식 검토 중
- 정부, AI를 통한 민감 정보 유출 방지를 위해 딥시크 접속 차단 조치 시행
- 개정안 현재 국회 소관위원회에 접수된 상태

믿을 만한 지인이 보낸 건데…순식간에 해킹 당하는 ‘파일’ 주의

국가 지원 해킹 그룹, 국내 메신저를 통한 악성파일 유포 사례 증가
- APT37 그룹, K메신저를 통해 악성 HWP 파일 배포
- 악성코드 포함된 한글 파일 활용한 사이버 공격 다수 포착
- ‘스피어 피싱’ 방식으로 신뢰할 만한 발신자로 위장해 공격 수행
- 공격자는 단말기에 침투 후 일정 기간 잠복하여 정찰 수행
- 메신저 단체 대화방에 악성 파일을 추가 유포하는 방식 활용
- 특정인의 강의자료나 사적 대화 내용 등을 미끼로 활용
- 신뢰할 수 있는 지인이 보낸 파일이라도 반드시 확인 후 열람 필요

AI 도입 성숙도 1%... 직원들은 준비됐는데 리더가 더디다

밀레니얼 세대 62%가 AI 전문성 보유, 기업 리더십과 AI 활용 인식 차이 커
- C레벨 리더십, 직원들의 AI 활용도를 실제보다 3배 과소평가
- 35~44세 밀레니얼 세대의 62%가 AI 전문성 보유, Z세대(50%) 및 베이비부머(22%)보다 높음
- 직원의 47%는 향후 1년 내 업무의 30% 이상이 AI로 대체될 것으로 예상
- AI 수용 유형: 블루머(낙관론) 39%, 글루머(규제 중시) 37%, 주머(빠른 도입) 20%, 두머(부정적) 4%
- AI 윤리 및 규정 준수 지표 적용 비율은 17%에 불과

“도구에서 동료로” AI 에이전트 도입 전 알아야 할 것

AI 에이전트는 자동화된 의사결정과 협업 기능을 통해 업무 환경을 혁신하고 있으며, 다양한 산업에서 활용 가능성이 높아지고 있다.
- AI 에이전트는 자연어 입력을 기반으로 LLM과 결합하여 비즈니스 프로세스를 자동화하는 역할을 수행한다.
- 기존 API와 달리 AI 에이전트는 자율적 의사결정 및 타 AI 에이전트와 협업이 가능하다.
- 조달, 고객 지원, 의료 분야 등 다양한 산업에서 활용 사례가 증가하고 있다.
- AI 에이전트는 목표 기반, 학습형, 계층적 등 여러 유형으로 분류되며 활용 방식이 다르다.
- 보안과 규정 준수를 위해 AI 에이전트는 인간 사용자와 동일한 접근 통제를 받아야 한다.
- 기업들은 AI 에이전트 개발을 위해 플랫폼 기반, 로우코드/노코드, 코드 기반 개발 등 다양한 옵션을 활용할 수 있다.
- AI 에이전트의 테스트 및 검증을 위해 자동화 도구와 AI 검증자를 활용한 정확성 검토가 필수적이다.
- AI 에이전트 도입을 위해 기업은 데이터 관리, 보안, 컴플라이언스 등 기술적 요건을 충족해야 한다.

[오늘의 보안 영어] leap off the page (풍경에 대한 작가의 묘사가 얼마나 자세한지, 그 장면이 페이지 바깥으로 쏟아지는 듯했다.)※ 이 코너는 보안뉴스에서 발간하는 프리미엄 리포트의 [데일리 보안뉴스+] 콘텐츠를 통해...

[월드시큐 황.당.사] 北 라자루스, 자바스크립트 스틸러 유포 外 공격자들은 개인정보 및 지갑 관련 데이터를 훔쳐간다. 10. 공격자들에게 돈 내는 피해자들, 35% 줄어랜섬웨어 공격자들에게 돈을 내는 피해자들이 2024년 한 해 동안 35% 감소했다. 블록체인 분석 전문 업체...

CISO의 역할 강화…CEO 보고와 이사회 협업 증가 AI를 활용한 보안 업무에서 CISO들은 멀웨어 분석 및 위협 탐지(47%), 위협 탐지 규칙 생성(39%), 데이터 분석(30%), 보안 정책 개발(25%) 등의 영역에서 AI를 적극 도입할 계획을 밝혔다. ■이사회와 CISO 간 협력이 기업...

2024년 랜섬웨어 피해액 약 1조 1,871억 원...전년 대비 35% 감소 [ISDP 2025] 2월 11일, 제13회 전반기 최대 정보보호&데이터 보안 컨퍼런스&전시회 개최(7시간 보안교육 이수 / 구 G-PRIVACY 컨퍼런스) -주최: 데일리시큐 -후원기관: 개인정보보호위원회, 한국인터넷진흥원...

CISA, 치명적 리눅스 커널 취약점 긴급 패치 경고 미국 사이버보안 및 인프라 보안국(CISA)이 최근 발견된 고위험 리눅스 커널 취약점(CVE-2024-53104)에 대해 연방 기관에 3주 이내로 보안 패치를 완료하라는 긴급 지시를 내렸다. 이번 지시는 해당 취약점이 실제...

네이버, '개인정보보호 리포트' 공개…지난해 활동 담아 네이버가 지난해 개인정보 보호 활동을 정리한 '2024 네이버 개인정보보호 리포트(NAVER Privacy Report)'를 6일 발간했다. 이번 리포트에서는 네이버 지난해 개인정보 보호 주요 활동과 이슈를 '변화 대응', '투명성 강화...

<보안뉴스>

<사고소식>

<IT소식>

<행사/교육소식>

2월 5일 뉴스입니다.

단톡방에 뿌려진 악성파일…공격자들의 '메신저 이용법'

국가 배후 해킹 조직이 메신저 단체 대화방을 활용해 맞춤형 피싱 공격을 수행했다.
- 국내 대표 메신저에서 악성 HWP 및 LNK 파일이 유포됨.
- 공격자는 해킹한 단말을 통해 메신저에 원격 접속하여 파일 배포.
- HWP 문서는 OLE 개체를, LNK 파일은 PowerShell 명령을 포함.
- 특정 개인 및 조직을 표적으로 한 스피어피싱 공격 방식.
- APT37 그룹이 주요 배후로, 한국 및 주변국을 대상으로 활동.
- 공격자는 탐지 회피를 위해 안티바이러스 테스트를 사전 수행.
- 사용자는 신뢰할 수 있는 지인의 파일도 주의 깊게 검토해야 함.
- 업무용 단말에서는 로그인 상태 유지 및 장시간 방치 지양 필요.

국내 기업 절반 생성형 AI 사용···64.5% '데이터 유출 우려'

국내 기업 절반이 생성형 AI를 사용 중이며, 민감한 데이터 유출 우려가 크다.
- 응답자의 50%가 업무에서 생성형 AI를 사용 중.
- 주요 활용 분야는 데이터 분석, 고객지원, 콘텐츠 생성.
- 64.5%가 가장 큰 우려로 민감 데이터 유출을 지목.
- 보안 솔루션 도입 계획은 기업마다 온도 차가 있음.
- AI 보안 솔루션 도입 시 데이터 유출 차단이 핵심 고려 요소.
- 기업들은 LLM 보안 전략을 구체화할 필요성이 증가.
- 이스트시큐리티는 LLM 보안 솔루션 '알약xLLM' 출시 예정.
- 생성형 AI 활용이 확대됨에 따라 기업의 보안 전략 강화 필수.

구글·애플 앱 제작 키트서 암호화폐 탈취 악성코드 발견

구글 및 애플 전용 앱 개발 키트에서 암호화폐 탈취 악성코드가 발견됐다.
- 악성코드 스파크캣이 OCR 기술을 이용해 암호화폐 지갑 복구 문구 탈취.
- 감염된 기기에서 갤러리 내 사진 및 메시지 내용까지 유출 가능.
- 악성코드는 24만 회 이상 다운로드되며 유럽 및 아시아에서 주로 감염됨.
- 사용자들은 비밀번호 관리자 사용 및 의심스러운 앱 제거 필요.
- 보안 전문가들은 스크린샷을 통한 민감 정보 저장을 피할 것을 권고.

금융권 AI 리스크 우려…개인정보보호법 발의

금융권 AI 활용 증가에 따라 개인정보 보호를 강화하는 법안이 발의됐다.
- AI 기술 발전과 함께 개인정보 처리 방식 변화 필요성이 증가.
- 개인정보 처리의 투명성 강화와 위험 요인 평가가 법안의 핵심.
- 일정 규모 이상의 민감정보·고유식별정보 포함 시 평가 의무화.
- AI 기술 개발 시 개인정보보호위원회의 심의·의결 거쳐 활용 가능.
- 정보 주체 권리 보호를 위한 개인정보 처리 방침 공개 요구.
- 개인정보 유출 및 오남용을 방지하기 위한 법적 근거 마련 추진.

AI시대 커지는 사이버 리스크 … 막으려면 '다섯 가지' 기억하라 [Issue ...

사이버 보안이 경영진의 주요 관심사로 부상하며, AI 및 디지털 혁신과의 연계가 중요해지고 있다.
- 비즈니스 리더들의 38%가 사이버 보안을 주요 리스크로 인식.
- 경영진의 70% 이상이 사이버 보안을 이사회의 최우선 과제로 평가.
- AI 활용을 통해 보안 성능을 강화하고 위협 예측을 지원해야 함.
- 사이버 리스크 관리를 위해 최소한의 보안 표준 및 복잡한 리스크 해결 전략 필요.
- 위기 커뮤니케이션 교육을 통해 사고 발생 시 신속한 대응이 가능하도록 준비.
- 사이버 보험 전략 최적화를 위해 CISO와 재무팀 간 협력 강화 필요.
- AI 시대의 복잡한 사이버 지형에서 운영 복원력 확보가 중요.

최소 비용으로 최대 보안을!··· 사이버보안 ROI을 높이는 7가지 전략

사이버보안 ROI를 극대화하기 위한 7가지 전략이 제시되었으며, AI 및 협업 활용이 핵심 요소로 강조되었다.
- 사이버 위협의 재무적 영향을 분석하여 리스크를 정량화하는 CRQ 접근법 필요.
- 시나리오 기반 위험 평가를 통해 효과적인 보안 투자 전략 수립.
- 업계 파트너와 보안 자원을 공유하여 위협 대응 능력 강화.
- 반복적인 보안 업무를 AI로 자동화하여 효율성 및 ROI 향상.
- 핀옵스 엔지니어를 활용해 보안 비용 최적화 및 벤더 협상 지원.
- AI옵스를 도입하여 보안 사고 대응 속도를 획기적으로 단축.
- 선제적 위협 관리(CTEM) 접근 방식으로 보안 전략을 지속적으로 개선.

정부도 기업도 'AI 정보유출' 비상...'폐쇄형 AI' 대안도 고비용으로 망...

AI 보안 우려 증가로 폐쇄형 AI 모델 도입 필요성이 대두됨.
- 생성형 AI 사용 증가로 정보 유출 및 보안 문제에 대한 경계 강화.
- 정부는 폐쇄형 AI 모델 개발 계획을 수립했으나, 데이터센터 및 GPU 확보 문제로 어려움 예상.
- 미국은 정부 전용 폐쇄형 AI 모델을 적극 도입 중이며, 다양한 산업에서도 활용 증가.
- 국내 기업 중 삼성전자가 챗GPT 정보 유출 사고 후 대응에 나섰으나, 폐쇄형 AI 도입은 제한적.
- GPT 기반 폐쇄형 AI 구축 비용이 높아 대안으로 딥시크 V3 모델이 거론되나, 최근 보안 사고로 신뢰도 하락.
- 저비용 고성능 AI 솔루션 개발 가능성이 제시되었으며, 보안성과 신뢰성을 갖춘 모델이 등장할 전망.

사용자 입장에서 생각하라…웹사이트 인증 프로세스 구현 원칙

사용자 친화적이면서도 강력한 보안을 제공하는 인증 방식이 강조됨.
- 인증은 보안과 사용자 경험 사이의 균형을 맞추는 것이 중요함.
- 패스키는 공개/개인 키 암호화 및 생체 인식을 활용해 높은 보안성과 편리성을 제공함.
- OAuth를 통해 사용자는 계정을 직접 생성하지 않고도 로그인 가능함.
- 매직 링크를 활용하면 이메일이나 문자 메시지를 통한 간편 로그인 제공 가능.
- 멀티팩터 인증(MFA)은 보안 강화를 위해 필수이며, OTP 방식이 가장 안전함.
- 비밀번호 정책은 최소 12자 이상을 요구하고, 복잡한 조건을 강제하지 않는 것이 바람직함.
- 사용자의 로그인 시도 횟수를 제한하거나 정기적인 비밀번호 변경을 강제하는 것은 효과적이지 않음.
- 최신 인증 기술을 활용하여 보안성을 유지하면서도 사용자의 불편을 최소화해야 함.

[팩트체크] AI가 인간의 모든 일자리를 대체한다?

AI 기술 발전이 산업 효율성을 높이는 동시에 일자리 감소 우려를 초래함.
- AI 도입이 확대되면서 다양한 산업에서 생산성 증가 및 업무 자동화가 가속화됨.
- 반복적인 업무는 AI가 대체할 가능성이 높아, 일부 직업군에서는 일자리 감소 우려가 존재함.
- AI 기술 발전으로 인해 새로운 직업이 창출될 가능성도 있으며, 인력 재교육이 중요해짐.
- 기업들은 AI를 활용하여 비용 절감 및 업무 효율성을 높이고 있음.
- 정부 및 교육기관은 AI 시대에 맞는 직업 교육과 정책 지원을 강화해야 함.
- AI 기술과 인간 노동이 공존하는 방식에 대한 연구와 논의가 지속적으로 필요함.
- 법적·윤리적 문제 해결을 위해 AI 활용 가이드라인 마련이 필수적임.
- 산업 구조 변화에 대비하여 개인과 기업 모두 유연한 적응 전략이 요구됨.

‘IT 리더는 AI 에이전트를 낙관하지만…’ 직원 생각은 다른 이유

AI 에이전트에 대한 IT 업계의 의견이 엇갈리며, 경영진은 낙관적이지만 실무진은 회의적인 태도를 보이고 있다.
- CIO와 CTO의 53%가 AI 에이전트가 향후 2년 내에 핵심 기술이 될 것이라고 전망했으나, IT 실무자는 29%만 동의했다.
- AI 에이전트 기술은 아직 초기 단계이며, 완전한 기능을 갖춘 사례는 거의 없다.
- IT 실무자들은 AI 에이전트 구현에 필요한 복잡성과 유지보수 부담으로 인해 신중한 입장을 취하고 있다.
- AI 에이전트 도입 과정에서 정확성, 보안, 통합 문제 등이 주요 우려사항으로 꼽힌다.
- CIO와 CTO는 AI 도입을 위해 직원들에게 교육과 홍보가 필요하다고 인식하고 있다.
- AI 에이전트 도입이 증가함에 따라 경영진과 실무진 간의 의견 차이가 갈등을 초래할 가능성이 있다.
- IT 리더들은 점진적인 접근 방식과 실질적인 성공 사례를 통해 신뢰를 구축할 것을 권장하고 있다.
- 기술이 성숙해지면서 AI 에이전트의 협업과 성능이 향상될 것으로 전망된다.

[오늘의 보안 영어] leave no stone unturned (결혼식을 준비하기 위해 웨딩 플래너는 자신의 노하우를 총동원했다.)※ 이 코너는 보안뉴스에서 발간하는 프리미엄 리포트의 [데일리 보안뉴스+] 콘텐츠를 통해 2주 빨리 만나실 수...

<보안뉴스>

<IT소식>

<행사/교육소식>

<정보보호 신간/신제품 소개>

2월 4일 뉴스입니다.

시스코, “딥시크 R1, 프롬프트 공격에 매우 취약”

딥시크 R1 모델이 시스코의 보안 테스트에서 100% 탈옥 가능성이 확인되며, 악성 프롬프트 공격에 극도로 취약한 것으로 드러났다.
- 시스코와 펜실베이니아대 연구진이 진행한 테스트에서 딥시크 R1 모델의 탈옥 성공률이 100%를 기록했다.
- 메타의 라마3.1-405B, GPT-4o, 제미나이 1.5도 높은 탈옥 성공률을 보였다.
- 테스트는 이미 알려진 탈옥 프롬프트를 자동 입력하는 방식으로 진행되었다.
- 딥시크는 비용 절감을 위해 사고의 사슬, 강화 학습, 증류 기법을 적용했지만 보안이 취약해진 것으로 분석된다.
- 연구진은 탈옥 공격이 비용과 자원이 거의 들지 않는다는 점을 지적했다.

KISIA, 개인정보보호 재직자 교육 개강

KISIA가 개인정보보호 재직자의 역량 강화를 위해 맞춤형 교육을 개설하고 860명의 교육생을 양성할 계획이다.
- 한국정보보호산업협회(KISIA)는 개인정보보호 재직자 교육을 개강했다.
- 교육은 고용노동부와 산업인력공단이 주관하는 국가인적자원개발컨소시엄 사업의 일환이다.
- 입문 및 심화 과정으로 구성된 14개 교육 과정을 43회 운영할 예정이다.
- AI 등 신기술 관련 개인정보보호 교육도 포함된다.
- 중소기업 재직자는 전액 무료이며, 300인 이상 기업 재직자는 교육비의 20%를 부담해야 한다.
- 교육 신청은 KISIA 홈페이지에서 가능하다.

2024년, 사이버공격 실전에서 악용된 취약점 768개...전년 대비 20% 증가

2024년 사이버 공격자가 악용한 공개 취약점이 768건으로 집계되며, 네트워크 장비가 가장 큰 공격 대상이 되었다.
- 2024년 공개 취약점(CVE) 악용 건수는 768건으로 전년 대비 20% 증가했다.
- 보고된 실전 악용 취약점(KEV) 중 23.6%가 공개 당일 또는 그 이전부터 무기화되었다.
- 4~5월에 사이버 공격이 집중되었으며, 보안 행사 기간 중 새 취약점이 즉시 악용되는 경향을 보였다.
- 네트워크 엣지 장비(라우터, 방화벽 등)가 전체 익스플로잇의 28.2%를 차지하며 주요 공격 타깃이 되었다.
- 취약점 공개 후 한 달 이내 공격이 발생하는 비율이 29.5%에 달해 신속한 패치 적용이 요구된다.
- 2024년 상반기 동안 53건의 제로데이 취약점이 발견되었으며, 상당수가 공개 전부터 악용되었다.
- 기업은 최신 위협 인텔리전스를 활용하고 강력한 패치 관리 체계를 구축해야 한다.

EU, AI법 본격 시행…위반 시 최대 3,500만 유로 벌금

EU AI법이 이달부터 집행되며, 위반 시 기업에 대한 강력한 처벌이 부과된다.
- 지난해 8월 발효된 EU AI법이 본격적으로 집행되기 시작했다.
- 위반 시 최대 3,500만 유로 또는 연간 매출 7% 중 높은 금액의 벌금이 부과된다.
- 특정 AI 기술, 특히 생체 인식 및 기만적 AI 도구는 금지된다.
- AI 챗봇은 제한적 위험군, AI 의료 추천 등은 고위험군으로 분류된다.
- 강력한 규제가 기술 혁신을 저해할 수 있다는 우려도 제기된다.

스마트폰 앱 내 광고, 개인정보 유출로 이어질 위험 有

스마트폰 광고를 통한 데이터 수집으로 위치 정보가 유출될 가능성이 제기됨.
- 초기화한 아이폰11에서 게임 앱 실행 후 대량의 데이터 수집이 확인됨.
- 유니티 광고를 통해 국가 코드, IP 주소, 위도 및 경도 등 200개 이상의 정보가 수집됨.
- 스마트폰 밝기, 저장 용량, 헤드셋 착용 여부 등 다양한 정보도 포함됨.
- 여러 앱에 제공된 데이터가 연결될 경우 개인정보 유출 위험이 커짐.
- 사용자 위치 설정 비활성화 상태에서도 특정 정보가 수집될 가능성이 있음.

[단독] 개인정보보호위, 딥시크에 '최대한 빨리 개인정보에 관한 질의 ...

개인정보보호위원회가 딥시크의 개인정보 처리 문제에 대한 사실 확인을 요청함.
- 개인정보보호위는 딥시크 측에 개인정보 수집 및 처리 방식에 대한 공식 질의 진행.
- 딥시크의 AI 학습 과정에서 개인정보 활용 여부도 조사 대상 포함.
- 일본, 대만, 이탈리아 등 여러 국가에서 딥시크 사용 제한 조치 시행.
- 미국 정부기관 및 일부 주정부에서도 국가 기밀 유출 우려로 딥시크 사용 금지.
- 한국 정부는 공식적인 사용 제한 권고 없이 사실 확인을 우선 진행 중.
- 개인정보보호위는 딥시크의 회신을 바탕으로 후속 조치를 검토할 예정.

“과중 업무량, 중대한 비즈니스 사고로 이어질 수도”··· 보안 리더 ...

보안 인력 부족과 업무 과중이 기업의 보안 위험을 증가시키고 있음.
- IT 리더 39%가 과도한 업무량이 보안 사고를 초래할 가능성이 있다고 응답.
- 보안 전문가들은 팀 내 역할을 재정립하고 업무 분배를 최적화할 것을 조언.
- 데브섹옵스 모델을 도입하여 개발자들의 보안 인식 제고 필요.
- 교차 교육을 통해 핵심 인력이 부재 시에도 업무 연속성을 유지해야 함.
- 보안팀의 과중한 업무는 직원 번아웃과 보안 허무주의를 초래할 가능성 존재.
- 조직 내 명확한 승계 계획과 직원 유지 전략이 필요함.

[오늘의 보안 영어] go dark (회사의 공장 두 곳이 12월 중순까지는 잠시 문을 닫을 예정이다.)※ 이 코너는 보안뉴스에서 발간하는 프리미엄 리포트의 [데일리 보안뉴스+] 콘텐츠를 통해 2주 빨리 만나실 수...

시스코, “딥시크 R1, 프롬프트 공격에 매우 취약” 요약 : 보안 외신 핵리드에 의하면 딥시크(DeepSeek) R1 모델이 시스코의 안전 테스트에서 심각한 문제를 보였다고 한다. 악성 프롬프트 공격에 취약한 것으로, 쉽게 말해 ‘간단히 탈옥시킬 수 있다’는...

KISIA, 개인정보보호 재직자 교육 개강 개인정보보호 국가인적자원개발컨소시엄 교육 개강AI 등 신기술 관련 분야 등 14개 교육 과정 개설[보안뉴스 박은주 기자] KISIA가 개인정보보호 재직자 역량 강화 교육을 시작한다.4일 한국정보보호산업협회(KISIA...

PyPI에 'DeepSeek' 사칭한 악성 인포스틸러 패키지 발견…개발자 222명 피... 공개 저장소 보안 위협 증가… 개발자 주의 필요 이번 사건은 공개 저장소 기반 패키지 관리 시스템을... 또한, 개발 환경에서 보안 솔루션을 적극 활용해 악성 패키지를 사전 탐지하는 것이 중요하다고...

2024년, 사이버공격 실전에서 악용된 취약점 768개...전년 대비 20% 증가 보안 분석업체 벌른체크(VulnCheck)는 올해 보고된 실전 악용 취약점(KEV, Known Exploited Vulnerabilities) 중 23.6... 특히, RSA 콘퍼런스와 같은 대형 보안 행사가 열리는 시기와 맞물려 보안 연구자들이 발표한 새로운...

<보안뉴스>

<IT소식>

2월 3일 뉴스입니다.

생성형 AI 활용 느는데 보안 우려는 '여전'

국내 기업들이 생성형 AI 도입을 가속화하는 가운데, 보안 우려로 LLM 전문 보안 솔루션 필요성이 대두되고 있다.
- 국내 기업 절반이 생성형 AI를 업무에 도입했으며, 데이터 분석 및 고객 서비스 분야에서 가장 많이 활용됨.
- 기업들이 가장 우려하는 보안 문제는 민감한 데이터 유출(64.5%)과 시스템 신뢰성 부족(20.6%)임.
- 정보 유출 및 데이터 손실 우려가 79%로 높게 나타남.
- LLM 보안 솔루션의 필요성에 87%가 공감하며, 민감 데이터 차단 기능이 가장 중요한 고려 사항으로 꼽힘.
- 이스트시큐리티는 민감정보 보호, 실시간 위협 대응 및 업무효율 증대를 위한 LLM 보안 솔루션 도입을 강조함.

“VPN 보안을 완성하는 핵심 기능” 킬 스위치가 꼭 필요한 이유

VPN 보안을 강화하려면 킬 스위치 기능을 포함한 추가 보안 옵션을 고려해야 한다.
- VPN은 데이터 보안과 지역 차단 우회 두 가지 주요 목적으로 사용됨.
- VPN 사용 시에도 해커가 우회 공격을 시도할 수 있으며, iOS VPN의 보안성 문제도 제기됨.
- 터널비전 공격을 통해 VPN 보호를 무력화할 가능성이 있음.
- VPN 연결이 끊어질 경우 데이터를 보호하기 위해 킬 스위치 기능이 중요함.
- 일부 VPN 서비스는 킬 스위치를 지원하지 않거나 운영체제별로 차이가 있음.
- 강력한 VPN 서비스를 선택하고 추가 보안 옵션을 활용하면 더욱 안전한 인터넷 환경을 구축할 수 있음.

‘CISO도 알아야 할’ 수사·첩보 기관들의 기기 암호화 파훼법

사법 당국이 암호화된 기기와 데이터를 해독하는 다양한 기술을 활용하고 있어 보안 담당자의 주의가 필요하다.
- 법 집행 기관은 암호화된 기기에 접근하기 위해 다양한 전통적 및 기술적 방법을 활용함.
- 일부 국가에서는 법적으로 피의자에게 비밀번호 제공을 요구할 수 있음.
- 기기 압수 시 잠금 해제 상태를 이용하거나 감시 기술을 활용해 암호 입력 순간을 포착하기도 함.
- 무차별 대입 공격, 사전 공격 및 사회 공학적 기법을 이용해 암호를 추정하는 방법이 있음.
- 취약점을 악용해 암호화를 우회하는 기법도 사용되며, 제로데이 취약점이 주요 수단으로 활용됨.
- 최신 윈도우 11 시스템에서도 보안 부팅을 우회하는 새로운 공격 기법이 시연된 바 있음.
- 보안 담당자는 기기 및 데이터 보호를 위한 추가적인 보안 조치를 검토해야 함.

이준호의 사이버보안 이야기 <27> 딥시크(Deepseek)의 도전과 생성 AI 시...

AI 스타트업 딥시크의 혁신이 AI 시장을 변화시키지만, 개인정보 보호 논란이 제기되고 있다.
- 딥시크는 'DeepSeek-V3' 모델을 공개하며 AI 시장에서 새로운 경쟁 구도를 형성하고 있다.
- 오픈소스 AI 모델 배포로 AI 기술의 민주화가 촉진되고 있다.
- AI 데이터 수집 방식이 개인정보 보호 문제를 야기할 수 있다.
- 딥시크의 사용자 데이터 수집 및 중국 내 저장 방식에 대한 신뢰 문제가 대두되고 있다.
- 일부 국가 및 기관에서 딥시크의 AI 사용을 제한하거나 조사에 착수했다.
- AI 모델이 무분별하게 개인정보를 학습할 경우 유출 위험이 커질 수 있다.
- AI 기업은 데이터 수집 투명성과 개인정보 보호 조치를 강화해야 한다.
- 사용자, 기업, 정부가 함께 AI 발전과 개인정보 보호의 균형점을 찾아야 한다.

과징금 폭탄에 경영 부담까지...'개인정보 보호 리스크' 핀테크, 노심초...

핀테크 업계에서 개인정보 보호 리스크가 주요 경영 과제로 떠오르며, 개보위의 제재가 강화되고 있다.
- 카카오페이는 고객 동의 없이 개인정보를 국외로 유출해 과징금 처분을 받았다.
- 개인정보위는 출범 이후 금융권의 개인정보보호법 위반 사례를 지속적으로 적발하고 있다.
- 핀테크 업체들은 개인정보 보호 강화를 위해 전담팀 운영 및 보안 시스템을 구축하고 있다.
- 토스는 ISO 27001/27701, PCI-DSS 등 보안 인증을 획득하고 악성 앱 탐지 시스템을 운영 중이다.
- 뱅크샐러드는 개인정보 접근 차단, 별도 인증수단 적용 등 기술적 보호조치를 강화하고 있다.
- NHN페이코와 네이버 파이낸셜은 내부망 분리 및 개인정보 암호화를 법령 이상 수준으로 적용 중이다.
- 개보위는 금융당국과 협력해 개인정보 보호법 적용 범위를 조사하고 처분을 강화할 계획이다.
- AI 시대에 적합한 법체계를 마련해 신산업 혁신과 개인정보 보호의 균형을 유지하려는 움직임이 있다.

[기고] 원본 데이터 AI 활용 특례, 신기술 혁신 속도와 수요 반영해야

자율주행 AI 개발을 위해 원본 영상정보 활용을 허용하는 실증특례 제도가 도입되었으나, 규제 유예 기간 한계로 인해 사업자들의 적극적 활용이 어려운 상황이다.
- 자율주행 AI 학습에는 보행자 얼굴, 차량번호 등 개인정보 포함 영상정보가 필요하다.
- 현행 개인정보 보호법상 AI 학습을 위해서는 정보주체 동의 또는 가명처리가 필요하다.
- 실증특례 제도는 신기술 검증을 위해 일부 규제를 유예해 주는 방식이다.
- 개인정보보호위원회는 AI 개발을 위한 원본 데이터 활용을 허용하는 특례 규정을 추진 중이다.
- 기존 실증특례는 최대 4년까지만 규제 유예가 가능해 사업 지속성이 부족하다.
- AI 개발 사업자의 '정당한 이익'과 '공익'을 고려하도록 해 오히려 활용이 제한될 가능성이 있다.
- 위원회의 심의·의결 및 사후 점검 체계가 특례 활용 여부에 중요한 요소로 작용할 전망이다.
- 패스트트랙을 통해 승인 기간 단축이 가능하나, 사후 관리가 지나치면 사업자의 부담이 커질 우려가 있다.

[비즈&트렌드] '1시간 작업을 1분 만에'‥생성형AI 도입

국내 대기업들이 생성형 AI를 도입해 업무 효율성을 높이고, 내부망 활용을 통해 보안성을 강화하고 있다.
- SK텔레콤의 '에이 닷' AI가 디자인 및 콘텐츠 제작 업무에 활용되고 있다.
- LG의 '챗엑사원' AI는 14개 직무의 맞춤형 업무 지원 기능을 제공한다.
- 생성형 AI를 활용하면 조사 및 서류 작업 시간이 획기적으로 단축된다.
- 재무 분야에서도 AI를 통해 실시간 분석 및 예측이 가능해지고 있다.
- 삼성은 자체 AI '가우스'를 고객상담 업무에 도입해 활용 중이다.
- 기업들은 보안 문제를 해결하기 위해 자체 생성형 AI를 개발해 내부망에서 운영한다.
- LG와 SK는 자사 AI 기술을 외부 시장에도 판매할 계획이다.
- 생성형 AI 도입이 확대되면서 업무 효율성과 보안성이 동시에 강화되는 추세다.

[칼럼] 데이터가 새로운 시대의 원유다

데이터는 21세기의 원유로 불리며, 현대 산업과 경제의 핵심 자원으로 자리 잡고 있다.
- 데이터는 현대 사회를 움직이는 필수 자원으로 경제적 중요성이 크다.
- 원유와 데이터는 가공을 통해 가치가 창출된다는 점에서 유사하다.
- AI, IoT, 스마트폰 등에서 생성되는 데이터량이 급증하고 있다.
- 자율주행, 스마트 농업, 건축 등 다양한 산업에서 데이터가 핵심 역할을 한다.
- 정부는 데이터를 활용한 정책 설계 및 행정 효율화를 추진하고 있다.
- 싱가포르는 '스마트네이션' 전략으로 데이터 기반 도시 관리를 시행 중이다.
- 기업들은 데이터 분석을 통해 생산성을 향상하고 비용을 절감하고 있다.
- 데이터 보호 및 독점 이슈 해결이 디지털 경제의 중요한 과제가 되고 있다.

‘AI 법’ 본격 시행하는 EU… 韓은 반쪽짜리 법안 ‘우려’

EU가 AI 기본법에서 규정한 '위험성 높은 AI 시스템' 전면 금지 조치를 본격 적용하며, 한국도 AI 기본법을 통과시켰으나 후속 조치가 필요하다.
- EU는 '용납할 수 없는 AI'를 전면 금지하며, AI의 위험도를 4단계로 구분하여 규제 적용.
- 사회적 점수 평가, 기만적 조작, 취약 계층 악용, 외모 기반 범죄 예측 등 AI 기술 사용 금지.
- 생체 데이터 기반 개인 특성 추론, 공공장소 실시간 생체 인식, 직장 및 학교 내 감정 분석 AI 금지.
- 규제 위반 시 최대 3500만 유로 또는 연 매출 7%의 벌금 부과, 본격 시행은 8월부터.
- 생성형 AI 포함 범용 AI(GPAI)에 대한 규제도 오는 8월부터 적용 예정.
- 한국은 지난해 12월 AI 기본법을 통과시켰으나, 시행령 마련 등 후속 조치가 필요.
- AI 기본법은 고영향 AI를 규정하고 개발사의 신뢰성 확보 의무를 부과하나, 구체적 기준 부족.
- 생성형 AI에 대한 규제가 미흡하여, EU의 AI액트와 차이가 존재함.

생성형 AI 활용 느는데 보안 우려는 '여전' 국내 기업이 생성형 인공지능(AI) 도입에 속도를 내고 있지만, 내부정보 유출 등 보안 우려가 여전히 큰 것으로 나타났다. 거대언어모델(LLM) 활용이 업무 효율 제고를 위해 거스를 수 없는 흐름인 만큼 LLM 전문 보안...

<보안뉴스>

<IT소식>

2월 1일 ~ 2월 2일 뉴스입니다.

누가누가 더 잘 숨나…기업 네트워크에 최장 44일 머문 해커들

사이버 공격자들이 기업 네트워크에 장기간 잠복하며 랜섬웨어 실행 전 사전 작업을 수행한 사례가 증가하고 있다.
- 랜섬웨어 및 데이터 탈취 위협이 전체 공격의 30%를 차지했다.
- 공격자는 최소 17일에서 최장 44일까지 네트워크에 잠복했다.
- 랜섬웨어 실행 전 내부 네트워크 스캐닝 및 자격증명 수집이 이루어졌다.
- 일부 공격자는 IT 부서로 위장하여 직원 계정에 접근하기도 했다.
- 랜섬웨어 피해 기업 대부분이 다중요소인증(MFA) 미적용 상태였다.
- 원격 액세스 도구 활용이 급증하여 100% 수준을 기록했다.
- Splashtop, Atera, Netop, AnyDesk 등의 원격 데스크톱 소프트웨어가 악용되었다.
- 보안 체계 강화를 위해 정기적인 보안 업데이트와 교육이 필요하다.

정부, ‘딥시크’ 개인정보 수집-처리 방식 실태파악 나서

정부가 중국발 생성형 AI 서비스 ‘딥시크’의 개인정보 수집 실태를 파악하기 위해 공식 질의서를 발송했다.
- 개인정보위는 딥시크 본사에 개인정보 수집 및 처리 방식에 대한 정보를 요청했다.
- 딥시크가 개인정보를 무분별하게 수집한다는 우려가 제기되었다.
- 개인정보 수집 목적과 처리 방식에 대한 확인이 필요하다고 판단했다.
- 개인정보 보호 정책과 기술적 처리 방식을 점검할 예정이다.
- 실제 개인정보 유출 여부는 아직 확인되지 않았다.
- 위반 사항이 발견되면 조사에 착수할 계획이다.
- 위반 사항이 없더라도 실태 점검을 우선 진행할 방침이다.

금전적 인센티브, 개인 데이터 동의 위반

생체 데이터 제공 대가로 금전적 보상을 지급하는 방식이 동의 원칙을 훼손한다는 지적이 제기됐다.
- Privado ID 공동 창립자는 경제적 보상이 정보에 기반한 동의를 왜곡할 수 있다고 경고했다.
- 일부 국가에서는 생체 데이터 수집 관련 윤리적 문제로 디지털 ID 시스템을 금지하거나 제한했다.
- 월드코인의 홍채 스캔 기반 신원 인증 프로젝트는 여러 국가에서 규제 조치를 받았다.
- 케냐, 스페인, 포르투갈, 홍콩, 브라질 등에서 월드코인 프로젝트를 제한하거나 금지했다.
- 브라질은 생체 데이터 제공 대가로 암호화폐를 지급하는 행위를 금지했다.
- 데이터 보호 강화 움직임 속에서 생체 인증 프로젝트들은 강한 규제와 윤리적 논란에 직면할 전망이다.

<보안뉴스>

<사고소식>

<IT소식>

1월 31일 뉴스입니다.

[배종찬의 보안 빅데이터] 中 AI ‘딥시크’, 개인정보 먹는 하마

중국 AI 모델 ‘딥시크’가 미국 빅테크 기업을 위협하는 동시에 개인정보 과다 수집 논란에 휩싸였다.
- 딥시크는 저비용 고성능 AI 모델로 미국 AI 업계를 긴장시키고 있음.
- 국내외 앱스토어에서 딥시크 앱이 인기 차트 1위를 기록함.
- 빅데이터 분석 결과, 딥시크에 대한 반응은 긍정적이면서도 우려가 공존함.
- 개인정보 과다 수집 문제로 여러 국가에서 규제 논의가 시작됨.
- 이탈리아와 아일랜드는 개인정보 보호 문제로 딥시크에 대한 조치를 취함.
- 미국 해군은 보안 및 윤리적 우려로 딥시크 사용을 전면 금지함.
- 딥시크가 중국 정보기관에 데이터를 제공할 가능성이 있어 우려가 증대됨.

챗GPT 심각한 보안취약점 발견…무기 제작, 악성코드 개발 등 민감 정보...

오픈AI 챗GPT의 ‘타임 밴딧’ 취약점이 보안 장치를 우회해 민감한 정보를 제공할 수 있음.
- 연구원이 챗GPT의 시간 개념을 혼란스럽게 하는 ‘타임 밴딧’ 기법을 발견함.
- 이 기법을 이용하면 무기 제작, 악성코드 개발 등의 차단된 정보 접근이 가능함.
- 챗GPT는 특정 시점에 존재한다고 착각하며 보안 정책을 우회할 수 있음.
- 오픈AI는 해당 취약점을 인지하고 보완 조치를 진행 중임.
- 그러나 추가 테스트 결과, 취약점은 여전히 일부 작동하는 것으로 나타남.
- AI 모델의 보안성을 유지하는 것이 예상보다 어려운 문제로 드러남.
- 전문가들은 지속적인 모니터링과 연구가 필요하다고 경고함.

SK C&C·골프존 등 주요기업, 숨은 보안 인재 찾기 경력자 선호, 보안·정보보호 자격증 소지자 우대 [보안뉴스 박은주 기자] SK C&C와 하이브, 안진회계법인, 골프존, 무신사, 풀리오 등이 ‘보안 전문가’를 찾는다. 비즈니스 연속성을 유지하고 자산, 데이터, 고객정보를...

‘보안 쓰리아웃’ 딥시크, 대용량 DB를 무제한 공개 딥시크에서 3연타 보안 사고가 터지고 있다. 디도스로 추정되는 공격 때문에 신규 가입이 안 되더니... 다행히 제보 즉시 DB 닫았지만, 인공지능 위험 다시 상기됨.[보안뉴스 문가용 기자] 최근 가장 열띤 환호를...

[배종찬의 보안 빅데이터] 中 AI ‘딥시크’, 개인정보 먹는 하마 급부상한 딥시크, 개인정보 과다수집 문제 불거져미국, 유럽 등 경계심 드러내[보안뉴스=배종찬... 빅데이터 감성 연관어만 놓고 보면 딥시크에 대한 ‘놀라운 반응’으로 연결된다.하지만 보안 이슈 전문 언론 매체인...

챗GPT 심각한 보안취약점 발견…무기 제작, 악성코드 개발 등 민감 정보... 오픈AI(OpenAI) 챗GPT(ChatGPT)에서 보안 취약점이 발견됐다. '타임 밴딧(Time Bandit)'으로 알려진 이 취약점은... ◆챗GPT의 시간 혼란을 악용한 취약점 사이버보안 및 인공지능 연구원 데이비드 쿠즈마르는 2024년 11월 챗GPT...

北 해커부대 라자루스, 오픈소스 프로젝트 복제해 백도어 유포…대규모... 보안업체 시큐리티스코어카드(SecurityScorecard)의 보고서에 따르면, 이번 공격은 2024년 9월부터 시작해... 공격자는 또 보안 탐지를 회피하기 위해 아스트릴 VPN(Astrill VPN)과 스카이 프레이트 리미티드(Sky Freight Limited)...

VMware 클라우드 취약점 패치, 계정탈취 및 해킹 가능성 주의…즉시 업... 심각한 보안취약점을 수정했다. 이들 취약점 중 일부는 특정 조건에서 자격 증명 유출을 초래할... 보안 연구원들은 이번 취약점이 국가 지원 해커 및 금전적 동기를 가진 사이버 범죄자들의 표적이 될...

구글 'AI 활용 사이버 공격 확산…북한, 중국, 이란 등 57개국 APT 그룹이... 하지만 AI 기술이 공격의 여러 단계에서 활용되면서 사이버 위협이 점점 더 정교해지고 있어 보안... 사이버 보안 관련 콘텐츠를 생산하고 있다. APT42는 오랫동안 정교한 사회공학적 공격을 수행해온 것으로...

미라이 변종 아쿠아봇 봇넷, 미텔 전화기 취약점 악용해 대규모 DDoS 공격... 공격 방식은 쉘 스크립트를 실행하여 'wget' 명령어를 사용해 다양한 CPU 아키텍처용 아쿠아봇 멀웨어를 다운로드하는 방식이다. 이는 PoC 코드에서 확인된 공격 기법과 매우 유사한 것으로 분석됐다....

<보안뉴스>

<IT소식>

<행사/교육소식>

<정보보호 신간/신제품 소개>