'보안 이야기'에 해당되는 글 1483건

2월 21일 뉴스입니다.

[월드시큐 황.당.사] 토렌트 크랙 게임 주의보 外

최은선 정보보호산업 과장 '제로트러스트 민간에 확산'

제로트러스트 보안 모델 확산을 위해 정부가 시범사업 6개 과제를 추진하고 8개 기업의 컨설팅을 지원한다.
- 제로트러스트는 내부망 접근도 엄격히 제한하는 보안 모델로 미국이 2020년부터 추진해왔다.
- 한국 정부는 제로트러스트 확산을 위해 시범사업 및 컨설팅 지원을 진행 중이다.
- 2023년 제로트러스트 가이드라인 1.0 발표 후 2024년 12월 2.0이 발표되었다.
- 시범사업은 공공기관과 금융사를 대상으로 진행되었으며, 일부 기업은 해외 시장 진출 성과를 거두었다.
- 제로트러스트는 특정 기술이 아니라 보안 개념과 철학을 의미하며, 자원 분리 및 보호 원칙을 따른다.
- 2022년 랩서스 해킹, 2023년 APT 공격 등 공급망 취약점 사례가 제로트러스트 필요성을 강조한다.
- 미국 CISA 성숙도 모델을 참고하여 국내 환경에 맞는 성숙도 3단계 모델이 도입되었다.
- 2.0에서는 4단계 성숙도 모델, 보안 기능 확대, 구현 방안 구체화 등의 변화가 포함되었다.

“신기술이 개인정보·데이터 보호 공백 만든다” 영국 ICO 경고

ICO는 신기술로 인해 대규모 개인정보 수집 가능성이 증가하면서 기업들이 데이터 보호 문제에 직면하고 있다고 경고했다.
- 커넥티드 교통 시스템, 양자 감지, 합성 AI 등이 개인정보 보호 문제를 초래할 수 있다.
- 차량 내 디지털 시스템 발전으로 운전자 데이터를 실시간으로 수집 및 공유할 가능성이 높아졌다.
- 센서 기술 발전으로 사용자의 동의 없이도 방대한 개인정보가 수집될 위험이 있다.
- 양자 센서는 의료 데이터를 실시간으로 수집하며, 보호 조치 미비 시 신경 차별 등의 문제가 발생할 수 있다.
- AI 생성 콘텐츠(딥페이크 등)는 개인 식별 정보 오용 문제를 발생시킬 가능성이 크다.
- 신기술로 인해 기업의 데이터 보호 부담이 증가하고 있으며, 설계 단계에서부터 보호 기능을 내재화할 필요가 있다.
- 데이터가 여러 기관과 기업 간에 공유될 때 책임 소재가 불분명해질 위험이 있다.
- 기업은 단순한 규정 준수를 넘어 새로운 데이터 보호 전략을 수립해야 한다.

이셋, 글로벌 프리랜서 개발자 대상 악성코드 유포 포착

프리랜서 개발자를 노린 악성코드 유포 캠페인이 발견되어 주의가 요구된다.
- 글로벌 보안기업 이셋(ESET)은 '디셉티브디벨롭먼트' 사이버 공격 캠페인을 발견하고 보고서를 발표했다.
- 공격자는 가짜 채용 제안을 통해 프리랜서 개발자들에게 접근해 악성코드를 유포했다.
- 트로이목마 '비버테일'과 원격제어 악성코드 '인비저블페럿'을 이용해 피해자의 암호화폐와 정보를 탈취했다.
- 공격자는 깃허브 계정을 탈취하거나 거짓 프로필을 이용해 신뢰도를 높였다.
- 이 공격은 북한과 연계된 것으로 추정되며, 라자루스 그룹의 이전 활동과 유사한 점이 많다.
- 이셋 연구원은 온라인 구직 플랫폼의 악용 가능성을 경고하며 주의를 당부했다.

[인터뷰] '2025년은 AI 에이전트의 해…알아서 일하고 고치는 동료 만날...

AI 에이전트의 발전으로 기업 업무와 보안 환경이 변화하고 있다.
- 체크포인트 AI부문 부사장은 AI 에이전트가 단순 도구가 아닌 독립적인 업무 수행체로 진화하고 있다고 밝혔다.
- AI 에이전트는 단순 번역을 넘어 정보 검색, 업무 수행 및 수정까지 가능하도록 발전하고 있다.
- 보안 분야에서도 AI 에이전트 활용이 증가하고 있으며, 이상 징후 감지 및 대응 역할을 수행할 수 있다.
- AI 에이전트의 활용이 증가하면서 보안 정책과 가드레일 설정의 중요성이 강조되고 있다.
- AI 사용이 확대됨에 따라 일자리 감소 우려가 있지만, 인간의 창의적인 업무에 집중할 기회를 제공할 것으로 전망된다.
- 체크포인트는 엔비디아 등과 협력해 AI 보안을 강화하고 있으며, AI 시대의 보안 위협에 적극 대응할 계획이다.

내 디자인이 다크패턴? 개정된 전자상거래법, 쉽게 정리했습니다

정부가 기만적 UI/UX 디자인인 '다크패턴'을 규제하는 전자상거래법 개정을 시행했다.
- 다크패턴은 소비자의 착각과 부주의를 유발해 불필요한 지출을 유도하는 기만적 UI/UX 디자인이다.
- 개정된 전자상거래법은 다크패턴을 금지하며, 위반 시 시정조치 및 최대 500만 원의 과태료를 부과한다.
- 특정 조건을 충족하면 최대 1년간 영업 정지 처분도 가능하다.
- 다크패턴의 주요 유형에는 원치 않는 구독 유지, 해지 과정 복잡화, 가격 정보 왜곡 등이 포함된다.
- 방통위 조사 결과, 61.9%의 응답자가 구독 취소 과정에서 다크패턴을 경험했다고 답했다.
- 개정법 시행으로 온라인 환경의 투명성과 소비자 보호가 강화될 것으로 기대된다.

오픈소스 vs 폐쇄형

오픈 소스와 폐쇄형 진영의 경쟁이 OS에서 모바일, AI까지 확장되고 있음.
- 1990년대 유닉스(폐쇄형)와 리눅스(오픈 소스) 간 경쟁에서 리눅스가 기업 서버 시장을 주도하게 됨.
- 모바일 시장에서는 안드로이드(오픈 소스)와 iOS(폐쇄형)의 경쟁이 지속되며 안드로이드가 시장 점유율 80%를 차지.
- AI 시장에서도 GPT(오픈AI), 제미나이(구글) 등 폐쇄형 모델과 메타·딥시크 등의 오픈 소스 진영이 경쟁 중.
- 메타 CEO는 AI도 오픈 소스가 주도할 것으로 예상하며 리눅스의 사례를 언급.
- 오픈 소스가 반드시 무료는 아니며, 유지 보수 및 응용 프로그램 이용에 비용이 부과될 수 있음.

[월드시큐 황.당.사] 토렌트 크랙 게임 주의보 外 새로 발견된 설트타이푼 공격 도구, 점블드패스중국 해킹 그룹 설트타이푼(Salt Typhoon)이 직접 제작하거나 커스타마이징 한 것으로 추정되는 해킹 도구가 발견됐다. 이름은 점블드패스(JumbledPath)로, 피해자...

구글 교회 검색시, 개인정보 노출 문제! [IMAGE2][IMAGE3][지진솔 기자(digital@boannews.com)]www.boannews.com) 무단전재-재배포금지>

<보안뉴스>

<사고소식>

<IT소식>

<행사/교육소식>

2월 20일 뉴스입니다.

개인정보 전문가 2명 중 1명, “AI 활성화는 현행법 완화에 달려”

개인정보 전문가들은 AI 산업 활성화를 위해 개인정보보호법 규제 완화를 요구하고 있으며, 현행법이 보호 중심이라는 인식이 증가하고 있다.
- 개인정보전문가협회 조사 결과, 47.3%가 개인정보보호법 규제 완화를 희망.
- AI기본법 시행을 앞두고 중복 규제 우려가 제기됨.
- 응답자의 66%가 개인정보보호법이 보호 중심이라고 평가.
- 개인정보 활용 확대를 위해 법적 개념 조정 및 동의 중심 법제 유연화 필요.
- 개인정보·위치정보·신용정보 등 중복 규제 문제 해결이 필요.
- AI 시대에 맞는 개인정보 규율 체계 전환 필요.
- 조사 응답자의 63.4%가 산업계 전문가로 구성됨.

[사설]코드서명 해킹 탈취, 작게 볼 일 아니다

국내 보안기업 소만사의 코드서명 인증서 유출 사건이 발생했으며, 국가 단위 해킹그룹의 SW 공급망 공격이 의심된다.
- 보안기업 소만사의 코드서명 인증서가 유출됨.
- KISA와 기업이 신속히 대응하여 2차 피해 방지를 진행.
- 국가 단위 해킹그룹이 SW 공급망 공격을 위해 인증서를 탈취한 것으로 추정됨.
- 미국 크라우드스트라이크의 사례처럼 SW 공급망 공격이 심각한 피해를 초래할 수 있음.
- 해킹 목적은 악성코드를 공급망 내에 퍼뜨려 신뢰성을 위협하는 것.
- 정부 기관이 SW 공급망 보안을 주요 보안 이슈로 지정하고 대응 강화 중.
- 2027년까지 SW 공급망 보안 국가 로드맵 수립 예정.
- 보안 위협을 사전에 탐지하고 차단하는 것이 중요함.

체크포인트, 해커들의 'AI 무기화' 경고…보안 위기 '고조'

AI가 해킹을 자동화하며 공격 전략을 실시간으로 최적화하는 시대가 도래하여 기존 보안 체계로는 대응이 어려워지고 있다.
- AI 기반 해킹이 자동화되면서 보안 솔루션 탐지를 회피하는 능력이 강화됨.
- 해킹 도구로 활용되는 AI가 공격 환경을 분석하고 최적화된 전략을 자동 생성함.
- '페이로드 LLM'을 이용한 변형 가능한 악성코드가 탐지를 회피하며 지속적인 공격을 수행.
- AI 기반 해킹은 보안 시스템의 방어 장벽을 실시간으로 우회하는 능력을 갖춤.
- '비정형 페이로드' 개념이 등장하여 공격 대상 환경에 맞춰 코드가 자동 변형됨.
- '제로데이 LLM'이 기존에 알려지지 않은 취약점을 자동으로 탐색하여 보안 패치 이전에 공격 가능.
- 다크웹에서 AI 기반 해킹 도구가 거래되며, 초보 해커도 강력한 공격을 실행 가능.
- AI 모델 자체가 해킹의 대상이 될 위험도 존재함.

사이버 범죄자들의 새 표적, 비밀번호 관리자와 브라우저 저장소

비밀번호 저장소를 노리는 멀웨어가 급증하며, 자격 증명 탈취가 사이버 범죄의 주요 표적이 되고 있다.
- 보안 전문가들은 비밀번호 관리자 및 브라우저에 저장된 자격 증명을 노리는 멀웨어가 3배 증가할 것으로 예상.
- 피커스 시큐리티 연구에 따르면, 전체 악성 행동의 93%가 10개의 MITRE ATT&CK 기법에 해당.
- RedLine Stealer, Lumma Stealer 등 정보 탈취 멀웨어가 비밀번호 저장소를 주요 공격 대상으로 삼음.
- 다크 웹에서 판매되는 도난 자격 증명이 증가하며, 랜섬웨어 공격의 주요 경로로 활용됨.
- 기업 보안 관리자는 제로 지식 암호화, 최소 권한 액세스, 멀티팩터 인증(MFA) 적용이 필수적.
- 많은 기업이 MFA를 도입하지 않아 여전히 비밀번호 중심의 보안 체계를 유지.
- 자동화된 공격 도구 확산으로 대규모 인증 정보 탈취 및 악용 가능성이 증가.
- 보안 취약성이 만연한 환경에서 자격 증명 도난이 사이버 범죄의 핵심 전략으로 자리 잡음.

보안 침해까지 쉽게 바꿔버리는 AI, 어떻게 대응할까

생성형 AI가 내부 데이터 유출 및 보안 위협을 증대시키며, CISO의 대비가 필수적이다.
- 생성형 AI 사용 증가로 기업의 민감한 데이터가 무분별하게 노출될 가능성이 커짐.
- Microsoft 365 Copilot, Salesforce AI 등 AI 도구가 기업 생산성을 높이는 동시에 보안 리스크를 증가시킴.
- 직원이 인지하지 못한 채 과도한 데이터 접근 권한을 가지며, AI가 이를 활용해 민감한 정보를 제공할 수 있음.
- 내부자는 자연어 질의를 통해 쉽게 데이터에 접근하고 외부로 유출 가능.
- AI가 권한 상승과 측면 이동을 돕는 도구로 활용될 가능성이 있음.
- 보안 장벽이 낮아지면서 공격자는 더 쉽게 기업 데이터를 탐색하고 탈취할 수 있음.
- AI 도구 도입 시 최소 권한 원칙과 강력한 접근 통제 정책이 필요함.
- 기업은 AI 기반 보안 위협을 분석하고, 보안 정책을 AI 환경에 맞게 지속적으로 개선해야 함.

레노버, CIO 플레이북 2025 발표…'AI 규제 준수' 최우선 과제 급부상

AI 도입 시 컴플라이언스 이슈가 중요해지며, 한국의 AI 투자가 급격히 증가하고 있다.
- AI 거버넌스 및 규제 준수가 비즈니스 최우선 과제로 부상.
- 한국의 AI 투자 증가율이 아태지역에서 가장 높음(6.2배).
- 국내 기업 76%가 AI 도입을 고려하거나 12개월 내 도입 계획 중.
- AI 확장의 주요 장애 요소는 IT 인프라 비용, 데이터 품질, GRC 요건 등.
- 레노버는 AI 도입을 위한 데이터 전략 강화 및 단계적 실행을 제안.

구독 해지·탈퇴·취소? 이제 어렵지 않아요!

전자상거래에서 다크패턴 방지를 위한 법 개정으로 소비자 보호가 강화되었다.
- 다크패턴은 소비자의 착각을 유도해 불필요한 결제를 유발하는 방식.
- 공정위는 6개 유형의 다크패턴을 규율하는 전자상거래법 개정 시행.
- 숨은 갱신, 순차공개 가격책정, 특정옵션 사전선택 등의 방식이 규제 대상.
- 가입은 쉽게, 해지는 어렵게 만드는 취소·탈퇴 방해도 포함됨.
- 반복적인 광고·결제 요청(반복간섭)도 규제하여 소비자 불편 해소.
- 위반 시 사업자는 영업정지 및 최대 500만 원의 과태료 처분 가능.
- 소비자 피해를 줄이기 위해 정부가 다크패턴 사례집을 발간.

개인정보 전문가 2명 중 1명, “AI 활성화는 현행법 완화에 달려” (CISO) 등 개인정보 전문가와 학계·공공기관·시민단체 전문가 112명을 대상으로 실시했다. 전체의 63.4%가 산업계 인사이며 설문 참여자 10명 중 4명 이상이 10년 이상 개인정보보호·정보보안 경력이 있는 것으로 확인됐다.

금융보안원, 금융권 AI 활용 조성 지원 “보안성 평가 실시” 금융보안원(원장 박상원)이 금융권에 AI 기술이 활용될 수 있게 적극 지원한다. 금융보안원은 혁신금융서비스 지정을 받은 금융회사의 보안대책을 신속하게 평가하고, 모의 공격 기반으로 AI 모델 보안성 검증을 돕는다....

[사설]코드서명 해킹 탈취, 작게 볼 일 아니다 최근 국내 보안기업 소만사는 자사 보안솔루션을 도입해 쓰고 있는 고객들에 외부 해킹공격을 받아 자사... 보안업계와 전문가들은 이번 해킹이 우선 국가단위 해킹그룹에 의해 저질러졌다고 진단한다. 더욱이 코드서명...

<보안뉴스>

<사고소식>

<IT소식>

<행사/교육소식>

2월 19일 뉴스입니다.

아카마이, '2025 보안 전략 가이드' 발표…진화하는 사이버 위협 대응 전...

아카마이, APJ 지역 사이버 보안 강화를 위한 '2025 보안 전략 가이드' 발표
- APJ 지역, 전 세계에서 가장 많은 웹 애플리케이션 DDoS 공격 발생
- 중앙집중식 보안 체계 부재로 기업들이 개별적으로 보안 전략 수립 필요
- AI 기반 해킹 도구 확산으로 리스크 점수 평가 중요성 증가
- 새로운 리스크 점수 모델 제시 및 엔드포인트 보호 전략 포함
- VPN 취약점 및 XSS 공격 방어 대책 제공
- 쿠버네티스 보안 위협 분석 및 보호 전략 제시
- 다층 방어 전략을 통한 실질적인 보안 인사이트 제공

김경환 민후 대표 변호사 “메타 상대로 우리 국민의 자기결정권 지켜내...

법원, 메타의 타사 행태정보 수집 관련 과징금 처분 정당 판결
- 메타, 이용자 동의 없이 맞춤형 광고를 위한 행태정보 수집
- 개인정보위, 구글 및 메타에 총 1000억 원 과징금 부과
- 메타, 동의 의무 위반이 아니라며 행정소송 제기
- 법원, 개인정보위 손 들어주며 메타의 주장 반박
- 판결로 대규모 플랫폼 사업자의 개인정보 보호 책임 강화
- 민후, 국제 판례 및 증거 분석 통해 승소에 기여
- 정부, 2심 및 이후 재판에서도 적극 대응 계획

[배종찬의 보안 빅데이터] 성심당 빵마저 피하지 못하는 ‘해킹’ 명심해야 [보안뉴스= 배종찬 인사이트케이 연구소장] 밥보다 빵을 좋아하는 사람들이 점점 더 많아지고... 보안 전문 언론 매체인 에 따르면 성심당 공식 인스타그램 계정이 해킹된 것으로 알려지고 있다. 성심당은 지난...

[오늘의 보안 영어] ramp up (시작에서 조금 느렸던 마케팅 팀은 현재 소셜 미디어 캠페인을 확대하는 중이다.)※ 이 코너는 보안뉴스에서 발간하는 프리미엄 리포트의 [데일리 보안뉴스+] 콘텐츠를 통해 2주 빨리...

KISIA, 융합보안 인력양성 교육생 모집 AI보안 신규 개설...총 8개분야 20회 교육 실무중심 인재 500명 양성[보안뉴스 김경애 기자] 오는 4월부터 ‘융합보안 전문인력 교육과정’이 개설된다. 한국정보보호산업협회(KISIA·회장 조영철)는...

아카마이, '2025 보안 전략 가이드' 발표…진화하는 사이버 위협 대응 전... 그러나 AI 기반 해킹 도구의 확산으로 인해 초보 해커부터 고급 해커까지 누구나 사이버 공격을 시도할 수 있는 상황이 되어 기업들의 리스크 평가가 더욱 중요해지고 있다. 이에 아카마이는 '2025 보안 전략 가이드...

김경환 민후 대표 변호사 “메타 상대로 우리 국민의 자기결정권 지켜내... 결국 법원은 최근 판결에서 페이스북의 이런 행위에 대한 시정명령과 과징금 판결이 옳다고 개인정보보호위원회의 손을 들어줬습니다.” 김경환 민후 대표변호사는 최근 판결난 구글과 메타의 맞춤형 광고를 위한 타사...

<보안뉴스>

<사고소식>

<IT소식>

2월 18일 뉴스입니다.

삼성SDS, ‘2025년 5대 사이버 보안 위협’ 발표

삼성SDS는 AI 보안 위협, 클라우드 보안 위협, 랜섬웨어, SW 공급망 보안 위협, OT/IoT 보안 위협을 2025년 5대 보안 위협으로 발표했다.
- AI 악용 피싱 공격 증가로 AI 기반 보안 시스템 필요
- 클라우드 환경에서 장기 방치된 자격 증명 등이 보안 취약점으로 작용
- 랜섬웨어 공격이 이중 갈취 전략으로 진화하여 피해 규모 확대
- 오픈소스 활용 증가로 SW 공급망 보안 위협 확대
- 초연결사회에서 OT/IoT 보안 위협이 커지며 정기적 업데이트 필요

생성형 AI 오용, 2027년까지 AI 데이터 침해의 40% 차지할 것

가트너는 2027년까지 AI 관련 데이터 유출 사고의 40% 이상이 생성형 AI의 국경 간 데이터 전송 문제로 발생할 것이라고 전망했다.
- AI 기술 도입 속도가 데이터 보안 조치를 앞지르고 있음
- 의도치 않은 국경 간 데이터 전송이 발생할 가능성이 높음
- 글로벌 AI 표준화 격차로 인해 운영 비효율성 증가
- AI 데이터 보호 및 규정 준수를 위한 거버넌스 필요
- 기업들은 AI 거버넌스 및 보안에 대한 투자를 확대해야 함

[김경환 변호사의 디지털법] 〈46〉AI시대에 부합하도록 계정 관련 약관...

온라인 서비스 약관은 계정 양도 및 사용허락을 금지하지만, 대법원 판례는 일정한 조건에서 사용권을 인정하고 있어 법적 정합성이 논란이 되고 있다.
- 온라인 서비스는 약관을 통해 계정 양도와 사용허락을 금지
- 일부 서비스는 사용자 동의를 받아 계정 접근을 허용하는 방식으로 운영됨
- 대법원 판례는 계정주의 동의하에 사용권을 인정하는 경우가 있음
- 접근권한과 사용권 개념을 명확히 구분할 필요
- AI 시대에 맞춰 계정 사용 관련 약관 개정 필요

가트너 '국가간 개인정보 보호 격차, AI 데이터 침해 위협 높여'

중국은 AI 기술 발전을 위해 대량의 데이터를 수집하고 있으나, 데이터 활용 방식이 불투명하여 정보 보호 논란이 커지고 있다.
- 중국은 생성형 AI 기술 발전을 위해 데이터 수집 및 저장 확대
- 데이터 활용의 투명성 부족으로 사생활 및 저작권 침해 우려
- 유럽 및 한국은 강력한 개인정보 보호 제도를 운영
- 국가별 데이터 보호 수준 차이로 AI 데이터 침해 사고 증가 전망
- 글로벌 AI 거버넌스 표준화 격차로 인해 기업 운영 비효율성 확대

‘데이터 블랙홀’ AI, 사용자 동의 없이 개인 정보 털어가

일론 머스크의 AI 챗봇 '그록(Grok)3' 출시 예고 후 개인정보 유출 우려 확산
- 이전 AI 모델들이 사용자 동의 없이 X의 게시물을 학습 데이터로 활용한 사실이 논란
- AI가 엑스레이·MRI 등 민감한 의료 기록 입력을 권장하며 개인정보 보호 문제 대두
- 생성형 AI 확산으로 개인정보 수집이 무차별적으로 이루어지는 문제 지적
- 데이터 비식별화에도 불구하고 대량의 정보가 결합되면 개인 식별 가능성 존재
- 생성형 AI 맞춤형 보안 솔루션 부족으로 해킹 위험 증가
- 연구 결과, 의료 AI 모델에 대한 악성 공격으로 81% 확률로 민감한 정보 접근 가능
- 전문가들은 AI 사용 시 민감한 정보 입력을 자제할 것을 권고

‘자녀보호앱’ 사용 ↑… 방통위 미승인·개인정보 침해 문제는?

초등학생 피살 사건 이후 자녀 보호 앱 사용 급증, 개인정보 보호 및 교권 침해 논란
- 실시간 위치 추적 및 주변 소리 청취 기능 제공하는 자녀 보호 앱의 다운로드 급증
- 일부 자녀 보호 앱이 방송통신위원회 승인 없이 운영되며 개인정보 침해 우려 제기
- 방통위는 위치 정보 보호를 위한 사업 승인 절차를 요구하지만 전수 점검이 어려운 상황
- 자녀 보호 앱의 소리 청취 기능이 교사들의 수업 도청 문제로 이어져 논란 발생
- 일부 학부모들이 수업 내용을 녹음하여 단체 채팅방에 공유한 사례 존재
- 전문가들은 앱의 남용을 방지할 법적 절차 마련 및 경고 시스템 도입 필요성 강조

[아유경제_오피니언] 「개인정보 보호법」 위반사례

재건축·재개발 사업에서 개인정보 유출 및 부적절한 사용 사례 증가
- 정보공개청구제도가 조합 반대자들에 의해 악용되는 사례 발생
- 조합원 명부를 확보한 후, 조합 집행부를 비방하는 문자 전송 사례 존재
- 법원은 개인정보 보호법 위반으로 개인정보 무단 공개 및 사용을 처벌
- 개인정보를 고소장 등에 기재해 유출한 사례에서 벌금형 선고
- 재건축 추진위에서 수집한 개인정보를 목적 외 사용하여 단체 문자 전송한 사례 존재
- 법원은 재개발 반대 목적이라도 개인정보를 무단 이용하는 행위는 위법으로 판단
- 개인정보 사용 시 원래 목적을 벗어나지 않도록 주의 필요

[수요칼럼 ] 한국의 개인정보 보호법 문제는 없는가?

한국의 개인정보 보호법이 AI와 빅데이터 산업 발전을 저해한다는 지적이 제기됨.
- 한국 개인정보 보호법은 데이터 활용 시 정보 주체의 동의를 요구해 AI 학습에 제약이 있음.
- 2020년 개정법에서 ‘가명 정보’ 개념을 도입했으나 활용 범위가 제한적임.
- EU, 미국, 중국 등은 AI 발전을 위해 데이터 활용 규제를 유연하게 운영 중.
- 개인정보 유출 사고 시 기업에 대한 과징금 부담이 큼.
- 개인정보 보호와 AI 경쟁력 강화를 위한 법 개정 필요성이 대두됨.
- 한국의 AI 기술 경쟁력은 세계 6~7위 수준으로, 미국 대비 크게 부족함.
- AI 관련 기업의 법인 이전 증가 가능성이 있으며, 글로벌 경쟁력 약화 우려가 있음.
- 개인정보 보호와 데이터 활용의 균형을 맞추는 정책 수립이 요구됨.

AI 코딩 툴의 환각을 줄이는 방법 8가지

AI 코딩 툴의 환각 현상을 방지하기 위한 8가지 방법이 소개됨.
- AI 코딩 툴은 확률적 특성으로 인해 존재하지 않는 함수나 비효율적인 코드를 생성할 수 있음.
- 경험이 적은 개발자는 AI가 생성한 코드의 오류를 인지하지 못할 위험이 있음.
- 잘못된 AI 코드로 인해 보안 취약점, 기술 부채 증가 등의 문제가 발생할 수 있음.
- 명확하고 상세한 프롬프트 작성이 환각 현상을 줄이는 데 도움됨.
- AI 툴이 출처 제공 기능을 지원하는 경우, 참고 자료 요청이 유용함.
- 최신 정보 학습 여부를 확인해 오래된 데이터를 기반으로 한 오류를 방지해야 함.
- 원하는 코드 패턴을 AI에게 반복적으로 학습시켜 일관성을 유지하는 것이 중요함.
- 검색 증강 생성(RAG) 기법을 활용해 AI 코드를 신뢰할 수 있는 정보에 기반하도록 개선 가능함.

AI 서비스 사용률 90% 육박…소비자 신뢰도는 '걸음마 단계'

AI 사용이 증가했지만 소비자 신뢰도는 여전히 낮아, 신뢰성 및 보안성 강화가 중요한 과제로 떠오름.
- 응답자의 89.7%가 AI 사용 경험이 있으며, 특히 84.6%가 생성형 AI를 사용한 경험이 있음.
- ChatGPT가 93.9%의 사용률로 가장 높았지만, 소비자 추천지수(NPS)는 -3점으로 낮게 평가됨.
- AI 활용 기업에 대한 신뢰도는 41.3%로, 필요성은 인정하면서도 불신이 존재함.
- AI 서비스 도입 시 가장 중요한 요소로 ‘정확성 및 신뢰성’(43.7%)과 ‘개인정보 보호 및 보안 정책’(30.9%)이 꼽힘.
- 신뢰 확보를 위해 AI 기업은 투명성과 윤리적 운영을 강화할 필요가 있음.

칼럼 | 과유불급··· CIO 역할, 2개로 나누면 족하다

CIO의 역할이 지나치게 세분화되면서 IT 전략의 복잡성이 증가, 단순화 및 통합 전략이 필요함.
- CIO의 역할이 CTO, CISO, CDO 등으로 분화되면서 책임과 소유권이 불분명해짐.
- IT와 사이버 보안 복원력은 밀접하게 연관되어 있지만, 기업 내에서는 별개로 운영되는 경우가 많음.
- 복잡한 IT 아키텍처가 문제를 유발하며, 단순화 및 통합이 필요한 상황임.
- CIO와 CISO는 함께 IT 전략의 단순화 및 거버넌스 강화를 추진해야 함.
- 기업은 개별 솔루션 도입보다는 통합 솔루션을 활용해 복잡성을 줄이는 방향으로 가야 함.
- CIO 역할을 ‘기술 혁신 및 보안’과 ‘데이터 및 운영’의 두 개 축으로 단순화하는 방안이 대안으로 제시됨.

[오늘의 보안 영어] banner year 해외 여행객이 쏟아져 들어오고 있기 때문이다.)※ 이 코너는 보안뉴스에서 발간하는 프리미엄 리포트의 [데일리 보안뉴스+] 콘텐츠를 통해 2주 빨리 만나실 수 있습니다.[국제부...

[월드시큐 황.당.사] 텔레그램 악용하는 새 멀웨어 外 *지난 밤, 세계 각지에서 보도된 ‘보안 외신’을 간략 정리한다. 당신이 잠든 사이에 일어난 일들을... 브루트캣(Brutecat)이라는 이름으로 활동하는 보안 전문가가 지난 주말 찾아낸 것으로, 연달아 익스플로잇 했을...

AI기본법·국가 망 보안 체계..‘CISO 포럼’서 심층 논의 국정원, 국가 망 보안 체계 확립 앞장[보안뉴스 김경애 기자] 생성형AI 제품 사업자는 AI기반 운용을 이용자에 사전 고지해야 한다. 위반 시 3000만원 이하 과태료가 부과된다. 또 ‘국가 망 보안체계’ 보안통제...

삼성SDS, ‘2025년 5대 사이버 보안 위협’ 발표 AI·클라우드·랜섬웨어·SW공급망·OT 보안위협 선정[보안뉴스 김경애 기자] 삼성SDS가 ‘2025년 주의해야 할 5대 사이버 보안 위협’을 발표했다. 18일 삼성SDS에 따르면 ‘2025년 5대 사이버 보안 위협’은 △AI 악용...

생성형 AI 오용, 2027년까지 AI 데이터 침해의 40% 차지할 것 여기에는 정기적 개인정보 영향 평가와 데이터 계보, 데이터 전송 영향 평가 통합이 포함된다. ◇거버넌스 위원회 설립- AI 감독을 강화하고 AI 배포 및 데이터 처리에 대한 투명한 커뮤니케이션을 보장하기 위한...

[김경환 변호사의 디지털법] 〈46〉AI시대에 부합하도록 계정 관련 약관... 접근권한은 정보통신망법 제48조 제1항에 근거한 것이고, 접근권한은 개인정보나 시스템, 파일, 폴더 등을 접속하여 사용할 수 있는 자격으로서, 대법원은 오래 전부터 접근권한은 서비스 제공자가 부여한 기준을 근거로...

KISA, 공급망 보안 강화 본격화…SW 취약점 DB 구축 지원 또 북한 해킹그룹 라자루스가 지난 2022년 국내 금융SW의 취약점을 악용해 국가·공공기관 등 60여곳에서 개인용컴퓨터(PC) 200여대를 해킹한 사실이 드러나기도 했다. 더욱이 SW공급망 위협은 갈수록 커지고 있다....

<보안뉴스>

<IT소식>

<행사/교육소식>

2월 17일 뉴스입니다.

임시 저장된 ‘작성 중 메일’도 공격 도구

아웃룩의 ‘작성 중 메일’ 기능을 C&C 서버로 악용하는 파이널드래프트 멀웨어가 등장했다.
- 파이널드래프트 멀웨어는 아웃룩의 ‘작성 중 메일’ 기능을 이용해 C&C 서버와 통신한다.
- 공격자는 MS 그래프 API를 활용해 탐지를 회피하고 데이터 탈취, 프록싱, 프로세스 주입 등의 악성 행위를 수행한다.
- 해당 멀웨어는 패스로더(PathLoader)를 통해 감염이 시작되며, 정적 분석을 우회하는 암호화 기법을 사용한다.
- 윈도 버전뿐만 아니라 리눅스 변종도 발견되었으며, REST API 및 리버스 UDP 등을 이용해 공격을 수행한다.
- 남미의 한 정부 기관이 피해를 입었으며, 공격 인프라가 동남아 조직들과 연관된 정황이 포착되었다.
- 보안업체 엘라스틱시큐리티는 해당 캠페인을 레프7707(REF7707)으로 명명하고 추적 중이다.
- 탐지를 위해 야라(YARA) 규칙을 공개했으며, 보안 담당자들은 모니터링 강화를 고려해야 한다.

“잘 키운 ‘보안인재’ 해외 유출 골머리”..기술사회가 꼽은 보안 이...

국내 보안 전문가들은 보안이 ‘유망 직종’이 아닌 핵심 직종으로 자리 잡아야 한다고 강조했다.
- 보안 인재 육성뿐만 아니라 유출 방지 환경 조성이 필요하다는 의견이 제기되었다.
- AI 보안 전문가를 국내에 유지하려면 근무 환경과 처우 개선이 필요하다.
- 해외에서는 보안 및 AI 전문가의 연봉이 높은 반면, 국내 보안 인력 유출 문제는 여전히 심각하다.
- 인재 유출 방지를 위해 정책적 지원과 생태계 구축이 필수적이라는 의견이 나왔다.
- AI 보안과 관련하여 딥시크 쇼크(DeepSeek Shock) 및 국가 차원의 소버린 AI 구축 필요성이 언급되었다.
- AI 기본법 제정에 대해 보안 측면에서 실효성 있는 시행령이 마련되어야 한다는 주장이 나왔다.
- 정보보호 분야 국가자격전문가 단체인 한국정보공학기술사회가 보안 이슈 논의를 주도하고 있다.

KISA, 10만 사이버보안 인재 양성 위한 '사이버보안 교육' 본격 추진

KISA는 2026년까지 10만 명의 사이버보안 인재를 양성하는 교육 프로그램을 시작한다.
- KISA, 과기정통부, 고용노동부, 한국산업인력공단이 협력하여 맞춤형 사이버보안 교육을 진행한다.
- Security-Gym은 침해사고 대응, 정보보호제품 실습, 버그헌팅 등 실전 훈련을 제공한다.
- K-Shield는 재직자를 대상으로 보안 컨설팅, 침해사고 대응, 디지털 포렌식 등 8개 분야 교육을 운영한다.
- K-Shield 주니어는 청년 구직자를 위한 정보보호 직무 교육으로 구성되어 있다.
- AI 보안관제 전문인력 과정은 보안관제 실무를 포함하며, 채용 연계 인턴십도 지원한다.
- 교육 이수 시 과기정통부 및 KISA 인증서를 발급받을 수 있다.
- KISA는 보안 산업의 경쟁력 강화를 위해 실무 중심 교육을 지속할 계획이다.

새로운 위협 징후의 선제적 감지… 효과적인 ‘이상 탐지’ 구현법

이상 탐지는 사이버 사고를 조기에 감지할 수 있는 강력한 도구지만, 기존 탐지 기법과 균형이 필요하다.
- 이상 탐지는 기존 행동 패턴에서 벗어난 이벤트를 감지하는 분석 기법으로, 침입 탐지에 활용된다.
- 1987년 도로시 데닝이 처음 제안한 개념으로, 이후 보안 실무 및 제품에 적용되며 발전해왔다.
- 기존 시그니처 기반 탐지와 이상 탐지를 병행해 보안 탐지 역량을 극대화해야 한다.
- 턴게이트 CEO는 이상 탐지가 제대로 구현되면 기존의 악성 요소 목록 없이도 위협을 감지할 수 있다고 강조했다.
- 기업 내부 위협을 감지하려면 정상적인 시스템 상태를 정의하고 이상 징후를 식별하는 것이 중요하다.
- CISO는 이상 탐지 기술을 적용하면서도 경보 피로(alert fatigue) 문제를 고려해야 한다.
- 트래픽 급증, 특정 서버의 비정상적 활동 등 이상 징후를 신속히 감지하는 것이 핵심이다.

[비바100] 비밀번호 분실·유출 걱정 없는 ‘패스키’, 얼굴·지문으로 ...

비밀번호를 대체하는 패스키 기술이 확산되며 글로벌 기업들이 적극 도입 중이다.
- 패스키(Passkey)는 생체인증 기반의 로그인 방식으로, 비밀번호 입력 없이 인증이 가능하다.
- FIDO 2.0 기반으로 웹 환경에서도 생체인증을 활용할 수 있도록 설계되었다.
- 구글, 애플, 마이크로소프트 등 글로벌 IT 기업들이 패스키 도입을 확대하고 있다.
- 공개키 암호화 방식으로 보안성을 강화하며, 피싱과 같은 공격에 강하다.
- 아마존, 네이버, 카카오 등 주요 기업들이 패스키 도입을 발표하며 적용 범위를 넓히고 있다.
- 사용자 편의성이 높아지면서 비밀번호 관리의 번거로움이 줄어들고 보안 수준이 향상될 것으로 기대된다.

소비자 낚는 온라인 ‘다크패턴’…앞으로 이러면 처벌받는다 [D:로그인...

다크패턴(눈속임 상술) 규제가 본격 시행되며, 전자상거래법 개정으로 소비자 보호가 강화됨.
- 개정 전자상거래법이 시행되어 숨은 갱신, 순차 공개 가격책정, 특정옵션 사전선택 등 6개 다크패턴이 금지됨.
- 법 위반 시 시정조치, 영업정지, 500만원 이하 과태료 등의 제재가 부과됨.
- 숨은 갱신의 경우 무료 체험 후 유료 전환 시 30일 이내 명시적 동의를 다시 받아야 함.
- 순차 공개 가격책정 금지로 인해 초기 화면에서 총금액이 명확히 표시되어야 함.
- 특정옵션 사전선택이 금지되어 소비자가 무심코 유리하지 않은 선택을 하도록 유도하는 행위가 제한됨.
- 가입보다 해지가 어렵게 설계하는 등의 복잡한 절차가 규제 대상이 됨.
- 소비자에게 반복적으로 광고 정보 수신이나 개인정보 제공 동의를 요구하는 반복간섭 행위도 금지됨.

“버퍼 오버플로우는 ‘용서 불가 실수’, 당장 고쳐라”··· FBI·CISA, ...

미국 정부가 버퍼 오버플로우 취약점이 포함된 소프트웨어 출하를 금지하는 지침을 발표함.
- FBI와 CISA는 버퍼 오버플로우 취약점을 ‘용납할 수 없는 실수’로 간주하고 경고문을 발표함.
- MS, VM웨어, 이반티 등의 주요 벤더 소프트웨어에서 해당 취약점이 지속적으로 발견됨.
- 버퍼 오버플로우는 메모리 안전성과 관련된 취약점으로, 공격자가 시스템 권한을 탈취할 수 있음.
- CVE-2025-21333, CVE-2024-49138 등 주요 취약점이 지목되었으며, 일부는 제로데이 공격에 이미 활용됨.
- CISA와 FBI는 보안 강화를 위해 메모리 안전성이 확보된 언어 사용을 권장함.
- 소프트웨어 제조업체는 메모리 안전 취약점을 줄이기 위해 러스트, 고, 스위프트 등의 언어로 전환 중임.
- 보안 지침 준수를 통해 소프트웨어 개발 과정에서 근본적인 취약점을 예방할 필요가 있음.

이준호의 사이버보안 이야기 <29> 사이버보안과 정신 건강: 해커들의 새...

AI와 해킹 기술이 결합해 감정을 조작하는 새로운 보안 위협이 부상하고 있음.
- AI 딥페이크 기술을 활용한 가짜 뉴스가 확산되면서, 사회적 혼란과 경제적 피해가 발생하고 있음.
- 해킹된 AI 음성이 기업 CEO의 위기 발언으로 조작되어 주가가 급락한 사례가 있음.
- 정신 건강 상담 챗봇이 해킹되어 사용자에게 부정적인 메시지를 보내 자살 충동을 유발한 사례가 보고됨.
- SNS 알고리즘이 조작되어 공포, 불안, 분노 등의 감정을 증폭시키는 공격이 발생함.
- 해커들은 특정 정치적·경제적 목적을 달성하기 위해 대중의 감정을 조작하는 전략을 사용함.
- 감정 해킹의 위협이 증가하면서, 정보 검증 능력과 보안 기술의 중요성이 커지고 있음.
- 기업과 정부는 AI 기반 보안 위협을 막기 위해 감정 해킹 대응책을 마련해야 함.

[오늘의 보안 영어] there is no let up (적절한 치료를 받기 전까지 환자의 고통은 경감되지 않을 거라고 의사는 경고했다.)※ 이 코너는 보안뉴스에서 발간하는 프리미엄 리포트의 [데일리 보안뉴스+] 콘텐츠를 통해 2주 빨리...

[월드시큐 황.당.사] 랜섬허브가 새로운 왕 外 러시아 스톰2372, 로그인 정보 훔쳐 계정 장악2024년 8월부터 러시아의 해킹 그룹 스톰2372(Storm-2372)가 다수 지역의 정부 기관과 NGO들을 공격하고 있다. 특히 ‘장비 코드 피싱’(device code phishing)이라는 기술을 사용하고...

임시 저장된 ‘작성 중 메일’도 공격 도구 동남아로 확산되는 조짐.[보안뉴스 문가용 기자] 아웃룩 이메일 애플리케이션의 ‘작성 중 메일’ 혹은... 공격 과정보안 업체 엘라스틱시큐리티(Elastic Security)가 상세히 밝힌 내용에 따르면 공격은 패스로더...

中 해커만 알고 美 재무부는 몰랐던, ‘제로데이’ 연쇄 공격 별개로 보일 수 있었던 두 사건이 하나로 연결됐으며, 중국의 설트타이푼(Salt Typhoon)이라는 해킹 단체가 공격자로 지목됐다. 설트타이푼은 2021년부터 미국 내 서버 6만8500대를 침해한 것으로 알려진...

“잘 키운 ‘보안인재’ 해외 유출 골머리”..기술사회가 꼽은 보안 이... 정보공학기술사회, 결산 좌담회서 지적“세계적 AI 보안 전문가 나와도, 국내 머물 가능성 희박”[보안뉴스 조재호 기자] “지금도 보안은 유망주입니다. 언제까지 ‘유망’만 해야 합니까? 핵심 직종이어야죠.”문광석...

KISA, 10만 사이버보안 인재 양성 위한 '사이버보안 교육' 본격 추진 17일부터 '사이버보안 교육'을 시작한다고 밝혔다. 이번 교육은 2026년까지 10만 명의 사이버보안 인재를 양성해 국내 보안 산업의 경쟁력 강화를 목표로 한다. KISA는 실전형 사이버훈련장(Security-Gym) 최정예...

딥시크 앱, 국내 서비스 잠정 중단…개인정보보호법 위반 개선 나서 딥시크 앱의 국내 서비스가 개인정보보호법(이하 보호법) 위반 문제로 2월 15일 오후 6시부터 잠정 중단됐다. 개인정보보호위원회(이하 개인정보위)는 딥시크 서비스의 개인정보 처리 문제점을 점검하고, 보호법에 따른...

AI, 보안 솔루션 고도화 첨병으로 자리매김 사이버 보안기업도 AI를 적용해 솔루션을 고도화하고 있다. AI를 기반으로 사이버 위협을 사전에 탐지하고 운영과 위험 관리 효율성을 높이는 등 보안 솔루션을 갈고닦는 모습이다. 트렌드마이크로는 사이버 위협...

국가AI위원회, 전체회의 열고 생태계·기업지원·개인정보 논의한다 업계 관계자는 “이번 회의를 계기로 학습용 데이터, 보안, 미국·중국 등 해외 국가와 같은 전폭적인 지원방안이 마련되고 정책 추진 일정이 보다 빨라지길 기대한다”며 “대다수 부처가 연초 업무보고에 AI 관련...

<보안뉴스>

<IT소식>

<행사/교육소식>

2월 15일 ~ 2월 16일 뉴스입니다.

‘저작권 침해’ 사칭 악성메일, 윈도우 환경 정보 ‘탈탈’

저작권 침해 사칭 악성 메일이 유포되며, 사용자의 윈도우 환경 정보를 탈취하는 악성코드 감염이 발생하고 있다.
- 악성 메일은 "저작권 침해"를 사칭하여 피해자를 속이고 "답변하기" 링크 클릭을 유도함.
- 링크 클릭 시 압축 파일 형태의 악성코드가 다운로드되어 감염됨.
- 악성코드 "비달스틸러(VidarStealer)"는 시스템 정보, 브라우저 데이터, 클라우드 계정 정보를 탈취함.
- 최종 악성 행위가 활성화되기 위해 세 차례 복호화 과정을 거침.
- 공격자는 텔레그램 등 정상 URL을 활용하여 원격 명령을 수행하고 보안 탐지를 우회함.
- 피해 예방을 위해 출처 불분명한 이메일의 링크 클릭을 자제하고 보안 솔루션을 최신 상태로 유지해야 함.

[보안人] 조영철 KISIA 회장 '보안전문가 경력관리 필요'

KISIA는 보안 전문가 경력 관리 체계를 구축하여 정보보호 인력의 체계적인 성장과 산업 경쟁력 강화를 추진하고 있다.
- 보안 전문가의 체계적인 성장 경로를 구축하여 CISO까지의 경력 로드맵을 제시할 계획.
- 지역별 CISO 교류 활성화 및 직무 상담 지원을 통해 정보보호 인력 양성을 강화함.
- '사이버 보안 인력 수급 실태 조사'를 국가 승인 통계로 개발하여 인력 수급 현황을 정기 점검.
- 정보보호 기업도 해커의 공격 대상이 되며, 높은 보안 수준이 요구됨.
- 정보보호자율보안협의체를 구성하여 보안 수칙을 제시하고 우수 사례를 공유할 예정.
- 해외 시장 진출을 지원하기 위해 정보보호 해외진출협의체 운영 및 국제 전시회 참가 지원 계획.
- 국내 정보보호 제품의 국제 표준 준수를 통해 해외 경쟁력을 강화하는 전략을 추진 중.

개인정보 동의제도 개편...'기업 부담 증가하고 무료 서비스도 위협'

개인정보 보호법 개정으로 인해 기업의 개인정보 활용 방식이 변화하고, 맞춤형 광고 및 디지털 서비스 운영 부담이 커질 전망이다.
- 개인정보 보호법 개정으로 서비스 이용계약과 관련한 개인정보 수집·이용이 동의 없이 가능해짐.
- 개인정보보호위원회가 적법 근거 채택을 위한 방향을 안내했으나, 필수동의 금지의 법적 근거 부족 논란 발생.
- 전문가들은 법 개정 및 시행령 수정을 통해 동의제도 개편 방향을 명확히 할 필요가 있다고 지적함.
- 계약 이행을 위한 개인정보 수집의 엄격한 해석이 오히려 기업 부담을 증가시킬 가능성이 있음.
- 사업자들이 동의 없는 개인정보 수집보다 안전한 동의 방식 선택을 선호할 것으로 예상됨.

직원 업무시간 20% 날리는 정보검색… AI로 해결 가능?

NTT 데이터의 보고서에 따르면 AI 도입으로 업무 효율성이 향상되지만 보안 취약점이 심각한 문제로 부각되고 있다.
- AI 기술 도입으로 정보 검색, 이메일 관리, 협업 활동의 비효율을 줄여 기업 비용 절감 가능.
- AI 기반 고객 서비스는 운영 비용을 30% 절감하고, 처리 속도를 90% 개선함.
- AI 보안 침해 경험이 있는 기업이 90%에 달하며, AI 보안에 자신감을 가진 기업은 5%에 불과함.
- 2025년 데이터 규모가 175ZB까지 증가하며, 85%의 기업이 멀티클라우드 전략을 채택함.
- 기업의 75%가 생성형 AI를 도입하였으며, 금융 및 의료 산업에서 AI 데이터 분석이 중요해짐.
- AI 도입을 위한 5분-5일-5개월 로드맵이 제시됨: 업무 병목 현상 파악, AI 챗봇 배치, AI 역량 강화 진행.
- AI 도입의 주요 과제는 투자수익 불확실성, 규제 준수, 데이터 유출 위험 등이며, 이를 해결하기 위한 전략이 필요함.

중앙 없는 조직 시대 여는 ‘DAO’가 온다 [스페셜리스트 뷰]

블록체인은 인터넷상의 신뢰 문제를 해결하는 혁신적 기술로 자리 잡고 있다.
- 블록체인은 위변조가 불가능한 분산 원장 기술을 기반으로 신뢰성을 확보한다.
- 비트코인 이후 이더리움이 등장하며 스마트 컨트랙트를 통한 자동화 계약이 가능해졌다.
- DAO(탈중앙화 자율 조직)는 코드 기반의 투명한 조직 운영을 가능하게 한다.
- DAO는 기존 기업의 중앙집중식 의사결정 구조를 대체하는 대안으로 부상하고 있다.
- 미국 와이오밍주는 DAO의 법적 지위를 인정하며, 법적 안정성을 제공하고 있다.
- 일본은 DAO를 기업 형태로 인정하는 법안을 검토하며 관련 규제를 마련 중이다.
- DAO의 확산은 기업 운영 방식뿐만 아니라 금융·예술·지역 사회에도 변화를 가져올 전망이다.

“AI기본법, 보험업권 중복 규제 우려'

AI 기본법이 보험업계에 중복 규제를 초래할 가능성이 제기되고 있다.
- AI 기본법이 보험업계의 AI 활용을 제한할 수 있는 규제로 작용할 우려가 있다.
- 보험계약 인수심사 및 보험금 지급심사에 AI를 활용하는 것이 고위험 AI로 분류될 가능성이 크다.
- 보험업계는 AI 규제 법안의 입법 과정을 주의 깊게 모니터링해야 한다.
- 중복 규제가 발생할 경우 보험사의 AI 도입과 혁신이 위축될 수 있다.
- AI 활용에 대한 명확한 가이드라인이 필요하며, 금융업 특성을 반영한 규제가 마련되어야 한다.

CGV 채용 사칭 피싱 사이트 발견..개인정보 탈취 주의 연초 취업시즌 악용 피싱 피해 ‘심각’[보안뉴스 김경애 기자] 최근 CGV 영화관 채용 사이트를 위장한 피싱 사이트가 발견됐다. 피싱 사이트는 채용 빌미로 지원자에게 개인정보 입력을 유도, 개인정보를 탈취한다....

‘저작권 침해’ 사칭 악성메일, 윈도우 환경 정보 ‘탈탈’ 공격자, C&C 주소 변경 용이·보안 솔루션 탐지·차단 우회 목적[보안뉴스 김경애 기자] 최근 ‘저작권 침해 조치’를 사칭한 악성 메일 유포가 포착됐다. 악성메일은 ‘답변하기’ 링크 클릭을 유도, 악성코드에...

北 김수키, 거래처 업무메일 위장 공격 기업, 거래처 등 발신자 메일주소 확인해야[보안뉴스 김경애 기자] 거래처 업무 메일로 위장한 북한... 예방 보안 체계 구축에 총력을 기울여야 한다”며 “공격기법 진화로 다층적 방어전략과 공격자 사고방식에...

北 라자루스, 특정 표적 ‘핀셋’ 공격 전통의 C&C 전략 병행해 보험 갖추기도.[보안뉴스 문가용 기자] 최소 2024년 12월 말부터 북한 해킹 그룹... 공격 전략도 다양하게 응용할 줄 알고, 새 전략에 따라 알맞은 해킹 도구도 스스로 개발할 줄 압니다. 그런...

<보안뉴스>

<IT소식>

2월 14일 뉴스입니다.

개인정보 포함 영상 원본, 데이터 활용 가능해져..국조실 과제 추진

정부가 AI, 바이오, 친환경 분야 규제 완화를 위한 기획형 규제샌드박스를 추진한다.
- 기획형 규제샌드박스 도입으로 정부 주도의 규제 개선 진행
- AI CCTV 개발을 위해 개인정보 포함 영상 원본 데이터 활용 허용
- 금융권 망분리 규제 완화로 AI 기반 금융혁신 가속화 추진
- 첨단바이오의약품 임상시험과 치료 연계를 위한 규제 개선
- 스마트팜 시설재배에 사용하는 배지 재활용 허용 등 순환경제 지원

[박나룡 보안칼럼] ISMS-P 인증은 어떻게 도움이 되는가?

ISMS-P 인증이 정보보호 강화를 위한 중요한 역할을 하며, 기업과 국가 모두에 긍정적 영향을 미친다.
- 정보보호 인증은 체계적인 보안 활동의 출발점이 됨
- 객관적 심사를 통해 새로운 보안 이슈를 발굴할 수 있음
- 보안 활동 시각화를 통해 조직 내 보안 인식 개선 효과 기대
- 보안 인력 및 예산 확보를 위한 근거로 활용 가능
- 국가 차원의 정보보호 신뢰 수준 향상에 기여
- 변화하는 IT 환경 대응을 위해 보안 인증 대상 확대 필요
- 보안 전문가 양성과 정보보호 산업 활성화에 기여
- 인증 체계의 지속적인 개선 및 인증 수수료 조정 필요

개인정보위, 소셜로그인 실태점검…'탈퇴자 개인정보 파기 미흡'

개인정보보호위원회가 주요 소셜로그인 서비스의 개인정보 제공 및 파기 실태를 점검했다.
- 네이버, 카카오, 구글, 메타, 애플의 소셜로그인 서비스 점검 진행
- 소셜로그인 이용 사이트가 50만 개 이상으로 확산됨에 따라 보안 문제 대두
- 개인정보 제공 과정에서 법 위반 사항은 발견되지 않음
- 이용자가 계정을 삭제해도 일부 사이트에서 개인정보 파기 미흡 사례 존재
- 개인정보 제공 동의 및 파기 절차에 대한 개선 필요

인기협, 개인정보 동의제도 개편 세미나 개최…개정 개보법 산업계 파급...

개정 개인정보 보호법의 동의제도 개편이 산업계에 미칠 영향에 대한 세미나 개최
- 한국인터넷기업협회, 개인정보 동의제도 개편의 의미와 영향력에 대한 세미나 개최
- 법무법인 세종 안정호 변호사, 동의제도 개편의 법적 해석 문제를 지적
- 건국대 이상용 교수, 동의제도의 위법성 및 계약 자유의 원칙과의 충돌 가능성 언급
- 개인정보 처리 적법근거 선택의 어려움과 법적 안정성 문제 제기
- 맞춤형 광고를 위한 데이터 수집 제한으로 인한 산업계 영향 우려
- GDPR을 참고하되 국내 데이터 산업 발전을 위한 독자적 정책 마련 필요
- 개인정보 활용의 유연성 및 합리적 해석 필요성 강조

2024년 발견된 보안 취약점 24%, CVE 공개 이전에 악용돼

2024년 취약점 공격 증가, 패치 전후 지속적인 악용 사례 확인
- 2024년 CVE가 공개된 당일 또는 이전에 악용된 사례가 24%로 증가
- 2023년 대비 처음 공개적으로 악용된 CVE 수 20% 증가
- 패치 후에도 취약점 악용이 지속되며 장기간 공격 대상이 되는 사례 많음
- CVE 공개 증가와 취약점 보고 증가로 인해 악용 사례의 가시성 높아짐
- 기업들의 보안 의식 향상으로 취약점 관리 및 모니터링 개선 필요
- 서드파티 소프트웨어 의존도 증가로 인한 취약점 노출 증가 경고
- 보안 침해의 주요 원인은 취약점보다는 손상된 자격 증명의 악용
- 제로트러스트 접근 방식 도입과 사전 예방적 보안 조치의 필요성 강조

[ZT콘퍼런스] '제로트러스트는 철학이 아니다' 보안업계 시장 선점 '사활...

글로벌 보안 시장에서 제로트러스트 보안이 핵심 전략으로 부상
- 사우디아라비아 'LEAP 2025'에서 글로벌 보안 기업들이 제로트러스트 전략 소개
- 클라우드 보안 기업 지스케일러, AI와 결합한 제로트러스트 플랫폼 공개
- 국내 기업 지니언스, 제로트러스트 보안 솔루션 '지니안 ZTNA' 발표
- 제로트러스트 개념이 철학에서 실질적 보안 전략으로 변화하는 추세
- 글로벌 제로트러스트 시장, 연평균 18% 성장 전망
- 디지털 이니셔티브 및 정부 투자 증가로 시장 확대 예상
- 기업 내부 보안 및 네트워크 보안을 위한 필수 보안 모델로 자리 잡는 중

[칼럼] CCTV를 통한 범죄예방과 개인정보보호의 균형잡기

대전 초등학생 살해 사건을 계기로 학교 내 CCTV 설치 확대 논의가 진행 중이다.
- 대전의 한 초등학교에서 교사가 학생을 살해한 사건이 발생하여 사회적 충격을 주었다.
- 현재 학교는 CCTV 설치 의무 대상이 아니며, 이번 사건을 계기로 설치 확대 의견이 제기되었다.
- CCTV의 범죄 예방 효과와 개인정보 보호 문제를 두고 찬반 논의가 이어지고 있다.
- 우리나라는 과거 수술실 CCTV 설치 의무화 사례처럼 CCTV 활용에 대한 찬성 여론이 높은 편이다.
- CCTV 영상 활용과 개인정보 보호는 상반된 개념이 아니며, 균형을 맞추는 것이 중요하다.
- 국가와 공공기관은 지속적인 보안 교육과 내부통제 시스템을 통해 개인정보 보호를 강화해야 한다.

쇼핑몰 계정 정보 털렸을 뿐인데 포털 메일·SNS 다 뚫린 이유

이중 인증(2FA) 활성화 비율이 10% 미만으로 나타나 계정 보안 강화 필요성이 대두되었다.
- 자동 로그인 기능 사용 시 이중 인증을 설정한 비율이 10% 미만인 것으로 조사되었다.
- 자동 로그인은 편리하지만 비밀번호 유출 시 여러 계정이 해킹될 위험이 크다.
- 크리덴셜 스터핑, 피싱 등으로 계정 탈취 사례가 증가하고 있다.
- 개인정보보호위원회는 이중 인증 활성화를 권고하며 브라우저 업체들과 개선 협의를 진행 중이다.
- 현재 주요 브라우저는 계정 정보를 암호화해 저장하지만, 해킹 시 탈취 가능성이 존재한다.
- 이중 인증(OTP, 생체인식, 보안키 등)을 활용하면 계정 보안을 크게 강화할 수 있다.
- 보안 전문가들은 로그인 시 추가 인증을 필수적으로 설정할 것을 권장한다.

계속되는 개인정보유출... 기업의 데이터 활용은 어디까지 [플맨 돋보기...

AI 기술 발전 속에서 개인정보 보호 문제가 지속적으로 제기되고 있다.
- 2024년 12월 출시된 딥시크 V3가 개인정보 무단수집 논란으로 사용 금지되는 추세다.
- 딥시크는 사용자 개인정보를 중국 내 서버로 전송하는 것이 확인되면서 논란이 커졌다.
- 과거에도 카카오페이-알리페이 사건, 카드사 정보 유출 등 대규모 개인정보 유출 사고가 발생했다.
- AI 발전과 함께 학습 데이터 확보 과정에서 개인정보 침해 사례가 증가하고 있다.
- 개인정보보호위원회는 AI 개발 시 프라이버시 리스크 관리 모델을 제시했으나 기업 자율 규제 방식이다.
- 전문가들은 AI 기술과 개인정보 보호 규제 간 균형을 맞출 필요성이 커지고 있다고 지적한다.

[필동정담] AI 시대 프라이버시

AI 시대 개인정보 유출 방식이 변화하며, 사생활 보호 문제가 대두되고 있다.
- 보이스피싱 등 개인정보를 악용한 범죄가 지속적으로 발생 중
- 인터넷과 SNS의 발전으로 개인정보 유출이 심각한 사회문제로 부상
- AI가 학습한 개인정보가 예상치 못한 방식으로 조합 및 유출 가능
- 중국 AI 기업 '딥시크'의 보안 취약성으로 각국에서 차단 조치 진행
- 개인정보 보호가 미흡한 AI 기술은 감시 도구로 전락할 위험

[오늘의 보안 영어] (tightly) choreographed 그저 회사가 입을 피해를 최소화 하고자 하는 목적만이 있었을 뿐이다.)※ 이 코너는 보안뉴스에서 발간하는 프리미엄 리포트의 [데일리 보안뉴스+] 콘텐츠를 통해 2주 빨리 만나실...

개인정보 포함 영상 원본, 데이터 활용 가능해져..국조실 과제 추진 국무조정실, 기획형 규제샌드박스 과제 본격 추진개인정보 포함된 영상 원본 데이터, AI CCTV 개발 등에 활용[보안뉴스 엄호식 기자] 국무조정실이 범부처적으로 발굴한 기획형 규제샌드박스의 1차 추진 과제목록을...

“속지 마세요” 교통법규위반 스미싱 이를 통해 개인정보를 탈취하거나, 모바일 기기에 원격으로 접근해 금전적인 손해를 끼친다.로그프레소는 “과태료나 범칙금 조회 등 공공기관을 사칭한 스미싱 문자 유형은 매년 증가하는 추세”라며 “출처가...

[배종찬의 보안 빅데이터] 북한 도발은 ‘핵’ 전쟁 아닌 ‘사이버 해킹... 가 단독으로 11년 전인 2014년 보도한 내용에 따르면 북한 해커조직이 한국수력원자력의 원전 도면부터 임직원 개인정보 등 중요 데이터를 탈취한 사건도 있었다. 최근에는 북한의 사이버 공격이 더욱 교활해지고 있다....

[박나룡 보안칼럼] ISMS-P 인증은 어떻게 도움이 되는가? IT, 네트워크, 디지털 환경이 급속하게 발전하면서 정보보호는 기업과 국가 모두에게 필수적인 요소로 자리 잡았고, 사이버 위협은 더 이상 사이버 세상에만이 머물지 않고, 현실 세계에도 다양한 부정적 영향을 주고...

구글, 유튜브 사용자 이메일 주소 노출 취약점 수정 심각한 보안 취약점을 수정했다. 이 결함은 익명성을 유지하며 활동하는 콘텐츠 제작자, 내부 고발자, 활동가들에게 큰 개인정보 유출 위험을 초래할 수 있었다. 보안 연구원 브루트캣(Brutecat)과 네이선(Nathan)은...

개인정보위, 소셜로그인 실태점검…'탈퇴자 개인정보 파기 미흡' 개인정보위는 소셜로그인 서비스가 기존의 웹사이트별 회원가입 절차를 대체하면서 발생할 수 있는 보안 문제와 개인정보 제공 및 파기 우려를 해소하기 위해 이번 점검을 실시했다고 밝혔다. 점검 결과...

포스트그레SQL 신규 보안취약점, 비욘드트러스트 제로데이와 함께 표적... 이 취약점을 발견한 Rapid7의 보안 연구원 스티븐 퓨어는 공격자가 이 취약점을 통해 임의의 코드... 이 업데이트는 유효하지 않은 UTF-8 문자의 처리를 수정하고 문자열 이스케이프 루틴의 보안을...

인기협, 개인정보 동의제도 개편 세미나 개최…개정 개보법 산업계 파급... 이날 토론회에서는 개정된 개인정보 보호법이 산업계에 미치는 파급효과에 대해 논의했다. 이날 세미나는 박성호 인기협 회장 환영사를 시작으로 법 전문가들이 참여해 의견을 개진했다. 우선 안정호 법무법인 세종...

<보안뉴스>

<사고소식>

<IT소식>

<정보보호 신간/신제품 소개>

2월 13일 뉴스입니다.

[사람과 보안] 중국의 기술 권위주의와 보안의 미래

과학기술 발전이 민주주의에 미치는 영향이 긍정적일 수도 있지만, 기술 권위주의로 인해 부정적 요소도 우려된다.
- 인터넷과 AI의 발전은 정보 확산을 촉진하여 시민들의 정치 참여를 활성화한다.
- 데이터 분석과 감시 기술을 통해 정부 정책의 투명성과 책임성이 강화된다.
- 기술 권위주의 확산으로 인해 민주주의 국가에서도 보안과 감시에 대한 우려가 커지고 있다.
- 중국을 비롯한 권위주의 국가들은 AI와 감시기술을 활용해 사회적 통제를 강화하고 있다.
- 개인정보보호 및 AI 규제 정책이 국가별로 다르게 적용되며 민주주의와 기술 발전 간의 균형이 중요해지고 있다.
- 오픈AI CEO 샘 올트먼은 민주적 AI 개발을 위한 국제적 협력이 필요하다고 주장했다.
- 권위주의 국가의 AI 오용을 방지하기 위한 강력한 보안 대책 마련이 요구된다.
- 기업 내 보안 의식도 수직적 체계에서 벗어나 수평적 소통을 기반으로 혁신이 필요하다.

잇단 해킹에도 안전조치 ‘소홀’..해피포인트 운영사 14억 과징금

해피포인트 운영사 섹타나인이 고객 1만7000여명의 개인정보를 유출하여 14억원 이상의 과징금을 부과받았다.
- 해킹 공격으로 인해 2022년과 2023년 두 차례에 걸쳐 총 1만7000여명의 개인정보가 유출되었다.
- 공격자는 크리덴셜 스터핑 기법을 사용하여 해피포인트 계정에 무단 접속했다.
- API 응답 값 내 개인정보 보호 조치가 미흡하여 해커가 쉽게 정보를 탈취할 수 있었다.
- 섹타나인은 동일한 공격이 반복되었음에도 충분한 보안 조치를 마련하지 않았다.
- 개인정보 유출 사실을 72시간 이내에 통지해야 하는 법적 의무도 준수하지 않았다.
- 개인정보보호위원회는 섹타나인에 대해 과징금과 시정명령을 부과했다.
- 개인정보위는 기업이 보안 조치를 철저히 하고 재발 방지 대책을 마련할 것을 촉구했다.
- 섹타나인은 법적 대응을 검토 중이며, 재발 방지 노력을 약속했다.

네이버 등 소셜로그인 탈퇴 시 ‘개인정보 파기 부실’

소셜로그인을 통한 계정 탈퇴 시 개인정보가 완전히 삭제되지 않는 문제가 발견되었다.
- 개인정보보호위원회는 네이버, 카카오, 구글, 메타, 애플 등 5개 사업자를 대상으로 실태점검을 실시했다.
- 소셜로그인은 이용자가 별도 가입 없이 SNS 계정으로 다른 서비스에 로그인할 수 있는 방식이다.
- 점검 결과, 소셜계정을 탈퇴한 이용자의 개인정보가 적절히 삭제되지 않는 사례가 확인되었다.
- 소셜로그인 사업자는 이용자가 사이트에서 탈퇴하면 접근 토큰을 폐기하도록 되어 있다.
- 그러나 일부 사업자는 탈퇴 후에도 개인정보가 완전히 삭제되지 않고 남아 있는 것으로 조사되었다.
- 개인정보보호위원회는 관련 사업자들에게 개선 조치를 요구할 계획이다.
- 이용자는 소셜로그인 사용 시 개인정보 보호 정책을 확인하고 신중하게 관리할 필요가 있다.
- 기업들은 개인정보 삭제 절차를 명확하게 하고 철저한 보안 조치를 시행해야 한다.

변호사 vs AI, 기밀 유출 논란!... 英 로펌, AI 사용 제한 '안전한 활용...

AI 도구 사용 증가로 인해 영국 대형 로펌 힐 디킨슨이 직원들의 AI 접근을 제한함.
- 힐 디킨슨은 직원들의 AI 도구 사용이 급증하자 사전 승인 절차를 도입.
- ChatGPT 및 DeepSeek에 기밀 정보를 입력하는 등 보안 위험이 발생함.
- AI 사용을 전면 금지하지 않으며, 안전한 활용을 위한 가이드라인 제공 예정.
- AI 도입이 법률 업계에서 증가하고 있으며, 효율성과 보안 사이의 균형이 필요함.
- 영국 법률위원회는 AI의 인간 감독 필요성을 강조하며, 관련 교육 강화를 제안함.
- 영국 정부는 AI 관련 법적 규제를 신중히 검토 중.

연봉 올려도 떠나는 보안 인재··· 글로벌 보안 리더가 밝힌 인력 관리...

사이버보안 전문가 부족 문제 해결을 위해 기업이 단순 금전적 보상 외에도 근무 환경 개선과 성장 기회를 제공해야 함.
- 보안 인력 부족으로 인해 기업 간 인재 경쟁이 심화됨.
- 번아웃이 심한 보안팀은 내부 보안 사고 발생률이 높아질 위험이 있음.
- 업무 부담 완화 및 정신 건강 관리를 위한 지원 정책이 필요함.
- 신기술 탐색 기회 제공과 지속적인 교육이 인력 유지에 중요한 역할을 함.
- 다양한 배경을 가진 인재를 유입하기 위한 창의적인 채용 전략이 요구됨.
- 보안 전문가의 직무 만족도와 역량 강화를 위한 장기적인 전략이 필요함.

사이버 안보·AI 가이드라인 서둘러야

중국 생성형 인공지능 딥시크의 개인정보 및 기술 유출 우려가 확산되며 공공기관과 기업에서 차단 조치가 잇따르고 있다.
- 중국 AI 딥시크가 개인정보를 과도하게 수집하며, 사용자가 이를 거부할 수 없음.
- 행정안전부와 국가정보원이 공공기관에 딥시크 사용 주의를 요청함.
- 울산시 및 교육청 등에서 딥시크 접속 차단 및 보안 점검 강화 조치 시행.
- 개인정보보호위원회가 딥시크 본사에 개인정보 처리 절차 확인을 요청했으나 답변 미회신.
- 딥시크의 정보가 중국 서버에 저장되며, 중국 정부가 접근할 가능성 존재.
- 사이버 안보 및 AI 데이터 보호 가이드라인 마련 필요성이 대두됨.
- 국내 AI 기술 경쟁력을 높이기 위한 초격차 기술 개발 필요.

당신의 와이파이는 안전합니까?

와이파이 MU-MIMO 기술에서 ‘BREAK 공격’이라는 심각한 보안 취약점이 발견되어 네트워크 성능 저하 및 데이터 변조 위험이 커졌다.
- 노스이스턴대학교 연구진이 MU-MIMO 시스템에서 ‘BREAK 공격’ 취약점 발견.
- 해당 공격은 프리코딩 설정을 조작하여 네트워크 성능을 최대 65% 저하시킴.
- 기존 보안 솔루션으로 탐지가 어려워 대규모 피해 가능성이 존재함.
- 와이파이 기기 21억 대 이상이 이 공격에 취약할 가능성이 있음.
- 빔포밍 피드백 암호화 및 AI 기반 보안 솔루션 도입 등의 대응책이 논의됨.
- INFOCOM 2025에서 해당 연구 결과 발표 예정.
- 차세대 무선 네트워크의 보안 강화를 위한 표준 개선 필요.

쿠버네티스는 과연 사용하기 쉬워질까?

쿠버네티스는 높은 확장성을 제공하지만, 복잡성과 보안 문제가 여전히 해결 과제로 남아 있다.
- 10년차를 맞은 쿠버네티스가 기업의 주요 컨테이너 오케스트레이션 도구로 자리잡음.
- 높은 확장성에도 불구하고 설정 및 운영 복잡성이 여전히 해결되지 않음.
- 보안 취약점이 지속적으로 발견되며 관리 부담이 증가함.
- 쿠버네티스 보안 강화를 위한 자동화 도구 및 정책 개선 필요.
- 클라우드 네이티브 환경에서의 활용도가 증가하며 지속적인 발전이 요구됨.

[사람과 보안] 중국의 기술 권위주의와 보안의 미래 최근 중국 IT 천재들이 개발한 ‘딥시크’를 우리나라를 비롯한 여러 국가에서 사용 차단 조치를 내린 배경에는 중국이 디지털 권위주의 노하우를 이용해 딥시크 사용국 국민들의 개인정보뿐 아니라 국가 안보기밀까지...

엔비디아 GPU 도구 내 고위험 취약점, 패치 요망 컨테이너툴킷 1.17.4와 GPU오퍼레이터 24.9.2로 업.[보안뉴스 문가용 기자] 엔비디아의 GPU 도구들에서... 취약점을 제일 먼저 발견해 엔비디아 측에 알린 보안 업체 위즈(Wiz)는 해당 취약점이 엔비디아...

잇단 해킹에도 안전조치 ‘소홀’..해피포인트 운영사 14억 과징금 개인정보보호위원회는 13일 개인정보보호법을 위반한 해피포인트 운영사 섹타나인에 대한 과징금 및 시정명령 처분을 전날 전체회의에서 의결했다고 밝혔다.개인정보위 조사 결과 2022년 10월 신원 미상의 해커는...

네이버 등 소셜로그인 탈퇴 시 ‘개인정보 파기 부실’ 않아[보안뉴스 박은주 기자] 직접 가입이 아닌 소셜로그인으로 온라인 서비스를 이용하는 사용자가 해당... [박은주 기자(boan5@boannews.com)]<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

<보안뉴스>

<IT소식>

<행사/교육소식>

2월 12일 뉴스입니다.

개인정보 '유출'과 '위수탁' 모호한 경계… 금융위 기준 마련한다

금융위원회가 제3자 개인정보 제공과 위·수탁 업무의 경계를 명확히 하기 위한 기준을 마련한다.
- 금융권에서 개인정보 제공과 위·수탁의 해석이 불명확해 논란이 발생하고 있다.
- 고려저축은행·예가람저축은행, 카카오페이 사례에서 개인정보 유출 논란이 제기됐다.
- 금융위는 신용정보 제공이 위탁으로 인정될 수 있는 기준을 명확히 정리할 계획이다.
- 실효성 있는 가이드라인이 마련되지 않으면 유사한 논란이 반복될 가능성이 높다.
- 금융당국은 금융서비스 운영과 신용정보 보호 간 균형을 맞출 정책을 마련할 방침이다.

방통위, 불법 스팸 방지 의무 강화...과태료 최대 3000만원

CDN 사업자의 불법 정보 유통 방지 의무가 강화되고, 스팸 방지 조치 위반 과태료가 상향된다.
- 매출 10억 이상 CDN 사업자는 불법 정보 유통 방지를 위한 기술적·관리적 조치를 의무적으로 수행해야 한다.
- 불법 스팸 방지 조치 의무 위반 시 과태료가 최대 3000만 원까지 상향 조정된다.
- 모바일 전자고지와 금융 마이데이터 서비스가 ‘연계 정보’ 승인 대상으로 포함됐다.
- 연계 정보의 안전한 활용을 위해 승인 절차와 보안 조치 기준이 마련될 예정이다.
- 방통위는 개정된 시행령의 후속 절차를 신속히 진행해 온라인 서비스의 안전성을 강화할 계획이다.

해커가 생성형 AI를 악용하는 5가지 방법

사이버 범죄자들이 생성형 AI를 악용해 공격의 정교함과 효율성을 높이고 있다.
- 생성형 AI를 활용한 피싱 공격이 더욱 정교해지며 성공률이 증가하고 있다.
- AI를 이용한 악성코드 개발이 쉬워져 공격의 속도와 확산 범위가 확대되고 있다.
- AI를 활용한 취약점 탐색 및 익스플로잇 개발이 가속화되고 있다.
- 챗GPT 등의 보안 제한을 우회하기 위해 새로운 AI 플랫폼이 악용되고 있다.
- 생성형 AI는 캡차 및 생체 인증 우회에도 활용될 가능성이 크다.
- 보안 전문가들은 AI를 활용한 방어 전략을 마련해야 할 필요성이 커지고 있다.

개인정보법 위반 섹타나인에 14억 과징금

섹타나인이 해킹 공격으로 1만 7천여 명의 개인정보를 유출하고 보안 조치를 소홀히 해 14억 7700만 원의 과징금을 부과받음.
- 해커가 '크리덴셜 스터핑' 공격을 이용해 해피포인트 앱에서 로그인에 성공하고 개인정보 1만 7천여 건을 탈취함.
- 해킹으로 인해 일부 이용자의 해피포인트가 무단 사용되는 2차 피해 발생.
- 섹타나인은 동일 IP에서 대규모 로그인 시도를 탐지·차단하는 조치를 마련하지 않음.
- API 응답값에 개인정보를 포함하고 암호화하지 않아 추가 유출을 초래함.
- 2022년 발생한 사고 후 재발방지 조치를 충분히 마련하지 않아 2023년에 동일 방식의 해킹이 다시 발생함.
- 2023년 사고 발생 후 72시간 내 신고 의무를 지키지 않고 신고를 지연함.
- 개인정보위는 14억 7700만 원의 과징금과 720만 원의 과태료를 부과하고 홈페이지 공표를 명령함.
- 개인정보위는 기업들에게 철저한 보안 조치와 재발방지 대책 수립을 당부함.

AI 윤리관, 들쭉날쭉..구글의 태세 전환 주목

구글이 AI 전략을 ‘책임’에서 ‘개발’로 전환하며 글로벌 AI 경쟁에 초점을 맞추고 있다.
- 구글은 AI 안전과 규제보다 혁신과 개발을 우선시하는 방향으로 전략을 변경했다.
- AI는 이미 필수적인 기술로 자리 잡았으며, 각국이 안전 프레임워크를 마련 중이라고 구글은 주장했다.
- 글로벌 AI 경쟁이 치열해지면서 국가 안보와 산업 경쟁력 측면에서도 개발 우선 전략이 필요하다고 강조했다.
- 과거에는 ‘책임’을 강조했던 구글이 이제는 ‘과감한 혁신’을 언급하며 개발 확대를 예고했다.
- 구글의 입장 변화가 AI 산업 전반의 분위기에 영향을 미칠 가능성이 크다.

에이전트AI 도입 확산세…美 IT임원 77%는 '올해 도입 계획'

기업들이 업무 자동화를 위해 에이전트AI 도입을 확대하고 있으며, 보안과 시스템 통합이 주요 과제다.
- 90%의 IT 임원이 에이전트AI가 업무 프로세스를 개선할 것으로 기대하고 있다.
- 주요 장점으로 업무 관리 강화, 애플리케이션 통합 개선, 복잡한 프로세스 자동화가 꼽혔다.
- 다양한 AI 기술 간 원활한 상호운용성이 필수적이라는 의견이 87%를 차지했다.
- 보안 문제, 기존 시스템과의 통합, 도입 비용이 주요 도전 과제로 지적됐다.
- 기업들은 AI 도입 시 개인정보 보호와 시스템 연계를 최우선으로 고려하고 있다.

[월드시큐 황.당.사] 美·英, AI선언문 거부 外 랜섬웨어로 먼저 감염시킨 후, 클라우드 계정을 탈취해 암호화폐 채굴을 진행하는 것. 사실 공개된 게 처음이지 구글 보안 팀은 2023년부터 이들을 추적하고 있었다고 한다. 멤버가 많지 않은 것으로 추정되지만...

韓·佛 등 5개국 개인정보기구 “AI 규제 불확실성 해소해야” AI 프라이버시 정책의 국제적 지평 확대개인정보위 등 공동선언문 채택, 협력 강화 약속[보안뉴스 박은주 기자] 개인정보보호위원회는 11일(현지시간) 프랑스·영국 등 주요국 개인정보 감독기구와 함께 인공지능(AI)...

“北 등 사이버 위협국, 자국 이익 위해 사이버 범죄 감행”..구글 보고... 이란은 경제 침체로 인한 경제적 부담을 랜섬웨어와 해킹 및 데이터 유출 작전으로 사이버 공격을... 차원 해킹은 방대한 사이버 범죄 생태계로부터 멀웨어, 보안 취약점, 전체 작전까지 제공받는다”며...

개인정보 '유출'과 '위수탁' 모호한 경계… 금융위 기준 마련한다 한 금융위 위원은 “신용정보보호를 담당하는 금융위·금감원 부서뿐만 아니라 위·수탁 업무를 담당하는 부서를 어디까지 인정할 것인지 논의해야 한다”며 “금융당국이 명확한 기준을 세우지 않으면 금융 시장에...

방통위, 불법 스팸 방지 의무 강화...과태료 최대 3000만원 방송통신위원회(방통위)는 12일 전체 회의를 열고 이같은 내용이 담긴 '정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법) 시행령'의 일부 개정안을 의결했다. CDN 사업자의 불법 정보 유통 방지를 위한 필요...

<보안뉴스>

<IT소식>

<정보보호 신간/신제품 소개>

2월 11일 뉴스입니다.

정보보호학회, ‘낯선 발신자 재확인’...온라인 보안 가이드 발표

온라인 사기 예방을 위해 낯선 발신자 확인 및 2단계 인증 활성화를 권고.
- 한국정보보호학회와 구글이 ‘온라인 사기 예방 및 보안 강화 방안’ 발표.
- 이메일 사기 예방을 위해 발신자 확인 및 긴급 요청 포함된 이메일 검토 필요.
- 전화 및 문자 사기 방지를 위해 링크 클릭 금지 및 인증 정보 공유 자제.
- 웹 검색 시 광고 신뢰성 확인 및 공식 출처 확인 강조.
- 온라인 사기 발생 시 비밀번호 변경, 2단계 인증 활성화 및 금융기관 신고 권고.
- 구글 AI가 피싱메일 99% 차단, 크롬이 의심 사이트 차단 능력 향상.
- 지난해 구글의 사기 방지 기능으로 100만 대 이상의 기기 보호.

“걱정되는 AI·클라우드 보안, 고객 중심 SASE 서비스로 해결한다”

AI 확산과 하이브리드 근무 증가로 인해 네트워크 보안 위협이 급증하며, SASE 기술이 필수로 떠오름.
- 클라우드 기반 IT 환경 확산으로 기존 네트워크 보안 모델이 한계를 보임.
- 네트워크와 보안을 통합한 SASE(Secure Access Service Edge) 기술이 대안으로 주목받음.
- HPE 아루바 네트워킹과 원츠넷이 SASE 솔루션 시장에서 기술력과 지원 체계로 경쟁력 확보.
- SASE는 제로 트러스트 기반으로 일관된 보안 정책 적용 및 운영 효율성 증대.
- 원츠넷, HPE 아루바 네트워킹의 플래티넘 파트너로 MSP 기반 SASE 솔루션 제공.
- 주요 고객 사례로 ‘캐치테이블’, 의료 연구 기관 등이 있으며 보안 및 네트워크 안정성 강화.
- 기업은 SASE 도입 시 기존 보안 인프라 한계를 분석하고 단계적 전환 전략 필요.
- 원츠넷, AI 관제센터 개편 및 AI·클라우드 사업 확장 계획 발표.

[보안칼럼]국가 미래 경쟁력 결정짓는 사이버 보안의 전략 산업화

사이버 보안이 기업 생존을 넘어 국가 안보와 경제에까지 중대한 영향을 미치는 요소로 부각됨.
- 일본 라인 개인정보 유출 및 미국 틱톡 금지 검토 사례로 보안의 중요성 재확인.
- 자율주행차 해킹, AI 악용 등으로 인해 국가 시스템 전반이 마비될 위험 존재.
- 글로벌 사이버 보안 시장 규모 약 250조 원, 연평균 7% 성장률 기록.
- 국내 사이버 보안 시장은 6조 1000억 원 규모로 글로벌 성장률보다 높은 9% 성장세 유지.
- 기업 보안 사고가 브랜드 신뢰도뿐만 아니라 경영 전반과 주가에도 영향 미침.
- 의료, 위성 데이터 유출 시 국민 안전과 국가 신뢰도에도 타격 발생 가능.
- 국가 차원에서 사이버 보안을 핵심 과제로 삼아야 하며, 민관 협력 강화 필요.

개인정보 분쟁 정보통신업종 최다 전체 27%

개인정보 분쟁조정 사건이 증가하고 있으며, 올해는 취약계층 보호 및 협업 강화가 중점 추진 방향으로 설정되었다.
- 개인정보 분쟁조정 사건이 전년 대비 21.0% 증가(666건 → 806건)하며, 조정성립율도 78.5%로 상승
- 침해 유형 중 ‘동의 없는 개인정보 수집’이 최다(26.1%), ‘안전성 확보조치 미비’ 관련 사건이 2배 이상 증가
- 정보통신업 관련 사건이 가장 많았으며, 공공기관과 금융·보험업 대상 사건이 크게 증가
- 분쟁조정제도 강화로 인해 소송보다 신속한 해결이 가능해 신청 건수가 증가
- 2025년 중점 추진 방향으로 개인정보 취약계층 보호, 관계 기관 협업 확대, 대국민 인식 제고 등이 선정됨

LLM과 인공지능 시대, 데이터 및 시스템 보안 전략

탈레스가 LLM 환경에서의 데이터 보호를 위해 CipherTrust Transparent Encryption(CTE) 솔루션을 제안했다.
- 탈레스의 CTE 솔루션은 LLM이 접근하는 데이터를 암호화하여 무단 접근을 방지
- CipherTrust Manager(CM)를 활용한 중앙 암호 키 관리로 데이터 보안 강화
- 특정 폴더 및 파일을 GuardPoints로 지정해 보안 정책에 따른 접근 제어 가능
- Confidential Virtual Machines(CVM) 및 신뢰 실행 환경(TEE) 도입으로 실행 중 데이터 보호
- 금융, 의료, 법률 등 민감한 정보를 다루는 산업에서 보안 강화를 위한 솔루션으로 주목
- 국내 총판사 롤텍은 CTE 솔루션이 기존 시스템과 원활하게 통합 가능하다고 강조
- 기업의 AI 활용 증가에 따른 데이터 보안 문제 해결을 위한 새로운 기준 제시

프롬프트 10%가 민감 데이터 포함…기업에 필요한 보안 대책은?

생성형 AI를 통한 기업 기밀 데이터 유출 사례가 급증하며, 승인된 AI 애플리케이션도 보안 위협이 될 수 있음.
- 하모닉 보고서에 따르면 직원 프롬프트의 8.5%에 민감 데이터 포함
- 고객 데이터(46%)가 가장 많이 유출되며, 급여 정보 및 PII(27%), 법률 및 금융 데이터(15%)도 다수 포함
- 보안 관련 정보(6.88%) 유출은 침투 테스트 결과, 네트워크 구성, 사고 보고서 등의 심각한 보안 위협 초래
- 기업에서 승인된 AI 애플리케이션도 데이터 유출 위험을 내포하며, 특히 무료 AI 서비스가 가장 큰 문제
- 섀도우 AI 및 세미 섀도우 AI 사용이 보안 위험을 증가시키며, 기업 경영진이 이를 주도하는 경우도 존재
- 생성형 AI 활용 시 데이터 보호를 위한 명확한 정책 수립 및 직원 교육 필요
- 보안 전문가들은 AI 도구 사용 시 민감 정보를 포함하지 않는 쿼리 작성법을 학습해야 한다고 강조
- 기업이 AI 보안을 강화하려면 IT 부서가 실질적으로 유용한 AI 도구를 제공해야 함

[배종찬의 보안 빅데이터] 취준생 두 번 죽이는 채용 ‘피싱 사이트’ 취준생 타깃으로 개인정보 및 금전 탈취 노리는 채용 피싱 사이트 발견 보이스피싱 전달책의 가담경로, 구직사이트 70.6% 달해 [보안뉴스=배종찬 인사이트케이 연구소장] 2월이면 많은 대학교에서 졸업식이 열린다. 졸업은...

딥시크 뜨자 新 공격 기법 덩달아 극성 각종 민감 데이터 유출 가능성도 존재.[보안뉴스 문가용 기자] 대형 언어 모델(LLM)을 노리는 공격이... LLM재킹은 보안 업체 시스딕(Sysdig)에서 2024년 상반기에 만든 용어다. “공격자가 탈취한 크리덴셜을 사용해...

정보보호학회, ‘낯선 발신자 재확인’...온라인 보안 가이드 발표 안전한 인터넷의 날을 맞아 구글과 협력“온라인 보안과 사기 대응할 실질적인 정보 다뤄”[보안뉴스 조재호 기자] 정보보호학회가 온라인 사기 방지를 위해 이메일이나 메시지 등에서 낯선 발신인 재확인할 것을...

[bnTV] 엎친 딥시크, 덮친 관세... 시장은 ‘덤덤’ 물리적 분리 클라우드 환경 구축 보안↑[보안뉴스 이소미 기자] 는 보안 상장기업들에 대한 증권 정보 서비스를 제공하고 있습니다. 한 주간의 시장 흐름과 ‘보안 상장기업들의 주가 흐름’ 함께 살펴보겠습니다....

“걱정되는 AI·클라우드 보안, 고객 중심 SASE 서비스로 해결한다” 사이버 보안 위협이 급증하고 있다. 기업들의 IT 환경이 클라우드 기반으로 전환되면서 전통적인 물리적 장벽은 사라지고, 네트워크 보안의 중요성이 그 어느 때보다 강조되고 있다. 이러한 변화 속에서 네트워크...

[보안칼럼]국가 미래 경쟁력 결정짓는 사이버 보안의 전략 산업화 예컨대 정보보호 공시제도 활성화, 정보보호관리체계(ISMS) 인증 개선, 최고정보보호책임자(CISO) 제도 활성화, 보안 인센티브 제공 등 상시적인 보안을 유지할 수 있도록 지원하는 종합 정책이 절실하다. 아울러 국제 기술...

<보안뉴스>

<IT소식>

<행사/교육소식>