'보안 이야기'에 해당되는 글 1520건

4월 7일 뉴스입니다.

소나타입 “데이터 탈취 맬웨어, 1분기 사이 2배 늘어”

2025년 1분기에 발견된 오픈소스 맬웨어의 절반 이상이 민감정보 탈취 목적이었다.
- 소나타입은 1분기에 17,954개의 악성 오픈소스 패키지를 발견했다.
- 발견된 맬웨어 중 56%는 민감한 데이터 탈취를 목적으로 설계됐다.
- 이는 전 분기 대비 2배 이상 증가한 수치로, 개발자 대상 위협이 증가했음을 시사한다.
- 악성 패키지는 드로퍼, 코드 인젝션 등 고도화된 형태가 다수를 차지했다.
- 암호화폐 채굴 목적의 맬웨어 비중도 7%로 증가 추세다.
- 소나타입은 총 2만 건 이상의 공격을 차단했으며, 금융·정부·에너지 분야가 주요 표적이었다.
- 분석 대상은 메이븐, NPM, PyPI, NuGet 등 주요 생태계를 포함한다.
- 공격자는 공급망 침투를 위해 악의적으로 오픈소스를 설계하고 있다.

“AI 생성 코드, 보안성 낮고 민감 정보 더 많이 노출” 깃가디언 경고

AI 코딩 어시스턴트 사용 리포지토리는 민감 정보 유출 위험이 높다는 분석이 나왔다.
- 깃가디언 연구에 따르면 Copilot 적용 리포지토리는 민감 정보 포함 비율이 더 높다.
- 샘플 중 6.4%가 API 키, 비밀번호 등 노출 위험 요소를 포함하고 있었다.
- AI 생성 코드는 보안 프랙티스에 대한 맥락 이해 부족으로 결함이 잦다.
- 소스코드에 민감 정보를 평문으로 삽입하는 등 기본 보안 원칙이 무시되는 경우가 많다.
- 보안 전문가들은 AI 코드 사용 증가가 공급망 전반에 보안 위험을 확산시킬 수 있다고 경고한다.
- CISO는 AI 도구 사용 가이드라인과 민감 정보 관리 전략을 마련해야 한다.
- 개발자 교육을 통해 AI 기반 개발의 보안 취약점을 사전에 인지하고 대응할 수 있도록 해야 한다.
- 적절한 보안 테스트 없이는 AI가 생성한 코드가 미래의 학습 데이터로 재사용되어 악순환이 반복될 수 있다.

재판사무 담당 법원은 개인정보처리자 아니야

대법원이 '개인정보처리자'의 개념을 좁게 해석하며 개인정보보호법 위반 사건에 무죄 판결을 내렸습니다.
- 대법원은 법원이 재판 절차상 제공한 정보는 '개인정보처리자'의 제공으로 볼 수 없다고 판단
- 피고인은 재판기록 열람 과정에서 타인의 판결문을 입수해 민사소송에 활용
- 검찰은 개인정보보호법 제19조 위반으로 기소했지만, 대법원은 적용대상이 아니라고 봄
- 개인정보처리자는 개인정보파일을 운영하는 공공기관, 법인 등으로 정의됨
- 재판기록은 재판권 행사에 따른 절차로 정보 제공이 이루어진 것
- 피고인의 행위는 방어권 보장 범위 내의 합법적 절차로 간주됨
- 이번 판결은 개인정보보호법 적용 범위를 좁히는 해석에 해당함
- 개인정보보호위원회 중심의 법령 정비 필요성이 제기됨

[디지털문서 인사이트] AI 기술이 만드는 더 효율적인 문서처리 환경

AI를 활용한 문서 자동화와 행정 효율화가 가속화되며 'AI 친화적 문서'에 대한 필요성이 대두되고 있습니다.
- 문서작성 방식이 AI 기반의 초안 생성으로 변화하고 있음
- 특허청은 AI 기반 심사 시스템을 도입하여 행정 효율화 추진 중
- AI 동료가 문서를 요약·정리해주는 업무 자동화 가능성 제기
- AI 행정 자동화를 위한 법적 기반이 마련되어 있음
- AI가 처리할 수 있는 디지털 문서 체계가 전제 조건
- 콘텐츠를 데이터로 활용 가능해야 진정한 디지털화로 인정됨
- 개방형 포맷, 메타데이터 유지, 정보 비식별화 등 기술적 표준 필요
- AI 기반 행정 효율화는 스마트 행정 경쟁력의 핵심 요소로 주목됨

사람들은 왜 AI에 끌릴까?…영화로 본 인간과 AI의 애착

AI에 대한 인격화 인식과 대인관계 기능 장애가 인간과 AI 간 정서적 애착 형성의 주요 원인으로 분석됐습니다.
- 생성형 AI는 감정적 지원을 제공하며 인간의 정서적 대상이 되고 있음
- 인간-AI 애착 형성은 감정적·심리적 교환 과정을 통해 이루어짐
- 사용자들이 AI에게 인격을 부여하는 인식이 애착을 강화함
- 대인관계에 어려움을 겪는 사람들이 AI에 더 강한 애착을 가짐
- 영화 분석과 사용자 설문을 통해 이론적 프레임워크를 정립
- 사회적 교환 이론이 인간-AI 관계의 작동 원리를 설명함
- 사용자의 79.3%가 AI와의 상호작용에서 보상이 클 때 강한 애착 형성
- AI와 인간의 관계는 단순 기술이 아닌 복합적 감정 메커니즘 기반

금융보안원 'NFC 결제 정보 노린 악성앱 위협 확산…스마트폰-카드 접촉... 한 피해자는 세금 환급을 사칭한 문자 메시지를 받고 링크를 클릭한 뒤 계좌번호 등 개인정보를 입력했으며, 이후 은행 직원을 사칭한 공격자로부터 PIN 번호 변경과 카드 인증을 요구받았다. 이 과정에서 피해자는...

<보안뉴스>

<사고소식>

<IT소식>

<정보보호 신간/신제품 소개>

4월 5일 ~ 4월 6일 뉴스입니다.

북한 해킹조직, 개발자 노린 npm 악성 패키지 유포…신형 백도어 '트로피...

북한 연계 해킹조직이 npm 패키지를 활용해 개발자를 노린 사이버 공격을 감행하고 있다.
- 북한 해킹조직이 ‘비버테일’과 ‘트로피도어’ 악성코드를 포함한 npm 패키지를 제작해 공격
- 정상 라이브러리로 위장한 11개의 npm 악성 패키지가 5,600회 이상 다운로드됨
- 일부 패키지는 비트버킷을 이용하고 취업 관련 디렉터리명을 사용해 위장 캠페인 수행
- ‘팬텀 서킷’ 캠페인과 동일한 C2 서버 주소 사용 정황 확인
- 악성코드가 원격에서 페이로드를 내려받아 실행하는 RAT 로더로 동작
- DLL 파일을 활용해 윈도우 시스템 메모리에서 트로피도어를 활성화
- 트로피도어는 파일 탈취, 시스템 정보 수집, 명령 실행 등 다양한 악성 기능 수행
- 공급망을 악용한 진화된 기법으로 개발자와 기업 모두의 보안 주의 필요

파이썬 패키지로 위장한 악성코드, 신용카드 정보 탈취 정황 포착

PyPI에 등록된 악성 파이썬 패키지를 통해 민감정보 유출 및 신용카드 자동 테스트 공격이 발생했다.
- PyPI에 등록된 악성 패키지 3종이 신뢰를 악용해 민감정보 탈취
- bitcoinlib 위장 패키지가 정상 명령어를 덮어쓰는 방식으로 데이터 유출 시도
- 깃허브 이슈에 참여하며 정상 패키지처럼 위장한 공격자 활동 확인
- disgrasya 패키지는 자동화된 카드 유효성 검사 기능 포함
- WooCommerce 기반 쇼핑몰을 표적 삼아 자동 결제 절차 수행
- 결제 정보가 공격자 서버로 전송되도록 설계돼 탐지 우회 시도
- disgrasya는 3만 회 이상 다운로드되며 광범위하게 퍼짐
- 오픈소스 생태계를 겨냥한 정교한 공급망 공격의 대표 사례로 분석됨

딥시크가 촉발한 AI 보안…“국민·기업 넘어 국가 보호 위한 정책 필요...

딥시크 AI 모델의 보안 취약점이 확인되며 국가 차원의 AI 보안 정책 필요성이 대두되고 있다.
- 딥시크는 저비용 고성능 AI 모델이지만 보안 취약점이 다수 발견됨
- Unit42는 딥시크의 AI 탈옥 발생률이 높다고 분석
- 한국어 기반 보안 공격에 특히 취약한 것으로 나타남
- 역할극 기반 공격 성공률 83%, JSON 구조 입력 공격 82% 등 높은 수치
- 한국어 혐오 유도 및 탈옥 시도에 대한 취약성도 상당 수준
- 딥시크의 언어 기반 학습 편중으로 인해 한국어 대응 부족 추정
- AI DB 보안, 모델 공격, 시스템 기반 공격 등 전반적 보안 미흡
- 국가적 차원의 AI 보안 정책 수립 필요성이 보고서에서 강조됨

“LLM이 무기화된다”… 다크웹서 유통되는 해킹 AI, 시스코의 경고

생성형 AI의 상업화가 보안 취약점을 노린 공격 증가로 이어지며, 무기화된 LLM이 사이버 위협의 새로운 진원지가 되고 있다.
- 파인튜닝된 LLM은 원형 모델 대비 22배 이상의 보안 위협도를 보이며 해킹 도구로 악용 가능성이 커졌다.
- 의료, 법률 등 규제 산업에서도 파인튜닝을 통해 안전 장치가 무력화되는 사례가 확인됐다.
- 프롬프트 인젝션, 탈옥(jailbreak) 공격이 파인튜닝된 모델에서는 98% 이상 높은 확률로 성공했다.
- 무기화된 LLM(GhostGPT, FraudGPT 등)이 다크웹에서 SaaS 형태로 유통되며 공격 자동화를 지원하고 있다.
- 단 60달러로 오픈소스 데이터셋 일부를 조작해 학습 모델의 신뢰도를 떨어뜨릴 수 있는 공급망 공격도 확인됐다.
- '분해 프롬프트' 기법으로 뉴스기사 등 저작권 콘텐츠를 우회 재구성해 유출하는 사례가 발견됐다.
- 기존 보안 조치만으로는 대응이 어려워졌으며, 실시간 모니터링과 적대적 테스트 강화가 요구된다.
- LLM은 애플리케이션을 넘어 인프라로 자리잡아 보안 리더들의 기술 스택 재편이 필요해졌다.

북한 해킹조직, 개발자 노린 npm 악성 패키지 유포…신형 백도어 '트로피... 북한 연계 해킹조직이 npm 생태계를 악용해 개발자들을 노리는 사이버 공격을 강화하고 있다.... 보안업체 소켓(Socket)의 키릴 보이첸코(Kirill Boychenko) 연구원은 최근 보고서를 통해 '북한 해킹조직이...

파이썬 패키지로 위장한 악성코드, 신용카드 정보 탈취 정황 포착 사이버보안 업계가 파이썬 오픈소스 생태계를 겨냥한 새로운 공급망 공격 정황을 포착했다. 최근... 보안업체 리버싱랩스(ReversingLabs)와 소켓(Socket)이 각각 발표한 조사 결과에 따르면, 문제가 된 악성 패키지는...

이반티 방화벽 취약점 악용…중국 연계 해커 조직 'UNC5221' 정교한 공격... 사이버보안 및 인프라 보안국(CISA)은 해당 취약점이 실제 공격에 사용되고 있다며 긴급 경고를 발령했고, 사이버보안 업체 맨디언트(Mandiant)와 구글 위협 인텔리전스 그룹(GTIG)은 이번 공격의 배후로 'UNC5221...

딥시크가 촉발한 AI 보안…“국민·기업 넘어 국가 보호 위한 정책 필요... 탈옥은 AI를 해킹해 유해 정보를 생성하는 것을 의미한다. 국내에선 생성형 AI 보안 기업 이로운앤컴퍼니가 딥시크 AI 모델의 보안성 테스트 결과를 발표했다. 특히 한국어 기반 보안 공격에 취약하다는 분석을 냈다....

<보안뉴스>

<사고소식>

4월 4일 뉴스입니다.

개인정보보호 인식 높아졌지만 민간 보호조치 여전히 미흡…AI 시대 우...

2024년 개인정보보호 및 활용조사 결과, 국민 인식은 높지만 민간기업의 보호조치와 교육 실적은 여전히 미흡한 것으로 나타났다.
- 성인과 청소년 모두 개인정보 보호의 중요성에 대해 높게 인식하고 있음.
- AI 확산에 따른 개인정보 침해 위험성에 대한 우려도 증가하고 있음.
- 개인정보 동의서 확인률이 낮고, 특히 청소년의 확인률은 현저히 낮은 수준임.
- 공공기관과 민간기업 간 보호조치 이행률과 교육률에 큰 차이가 있음.
- 민간기업은 가명정보 및 마이데이터에 대한 이해와 활용 경험이 부족함.
- 정보주체 권리 인지율이 낮으며, 민간기업에서의 실질적인 요청은 거의 없음.
- 정부 정책으로는 기술개발과 보급 촉진이 우선 순위로 꼽힘.
- AI 시대를 대비한 개인정보 보호와 활용 간 균형 있는 정책 설계가 필요함.

마이크로소프트, 이메일 피싱 공격 경고…해커들, PDF·QR코드로 악성코...

미국 세금 신고 시즌을 노린 정교한 QR코드 기반 피싱 공격이 급증하고 있으며, 기업 보안 위협이 확대되고 있다.
- 피싱 이메일에 PDF 첨부파일과 QR코드를 활용해 악성 페이지로 유도함.
- 사용자가 클릭하거나 스캔 시 위장된 로그인 페이지로 연결되어 자격 증명 탈취 발생.
- 공격자는 RaccoonO365와 같은 피싱 서비스형 플랫폼을 이용함.
- 악성코드 BRc4와 Latrodectus를 포함한 다단계 감염 기법이 사용됨.
- 2,300개 이상의 미국 조직이 집중 공격을 받았으며, 특히 IT·공학 분야가 주요 타깃임.
- GuLoader, AHKBot 등 다양한 악성코드가 활용되며 탐지를 우회함.
- QR 코드 자체에 직접 악성 URL을 삽입하지 않고 우회 링크를 활용함.
- 패스워드리스 MFA 도입 및 실시간 URL 차단 등 다층적 방어 전략이 필요함.

개인정보보호 인식 높아졌지만 민간 보호조치 여전히 미흡…AI 시대 우... 특히 종사자 300인 이상 규모의 민간기업의 경우 보호조치 이행률이 90.8%로 높아, 기업 규모에 따라 보안... (7시간 교육이수) -주최: 데일리시큐 ★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading security media!★

마이크로소프트, 이메일 피싱 공격 경고…해커들, PDF·QR코드로 악성코... 이처럼 공격자들은 다양한 방법으로 전통적인 보안 필터링을 우회하고 있으며, 특히 GuLoader는 원격... 윈도우 보안 경고와 트로이화된 프로그램 배포 등 다양한 유형으로 확산되고 있다. 국내 보안 전문가들은...

정보보호학회, '제 8회 5G 보안 워크숍' 개최…당면 보안 과제와 미래 보... 한국정보보호학회(학회장 박영호, 세종사이버대 교수)는 6G보안연구회 주관으로 3일~4일 양일간 전남 여수 히든베이호텔에서 국내외 사이버보안 전문가 400여명이 참석한 가운데 '제8회 5G 보안 워크숍'을...

<보안뉴스>

<사고소식>

<IT소식>

<행사/교육소식>

4월 3일 뉴스입니다.

국정원, '병원 사이버 공격 막는다'...병원정보시스템 보안 가이드라인...

국가정보원이 병원 전산 시스템을 보호하기 위한 보안 가이드라인을 발표했다.
- 북한 등 사이버 위협 세력이 의료정보 탈취를 시도하고 있음.
- 국정원은 교육부·보건복지부 등과 협력해 '병원보안 모델 연구'를 완료.
- 가이드라인은 병원정보시스템 6개 영역에 대한 보안 표준을 제시.
- 정보보안 정책, 시스템 운영, 환자 개인정보 보호 등 보안 대책 포함.
- 국립대병원뿐 아니라 민간 종합병원 보안 담당자도 활용 가능.
- 병원 정보보호 협회 세미나에서 가이드라인 활용법을 설명.
- 가이드라인은 국가사이버안보센터 홈페이지에서 확인 가능.

크라우드스트라이크, '2025 글로벌 위협 보고서' 발표

크라우드스트라이크가 글로벌 사이버 위협 증가를 분석한 '2025 글로벌 위협 보고서'를 발표했다.
- 중국 연계 사이버 작전이 150% 증가, 주요 산업 대상 공격 최대 300% 급증.
- AI 기반 사회 공학적 공격 증가, 보이스피싱이 전년 대비 442% 상승.
- 이란 해커들이 AI를 활용한 취약점 연구 및 악용 시도 강화.
- 악성코드 없이 자격 증명 탈취 후 침입하는 공격이 79%에 달함.
- 북한 해킹 조직이 내부자 위협 방식으로 기업 시스템 침입 시도.
- 평균 사이버 공격 시간 48분으로 단축, 최단 51초 만에 침입 가능.
- 클라우드 환경에서 계정 탈취 공격 증가, 신규 클라우드 침입 26% 상승.
- 크라우드스트라이크는 AI 기반 보안 플랫폼으로 위협 인텔리전스를 제공.

[긴급] 시스코 CSLU 보안취약점 악용한 실제 사이버공격 확인…관리자 ...

시스코 CSLU 소프트웨어의 보안 취약점이 실제 공격에 악용되고 있어 패치가 시급하다.
- 취약점 CVE-2024-20439로 인해 원격 공격자가 관리자 권한 획득 가능.
- CVE-2024-20440은 디버그 로그에 민감 정보가 저장되는 문제를 포함.
- 취약점은 CSLU 2.0.0~2.2.0 버전에 영향을 미치며, 수동 실행 시 악용 가능.
- 2025년 3월, 해당 취약점이 실제 공격에 사용된 사례가 확인됨.
- 미국 CISA는 해당 취약점을 ‘이미 악용된 취약점 목록’에 추가.
- 연방 기관은 2025년 4월 21일까지 취약점 해결을 지시받음.
- 시스코는 패치 적용을 강력히 권고하며, 임시 보안 조치도 필요함.

“제대로 알고 쓰자” VPN으로 지킬 수 있는 것과 지킬 수 없는 것

VPN은 인터넷 프라이버시를 보호하지만, 100% 익명성을 보장하지 않는다.
- VPN은 트래픽을 암호화해 프라이버시 보호 수준을 높임.
- 그러나 완전한 익명성 제공은 불가능하며, 디지털 흔적이 남을 수 있음.
- ISP 등으로부터 사용자의 활동을 숨길 수 있는 점은 장점.
- 로그 정책, 암호화 수준에 따라 VPN 서비스 간 보안 수준이 다름.
- 최고 수준의 VPN 툴은 여전히 강력한 보안 도구로 활용 가능.

AI 기반 사이버공격 심상치 않네…'보이스피싱 442% 증가'

인공지능(AI) 기반 보이스피싱 공격이 급증하고 있으며, 중국 연계 사이버 공격이 증가하는 추세다.
- 크라우드스트라이크 보고서에 따르면, AI 기반 사회공학적 공격이 확산 중이다.
- 중국 연계 사이버 공격이 300% 증가했으며, 금융·미디어·제조업이 주요 표적이다.
- AI를 활용한 피싱 및 사칭 전술이 정교화되었고, 보이스피싱이 442% 증가했다.
- 공격자들은 원격 세션을 설정하여 탐지를 회피하고, 신원정보 탈취를 시도한다.
- 보안 대응을 위해 실시간 위협 인텔리전스 및 AI 기반 분석이 필수적이라는 평가가 나왔다.

[AI 이슈] AI 크롤러로 과도한 데이터 수집... 위키미디어, 인프라 심각...

AI 크롤러의 무차별적인 데이터 수집으로 위키미디어 인프라가 과부하되고 있다.
- AI 크롤러로 인해 위키미디어의 멀티미디어 다운로드 트래픽이 50% 이상 증가했다.
- 기존 인프라는 인간 사용자의 접속 패턴에 맞춰 설계됐으나, AI 크롤러는 지속적인 과부하를 유발한다.
- 일부 AI 크롤러는 robots.txt 규칙을 무시하고 차단을 회피하는 방식으로 접근하고 있다.
- 봇 트래픽은 전체 페이지뷰의 35%를 차지하지만, 인프라 부담의 65%를 유발한다.
- 위키미디어 재단은 ‘책임 있는 인프라 사용(WE5)’ 이니셔티브를 발표하며 대책을 마련 중이다.
- AI 기업과 인프라 제공자 간 협력 없이 무분별한 데이터 수집이 지속되면, 오픈 플랫폼이 유료화될 가능성이 커진다.

국정원, '병원 사이버 공격 막는다'...병원정보시스템 보안 가이드라인... 지난달 국립대학병원 사이버보안 협의회에서 가이드라인을 처음 소개했고, 3일 병원 정보보호 협회 춘계 세미나에서 가이드라인의 주요 내용과 활용법 등을 설명했다. 국정원 관계자는 “북한 등 불순한 해킹 세력들이...

[2025 디도스 대응 솔루션 리포트] 지속적인 디도스 공격 대응 프로세스... 시큐아이[보안뉴스 원병철 기자] 2024년 11월 국방부와 환경부, 법원 등 공공기관은 물론 민간기업까지... 종합적인 보안을 제공하며, 과정별로 다양한 기술을 활용해 네트워크와 애플리케이션을 보호한다....

크라우드스트라이크, '2025 글로벌 위협 보고서' 발표 크라우드스트라이크는 작년에만 7개의 신규 중국 연계 해킹 그룹을 추가로 발견했다. ◇사회 공학을 강화하는 생성형 AI AI 기반의 피싱 및 사칭 전술로 인해 2024년 하반기 보이스피싱(vishing)은 상반기 대비 442%나...

2024년 비밀정보 3,900만 건 유출 된 깃허브, 보안 기능 대폭 강화 나서 계기로 보안 기능을 대폭 강화했다. API 키와 사용자 인증 정보 등 민감한 데이터가 저장소에 노출되며 사용자와 기업 모두 심각한 보안 위험에 노출된 것으로 나타났다. 비밀정보 유출은 최근 소프트웨어 개발...

[긴급] 시스코 CSLU 보안취약점 악용한 실제 사이버공격 확인…관리자 ... 시스코(Cisco) 스마트 라이선싱 유틸리티(CSLU)에서 발견된 심각한 보안 취약점이 실제 공격에 악용되고 있는 것으로 확인돼, 보안 패치가 시급한 상황이다. 시스코는 해당 취약점으로 인해 공격자가 관리자...

<보안뉴스>

<사고소식>

<IT소식>

4월 2일 뉴스입니다.

개인정보위, 손해배상 책임제도 정비..보험료↓·보장범위↑

개인정보 손해배상책임 보장제도의 의무 가입 대상이 축소되지만 관리가 강화된다.
- 개인정보위는 손해배상책임 보장제도의 합리화 방안을 마련했다.
- 기존 의무 가입 대상 기준(매출 10억, 정보주체 1만명 이상)이 각각 1500억, 100만명 이상으로 상향된다.
- 의무대상이 아닌 기업은 인센티브 활성화를 통해 자발적 가입을 유도한다.
- 보험료를 50% 인하하고 보장 범위를 확대한다.
- 단체 보험 활성화 및 과징금 특약 상품 확대를 추진한다.

기업 자산 보호할 방법은? '사전 대응 전략 필요'

기업들은 사후 대응이 아닌 선제적 보안 전략을 강화해야 한다.
- 트렌드마이크로의 CREM 솔루션 도입 기업은 사이버 위험 지수가 감소했다.
- 사후 대응 방식만으로는 핵심 자산을 보호하기 어렵다.
- CREM 솔루션은 외부 공격표면관리, 자산공격 표면관리, 취약점 리스크 관리 등을 통합 제공한다.
- 솔루션 도입 시 평균 탐지 시간이 99% 단축되고 사고 대응 속도가 65% 향상된다.
- 선제적 보안 전략의 필요성이 강조되며 관련 웨비나도 개최될 예정이다.

LLM을 학습한 추출 모델, 작아도 위험은 동일

모델 추출 기술은 AI의 접근성을 높이는 동시에 보안 취약성을 증가시킬 수 있다.
- 모델 추출은 대형 언어 모델(LLM)의 고비용과 높은 지연 시간을 해결하는 기술이다.
- 학생 모델은 교사 모델의 보안 위험을 그대로 물려받을 가능성이 크다.
- 모델이 작아질수록 반전 공격 등 보안 위협에 더 취약해진다.
- 악의적 행위자는 모델 추출을 통해 보안 조치를 우회하거나 악용할 가능성이 있다.
- AI 모델의 보안 가드레일 우회 문제와 더불어, 추출 모델이 공격 도구로 사용될 위험성이 존재한다.

AI 시대, 데이터가 재산인데...전문가들 '익명·가명 정보 활용 가능해야...

AI 시대 데이터 활용 촉진을 위해 익명·가명 정보 활용과 신뢰 확보가 필요함.
- 국회에서 ‘AI 시대의 개인정보 보호와 활용’에 대한 세미나 개최.
- 강력한 개인정보 보호법이 데이터 활용을 어렵게 만드는 구조적 문제로 지적됨.
- 익명 정보 기술 확보를 통해 AI 선도국으로 도약 가능성 언급.
- 국가 익명정보 인증센터 설립 및 표준 절차 마련 필요성 강조.
- 가명 정보 활용 종합 대책 발표 예정, 법적·제도적 개선 추진.
- 공공데이터 활용 활성화를 위한 법률 개정 및 가명 정보 제공 확대 추진.
- 데이터 안심 구역 확장 및 국가 데이터 포털 구축 계획 발표.
- AI 발전을 위한 개인정보 보호와 데이터 활용 간 균형이 중요함.

AI로 더 거세진 사이버 공격...각 산업별 대응전략은

AI 발전과 함께 사이버 보안 위협이 증가하며, AI 기반 보안 대응이 필수적임.
- AI의 확산으로 사이버 보안 환경이 더욱 복잡해질 전망.
- AI를 악용한 사이버 공격이 증가하며, 주요 인프라가 공격 대상이 됨.
- AI 보안 위협에는 데이터 조작, 모델 탈취, AI 교란 등의 방법 포함.
- 기존 보안 방식(비밀번호, OTP 등)은 AI 기반 공격에 취약해질 가능성 있음.
- AI가 보안 위협을 감지하고 대응하는 ‘방어하는 AI’ 기술 발전 중.
- AI 기반 사이버 공격은 실시간 학습·적응을 통해 자동화되고 정교해짐.
- 사이버 보안은 기존의 ‘차단’ 방식에서 ‘예측’과 ‘복원력’ 중심으로 변화 중.
- 기업과 국가의 생존력을 좌우하는 핵심 요소는 AI 보안 기술 운영 능력임.

[배종찬의 보안 빅데이터] 의료 공백보다 천 배 더 무서운 ‘의료 해킹... 오라클 “해커가 회사 서버에 접속, 환자 데이터를 빼내갔다” 발표 국내외 막론하고 의료 서비스 해킹으로 인해 환자 개인정보 유출 ‘빈번’ [보안뉴스= 배종찬 인사이트케이 연구소장] 의대 정원을 둘러싼 의료...

KISA, “계정 탈취형 스미싱 급증”.. 2차 피해 주의 당부 높아”[보안뉴스 조재호 기자] 최근 텔레그램을 비롯한 SNS 계정을 탈취하려는 악성 메시지가 기승을... 최근 KISA는 명절 연휴에 보안공지를 통해 사이버사기 예방을 위한 범정부 차원의 주의를 당부하고, 이동통신...

개인정보위, 손해배상 책임제도 정비..보험료↓·보장범위↑ 의무대상 매출1500억·정보주체 100만명 이상으로 조정하고 자발적 가입 유도“의무 대상 200곳으로 줄어들고, 과징금 감경 및 특약 상품 확대 요청할 것”[보안뉴스 조재호 기자] 개인정보 유출 사고가 터졌을 때 피해를...

[카드뉴스] 보안 담당자가 제일 듣기 싫은 말 BEST 5 www.boannews.com) 무단전재-재배포금지>

<보안뉴스>

<IT소식>

<행사/교육소식>

4월 1일 뉴스입니다.

[김경환 변호사의 디지털법] 〈49〉챗GPT의 잘못된 정보 생성은 개인정...

생성형 AI의 허위정보 제공이 개인정보보호법 위반에 해당하는지 논란이 발생했다.
- 챗GPT가 한 개인에 대한 허위정보를 생성하여 개인정보자기결정권 침해 사례가 발생했다.
- 유럽 시민단체 Noyb는 GDPR을 근거로 챗GPT의 데이터 정확성 원칙 위반을 주장했다.
- 우리 개인정보보호법도 개인정보의 정확성을 보장할 의무를 명시하고 있다.
- 생성형 AI의 환각 현상은 기술적으로 완전히 제거하기 어렵다.
- 챗GPT의 시정 방안으로 프롬프트 차단과 면책조항 추가 등이 논의되고 있다.
- Noyb는 허위정보 삭제 및 LLM의 미세조정을 요구하고 있다.
- 오픈AI는 허위정보 생성을 AI 시스템의 구조적 문제로 보고 있다.
- AI의 정보 정확성 논란이 향후 AI 규제와 발전에 중요한 영향을 미칠 전망이다.

KISA, 소프트웨어 공급망 보안 강화… SBOM 기반 지원 사업 본격화

KISA가 공급망 보안 강화를 위한 지원 사업과 국제 규제 대응 전략을 발표했다.
- KISA는 공급망 보안 강화를 위해 두 가지 신규 지원 사업을 추진한다.
- 첫 번째 사업은 전체 공급망 내 보안 체계 구축을 지원하는 프로그램이다.
- 두 번째 사업은 개별 소프트웨어 개발사의 보안 역량 점검 및 컨설팅 제공을 목표로 한다.
- SBOM(소프트웨어 명세 목록)이 공급망 보안 관리의 핵심 요소로 주목받고 있다.
- 미국과 EU는 소프트웨어 보안성을 입증하도록 하는 규제를 강화하고 있다.
- 미국은 정부 납품 소프트웨어의 보안성을 의무화하고 있다.
- EU는 2027년부터 사이버 회복력 법(CRA)을 시행할 계획이다.
- KISA는 국내 기업의 글로벌 경쟁력 강화를 위해 전방위적 지원을 강화할 방침이다.

데이터 보안의 판도를 바꾸는 최첨단 암호화 기술 7가지

데이터 보안과 공정성을 강화하기 위한 새로운 접근 방식이 주목받고 있다.
- 데이터 보호를 위한 알고리즘이 보안뿐만 아니라 공정성 및 신뢰 확보에도 활용된다.
- 블록체인은 보안성을 기반으로 다양한 산업에서 신뢰를 구축하는 기술로 확장되고 있다.
- 강력한 암호화 체인을 통해 거래 및 데이터 처리를 안전하게 관리할 수 있다.
- 개인 정보 검색 보안과 데이터 프라이버시 보호 기술이 점점 발전하고 있다.
- 공정한 의사 결정과 투명한 데이터 처리를 보장하는 알고리즘이 개발되고 있다.
- 경쟁적 환경에서도 신뢰를 유지할 수 있는 기술적 방안이 연구되고 있다.
- 기업 IT 인프라 보안을 강화하기 위한 7가지 주요 접근 방식이 소개되었다.
- 미래에는 데이터 보안 기술이 예상치 못한 방식으로 산업 전반에 적용될 가능성이 높다.

[기고] EU 데이터법과 인공지능 산업의 발전 방향

EU 데이터법이 9월부터 시행되며, 커넥티드 제품 및 관련 서비스의 데이터 접근 및 공유에 대한 의무를 강화함.
- EU 데이터법은 커넥티드 제품 및 서비스에서 생성되는 데이터에 적용됨.
- 사용자에게 데이터 접근 권한을 부여하고, 제3자와 공유할 수 있도록 의무화함.
- 데이터 보유자는 사용자 요청 시 관련 데이터를 제공해야 함.
- 법 위반 시 제재 규정이 명확하지 않으나, 과징금 부과는 가능함.
- AI 산업에서도 데이터법 준수가 필요하며, 학습용 데이터 활용 시 주의가 요구됨.
- 글로벌 기업은 GDPR과 유사한 규제로 인해 EU 데이터법을 전 세계적으로 준수할 가능성이 높음.
- 데이터 수집 및 제공에 대한 의무가 강화되며, 기업의 데이터 활용 방식에 변화가 예상됨.

韓 개인정보보호법 지적한 美…'국가 간 서비스 저해'

미국 무역대표부가 한국의 개인정보보호법을 지적하며 글로벌 디지털 시장에 장벽을 조성한다고 주장함.
- 미국 무역대표부(USTR)는 한국의 개인정보 국외 이전 제한을 문제로 지적함.
- 2024년 3월 시행된 개정 개인정보보호법이 글로벌 기업에 과징금을 부과할 수 있도록 변경됨.
- 보고서는 데이터 국외 이전 제한이 국가 간 서비스 제공에 장벽이 된다고 주장함.
- 한국의 산업기술보호법이 외국 클라우드 서비스 사용을 제한하는 점도 비판함.
- 미국 정부는 한국 정부와 협력해 클라우드 컴퓨팅 지침 개정을 추진 중임.

법원서 받은 판결문 개인적 이용…대법 '개인정보법 위반 아냐'

대법원이 판결문을 개인적 용도로 사용한 경우 개인정보보호법 위반이 아니라고 판결함.
- A씨는 본인의 형사 사건 판결문을 열람하고 공동피고인의 개인정보가 포함된 사본을 받음.
- 이후 해당 판결문을 민사소송 탄원서에 첨부해 개인정보보호법 위반으로 기소됨.
- 1, 2심에서는 법원이 개인정보 처리자로 간주되어 A씨에게 벌금형을 선고함.
- 대법원은 재판 사무를 담당하는 법원은 개인정보 처리자로 볼 수 없다고 판결함.
- 이에 따라 A씨의 유죄 판결이 파기되고 사건이 대전지법으로 환송됨.

7만5000명 개인정보 무단 유출...우리카드, 134억 과징금

우리카드가 7만5000명의 개인정보를 무단 유출하고 마케팅에 활용해 134억원의 과징금을 부과받음.
- 우리카드 인천영업센터가 가맹점주의 개인정보를 조회해 마케팅에 활용함.
- 최소 13만 명의 가맹점주 개인정보를 카드 모집인들과 공유함.
- 7만5000명 이상의 개인정보가 이메일 및 카카오톡 단체채팅방을 통해 유출됨.
- 가맹점주 개인정보를 이용해 신규 카드발급 마케팅을 진행함.
- 개인정보 열람 권한이 영업센터에 위임되었으나 내부 통제가 부족했음.
- 개인정보보호위원회가 우리카드에 134억5100만원의 과징금을 부과함.
- 우리카드는 내부 보안 조치를 강화하고 재발 방지 대책을 마련하겠다고 발표함.

국민 70% AI로 인한 개인정보 침해 '심각하게 우려'

국민 대다수가 개인정보 보호의 중요성을 인식하지만, AI로 인한 침해 우려도 큼.
- 성인 92.7%, 청소년 95.0%가 개인정보 보호를 중요하게 인식.
- AI로 인한 개인정보 위험을 "심각하다"고 답한 비율은 성인 76.1%, 청소년 76.2%.
- AI 서비스의 개인정보 처리 방식 공개 필요성을 성인 72.1%, 청소년 71.0%가 지적.
- 개인정보 제공 시 동의 내용을 확인하는 비율은 성인 55.4%, 청소년 37.4%로 낮음.
- 공공기관의 개인정보 보호조치 이행률은 99.5%, 민간기업은 59.9%에 그침.
- 개인정보 보호 교육 이행률도 공공기관 90% 이상, 민간 부문 10% 미만으로 차이.
- 공공·민간기업 모두 정부의 개인정보 보호 기술 개발 및 보급 촉진을 최우선 과제로 선정.
- 개인정보보호위원회는 법령·제도 개선과 기술지원 및 점검 강화를 추진 예정.

테라폼이 코드형 인프라를 진화시키는 방법

하시코프, 테라폼을 중심으로 인프라 라이프사이클 전반을 지원하는 전략 강화.
- 하시코프는 테라폼을 기업용 경쟁 제품으로 발전시키며 시장 지배력 유지.
- 테라폼은 IaC 시장에서 강력한 영향력을 유지하며, AWS 클라우드포메이션 등과 경쟁.
- 하시코프는 테라폼 외에도 볼트, 컨설, 노마드 등과의 통합을 통해 보안 및 관리 강화.
- BT 그룹 등 대기업이 테라폼을 활용하여 인프라 배포 시간을 단축하고 효율성 향상.
- 오픈토푸, 풀루미 등 오픈소스 대안이 있지만, 하시코프의 통합 전략이 경쟁 우위 제공.
- IBM이 하시코프를 인수하면서 하이브리드 멀티클라우드 관리 플랫폼으로 발전 가능성 증가.
- 테라폼의 라이선스 모델 변화에도 불구하고, 강력한 기능과 파트너십으로 시장 지배력 유지.

AI 기본법 시행령 앞두고… 스타트업계 '규제 불확실성·이중규제 우려...

2026년 시행될 AI 기본법의 세부 시행령 초안을 두고 산업계의 우려와 개선 요구 제기.
- AI 기본법은 AI 기술 개발 지원과 신뢰 기반 조성을 위한 규제 틀을 포함.
- 산업계는 시행령 내용에 따라 과도한 규제 부담과 시장 불확실성이 발생할 것을 우려.
- '고영향 AI' 정의가 불명확하여 기업들이 규제 예측 어려움.
- '생성형 AI 표시 의무' 대상이 광범위하여 기술 혁신 저해 가능성.
- 기존 개인정보보호법과의 중복·충돌로 인해 법적 혼란 및 이중 규제 문제 발생 가능.
- 불명확한 사실조사 요건이 산업 현장에 과도한 부담을 초래할 우려.
- AI 검·인증 권한이 특정 기관에 집중될 경우 시장 경쟁을 저해할 위험 존재.
- 스타트업얼라이언스는 정부가 산업계 의견을 충분히 반영하여 시행령을 마련해야 한다고 제언.

2025년 4월 물리·정보보안 기업 어떤 인재 찾고 있나? CCTV 조달 영업부터 해외 영업 담당자까지, 다양한 보안 인재 모집[보안뉴스 원병철 기자] 나무들의 푸르름이 짙어지고 화사한 꽃향기가 일렁이는 4월이 다가왔다. 보안업계는 3월 19일부터 21일까지 열린 ‘세계 보안...

[김경환 변호사의 디지털법] 〈49〉챗GPT의 잘못된 정보 생성은 개인정... 챗GPT 등의 생성형 인공지능(AI)을 이용해 특정인을 검색했는데, 생성형 AI가 잘못된 정보를 제공하고 그로 인해서 개인정보자기결정권을 침해했다면, 생성형 AI는 개인정보보호법에 의거한 법적 책임을 지는가?...

<보안뉴스>

<IT소식>

<정보보호 신간/신제품 소개>

3월 31일 뉴스입니다.

[한국정보공학기술사 보안을 論하다-12] 스타트업도 보안 전략이 필요하...

FAANG 기업이 여전히 테크 산업의 중심을 차지하지만, 유니콘 기업의 성장이 시장의 판도를 바꾸고 있다.
- FAANG(Facebook, Apple, Amazon, Netflix, Google)이 글로벌 테크 산업을 주도하고 있음.
- 인공지능, 전기차, 공유 경제, 반도체 등 혁신 분야에서 새로운 유니콘 기업이 성장 중.
- 국내에서도 네이버, 카카오, 쿠팡, 우아한형제들 등 스타트업 중심의 빅테크 기업이 성장.
- 스타트업은 MVP 검증 및 투자 유치를 통해 확장하며, 보안 조치는 종종 후순위로 밀림.
- 보안 사고는 기업 신뢰를 훼손하고, 고객 및 기업 고객에게도 피해를 줄 수 있음.
- 스타트업의 보안 투자는 필수가 되며, 경영진의 보안 인식이 중요함.
- 제로트러스트 모델을 적용하여 클라우드 및 업무 인프라의 보안을 강화할 필요가 있음.
- 성장 단계별 보안 전략을 수립하여 보안 부채를 효과적으로 관리해야 함.

“SW공급망 보안, 수출장벽 우려”…KISA, 개발사 무료 보안 점검

미국과 EU의 SW 공급망 보안 강화 정책이 국내 SW 기업의 수출에 장벽이 될 가능성이 있다.
- 미국·EU 등 주요국이 SW 공급망 보안 규제를 강화하고 있음.
- 한국인터넷진흥원(KISA)이 국내 SW 개발사를 대상으로 공급망 보안 점검을 실시.
- SW 자재명세서(SBOM) 기반 공급망 보안 구축 지원사업을 추진 중.
- 4월부터 SW 개발기업을 대상으로 보안 점검 및 기술지원 사업 신청 접수 예정.
- SW 개발·설계·배포·업데이트 전 과정에서 보안 위협이 증가하고 있음.
- SW 공급망 보안이 미흡할 경우, 주요국 수출이 제한될 가능성이 있음.
- 국내 SW 기업은 보안 규제 대응을 위해 사전 대비가 필요함.

국민 10명 중 7명, AI 확산 따른 개인정보 침해 우려

AI 확산으로 인해 국민 10명 중 7명이 개인정보 침해를 우려하고 있으며, AI 서비스의 개인정보 처리 현황 공개 필요성이 제기됨.
- 개인정보보호위원회, '2024년 개인정보보호 및 활용조사' 결과 발표
- 국민 76% 이상이 AI로 인한 개인정보 위험을 심각하게 인식
- AI 서비스의 개인정보 처리 현황 공개를 원하는 응답자 비율 70% 이상
- 개인정보 제공 시 동의 내용을 확인하는 비율은 성인 55.4%, 청소년 37.4%로 낮음
- 공공기관의 개인정보 보호조치 이행률 99.5%, 민간기업은 59.9%
- 정부 정책 우선 과제로 '개인정보 보호 기술 개발 및 보급 촉진' 선정
- 개인정보보호위원회, 법령 개선 및 기술 지원 등을 통해 개인정보 보호 정책 강화 계획 발표

무작위 비밀번호로는 부족하다…더 강력한 온라인 보안 습관

무작위 비밀번호뿐만 아니라 사용자 이름도 무작위로 설정하면 보안성이 더욱 강화됨.
- 동일한 사용자 이름을 사용하면 계정 해킹 가능성이 높아짐
- 크리덴셜 스터핑 공격 방지에 무작위 사용자 이름이 효과적
- 이메일 마스킹을 활용하면 개인정보 보호 강화 가능
- 비밀번호 관리자를 활용하면 사용자 이름 관리도 가능
- 금융, 의료 서비스 등 중요한 계정부터 보안 조치 적용 권장
- 데이터 유출 증가로 인해 추가적인 프라이버시 보호 조치 필요
- 주요 이메일 계정의 로그인 정보는 비밀번호 관리자에 저장하지 않는 것이 안전함

[한국정보공학기술사 보안을 論하다-12] 스타트업도 보안 전략이 필요하... [글_ 이아람 기술사]필자소개_- 한국정보공학기술사회 미래융합기술원 부원장- 정보관리기술사, 정보시스템 수석감리원, ISMS-P 인증심사원, 개인정보 영향평가 전문인력www.boannews.com) 무단전재-재배포금지>

카스퍼스키, 구글 크롬서 ‘제로데이’ 취약점 발견 권장”[보안뉴스 조재호 기자] 카스퍼스키가 크롬(Chrome) 브라우저의 샌드박스 보호 시스템을 우회하는... 회사는 즉시 구글 보안팀에 이를 알리고 패치를 지원했다. 이번 취약점에 대한 보안 패치는 지난 25일...

전 세계 태양광 인버터 46개 보안취약점 발견…전력망 위협 현실화 우려 전 세계 에너지 전환의 핵심으로 주목받는 태양광 발전 설비에서 심각한 보안취약점이 다수 발견됐다. 사이버보안 전문기업 포어스카우트 베데레랩스(Forescout Vedere Labs)는 썬그로우(Sungrow), 그로왓(Growatt), SMA 등...

“SW공급망 보안, 수출장벽 우려”…KISA, 개발사 무료 보안 점검 실제 북한 해킹그룹 라자루스는 지난 2022년 국내 금융SW의 취약점을 악용해 국가·공공기관 등 61곳을... 또 SW 실행 환경에서 발생하는 보안취약점을 탐지하고 대응방안을 마련하는 모의해킹도 수행한다. SW 보안 체계...

국민 10명 중 7명, AI 확산 따른 개인정보 침해 우려 개인정보보호위원회는 개인정보처리자의 개인정보 보호·활용 실태와 정보주체의 개인정보보호 인식 등을 담은 '2024년 개인정보보호 및 활용조사' 결과를 발표했다. 이번 조사는 공공기관·민간기업·국민을...

<보안뉴스>

<IT소식>

<행사/교육소식>

3월 29일 ~ 3월 30일 뉴스입니다.

개인정보위, 개인정보 작성지침 개정본 발간..해외사업자 의견 수렴

개인정보보호위원회, 해외사업자의 개인정보 처리방침 실효성 강화를 위한 지침 개정 추진
- 개인정보보호위원회, 해외사업자 12개사와 간담회 개최
- 개인정보 처리방침 평가제 도입, 해외사업자 평가결과 국내 기업 대비 저조
- 해외사업자, 국내 제도의 세부 규정 준수에 어려움 토로
- 개인정보위, 4월 중 ‘개인정보 처리방침 작성지침 개정본’ 발간 예정
- 정보주체 권리 강화를 위한 지속적인 정책 개선 추진

AI 모델 안전성 확보는 '설명성·데이터·강건성'에 달려

AI 안전성을 확보하기 위해 설명 가능성, 데이터 품질관리, 강건성 테스트 필요
- AI 의사결정 과정의 설명 가능성을 확보해야 함
- 공정하고 신뢰할 수 있는 데이터 품질 관리 필요
- AI의 예상치 못한 상황 대응을 위한 강건성 테스트 강조
- AI 모델의 신뢰성, 윤리적 정렬성, 책임성을 높여야 함
- AI 거버넌스 구축 및 모니터링 강화 필요
- AI 기술의 산업 활용 사례 및 적용 범위 확대 논의

우리카드, 개인정보 무단 활용으로 134억원 과징금 처분

우리카드, 가맹점주 개인정보 무단 활용으로 134억 과징금 부과
- 개인정보위, 우리카드의 개인정보법 위반 조사 후 과징금 부과 결정
- 가맹점주 20만여 명의 개인정보를 카드 모집 마케팅에 무단 사용
- 법적 근거 없이 주민등록번호 처리 규정 위반
- 데이터베이스 접근권한 및 다운로드 권한 과도 위임 문제 지적
- 우리카드에 내부통제 강화 및 개인정보 보호조치 준수 명령

[특별인터뷰] 고학수 개보위원장 '마이데이터, 세계가 한국 주시'

개인정보보호위원회 고학수 위원장, AI 시대에 맞춘 개인정보 보호정책 추진
- 개인정보 보호와 데이터 활용의 균형을 강조
- 개인정보보호법 개정 및 디지털 잊힐 권리 지원사업 시행
- 마이데이터 제도 도입으로 의료·통신 정보 활용 강화
- AI 기술 발전에 따른 개인정보 보호정책의 중요성 언급
- 개인정보 보호와 AI 발전을 함께 고려한 정책 수립 목표

취준생 개인정보유출 인크루트, 과징금 취소 소송 1심 패소

인크루트, 2020년 개인정보 유출 사건 관련 과징금 취소 소송에서 패소
- 인크루트는 2020년 해킹으로 3만5천여 건의 개인정보 유출 사고 발생
- 개인정보보호위원회는 보안 조치 미흡을 이유로 과징금 7,060만원과 과태료 360만원 부과
- 인크루트는 과징금이 부당하다며 2023년 10월 행정소송 제기
- 서울행정법원은 개인정보보호위원회의 처분이 정당하다고 판결
- 인크루트의 소송 패소로 인해 기업의 보안 조치 강화 필요성 대두

메타는 왜 반복적으로 과징금을 받는가[안성훈 변호사의 ‘행정법 파보...

메타, 반복적인 개인정보 보호법 위반으로 총 1000억 원 과징금 부과
- 2020년 11월, 페이스북 로그인 과정에서 이용자 동의 없이 개인정보 제공하여 67억 원 과징금 부과
- 2021년 8월, 얼굴 인식 정보 무단 수집으로 64억 원 과징금 부과
- 2022년 9월, 온라인 행태정보를 동의 없이 수집하여 308억 원 과징금 부과
- 2023년 11월, 98만 명의 민감정보를 동의 없이 광고 타겟팅에 활용하여 216억 원 과징금 부과
- 법원은 메타의 항변을 인정하지 않고 개인정보보호위원회의 결정을 지지
- 메타는 데이터 기반 광고 사업 모델로 인해 지속적인 법적 리스크에 직면
- 개인정보 보호 규제가 강화될수록 글로벌 플랫폼 기업들의 법적 책임 증가 예상
- 국내 기업들도 개인정보 보호가 기업 경쟁력과 직결된다는 점을 인식할 필요

개인정보 손배책임 보장제도 재조정···의무대상 매출 기준 낮춘다

개인정보 손해배상책임 보장제도, 매출 기준을 1500억 원 이상으로 조정
- 개인정보보호위원회, 개인정보 손해배상책임 보장제도 개선 방안 발표
- 기존 의무대상 기준(매출 10억 원 이상, 정보주체 1만 명 이상)에서 완화(매출 1500억 원 이상, 정보주체 100만 명 이상)
- 보험료 인하 및 보장 범위 확대 추진, 일부 보험상품에서만 제공되는 과징금 보험특약 확대 계획
- 개인정보 분쟁조정제도를 통해 손해배상금 지급을 활성화하여 피해자 보호 강화
- 한국개인정보보호책임자협의회 등과 협력해 제도 안내 및 인식 제고 추진
- 기존 제도의 실효성 문제(보험료 부담, 인지도 부족 등) 개선 필요성 제기

웨스턴디지털 '응답자 87, 데이터 자동 또는 수동 백업 중'

데이터 백업 중요성에 대한 인식 증가, 87%가 데이터 백업 수행
- 웨스턴디지털 조사에 따르면 87%의 응답자가 데이터를 백업한다고 응답
- 주요 백업 이유는 데이터 손실 우려(83%), 저장 공간 확보(67%), 사이버 공격 대비(42%)
- 데이터 손실 경험이 있는 응답자는 63%에 달함
- 세계 백업의 날(World Backup Day)을 통해 데이터 보호 중요성 강조
- 백업을 하지 않는 이유로는 필요성을 못 느낌(36%), 저장 공간 부족(30%), 백업 시간 부담(29%) 등이 제시됨
- 백업 방법을 몰라서 하지 않는 비율도 23%로 나타남
- 기업과 개인 모두 데이터 보호 전략을 강화할 필요 있음

개인정보위, 개인정보 작성지침 개정본 발간..해외사업자 의견 수렴 구글, MS, 스타벅스, 알리 등 해외사업자 CPO 간담회 진행개인정보 처리방침의 실효성 높일 작성 우수사례 등 관련 지침 보완[보안뉴스 조재호 기자] 개인정보보호위원회(위원장 고학수)는 해외사업자들의 ‘개인정보...

AI 모델 안전성 확보는 '설명성·데이터·강건성'에 달려 보안 거버넌스를 준수, 각사별·개인별 데이터가 보호되는 AI 서비스 제공이 특징이다. 오현식 롯데이노베이트 인공지능테크랩 실장은 “AI 시대 기업 경쟁력 강화를 위해 AI 전략이 중요하다”며 “롯데이노베이트는...

<보안뉴스>

<사고소식>

<IT소식>

<정보보호 신간/신제품 소개>

3월 28일 뉴스입니다.

개인정보위, '개인정보 처리 현황 파악 등에 시민단체와 협력'

IP 카메라 개인정보 보호를 위해 시민 사회의 참여를 확대하는 방안이 추진된다.
- 개인정보보호위원회가 소비자 및 시민단체와 개인정보 보호 협력 방안을 논의하는 간담회를 개최했다.
- IP 카메라의 개인정보 처리 현황 분석 및 침해 요소 모니터링이 협업 대상에 포함됐다.
- AI 및 디지털 전환으로 인한 프라이버시 침해 우려 해소가 주요 논의 주제였다.
- 시민단체는 개인정보 침해 구제 수단의 실효성 확보를 요구했다.
- 개인정보보호위원회는 시민단체와 협력해 신뢰할 수 있는 개인정보 보호 환경을 조성할 계획이다.

2025년 2월, 하루 평균 27만 건 웹 공격 발생…SQL 인젝션이 전체 공격의...

2월 한 달간 AI 기반 웹 방화벽이 하루 평균 27만 건의 웹 공격을 탐지했다.
- SQL 인젝션이 전체 공격의 36.99%를 차지하며 가장 높은 비율을 기록했다.
- 공격 발생 IP는 한국, 중국, 미국, 루마니아 등 다양한 국가에서 탐지됐다.
- Apache OFBiz의 RCE 취약점(CVE-2024-38856)이 패치 우회를 통해 악용되었다.
- AIWAF 전용 패턴이 추가되었으며, 최신 버전 업데이트가 권고됐다.
- 보안 전문가들은 글로벌 보안 위협에 대한 종합적인 대응 전략이 필요하다고 강조했다.

[웨비나 영상] 제로트러스트 확산을 위한 정책 추진 방향과 적용 솔루션...

제로트러스트 2.0의 민간 확산을 위한 제도적 방향성과 기술적 구현 전략이 제시됐다.
- 데일리시큐와 아카마이코리아가 공동 주최한 웨비나에 250여 명의 정보보호 담당자가 참석했다.
- KISA는 제로트러스트 보안 모델의 필요성과 가이드라인 2.0의 주요 내용을 설명했다.
- 가이드라인 2.0은 4단계 성숙도 모델과 6대 핵심 요소를 중심으로 세부 역량을 정의했다.
- 2025년부터 민간 부문 확산을 위한 시범사업 및 컨설팅 지원이 추진된다.
- 아카마이코리아는 동적 정책 기반 보안으로 공격 표면을 99.93% 감소시키는 방안을 소개했다.

AI로 진화하는 피싱 공격… 사이버 범죄자의 소셜 엔지니어링 전략 변화

사이버 범죄자들은 AI를 활용해 피싱 기법을 더욱 정교하게 발전시키고 있다.
- 피싱 공격이 AI 기술을 활용하여 더욱 정교하고 개인화된 방식으로 진화하고 있음.
- AI 기반 챗봇과 생성형 AI를 이용해 문법적으로 완벽하고 신뢰할 수 있는 피싱 이메일 제작 가능.
- 딥페이크 기술을 활용하여 음성 및 영상 기반의 피싱 공격이 증가하는 추세.
- 공격자들은 기존 이메일 쓰레드를 가로채어 더욱 신뢰할 수 있는 형태로 변조하여 피싱 수행.
- 클릭픽스 기법을 사용해 파워셸 명령어 실행을 유도하는 공격 방식이 확산 중.
- 신뢰할 수 있는 브랜드를 사칭한 피싱 기법이 더욱 정교해지고 있음.
- 합법적인 파일 공유 및 서명 서비스 등을 악용하여 피싱 링크를 전파하는 사례 증가.
- QR 코드를 활용한 ‘퀴싱(Quishing)’ 공격이 보안 필터를 우회하는 방법으로 급증하고 있음.

개인정보위, '개인정보 처리 현황 파악 등에 시민단체와 협력' 개인정보보호위원회는 28일 서울 광화문에서 ‘소비자·시민단체 개인정보 정책간담회’를 열고, 주요 개인정보 이슈에 소비자와 시민단체가 참여하는 방안을 제안했다. IP 카메라 같은 IT 기기의 개인정보 처리 현황...

2025년 2월, 하루 평균 27만 건 웹 공격 발생…SQL 인젝션이 전체 공격의... 특히 2월 28일과 30일에 공격이 집중되었으며, 이는 보안 대응 시점을 사전에 예측해 선제적 조치가... 그 외에도 내부 IP 대역(10.x.x.x)에서 수십만 건의 공격이 발생해 내부 시스템 보안 점검의 필요성도...

[웨비나 영상] 제로트러스트 확산을 위한 정책 추진 방향과 적용 솔루션... 이번 웨비나는 제로트러스트 보안 모델의 국내 도입을 위한 제도적 방향성과 기술적 구현 전략을 구체적으로 다뤄 보안담당자들의 큰 관심을 모았고 웨비나 내내 많은 질문들이 올라왔다. 제로트러스트 사업총괄을...

<보안뉴스>

<IT소식>

3월 27일 뉴스입니다.

[사람과 보안] 숨기면서도 드러내야만 하는 보안의 패러독스

보안은 기밀성과 개방성이 균형을 이루어야 강해질 수 있다.
- 보안의 핵심 요소는 기밀성, 무결성, 가용성(CIA 3요소)이다.
- 기밀성은 보안의 기본이지만 지나치게 폐쇄적이면 오히려 위험을 초래한다.
- 기업들은 보안 정보를 공유하지 않으면 최신 보안 위협에 취약해질 수 있다.
- 사이버 위협 정보와 기술 트렌드는 적극적으로 공유되어야 한다.
- 보안 엑스포와 컨퍼런스는 실무적 보안 정보를 공유하는 중요한 기회이다.
- 현장에서 발생한 보안 위협 사례는 빠르게 공유될수록 효과적인 대응이 가능하다.
- 기업의 보안은 외부 피드백을 받아들여야 더욱 강해질 수 있다.
- 보안의 개방성을 인정하고 위협을 공유하는 것이 실질적인 보안 강화로 이어진다.

개인정보위, 우리카드에 과징금 134억 부과…'최소 20만 명 가맹점주 개...

우리카드는 가맹점주의 개인정보를 동의 없이 마케팅에 활용해 134억 원의 과징금을 부과받았다.
- 개인정보위는 우리카드의 개인정보보호법 위반을 확인하고 과징금 및 시정명령을 결정했다.
- 우리카드는 최소 20만 명의 가맹점주 개인정보를 카드 마케팅에 무단 활용했다.
- 주민등록번호를 이용해 신용카드 보유 여부를 조회하고 모집인과 공유했다.
- 개인정보가 카카오톡 단체 채팅방과 이메일을 통해 전달되는 등 관리가 부실했다.
- 7만 명 이상의 가맹점주가 마케팅 활용에 동의하지 않았음에도 정보가 사용됐다.
- 개인정보보호법 제18조(목적 외 이용 제한) 및 주민등록번호 처리 규정을 위반했다.
- 우리카드는 내부 통제 미흡으로 대량의 개인정보 유출을 초래했다.
- 개인정보위는 기업의 무단 개인정보 활용에 대한 강력한 제재를 예고했다.

개인정보위, 손해배상책임 보장제도 대폭 손질…의무대상 상향 조정·보...

개인정보 유출 사고에 대비한 손해배상책임 보장제도의 기준이 대폭 변경되어 보험료 인하 및 보장범위 확대가 추진된다.
- 개인정보 보호법 시행령 개정을 통해 의무대상을 ‘매출 1,500억 원·정보주체 100만 명 이상’으로 상향 조정
- 보험료를 최대 50% 인하하고 보장범위를 확대하여 실질적인 피해 구제 강화
- 개인정보 분쟁조정 절차를 통해 결정된 합의금도 보험 보장 대상에 포함
- 개인정보보호위원회가 기업 및 국민의 인식 제고를 위한 홍보 강화 추진
- 보험 가입 확대를 위해 한국개인정보보호책임자협의회 및 유관 협단체와 협력 예정

박정훈 국민의힘 의원 '커지는 기업 해킹 위협, 사이버보험이 안전판'[...

기업들의 해킹 피해를 줄이고 회복력을 높이기 위해 사이버보험 활용 방안을 논의하는 토론회가 열린다.
- AI, 빅데이터, 클라우드 발전과 함께 사이버 공격 증가로 기업 피해 심화
- 사이버보험은 해킹, 랜섬웨어 등으로 인한 경제적 손실을 보상하는 중요한 안전장치
- 중소기업 및 비영리기관이 주요 공격 대상이며, 보안 관리 역량이 취약한 상황
- 정보보호 공시제도 강화 및 사이버 사고 피해 공유 시스템 구축 필요
- 보험료 부담 문제를 해결하기 위해 인센티브 요율제 및 국가 지원 검토
- 국가 차원에서 사이버 사고 데이터를 수집·분석하여 기업과 보험업계에 제공 필요

개인정보위, 가명 처리 안 한 개인정보 AI 개발 활용 추진

개인정보보호위원회가 AI 개발을 위해 익명·가명 처리하지 않은 개인정보 활용을 허용하는 법 개정을 추진한다.
- 특정 요건을 충족하는 경우 개인정보를 AI 개발에 활용 가능하도록 법 개정 추진
- 개인정보보호위원회 심의를 거쳐 활용 여부를 결정하는 방식
- 산업계에서는 요건 충족이 어렵다는 지적과 함께 규제 완화를 요구
- 개인정보 자기결정권 제한 문제로 법 개정 초기에는 신중한 접근이 필요
- 시행 후 점진적으로 규제를 완화하는 방향도 고려 중

고학수 위원장 'AI·데이터청? 굉장히 어려운 조직될 것'

고학수 개인정보보호위원장은 AI·데이터청 설립에 대해 실효성 문제를 지적하며 부정적 입장을 표명함.
- 고 위원장은 AI·데이터청이 인사, 예산, 입법에서 독립성을 확보하기 어려운 구조라고 설명함.
- 데이터 거버넌스 및 정책 방향 설정의 실효성을 높이는 방안을 고민해야 한다고 강조함.
- 한국적 현실에서는 대통령 어젠다로 채택될 경우 추진력이 높아질 수 있다고 언급함.
- 중국 생성형 AI '딥시크'가 한국법을 준수하려는 의사를 보였다고 밝힘.
- 딥시크의 개인정보 수집 및 활용 방식에 대한 한국 소비자의 우려가 크다고 지적함.
- 개인정보위는 딥시크의 개인정보 보호 실태를 조사 중이나, 구체적 결과는 아직 발표할 단계가 아님.
- 트럼프 행정부 출범 이후 개인정보 정책 대응 방안을 논의 중이며, 4월 본격적인 논의가 시작될 전망임.
- 개인정보위와 메타 간 소송에서 최종 승소했으나, 미국 정부의 공식 반응은 없는 상태임.
- 개인정보위의 조사 강제력이 부족하다는 지적에 대해, 자료 제출 지연 시 부담금 부과 방안을 검토 중임.

[사람과 보안] 숨기면서도 드러내야만 하는 보안의 패러독스 기밀 유지와 폐쇄성이 보안 핵심이지만 개방성과 정보공유 중요성 점증 실전적 보안은 ‘지식 생태계’ 속에서 성장...감추고 닫는 게 능사 아냐 보안 엑스포는 현장의 각종 ‘전투 기록’들이 공유되는 유일한 실체적...

개인정보위, 우리카드에 과징금 134억 부과…'최소 20만 명 가맹점주 개... [K-CTI 2025] 국내 최대 사이버위협·침해사고대응 인텔리전스 컨퍼런스 개최(7시간 교육이수) -주최: 데일리시큐 -일시 2025년 4월 15일(화) / 오전 9시~오후 5시 ★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading...

개인정보위, 손해배상책임 보장제도 대폭 손질…의무대상 상향 조정·보... [K-CTI 2025] 국내 최대 사이버위협·침해사고대응 인텔리전스 컨퍼런스 개최(7시간 교육이수) -주최: 데일리시큐 -일시 2025년 4월 15일(화) / 오전 9시~오후 5시 ★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading...

<보안뉴스>

<IT소식>