검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'보안'통합검색 결과 입니다. (1780건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

쿠팡은 왜 개인정보 유출자 발표 서둘렀을까

쿠팡이 개인정보 유출 사태와 관련해 정부 조사 결과가 나오기 전 자체 포렌식 조사 내용을 공개하는 등 사건의 윤곽을 먼저 제시해 논란이다. 정부는 이를 두고 “확인되지 않은 일방적 발표”라며 선을 그었는데, 일각에서는 쿠팡이 여론과 규제, 보상 논의를 염두에 두고 발표 시점을 전략적으로 선택한 것 같다는 시각이다. 26일 쿠팡은 입장문을 내고 이번 조사가 정부 지시에 따라 진행된 공조 과정이었다고 설명했다. 12월 초부터 정부와 협력해 유출자를 추적했고, 유출자 접촉과 기기 회수, 진술 확보 과정 역시 정부와 협의해 이뤄졌다는 것이다. 쿠팡은 이런 배경을 들어 “독자적으로 조사하거나 일방적으로 판단한 것이 아니다”라고 해명했다. 쿠팡 선제 발표 배경은 앞서 지난 25일 쿠팡은 이번 사태와 관련해 전직 직원을 특정하고, 글로벌 보안업체 세 곳이 참여한 포렌식 조사 결과 유출자의 진술과 조사 내용이 일치한다고 강조했다. 접근 계정은 3천300만개에 달했지만 실제 저장된 정보는 약 3천개에 그쳤고, 외부 전송은 없었다는 점을 반복적으로 설명했다. 이 같은 설명은 개인정보 유출의 규모와 성격을 '확산된 대형 사고'가 아닌 '제한적 내부 범죄'로 규정하려는 프레임으로 읽힌다. 특히 '접근'과 '저장'을 구분해 수치를 제시한 점, 결제정보·로그인 정보·개인통관고유번호는 포함되지 않았다고 강조한 대목은 소비자 불안을 진정시키는 데 초점이 맞춰져 있다. 업계 일각에서는 쿠팡이 발표 시점을 서둘러 여론의 기준점을 먼저 설정하려 했다는 분석이 나온다. 정부 조사 결과가 나오기 전이나 국회 청문회가 열리기 전에 사건의 윤곽을 기업 설명으로 선제적으로 정리해 두는 것이 향후 보상 논의나 제재 수위 산정에 유리하다는 판단이 작용했을 가능성이다. 특히 쿠팡이 “외부 전송이 없었다”, “저장된 정보는 모두 삭제됐다”고 단정적으로 표현한 점은 향후 논의의 초점을 '피해 확산 여부'가 아닌 '관리 책임의 범위'로 이동시키려는 의도로 해석된다. 또 다른 배경으로는 고객 보상과 시장 신뢰 관리가 꼽힌다. 쿠팡은 이번 발표에서 보상 방안을 조만간 별도로 공개하겠다고 예고했다. 사건의 성격을 제한적으로 규정한 뒤 보상안을 제시할 경우, 보상 대상과 범위를 보다 좁게 설정할 수 있다는 계산도 깔려 있을 수 있다. 정부 “확인되지 않은 발표”…조사·책임 쟁점은 여전 정부 입장에서는 책임 소재와 함께 쿠팡의 관리소홀 문제를 명확히 하려는 의도 아래 조사 결과 발표가 밀렸을 가능성이 있다. 쿠팡의 발표로 개인정보 유출 규모가 축소됐지만, 권한이 없는 인물이 이를 조회했다는 것만으로 범죄가 되고 여기에 대한 책임을 회사에도 물을 수 있기 때문이다. 이 과정에서 협의 없이 쿠팡이 사건 진행 상황을 외부에 공개해버렸고, 정부는 논의의 초점이 이동할 뿐만 아니라 사건이 축소될 수 있다는 점을 의식해 강력히 항의했을 수 있다. 김명주 서울여대 정보보호학과 교수는 "권한이 없는 사람이 이용자 정보를 조회한다는 것 자체가 문제가 된다"며 "(이번 사건은) 보안 키를 가지고 나가면 안되는데, 접근을 허용해 발생한 일이다. 키 관리 부실만으로 회사도 공모자가 된다"고 말했다. 이어 "보안 키를 들고 나간 것은 개인이 책임을 져야 하지만, 오랜 시간 외부에서 정보에 접근했다는 사실을 확인 못한 것을 회사 책임으로, 개인의 일탈로 규정지으면 안 된다"고 설명했다.

2025.12.26 18:52안희정

쿠팡 "고객보상 방안 곧 발표...2차 피해 끝까지 막겠다"

쿠팡이 최근 발생한 개인정보 유출 사태 관련 용의자인 유출자를 특정했다면서, 고객 보상 방안을 조만간 별도로 발표하겠다고 약속했다. 이어 고객들에게 다시 한 번 고개를 숙였다. 쿠팡은 25일 “이번 개인정보 유출로 고객 여러분께 큰 걱정과 불편을 끼쳐드린 점에 대해 책임을 통감한다”면서 “사태 수습과 재발 방지를 위해 모든 역량을 동원하고 있으며, 고객 보상 방안도 곧 공식 안내할 예정”이라고 밝혔다. 이어 “정부기관 조사에 성실히 협조하는 한편, 2차 피해가 발생하지 않도록 끝까지 책임 있는 조치를 이어가겠다”며 “이번 사태를 계기로 개인정보 보호 체계를 전면 재점검하고 재발 방지 대책을 강구하겠다”고 강조했다. 아울러 “수많은 고객과 국민들께 심려를 끼쳐드린 점에 대해 다시 한 번 진심으로 사과드린다”고 거듭 사과했다. 유출자 특정·정보 회수 완료…“외부 전송 없어” 쿠팡에 따르면, 회사는 디지털 지문(digital fingerprints) 등 포렌식 증거를 토대로 고객 정보를 유출한 전직 직원을 특정, 유출에 사용된 모든 장치와 저장매체를 회수해 확보했다. 현재까지 조사 결과에 따르면 유출자는 단독으로 범행을 저질렀으며, 탈취한 내부 보안 키를 이용해 약 3천300만 명 고객 계정의 기본 정보에 접근했다. 다만 실제로 저장한 정보는 약 3천개 계정에 한정됐고, 해당 정보는 모두 삭제한 것으로 확인됐다. 저장된 정보에는 이름·이메일·전화번호·주소·일부 주문 정보가 포함됐으며, 공동현관 출입번호는 2천609개가 포함된 것으로 파악됐다. 결제정보·로그인 정보·개인통관고유번호 등 민감 정보는 접근·유출되지 않았고, 제3자에게 외부 전송된 사실도 없는 것으로 조사됐다. 쿠팡은 사건 초기부터 맨디언트·팔로알토 네트웍스·언스트앤영 등 글로벌 보안업체 세곳에 포렌식 조사를 의뢰해 조사를 진행했다. 회사 측은 “외부 전문기관의 분석 결과 역시 유출자의 진술과 일치하며, 추가 유출 정황은 발견되지 않았다”고 설명했다. 유출자는 개인 데스크톱 PC와 맥북에어 노트북을 사용해 고객 정보에 접근한 것으로 조사됐으며, 해당 PC와 하드디스크는 모두 제출돼 분석이 완료됐다. 맥북에어 노트북의 경우 증거 인멸을 시도해 하천에 투기했으나, 수색을 통해 회수됐고 일련번호도 유출자의 계정 정보와 일치한 것으로 확인됐다. 이번 쿠팡 발표와 관련, 과학기술정보통신부는 민관합동조사단에서 조사 중인 사항을 쿠팡이 일방적으로 대외에 알린 것에 대해 쿠팡에 강력히 항의했다고 밝혔다. 과기정통부는 "현재 민관합동조사단에서 정보유출 종류 및 규모, 유출경위 등에 대해 면밀히 조사 중에 있는 사항"이라면서 "쿠팡이 주장하는 사항은 민관합동조사단에 의해 확인되지 않았다"고 덧붙였다.

2025.12.25 18:00백봉삼

KT알파 기프티쇼, 계정 도용 사고..."외부서 수집된 정보로 결제 진행"

KT알파가 운영하는 모바일 상품권 서비스 기프티쇼에서 계정 도용을 통해 상품권이 무단 결제되는 사고가 발생했다. 회사 측은 내부 시스템에서 개인정보가 유출된 정황은 발견되지 않았다며, 고객 피해 금액 전액을 취소하는 선제적 보상 조치를 완료했다고 밝혔다. 25일 KT알파에 따르면 지난 14일 기프티쇼에서 시스템 해킹이 아닌, 외부에서 불법 수집된 타인의 개인정보를 이용해 로그인을 시도한 뒤 결제를 진행하는 계정 도용 사고가 발생했다. 회사 측은 사고를 인지한 즉시 해당 결제 건을 전액 취소 처리하고 관계 기관에 신고했다. 또한 부정 로그인 차단과 보안 모니터링 강화 등 긴급 보안 조치도 병행했다. KT알파는 이번 사고를 계기로 근본적인 재발 방지를 위한 전사적 대응 체계를 구축하고 있다고 설명했다. 주요 방안으로는 ▲결제 인증 절차 강화 ▲이상 거래 탐지 체계 고도화 ▲고객 대상 보안 안내 확대 등이 포함된다. 회사 관계자는 “고객 보호를 최우선으로 판단해 선제적 환불 조치를 시행했다”며 “현재 관계 기관과 긴밀히 공조해 사고 원인을 면밀히 규명하고 있으며, 재발 방지 대책 마련에 최선을 다하고 있다”고 말했다. 이어 “최근 대형 이커머스 플랫폼을 겨냥한 계정 도용 등 사이버 공격이 빈번해지는 만큼, 이번 사안을 매우 엄중하게 인식하고 있다”며 “사고 예방과 신속한 대응을 위해 보안 체계 구축에 만전을 기할 것”이라고 덧붙였다. KT알파는 고객들에게도 보안 수칙 준수를 당부했다. 외부 사이트에서 유출된 정보가 악용되는 것을 막기 위해 사이트별로 서로 다른 비밀번호를 설정하고, 이를 주기적으로 변경하는 등 개인 보안 관리에 주의를 기울여 줄 것을 권고했다.

2025.12.25 12:27안희정

내년 전통 SaaS 저문다…클라우드플레어 "AI 기반 서비스 부상"

내년 IT 환경이 전통 소프트웨어(SW) 중심에서 인공지능 서비스(AIaaS)로 이동한다는 분석 결과가 나왔다. 25일 클라우드플레어가 공개한 내년 주요 트렌드 전망 보고서에 따르면 기업이 개별 애플리케이션을 구독하는 방식인 서비스형 소프트웨어(SaaS)에서 AI 자체가 서비스화되는 AIaaS에 주목할 것으로 나타났다. 보고서는 산업 현장서 AI 모델이 설비를 실시간 최적화하는 자율 관리 시스템이 도입되면서 운영 방식 대전환이 일어날 것으로 전망했다. 수많은 기기를 개별적으로 보안하는 방식이 한계에 부딪히면서 모든 기계 간 상호작용을 즉각 검증하는 에이전트리스 제로 트러스트가 새로운 보안 표준으로 부상할 가능성이 크다는 분석이다. 또 클라우드플레어는 사이버 공격 측면에서도 AI는 공격자의 단순 보조 도구를 넘어 자율적으로 표적을 분석하고 악성 코드를 생성하는 증폭 장치로 진화할 것이고 예측했다. 이는 공격자의 학습 시간을 획기적으로 단축하고 대규모 자동화 공격을 일상화하는 환경을 조성해 기업 보안에 심각한 위협이 될 것이란 예상이다. 늘어나는 보안 위협에도 불구하고 치솟는 SW 물가와 비효율적인 기존 보안 툴의 유지 비용은 기업 의사결정권자들에게 큰 부담으로 작용할 예정인 것으로 분석됐다. 이에 무분별한 신규 보안 툴 도입보다는 위험을 유발하거나 실질적인 가치가 낮은 낡은 기술을 과감히 걷어내는 전략적 선택이 요구된다. 그랜트 부지카스 클라우드플레어 최고보안책임자(CSO)는 "내년 조직 보안을 가로막는 가장 큰 장애물은 오래되고 비효율적인 보안 기술에 낭비되는 예산이 될 것"이라며 "공격 표면이 계속 확대되는 상황에서 보안 책임자들은 새로운 툴을 추가하기보다 오히려 위험을 유발하는 보안 툴을 과감히 제거하는 데 집중해야 한다"고 밝혔다.

2025.12.25 12:09김미정

개인정보 유출 홍수...스미싱, 계정 도용 '2차 피해' 고리 끊는 법

쿠팡을 비롯해 통신사, 카드사 등 전방위에 걸친 개인정보 유출, 침해 사고가 잇따르며 소비자 불안이 공포 수준으로 커지고 있다. 유출된 정보가 보이스피싱이나 스미싱 등 2차 범죄로 악용될 수 있다는 우려가 커지면서, 개인 차원에서 정보를 보호할 수 있는 보안 솔루션에 대한 관심도 급증하고 있다. 보안 전문가들은 "기업 서버에서 정보가 유출된 것이 1차 피해라면, 해당 정보를 악용한 보이스피싱 등이 실질적인 피해로 이어질 수 있다"며 "유출된 정보가 공격으로 이어지는 고리를 끊는 현실적인 대안을 마련해야 한다"고 강조하고 있다. 25일 노드VPN(NordVPN)은 이러한 위협에 대응해 네트워크 암호화, 계정 관리, 신원 보호를 아우르는 '통합형 보안 생태계'를 구축하며 한국 시장 공략에 속도를 내고 있다고 밝혔다. '신뢰할 수 없는 네트워크는 차단'… '킬 스위치'와 '위협 보호' 개인정보 유출 사고 후 사용자들이 가장 먼저 하는 행동은 비밀번호 변경이다. 하지만 해커들은 이를 우회하는 '세션 하이재킹'이라는 2차 공격을 감행한다. 이는 유출된 아이디와 이메일 정보를 토대로 타깃을 특정한 뒤, 사용자가 카페나 호텔 등의 공용 와이파이(Public Wi-Fi)를 이용해 로그인하는 순간을 노리는 수법이다. 해커는 와이파이망에서 오고 가는 데이터 패킷을 감청해 사용자의 아이디나 비밀번호가 아닌 로그인 인증 토큰 자체를 가로챈다. 이 토큰을 손에 넣으면 해커는 아이디와 비밀번호를 입력하는 과정을 건너뛰고 이미 로그인된 상태의 사용자 권한을 그대로 획득할 수 있다. 유출 사고 직후 비밀번호를 아무리 복잡하게 바꿔도, 암호화되지 않은 와이파이를 쓰는 순간 해커에게 '프리패스'를 쥐여주는 셈이다. 노드VPN은 이 연결고리를 끊기 위해 '차세대 암호화 터널' 기술을 적용했다고 설명했다. 사용자가 인터넷을 사용하는 모든 트래픽을 AES-256 암호화 방식으로 감싸는 방식이다. 이렇게 되면 해커가 유출된 정보를 바탕으로 특정 사용자의 와이파이 접속을 감시하더라도, 오고 가는 데이터가 암호문으로 처리돼 '인증 토큰'을 식별하거나 탈취하기 어려워진다. 킬 스위치는 최후의 방어선 역할을 한다. VPN 서버 연결이 불안정해 잠시라도 암호화가 풀리는 순간 기기의 인터넷 접속을 즉시 강제 차단한다. 이를 통해 해커가 사용자의 실제 IP 주소나 전송 데이터를 엿볼 수 있는 0.1초의 빈틈조차 허용하지 않는다는 설명이다. 결과적으로 유출 정보를 가진 해커가 접속 환경을 파고들어 2차 피해를 유발하려는 시도를 기술적으로 무력화한다는 취지다. '하나 털리면 다 털린다'…'비밀번호 돌려막기' 막는 '노드패스' 대규모 유출 사고가 터질 때마다 보안 전문가들이 가장 우려하는 것은 '크리덴셜 스터핑' 공격이다. 탈취한 다수의 아이디(ID)와 비밀번호(패스워드)를 여러 웹사이트에 무차별 대입해 로그인을 시도하는 방식이다. 많은 사용자가 기억하기 쉽다는 이유로 네이버, 카카오, 쇼핑몰, 은행 등 여러 사이트에 동일한 아이디와 비밀번호를 '돌려막기'식으로 사용한다는 점을 노린다. 해커는 쇼핑몰에서 유출된 계정 정보를 이용해 무작위로 사이트에 대입해 보며, 결국 사용자의 여러 온라인 계정을 장악할 수 있다. 노드VPN이 제공하는 패스워드 관리자 '노드패스'는 이 같은 '연쇄 해킹'의 고리를 끊는 솔루션으로 소개됐다. 사용자는 복잡한 비밀번호를 굳이 기억하지 않아도 되고, 노드패스가 생성하는 난수 형태의 강력한 비밀번호를 사이트마다 다르게 적용할 수 있다. 로그인 시에는 아이디와 비밀번호가 자동 입력돼 키보드 입력 정보를 탈취하는 '키로깅' 공격도 줄일 수 있다는 설명이다. 보관되는 정보의 안전성도 강조했다. 노드패스는 '엑스차차20(XChaCha20)' 방식을 채택했다. 기존 AES-256 방식보다 처리 속도가 빠르면서도 강도가 높은 암호화 기술로 평가받는다는 설명이다. 사용자의 비밀번호는 암호화된 상태로 디지털 금고(vault)에 격리된다. 이 금고는 사용자 본인만이 가진 '마스터 키'로만 열 수 있으며, 노드패스 개발사조차 내부를 들여다볼 수 없는 '제로 놀리지(zero-knowledge)' 아키텍처를 기반으로 한다. 여기에 능동적인 방어 기능인 '데이터 유출 스캐너'가 24시간 가동된다. 계정 정보가 다크웹이나 해커 포럼에 유출된 정황이 발견되면 즉시 경고 알림을 보내고, 유출된 비밀번호가 어떤 사이트에서 사용 중인지, 얼마나 취약한지를 '보안 점수'로 보여준다. 사용자는 경고를 받은 즉시 해당 사이트의 비밀번호를 교체해 2차 피해 발생 전 '골든타임'을 확보할 수 있다는 설명이다. '내 정보가 암시장에?'…유출 즉시 경고하는 '다크웹 모니터링' 해커가 탈취한 정보는 주로 다크웹을 통해 거래되는 만큼, 사용자가 먼저 이를 알아차리면 피해 확산을 사전에 막을 수 있다. 노드VPN의 '다크웹 모니터링'은 사용자의 이메일 주소와 연동된 계정 정보가 다크웹 장터나 해커 포럼 등에 노출되는지 24시간 감시한다. 유출 정황이 포착되면 즉시 사용자에게 경고 알림을 보내며 어떤 사이트에서 어떤 정보가 유출됐는지 알려준다는 설명이다. 사용자는 이 알림을 토대로 신속하게 비밀번호를 변경하거나 다중인증(MFA)을 설정해 해커가 계정에 침입하기 직전 선제 조치를 취할 수 있다. 더 나아가 신원 도용 범죄가 빈번한 미국 시장을 겨냥해 설계된 '노드프로텍트'는 '올인원 신원 보호 솔루션'을 제시한다. 단순한 정보 유출 알림을 넘어 신용 활동 추적, 사회보장번호(SSN) 도용 감지, 실시간 위협 경고 등을 제공한다. 만약 신원 도용으로 인한 금전적 피해가 발생할 경우 복구 지원 및 비용 보전 신청까지 가능하다는 설명이다. 여행지 유심 해킹 원천 봉쇄…보안 강화된 '세일리 eSIM' 연말연시 해외여행 시즌을 맞아 여행객을 노린 사이버 범죄도 기승을 부리고 있다. 보안 전문가들은 여행지에서 특히 경계해야 할 요소로 '공용 와이파이'와 '물리적 유심(USIM) 관리'를 꼽는다. 공항, 호텔, 카페 등에서 제공하는 무료 와이파이는 보안 구성이 허술한 경우가 많아, 해커가 이를 노려 사용자의 데이터를 탈취하는 중간자 공격의 온상이 되기 쉽다. 또한 현지에서 스마트폰을 소매치기당할 경우 심 스와핑 공격에 무방비로 노출될 위험이 크다. 노드VPN의 '세일리'는 이러한 온, 오프라인 위협을 동시에 줄이는 대안으로 제시됐다. 스마트폰을 분실하더라도 생체 인증(Face ID, 지문 등)으로 보호된 앱 환경을 뚫지 못하면 회선 자체에 접근할 수 없어, 유심 칩만 빼서 악용하는 기존 물리적 해킹 수법을 원천 차단한다는 설명이다. 네트워크 보안 측면에서도 이점을 강조했다. 세일리는 전 세계 150개국 이상에서 데이터 연결을 지원해, 여행객이 위험한 공용 와이파이를 찾아 접속해야 하는 빈도를 줄여준다. 단순한 통신 연결을 넘어 프라이버시 보호 기능도 강화됐다고 밝혔다. 사용자 위치 추적 방지 기술 등이 적용돼 해외 현지 인터넷서비스제공자(ISP)나 악성 앱이 사용자의 실시간 위치 동선을 무단 수집하거나 추적하기 어렵게 만든다는 설명이다. 노드 시큐리티 마리유스 브리에디스 최고기술책임자(CTO)는 "개인정보 유출은 단발성 사고가 아니라 계정 탈취와 금전 피해로 이어지는 '연쇄 리스크'로 봐야 한다"며 "노드패스로 비밀번호를 관리하고 노드VPN과 세일리로 접속 구간을 보호하며, 다크웹 모니터링으로 유출을 감지하는 다층 방어 체계만이 내 정보를 지키는 확실한 방법"이라고 말했다.

2025.12.25 07:05남혁우

[법과 상식 사이] 로켓 배송 쿠팡, '적시 공시'는 없었다

속도의 상징, 자본시장의 시계를 놓쳐 속도의 상징인 쿠팡이 사고를 알리는 속도에서는 자본시장의 시계를 놓쳤다. 개인정보 유출 사고를 둘러싸고 국내에서는 행정 제재와 소비자 집단소송이 이어지고 있지만 더 큰 파장은 태평양 건너 미국에서 시작됐다. 미국 주주들이 쿠팡 Inc.를 상대로 증권법 위반 소송을 제기했기 때문이다. 쟁점은 쿠팡이 2025년 11월 18일 개인정보 유출 사실을 인지하고도 미국 증권거래위원회(SEC)가 정한 '4 영업일 이내 공시' 의무를 이행하지 않았다는 데 있다. 이 공백 기간 동안 주가는 하락했고 그 손실이 투자자들에게 전가됐다는 주장이다. 공시, 기업 투명성의 척도 이 사건은 우리에게 낯선 질문을 던진다. “공시가 그렇게까지 중요한 문제인가?” 한국에서 개인정보 유출은 주로 과징금이나 행정 제재, 소비자 손해배상의 영역이다. 그러나 미국 자본시장에서 공시는 단순한 알림이 아니다. 기업과 투자자 사이의 신뢰를 측정하고 지탱하는 핵심 척도이다. 기업 내용 공시제도의 본질은 상장회사가 투자 판단에 중대한 정보를 시장에 적시에 공개하도록 강제하는 데 있다. 투자자는 그 정보에 기초해 자유롭게 판단하고 책임을 진다. 공시는 자본시장의 투명성을 확보하고 자기책임의 시장 질서를 가능하게 하는 최소한의 장치다. 사이버 사고, '중대한 경영 사건'으로 격상 왜 보안 사고가 이토록 중요해졌을까. 데이터가 곧 기업 가치로 직결되는 시대이기 때문이다. 이제 사이버보안 사고는 단순한 기술적 결함을 넘어 기업의 신뢰와 지속 가능성을 직접적으로 흔드는 구조적 경영 리스크로 격상되었다. 정보 비대칭이 커질수록 기업 내부의 위험은 외부에서 정확히 평가되기 어려워지고, 그 부담은 결국 왜곡된 투자 판단과 시장 불안정성으로 이어진다. 이러한 인식 속에서 미국 자본시장은 사이버 사고를 점차 투자 판단에 중요한 정보로 다루기 시작했다. 이에 따라, 미국은 2023년부터 중대한 사이버보안 사고를 인수합병이나 파산과 같은 중대한 경영 사건으로 분류하고, 상장사에 대해 사고의 중대성(material)을 인지한 날로부터 4일 이내에 임시보고서(Form 8-K)를 통해 공시하도록 의무화했다. 더 나아가 정기 보고서를 통해 평상시의 보안 전략과 거버넌스 구조까지 투명하게 공개하도록 요구한다. 반면 한국은 사이버보안 사고를 정보통신망법과 개인정보 보호법 중심의 사후 규제 대상으로 다루고 있어, 사이버보안을 기업 가치와 직결된 경영 리스크로 보고 강제 공시와 거버넌스를 강화하는 미국·유럽 자본시장의 흐름과는 차이가 있다. 보안은 IT의 영역이 아닌 '경영 투명성'의 문제 쿠팡 사태는 단순한 개인정보 유출이나 데이터 국외 이전 논란을 넘어선다. 글로벌 플랫폼 기업이 어떤 기준으로 위험을 정의하고, 어떤 속도로 시장과 소통해야 하는가를 묻는 중대한 변곡점이다. 여기서 공시 의무 위반은 단순한 법규 위반에 그치지 않는다. 천문학적인 주주 집단소송과 경영진의 책임 문제로 직결되는 '구조적 경영 리스크' 그 자체다. 이제 사이버보안은 IT 부서의 전유물이 아니다. 이사회와 경영진, 법무 조직이 함께 책임져야 할 경영 투명성의 영역이다. 우리 기업들은 과연 글로벌 자본시장이 요구하는 그 정교한 공시의 속도와 밀도를 감당할 준비가 되어 있는가. '로켓 배송'으로 혁신을 일궈낸 쿠팡이 이제 '적시 공시'의 부재라는 날 선 시험대에 올랐다. 이 사건은 단일 기업의 위기를 넘어 한국 기업들이 글로벌 시장의 규범과 현실을 얼마나 냉정하게 인식하고 있는지를 묻고 있다. 기술의 진보와 법과 책임 사이에서 이제 그 질문을 회피할 수 있는 시간은 끝났다.

2025.12.24 16:35안정민

에버스핀, '에버세이프 웹' 국정원 보안기능확인서 획득…공공 시장 저변 확대

인공지능(AI) 보안기업 에버스핀(대표 하영빈)은 웹 보안 솔루션 '에버세이프 웹(EverSafe Web)'이 국가정보원이 요구하는 보안기능확인서를 획득했다고 24일 밝혔다. 에버세이프 웹은 이번 인증으로 공공기관·공공 기준을 준용하는 금융·공기업 환경에서 보안성과 안정성을 공식적으로 검증받았다. 보안기능확인서는 국가정보원이 지정한 시험기관이 보안 기능과 운영 안정성을 사전에 심사·검증해 발급하는 인증이다. 확인서를 획득한 제품은 국정원 '안정성 검증 필수 제품 목록'에 등재된다. 목록에 포함된 솔루션은 공공기관이 별도 보안적합성 검증 절차 없이 즉시 도입할 수 있어, 도입 과정에서 발생하는 행정 부담과 검증 기간을 크게 줄일 수 있다. 에버세이프 웹은 에버스핀이 자체 개발한 AI-동정표적방어(MTD·Moving Target Defense) 기술을 기반으로 한 웹 보안 솔루션이다. AI가 스스로 보안 요소를 지속적으로 변화시키는 동적 방어 방식으로, 공격자가 분석을 시도하더라도 결국 성공에 이를 수 없도록 설계됐다. 웹 해킹·비인가 스크래핑·자동화 공격·크레덴셜스터핑 등 최근 급증하는 공격 시나리오를 선제적으로 차단한다. 에버세이프 웹은 에버스핀이 자체 개발한 AI-MTD 기술을 기반으로 한 웹 보안 솔루션이다. 에버스핀 관계자는 ”최근 화두로 떠오르고 있는 AI발 보안위협으로 부터 안전하기 위해서는 해커의 공격을 탐지하는 보안 요소를 지속적으로 변화시키는 지능화된 동적 방어 방식이 필요하다“며 ”에버세이프 웹은 이러한 유형에 착안해 공격자가 분석을 시도하더라도 결국 성공에 이를 수 없도록 설계해 웹 해킹·비인가 스크래핑·자동화 공격·크레덴셜스터핑 등 최근 급증하는 공격 시나리오를 선제적으로 차단한다“고 설명했다. 에버세이프 웹은 금융권과 공공기관, 대규모 트래픽이 집중되는 서비스 환경에서 실제 운영을 통해 효과를 검증받아 왔다. 금융사를 중심으로 웹·앱 기반 서비스 위·변조 방지, 자동화 공격 차단, 사용자 단 보안 강화를 위한 핵심 보안 인프라로 활용되고 있다. 에버스핀의 보안기능확인서 획득으로 에버세이프 웹을 도입하는 기관과 기업은 실질적인 이점을 얻게 된다. 공공기관은 별도 보안적합성 검증 절차 없이 즉시 도입할 수 있고 금융기관과 공기업, 공공 기준을 준용하는 민간 기업 역시 보안 솔루션 도입에 따른 내부 감사·책임 부담을 완화할 수 있다. 동시에 AI-MTD 기반 동적 보안 구조를 통해 고도화되는 웹 공격에 실질적인 방어력을 확보할 수 있다. 에버스핀 관계자는 “보안기능확인서 획득은 에버세이프 웹이 기술적 성능뿐 아니라 공공 환경에서 요구되는 안정성과 운영 적합성까지 공식적으로 검증받았다는 의미”라며 “웹 보안에 대한 요구 수준이 높아지는 상황에서, 에버스핀은 금융권 보안을 주도하고 있는 만큼 공공과 민간 모두가 금융권 수준으로 보안을 끌어올리는데 에버세이프 웹을 통해 이바지하겠다”고 전했다. 한편, 에버스핀은 AI-MTD 기반 보안 기술로 고정된 방어가 아닌 '해커보다 먼저 움직이는 선제적 보안'으로 최근 '2025 대한민국 SW대상' 대통령상 수상에 이어 일본 SBI그룹 대규모 통합계약을 체결했다.

2025.12.24 15:48주문정

AWS-라이터, 엔터프라이즈 AI 에이전트 보안 강화 협력

아마존웹서비스(AWS)가 라이터 손잡고 기업용 인공지능(AI) 에이전트 보안 강화에 나섰다. AWS는 엔터프라이즈용 에이전틱 AI 선도 라이터가 고객에게 아마존 베드록에 대한 직접 접근 권한을 제공한다고 24일 밝혔다. 이를 통해 여러 AI 모델과 가드레일을 라이터의 에이전트를 통해 지원한다. 고객은 추가 설정 없이 아마존 베드록에 호스팅된 여러 모델을 라이터의 사전 구축 에이전트나 커스텀 에이전트 내에서 실시간으로 호출해 사용할 수 있다. 라이터는 엔터프라이즈 AI를 위한 새로운 제어 센터 역할을 수행할 '에이전트 감독 및 오케스트레이션 제품군'도 새롭게 공개했다. 이 제품군은 AI 에이전트의 전체 수명주기에 걸쳐 전반적인 가시성과 통제 역량을 제공하며, 배포 전 승인 단계부터 운영 환경에서의 지속적인 모니터링까지 모든 과정을 포괄한다. 사용자는 라이터의 노코드·프로코드 개발 도구를 통해 아마존 베드록의 모델들과 라이터의 자체 거대언어모델(LLM)인 '팔미라' 제품군을 혼합해 새로운 에이전트를 구축할 수 있다. 모든 구축 과정은 동일한 거버넌스·관측 가능성 프레임워크 아래에서 관리되며, 아마존 베드록 가드레일과 라이터의 관측 도구가 유기적으로 연동돼 민감 데이터 보호와 오용 방지 기능을 수행한다. 라이터의 AI 스튜디오 내에 통합된 이런 통제 기능은 정보기술(IT) 부서와 비즈니스 사용자 간의 협업 효율성을 극대화한다. 기업의 최고정보책임자(CIO)는 기존에 사용하던 보안 플랫폼과의 상호운용성을 유지하면서 벤더 중복을 줄일 수 있고, 실시간 컴플라이언스 준수 여부를 한눈에 파악할 수 있는 전사적 가시성을 확보하게 된다. 양사의 협력은 아마존 세이지메이커 하이퍼포드를 활용한 모델 혁신부터 엔터프라이즈급 인프라 제공에 이르기까지 수년간 이어져 온 파트너십의 결실이다. 이를 통해 뱅가드, 퀄컴, 아스트라제네카와 같은 글로벌 기업들은 단순 실험 단계를 넘어 실제 비즈니스 가치를 창출하는 AI 솔루션을 프로덕션 환경에 자신 있게 배포하고 있다. 메이 하빕 라이터 최고경영자(CEO)는 "엔터프라이즈 환경에서 에이전트 활용을 확대하는 데 있어 가장 큰 장벽은 신뢰"라며 "감독 역량을 확대하고 AWS와의 협력을 강화함으로써 고객이 완전한 신뢰를 바탕으로 에이전트를 구축하고 확장할 수 있는 안전한 AI 제어 센터를 제공하겠다"고 밝혔다.

2025.12.24 14:15김미정

서비스나우, 아미스 인수…사이버보안 사업 확장

서비스나우가 사이버보안 사업 확장을 위해 기업을 인수한다. 24일 테크크런치 등 외신에 따르면 서비스나우는 사이버보안 스타트업 아미스를 77억5천만 달러(약 11조4천800억원)에 인수한다고 밝혔다. 외신들은 인수 계약 체결 후 아미스 기업가치가 단기간에 크게 뛰었다고 평가했다. 아미스는 지난달 4억3천500만 달러(약 6천372억원) 규모의 상장 전 투자 유치를 마쳤으며 당시 기업가치는 61억 달러로 책정됐다. 서비스나우는 "아미스가 연간 반복 매출 3억4천만 달러를 기록했고 전년 대비 성장률이 50%를 넘는다"고 인수 이유를 밝혔다. 아미스는 포춘 500대 기업과 정부 대상으로 핵심 인프라 보안 소프트웨어(SW)를 제공해 왔다. 이번 인수를 통해 서비스나우는 기존 IT 서비스 관리 중심 포트폴리오를 넘어 사이버보안 역량을 확대할 방침이다. 보안 운영과 엔터프라이즈 워크플로를 결합한 전략을 한층 강화한다. 이번 거래는 서비스나우의 공격적인 인수 행보의 연장선이다. 서비스나우는 앞서 무브웍스를 28억5천만 달러에 인수했고 사이버보안 스타트업 베자 인수에도 10억 달러를 투입하기로 했다.

2025.12.24 08:52김미정

"보안관제 서비스 단가 10년전 수준 그대로"

고객사의 IT 자원 및 보안 시스템에 대한 운영 및 관리를 전문적으로 운영하고, 각종 외부 침입으로부터 중앙 관제 센터에서 실시간으로 감시·분석·대응하는 '보안 관제팀'. 고객사의 IT 자산을 안전하게 보호하고, 침입을 막는 중요한 역할을 수행하고 있지만 이들은 제값을 받고 근무하지 못하는 실정이다. 이에 보안 관제 대가 산정 체계를 합리적으로 개선해야 한다는 제언이 나온다. 김덕수 SK쉴더스 관제사업그룹장(상무)은 23일 개최된 '정보보호 인적자원개발위원회(ISC) 정보보호 인재 포럼'에서 '보안관제 업계 현황 및 대가산정 방안'을 주제로 발표했다. 김 그룹장은 "과학기술정보통신부(과기정통부)가 지난달 발표한 '2025 정보보호산업 실태조사' 결과에 따르면 보안관제 서비스 매출은 지난해 기준 약 4천364억원을 기록해 최근 3년 중 가장 높은 수준을 기록했다"며 "보안관제 서비스 인력은 같은 기간 2천509명으로 최근 3년 중 가장 낮은 수준을 기록했다"고 설명했다. 매출이 오르고 인력이 줄어들면 일반적으로 1인당 더 많은 매출액을 기록하는 것이기 때문에 업황이 개선된 것으로 본다. 하지만 김 그룹장은 "2011년 7월 처음 보안관제 전문업체 제도가 도입된 이후 기업이나 금융권에서는 예산이 부족하기 때문에 파견 관제보다는 원격 관제 서비스, 즉 클라우드 형식으로 많이 확대됐다"며 "이 영향으로 매출을 증가한 반면, 인력들은 줄어든 상황"이라고 해석했다. 관제 서비스 품질은 온프레미스 형식으로 사람이 관리하던 것에서 원격으로 처리를 하다 보니, 품질은 떨어졌는데 인력은 줄어드는 열악한 상황이라는 것이다. 또 김 그룹장은 "보안 솔루션이 늘어나면서 모니터링해야 될 대상은 확대되고 있는 반면 공격자들은 인공지능(AI)을 이용해 더욱 공격을 고도화·지능화하고 있다"며 "보안 관제 역시 온프레미스 중심에서 클라우드 환경으로 더욱 복잡해졌지만 보안관제 서비스의 평균 단가는 10년 전 수준에 머물러 있다"고 지적했다. 보안 관제 업계의 단가는 보안 기술력과 무관하게 투입 인력수(맨먼스, Man-Month)에만 의존하고 있다. 보안 관제 인력 한 명이 소화해야 할 업무량은 기하급수적으로 늘어났는데, 여러 보안 업무를 요구하면서도 단가는 똑같이 지급되고 있는 현실인 것이다. 반면 해외에서는 보호해야 할 자산 수, 데이터 처리량, 성과 등을 중심으로 과금 기준을 선별하고 있다. 이에 김 그룹장은 보안 관제 업계 대가 산정과 관련해 개선해야 할 점을 지목했다. 크게 ▲직무와 역량 기반의 전문가 가치 인정(고급 분석 업무에 임금 가산율 적용) ▲총 금액이 아닌 자산 가치 및 환경 복잡도에 따른 용역 금액 설계 ▲성과 기반 인센티브를 통한 공급업체의 기술투자 유도 등이다. 이 외에도 김 그룹장은 인력, 업무, 계약서 관련 불공정 사례에 대해 지적하면서 향후 보안 관제업계의 대가 산정 기준이 재정립될 필요가 있다고 강조했다. 그는 끝으로 "향후 성공적인 보안 관제 대가 산정 기준이 마련되기 위해 내년 가이드라인을 개정하고, 2027년 시범 사업을 통해 대가 산정 모델의 효과성을 검증해야 한다. 나아가 2028년부터는 민간 주요 분야로 이 기준을 확산시켜 시장 전체의 패러다임 전환을 유도할 수 있어야 한다"며 "보안은 시작은 있어도 끝은 없다. 국내 보안 산업이 계속해서 안전하게 발전하기 위해서는 품질에 대한 대가를 제대로 지불해야 한다"고 역설했다.

2025.12.23 21:30김기찬

제로트러스트보안협회, 산업부 산하 18개 협회에 'ZT 보안' 도입 요청

한국제로트러스트보안협회(회장 이무성)가 산업통상자원부 산하 18개 협회에 제로트러스트(Zero Trust) 기반의 보안을 전환·도입할 것을 요청했다. 제로트러스트보안협회는 23일 자동차회관에서 개최된 '산업연합포럼 2026 경제대응 세미나'에서 산업부 산하 18개 협·단체 관계자들과 제조업 임직원들에게 제로트러스트 보안으로 철저히 대비해줄 것을 요청했다고 밝혔다. 제로트러스트는 외부인이든 내부 임직원이든 어느 누구도 밎지 말고 보안을 철저히 이행하자는 방식이자 철학이다. 앞서 미국 바이든 행정부 당시 모든 국가 및 공공기관에 제로트러스트 기반의 보안을 구현할 것을 당부하면서 제로트러스트 보안은 최근 새로운 사이버보안 패러다임으로 급부상했다. 미국을 중심으로 유럽, 일본 등 글로벌 사이버 보안 트렌드로 자리잡아 가고 있다. 구체적으로 제로트러스트 보안은 네트워크를 여러 개로 쪼개 하나의 조각이 해킹 공격을 당해도 다른 전산 자원으로 확산(횡적이동)을 방지하는 마이크로세그멘테이션(Micro-segmentation) 기술과 선인증·후접속 방식 적용, 그리고 보안기술을 소프트웨어적으로 동적 구현(SDP)을 하기 때문에 보안성이 매우 뛰어난 방식으로 평가받고 있다. 쿠팡, SK텔레콤 등 대규모 정보유출 사태가 기업의 존폐위기로까지 이어지고 있는 현실이다. 조직의 최고경영자(CEO)도 법적 책임을 질 수 있기 때문에 기업과 기관들은 사이버 보안에 각별히 신경을 써야 하는 상황이 됐다. 이에 보안업계는 사이버 보안을 강화하는 과정에서 제로트러스트 방식으로 투자 및 강화가 이뤄져야 한다고 보고 있다.

2025.12.23 17:37김기찬

코헤시티-구글클라우드, 파트너십 확대..."기업용 AI·보안 개선"

코헤시티가 구글클라우드 손잡고 기업용 인공지능(AI) 시장 확대와 사이버 복구력 강화에 나섰다. 코헤시티는 구글클라우드와 AI·보안·데이터 보호를 아우르는 차세대 통합 솔루션을 선보인다고 23일 밝혔다. 이번 발표는 민감 정보 보안과 규제 준수를 보장하면서도 기업들이 안전하게 AI를 도입할 수 있도록 돕는 데 초점 맞췄다. 이번 협력 핵심은 코헤시티의 AI 어시스턴트 '코헤시티 가이아'와 구글클라우드의 '제미나이' 모델 간 결합이다. 가이아 플랫폼에 구글클라우드의 '버텍스 AI 서치' 기능을 내장해 비정형 데이터에서 정확한 근거를 갖춘 답변을 도출하려는 전략이다. 여기에 차세대 에이전트 플랫폼 '제미나이 엔터프라이즈'를 통합해 업무 프로세스 전반 효율을 높일 방침이다. 코헤시티는 이번 협력으로 사이버 위협에 대응하는 방어 체계도 대폭 격상됐다고 밝혔다. '코헤시티 데이터 클라우드'에 '구글 위협 인텔리전스'를 통합해 침해 지표를 실시간 탐지하고, 오염되지 않은 깨끗한 데이터를 복구하는 선제적 헌팅 기능을 제공할 예정이다. 또 맨디언트 사고 대응 팀과 협력하는 '코헤시티 서트(CERT)'를 통해 사고 발생 시 비즈니스 정상화를 지원할 계획이다. 글로벌 데이터 주권 이슈에 대응하기 위한 로컬 솔루션도 강화된다. 코헤시티는 '구글 클라우드 레디 – 규제 대응 및 주권 솔루션' 파트너 인증을 획득했으며, 사이버 볼트 서비스인 '코헤시티 포트녹스'를 통해 특정 지역 내 데이터 격리 사본을 유지함으로써 까다로운 법적 요건을 충족할 수 있다. 데이터 보호 범위는 구글 컴퓨트 엔진, 클라우드 스토리지 등 핵심 서비스에서 향후 구글 쿠버네티스 엔진(GKE)과 빅쿼리까지 확대될 예정이다. 모든 솔루션은 구글클라우드 마켓플레이스를 통해 공급되며, 양사는 공동 영업 체계와 마케팅 캠페인을 전개해 시장 점유율을 높일 계획이다. 산제이 푸넨 코헤시티 최고경영자(CEO)는 "구글클라우드와의 협력은 기업이 데이터를 보호·관리하고 인사이트를 도출하는 방식을 재정의하는 중대한 진전"이라고 밝혔다. 토마스 쿠리안 구글클라우드 최고경영자(CEO)는 "전 세계 기업들이 AI 전환을 가속화하는 동시에 보다 복원력 있고 규정을 준수하는 미래를 구축할 수 있도록 지원할 것"이라고 강조했다.

2025.12.23 15:54김미정

[기고] 쿠버네티스 '인그레스 엔진엑스' 지원 종료…보안 리스크 현실화

쿠버네티스 커뮤니티가 쿠버네티스 '인그레스 엔진엑스(Ingress NGINX)' 프로젝트를 내년 3월을 기점으로 모든 릴리스와 보안 패치를 중단한다. 오랫동안 쿠버네티스 환경의 기본 옵션으로 활용돼 온 솔루션이 종료됨에 따라, 수많은 기업 IT 인프라에는 보안 취약성과 운영 불확실성이라는 직접적인 리스크가 현실화되고 있다. 이는 단순한 제품 종료를 넘어 클라우드 네이티브 인프라의 지속 가능성에 대한 중요한 경고 신호로 해석해야 한다. 인그레스 엔진엑스는 쿠버네티스 초기 단계에서 인그레스 API의 기준 구현을 제공하기 위해 시작된 샘플 프로젝트다. 하지만 생태계가 확장되며 엔터프라이즈 환경에서의 활용도는 높아진 반면, 프로젝트 자체는 극히 제한된 소수 유지관리자에게 의존하는 구조적 한계를 벗어나지 못했다. 실제로 커뮤니티는 공식 발표를 통해 단 1~2명의 개발자가 퇴근 후와 주말을 할애해 프로젝트를 유지해 왔음을 밝히기도 했다. 이러한 불균형은 결국 장기적인 보안 대응 능력에 대한 우려를 키웠다. 최근 발생한 심각한 보안 취약점(CVE-2025-1974) 등은 향후 보안 지원이 불가한 상황에서 기업의 서비스 운영 리스크를 더욱 높일 전망이다. 이 취약점은 CVSS 9.8점으로, 만점에 가까운 점수를 받았다. CVSS(Common Vulnerability Scoring system)는 소프트웨어 및 시스템의 보안 취약점 심각도를 평가하는 국제 표준 프레임워크로, 0.0점부터 10.0점까지 취약점의 심각도를 평가한다. 점수가 높을수록 취약점이 치명적임을 의미한다. 이번 종료 소식과 관련해 업계 일각에서는 F5와의 연관성에 대한 오해가 발생하기도 했다. 하지만 인그레스 엔진엑스는 커뮤니티 주도의 프로젝트이며 F5의 '엔진엑스 인그레스 컨트롤러(NGINX Ingress Controller)'와는 전혀 다른 프로젝트다. F5의 엔터프라이즈급 엔진엑스 인그레스 컨트롤러(OSS 및 Plus)는 지속적인 보안 업데이트와 SLA 기반의 지원을 제공하고 있기 때문에 서비스 운영에 영향을 받지 않는다. 지금 즉각적인 대응이 필요한 이유는 명확하다. 보안 패치 중단은 공격 표면의 확대와 준법 감시(compliance) 리스크 증가로 이어지며, 보안 공백이 장기화될수록 대응이 어려워진다. 또한 구현 방식의 차이로 인해 마이그레이션 난이도가 높고 DNS, IP, 설정 호환성 등 복합적인 전환 부담이 발생하는 만큼 선제적인 준비가 필수적이다. 인그레스 엔진엑스의 지원 종료가 예고되면서 인프라 아키텍처 전반의 전략적 재편은 이제 피할 수 없는 과제가 됐다. 현재 인그레스 규격을 사용 중인 조직이라면 동일 데이터플레인 기반의 안정적 이전을 우선 수행하고, 운영 환경이 안정된 시점에 게이트웨이 API로 단계적 전환을 검토하는 것이 현실적이다. 신규 구축 환경의 경우에는 기존 제약에서 벗어나 전사 트래픽 아키텍처 관점에서 진입 구조를 재설계하는 접근이 필요하다. 인그레스 엔진엑스 종료 이후 대안을 선택할 때 가장 중요한 요소는 보안과 성능이다. F5 엔진엑스 인그레스 컨트롤러는 오픈소스 엔진엑스의 고성능 엔진을 바탕으로 기업 환경에 필수적인 기능을 강화했다. 보안 측면에서는 엔터프라이즈급 보안 패치와 SLA 지원은 물론, 엔진엑스 앱 프로텍트(NGINX App Protect) WAF 및 봇 방어(bot defense) 연동이 가능하다. 이를 통해 API 및 L7 보안 정책 기반의 접근 제어가 가능하며 최신 CVE 대응 속도를 높여 장기적인 리스크를 방어할 수 있다. 성능 면에서도 멀티스레드 최적화와 고속 이벤트 모델 처리를 지원하며, 고급 로드밸런싱과 세션 유지, 실시간 텔레메트리 제공을 통해 대규모 트래픽 환경에서도 안정적인 운영이 가능하다. 즉, 이는 단순한 교체를 넘어 비즈니스 연속성을 확보하기 위한 전략적 선택이라 할 수 있다. 필자는 기업들이 이번 변화를 단순한 기능 대체가 아닌 아키텍처 관점의 전략적 재구축 기회로 삼아야 한다고 제언한다. 구체적인 마이그레이션 경로는 목적에 따라 달라질 수 있다. 기존 인그레스 기반 서비스를 유지하고자 한다면 F5 엔진엑스 인그레스 컨트롤러가 적합하며, 미래 표준으로의 확장을 고려한다면 게이트웨이 API 기반의 F5 게이트웨이 패브릭(F5 Gateway Fabric) 도입을 검토할 수 있다. 또한 네트워크와 보안 연계를 확대하기 위해 F5 BIG-IP Next for Kubernetes와 같은 통합 솔루션을 고려해볼 수 있다. 이 과정에서 기업은 엔터프라이즈 등급의 보안 업데이트와 WAF 연계, 하이브리드 통합 관리, 그리고 AI 추론 트래픽 등 최신 워크로드 아키텍처에 대응할 수 있는 차별화된 기능을 충분히 활용해야 한다. 결론적으로 이번 변화는 단순한 기술적 위기가 아니라, 그간 미뤄왔던 인프라의 취약점을 보완하고 현대화할 수 있는 기회다. 보안의 불확실성을 제거하고 미래 확장성까지 확보할 수 있는 골든타임을 놓치지 말아야 할 것이다.

2025.12.23 15:46정소희

ICTK, EBISON 어워드서 '산업 선도기업상' 수상

차세대 양자보안 팹리스 기업 아이씨티케이(ICTK)가 세계적 권위를 지닌 국제 정보기술 기구 IFIP가 주관하는 'EBISION 2025 어워드'에서 산업 선도기업상을 수상했다고 23일 밝혔다. 해당 어워드를 주관한 IFIP는 유네스코 후원으로 1960년에 설립된 국제 정보기술 분야의 최고 권위 학술·전문 연합체다. 전 세계 각국의 대표 학회와 연구기관이 참여해 정보처리, 정보시스템, 소프트웨어, 보안, AI 등 ICT 전반에 대한 국제적 논의와 연구 협력을 주도하고 있다. 산업 선도기업상은 AI, 양자컴퓨팅, 6G 등 차세대 ICT 분야에서 산업적 변화를 이끄는 혁신 기업을 발굴하기 위해 2025년 신설된 상이다. 업계 및 학계 전문가로 구성된 심사위원단의 엄격한 기술 평가를 통해 수상 기업이 선정된다. ICTK는 해당 상의 초대 수상 기업으로 이름을 올리며 그 의미를 더했다. 심사위원단은 ICTK의 수상 배경으로 “전자비즈니스 및 디지털 서비스 환경의 보안 신뢰도를 획기적으로 향상시킨 VIA PUF 및 양자보안 칩 기술의 혁신성과 차세대 ICT 산업에 대한 기여도를 높이 평가했다"고 밝혔다. ICTK는 반도체 공정 편차를 이용해 물리적으로 복제 불가능한 고유 ID를 생성하는 'VIA PUF' 기술을 세계 최초로 양산화하며 하드웨어 보안의 새로운 패러다임을 제시해왔다. 2025년 초에는 양자내성암호(PQC) 기술을 보안 칩에 통합 구현하여, 양자보안 하드웨어 분야의 혁신 기업으로 자리매김했다. 이번 수상에는 ICTK의 연구 신뢰성과 국제적 공인 성과가 뒷받침됐다. ICTK는 올해 PQC 알고리즘과 PUF기술이 결합된 차세대 보안 프로토콜을 탑재한 qTrustNet 관련 논문을 SCIE급 국제 저널 'IEEE Access (Vol.13, 2025)'에 게재했으며, 네덜란드 인증기관으로부터 국제공통평가기준(CC) EAL6 개발환경 보안 인증(Site Audit)을 획득해 글로벌 최고 수준의 보안 제조 역량을 입증했다. ICTK 관계자는 “정보처리 분야 최고 권위를 가진 IFIP로부터 기술 혁신성과 산업적 기여를 인정받아 매우 영광”이라며 “이번 수상을 계기로 글로벌 빅테크 및 양자보안 기관과의 협력을 더욱 확대해, 양자보안 글로벌 표준을 선도하는 기업으로 도약하겠다”고 말했다.

2025.12.23 15:30전화평

오픈AI, '챗GPT 아틀라스' 보안 한계 인정…"프롬프트 인젝션 취약"

오픈AI가 인공지능(AI) 브라우저 보안 한계를 공식 인정하며 대응에 나섰다. 23일 테크크런치 등 외신에 따르면 오픈AI는 AI 브라우저 '챗GPT 아틀라스'가 프롬프트 인젝션 공격에 노출될 수 있다고 밝혔다. 프롬프트 인젝션은 웹페이지나 이메일에 숨겨진 지시를 통해 AI 에이전트 행동을 조작하는 공격법이다. 오픈AI는 프롬프트 인젝션을 웹상 사기와 사회공학 공격과 유사한 장기 보안 문제로 규정했다. 완전한 차단보다는 위험을 줄이고 피해를 관리하는 접근이 현실적이라는 판단이다. 이런 공격은 AI 에이전트가 외부 콘텐츠를 해석하고 행동으로 옮기는 구조 자체에서 발생한다고 봤다. 챗GPT 아틀라스는 지난해 10월 출시 직후부터 보안 연구자들의 공격 시연 대상이 됐다. 구글 독스 문서에 입력된 문장만으로 AI 브라우저의 행동을 바꾸는 사례가 공개되면서 보안 취약성이 드러났다. 브레이브는 퍼플렉시티의 코멧을 포함해 AI 브라우저 전반이 간접 프롬프트 인젝션에 구조적으로 취약하다고 지적했다. 영국 국가사이버보안센터도 이달 초 프롬프트 인젝션 공격이 완전히 완화되지 않을 수 있다고 경고했다. 생성형 AI 애플리케이션이 데이터 유출 위험에 노출될 수 있다는 설명이다. 이에 공격을 막기보다는 위험과 영향을 줄이는 방향을 권고했다. 오픈AI는 대응 전략으로 선제적 테스트와 빠른 패치 사이클을 강조했다. 내부에서 새로운 공격 방식을 먼저 발견해 실제 공격 전에 대응하는 구조다. 이를 위해 강화학습으로 훈련한 '거대언어모델(LLM) 기반 자동 공격자'를 도입했다. LLM 기반 자동 공격자는 AI 에이전트의 사고 흐름과 행동을 시뮬레이션하며 공격을 반복 실험한다. 오픈AI는 이 과정에서 인간 레드팀이나 외부 보고에서는 확인되지 않은 새로운 공격 전략을 발견했다고 밝혔다. 장기적 단계에 걸친 복잡한 공격도 재현 가능하다고 설명했다. 오픈AI는 보안 업데이트 이후 에이전트 모드가 악성 이메일에 숨겨진 지시를 탐지하고 사용자에게 경고하도록 개선됐다고 밝혔다. 다만 실제 공격 성공률이 얼마나 줄었는지는 공개하지 않았다. 라미 매카시 위즈 수석보안연구원은 "에이전트형 브라우저는 중간 수준의 자율성과 매우 높은 접근권이 결합된 어려운 영역에 있다"며 "현재로서는 일상적 사용에서 위험 대비 충분한 가치를 제공하지 못한다"고 지적했다.

2025.12.23 10:39김미정

[기고] 내부자 위협 시대, '다중인증' 보안 투자가 답이다

최근 국내외 선도 기업에서 연이어 발생한 대규모 정보 유출 사건들은 데이터 보호 방식의 근본적인 변화가 시급함을 극명히 보여준다. 2023년 테슬라에서는 내부자에 의해 7만5천여명의 개인정보가 유출됐고, 올해 인텔은 해고된 엔지니어를 상대로 기밀 정보 반환 소송을 제기했다. 국내에서도 쿠팡 고객 정보 유출 사건이 사회적 충격을 안겼다. 모두 업계를 대표하는 기업이지만 보안 위협에서는 예외가 없었다. 정보 유출은 단순한 금전적 손실을 넘어, 기업의 신뢰도와 브랜드 가치에 치명타를 입히고 궁극적으로 기업의 경쟁력을 크게 약화시킨다. 이런 불상사 앞에서 기업이 스스로에게 던져야 할 질문은 명확하다. '지금 시스템에 접근하는 이가 누구인지, 그 권한이 적절한지 확신 가능한가?' 수많은 기업이 이 질문에 자신감을 보이지만, 실제 사고를 보면 그 판단의 근거가 되는 보안 기술이 낙후된 경우가 많다. 직원의 고의적 정보 탈취 뿐 아니라 부주의 역시 내부자 위협임을 감안할 때, 안일한 신뢰는 사고 가능성을 구조적으로 키운다. 고전적인 '비밀번호 중심 인증'만으로 보안이 충분하다는 생각은 분명 안일하다. 이 때문에 글로벌 보안 업계는 내부자 리스크의 핵심 대응법으로 '다중인증(MFA, Multi-Factor Authentication)'을 지목하고 있다. 하나의 인증 수단이 무력화 되어도 추가 인증 단계가 방어선 역할을 하도록 설계하는 방식이다. 특히 내부자 사고가 증가하는 환경에서는 MFA 적용 여부가 보안 수준을 가르는 기준이 되고 있다. 특히 지문·정맥·안면 등 다양한 생체인증을 연동하면 MFA는 더욱 강력해진다. 쿠팡이 최근 사태 이후 정부 질의에서 도입 의사를 밝힌 '패스키(PassKey)' 역시 생체인증 기반 기술이다. 물론 사용자의 생체정보도 탈취 위험이 있지만 국제 표준 기술인 'FIDO(Fast IDentity Online)'를 활용, 문제를 해결할 수 있다. FIDO는 생체정보를 서버로 보내지 않고 개인 기기 안에서만 확인하는 혁신성을 지녔다. 실제로 글로벌 시장에서 금융·공공 부문을 중심으로 FIDO 기반 MFA 도입이 확산되는 것에는 이런 이유가 있다. 우리나라 기업으로는 국내에서는 라온시큐어가 FIDO 얼라이언스 이사회 멤버로 활동하며 기술 발전에 기여하고 있다. 그럼에도 불구하고 국내 기업들의 보안 투자 현실은 여전히 아쉽다. 한국인터넷진흥원(KISA)에 따르면, 국내 773개 공시기업의 IT 투자 대비 정보보호 투자 비율은 6.29%에 불과했다. 이는 현실의 위협과 동떨어진 수준이다. 보안은 비용이 아니라 사고를 막기 위한 사전 투자다. 내부자 사고 이후의 대응 비용, 과징금, 소송, 평판 훼손, 고객 이탈은 회계 기준으로 정확히 산출하기조차 어렵다. 반면 다중인증 체계 구축은 비교적 명확한 비용으로, 사고 발생 가능성을 구조적으로 낮출 수 있다. AI 시대, 데이터는 기업 경쟁력의 핵심 자산이 되었다. 내부자 위협을 방치하는 보안 체계는 더 이상 지속 가능하지 않다. 다중인증 투자는 선택이 아닌 필수다. 사전 투자는 사후 복구보다 훨씬 더 경제적이다. *본 칼럼 내용은 본지 편집방향과 다를 수 있습니다.

2025.12.22 13:06이기혁

SKT, 연말·새해 기간 대비 통신 품질 강화

SK텔레콤이 성탄절 전후와 연말연시 기간 통신 트래픽 증가에 대비해 이동통신 품질 집중 관리에 돌입했다고 22일 밝혔다. SK텔레콤은 통신 트래픽이 크게 늘어날 것으로 예상되는 번화가 및 주요 행사 장소 1천100여 곳을 선정, 지역별로 별도의 소통 대책을 마련해 통신 품질 관리에 만전을 기할 방침이다. 또한 오는 23일부터 25일까지 성탄절 기간에 광화문 광장 등 번화가와 주요 축제 지역을 특별 관리한다. 12월31일부터 내년 1월1일까지는 특별 소통 대책 기간으로 지정하고 실시간 대응 체계를 강화한다. 이 기간 동안 SK텔레콤은 자회사·관계사·협력사의 전문인력을 일 평균 약 900명 배치해 연말연시 통신 서비스를 24시간 모니터링한다. 이를 통해 가입자들이 언제 어디서나 안정적인 통신 환경을 누릴 수 있도록 지원한다. SK텔레콤은 전국적으로 트래픽 증가가 예상되는 타종식 및 신년 행사 지역, 해맞이 명소, 기차역, 버스터미널, 주요 관광지, 숙박시설을 비롯해 기타 인파 밀집 지역을 중심으로 기지국 용량을 사전에 증설했다. 아울러 데이터 사용량이 평시 대비 최대 약 9% 증가할 것으로 예측되는 12월31일 당일을 앞두고, 사전 품질점검과 서비스 최적화 작업도 완료했다. 1월1일부터 새해 덕담을 원할히 나눌 수 있도록 서비스 품질을 유지할 계획이다. SK텔레콤은 연말 분위기를 악용한 불법스팸, 해킹 등 보안 위협에 대한 실시간 감시와 대응을 한층 강화했다. 통합보안센터를 중심으로 모바일 악성 앱, 웹 해킹 등 보안을 침해하는 시도에 대해 신속하게 대응할 계획이다. 자사가 제공하는 서비스에 대한 디도스 공격 여부도 집중 모니터링한다. 복재원 SK텔레콤 네트워크 운용담당은 “가입자들이 평안하고 행복한 일상 속에서 연말을 보내고 새해를 맞을 수 있도록 안정적인 서비스 운용에 만전을 기할 계획”이라고 말했다.

2025.12.22 10:47진성우

KISA "AI 보안인재는 누구?...역량·성장과정 틀 만드는중"

"보안 담당자들이 인공지능(AI)이 생성한 답변이 검증이 된 것인지 아닌지를 판단을 해주는 '감정사'의 역할을 하게 될 것이라는 게 업계의 중론이다. AI보다 수준이 낮은 검증을 하면 안 되기 때문에 기본적으로 보안에 대한 스킬업은 반드시 유지를 해야 한다. 최신 기술에 대해서도 빠르게 학습하는 노력은 이어져야 한다" 문종현 지니언스시큐리센터(GSC) 이사는 19일 한국정보보호산업협회(KISIA)가 주최한 '2025 정보보호 인재양성 교육사업 성과공유회'에서 진행된 패널토의에서 AI시대 보안 인재 양성의 방향성과 관련해 이같이 진단했다. 이날 패널토의에서는 문 이사를 비롯해 IBM 이재웅 상무, KISIA 강주영 부원장, 이정훈 한국인터넷진흥원(KISA) 팀장 등이 참석했다. 이어 AI 시대에서 결정적으로 중요해질 역량과 관련해 이재웅 상무는 "AI가 보안 업무에서도 뛰어난 성능을 보이고 있다. AI가 훨씬 더 빠른 속도로 결과물을 만들어내기 때문에 보안 인재들은 AI가 생성한 결과물을 판단하고 의사결정하는 역량이 중요해질 전망"이라며 "이는 보안과 관련된 이해관계자들과 커뮤니케이션하는 능력까지 포함한 소프트 스킬이 더 강화될 필요가 있다"고 강조했다. 이재웅 IBM 상무는 보안과 AI를 분리하는 것이 아니라 모든 영역에 있어 자기 주도적으로 선택하고 추진하는 역량을 가장 중요한 역량으로 지목했다. 이어 이 상무는 "어떤 취약점이 발견됐다고 했을 때 우리 조직에 얼마만큼 위험한 취약점인지 그 스케일을 판단하고 결정하는 것은 여전히 사람이 해야 할 영역"이라고 밝혔다. 이정훈 KISA 팀장은 "AI 시대가 도래하면서 정보보호 인력에 더 많은 역량이 요구되고 있다"면서 "이에 KISA는 정보보호 인력 프레임워크나 정보보호 프레임워크를 활용해 AI 보안 인재의 역량이 어떤 것인지, 이를 위해 어떤 과정을 통해 성장해야 하는지 정책적인 틀을 구성하는 작업을 하고 있다"고 설명했다. 향후 AI 보안 전문 인력 양성 모델의 변화 전망과 관련해 강주영 KISIA 부원장은 "어떠한 침해사고가 발생했을 때 구체적으로 어떻게 대응해야 하는지를 머리로는 알고 있지만 막상 닥쳤을 때 대응할 수 있는 분들이 많지 않을 것 같다"며 "이에 현장에서 어떻게 침해사고를 대응하고 의사결정 할 건지에 대한 능력도 인재 양성 프로그램 내에 녹여졌으면 한다"고 밝혔다.

2025.12.19 18:23김기찬

윤인수 KAIST 교수 "보안 인재, AI 더 잘 알아야"

"인공지능(AI) 시대가 될수록 보안 인재들의 역할이 더욱더 중요해지는 시대가 될 것 같다. 안타까운 일이지만 아마 내년, 내후년에는 더 많은 보안 사고들이 일어날 것으로 예상된다. 그만큼 AI가 빠르게 발전하고 있고, 공격자들이 AI를 빠른 속도로 적용하고 있기 때문이다." 윤인수 KAIST 전기 및 전자공학부 교수는 한국정보보호산업협회(KISIA)가 19일 개최한 '2025 정보보호 인재양성 교육사업 성과공유회'에서 이같이 밝혔다. 윤 교수는 이날 정보보호 인재양성 교육사업에 참가한 수강생들 앞에서 'AI 시대의 정보보호 인재양성의 방향'을 주제로 특별 강연을 했다. 윤 교수는 "정보보호라고 하는 것들은 단순히 어떤 하나의 기업, 하나의 기관만 잘해서 되는 것이 아니라, 사회 전체가 정보보호 참여자가 돼야 하는 것"이라며 "AI는 여전히 환각 등 여러 문제를 안고 있고 완벽하지 않기 때문에 정보보호 인력들의 질을 높이는 방향으로 인재 양성이 이뤄져야 한다"고 강조했다. AI가 많은 산업 영역을 대체하고 있는 현실이다. AI가 코드를 생성하거나 정보보호 영역에서도 많은 부분을 자동화하기도 했다. 그러나 윤 교수는 AI가 한계를 보이고 있는 부분이 있는 만큼 정보보호 인재 양성의 방향이 'AI와 같이 자랄 수 있는 인재'를 키우는 쪽으로 방향타를 잡아야 한다고 밝혔다. 그는 "AI 시대에서는 AI를 효과적으로 사용하고 AI가 생성한 결과물을 잘 판단하고, 정해진 답이 아닌 어떤 문제를 만들고 해결하는 사람이 필요하다. AI와 같이 자랄수 있는 인재"라며 "기존의 교육은 여전히 필요하다. AI 관련 이론적 교육과 더불어 실전적인 교육도 병행해야 한다"고 말했다. AI가 어떻게 작동하는지, 어떤 한계가 있는지 명확하게 이해하고, 여러 AI 도구를 효과적이고 다양하게 사용할 수 있는 인재가 미래 정보보호 산업을 이끌게 될 거라는 윤 교수의 전망인 셈이다. 한편 이날 KISIA, 한국인터넷진흥원, 과학기술정보통신부 등이 개최한 행사는 1년간 진행한 정보보호 인재양성 교육사업의 성과를 되돌아보는 자리로 마련됐다. 우수 교육생에 대한 각 기관별 시상도 진행됐다. 이어 우수 교육생이 직접 성과에 대해 발표하고, 미래 비전에 대해 직접 소개하는 시간도 가졌다. 조영철 KISIA 협회장은 "인터넷, 모바일 시대를 지나 AI의 시대가 왔다. AI시대에서도 KISIA는 정보보호 교육을 굉장히 중요시 하고 있으며, 정부 시책, 과학기술정보통신부 여러 프로그램에 맞춰 사업을 수행하고 있다"며 "산업 현장과 연결된 교육을 하자는 것이 협회의 교육 방향성이며, 산업과 인재를 연결하는 것이 중요한 핵심 과제다. 사이버보안 분야는 전망있고 유능한 분야이지만 어려운 분야이기도 하다. 미래를 향해 나아가는 정보보안 인재들이 커뮤니케이션, 사회적 윤리, 팀워크 등을 두루 갖춘 전임적인 인재가 됐으면 한다"고 말했다.

2025.12.19 18:13김기찬

금보원, 중소 금융사 AI 기반 보이스피싱 대응 지원한다

금융보안원은 중소형 금융회사의 인공지능(AI) 기반 보이스피싱 대응 역량 강화를 위해 다른 기관과 협력을 추진한다. 보이스피싱이 AI 기능을 악용하면서 점차 고도화됨에 따라 위협이 커진 만큼 대응이 필요한 중소형 금융회사에 대한 보안 지원에 나선 것이다. 금융보안원은 지난 18일 인터넷은행, 상호금융업권중앙회, 저축은행중앙회, 우정사업본부와 함께 보이스피싱 대응 역량 강화를 위한 양해각서(MOU)를 체결했다고 밝혔다. 이번 협력 체결은 AI 기반 이상거래 탐지 시스템(FDS) 운영 등 보이스피싱 대응 고도화에 사고 어려움을 겪고 있는 중소 금융회사를 위해 금융보안원과 인터넷은행이 AI 모델 공동 개발 등을 지원하는 것을 골자로 하고 있다. 아울러 금융보안원이 운영 중인 '보이스피싱 정보공유·분석 AI 플랫폼(ASAP)'과 연계함으로써 중소 금융업권의 보이스피싱 대응 수준 강화를 목적으로 추진됐다. 김태훈 금융위원회 금융안전과장은 "보이스피싱 수법이 날로 지능화·고도화됨에 따라 전 금융권의 공조가 필수적"이라며 "인터넷은행의 기술적 노하우를 상호금융 및 저축은행업권 등에 공유함으로써, 민간이 주도해 금융권 전체의 대응 역량을 상향시키는 모범 사례가 될 것"이라고 말했다. 이혁준 금융보안원 AI기술팀장은 보이스피싱 플랫폼에서의 AI 분석 기능 개발 현황을 주제로 발표를 진행했다. 지난해부터 금융보안원과 인터넷은행 3사가 연합학습 기술을 활용해 보이스피싱 탐지 AI 공동 모델 개발을 추진해 온 결과, 올해 11월 1차 개발을 완료한 것으로 나타났다. 이에 이 팀장은 향후 성능 테스트 및 고도화 등을 거쳐 다른 은행 및 업권으로 확산할 예정이라고 밝혔다. 카카오뱅크 이종태 AI 기술전략팀장은 보이스피싱 대응 AI 기술 할용 사례 발표에서 보이스피싱 의심 거래를 AI가 선별하도록 해 업무 부담을 낮추고, 탐지 효과는 높였다고 관련 사례에 대해 발표했다. 박상원 금융보안원장은 "금융보안원과 인터넷은행이 개발한'보이스피싱 탐지 AI 공동 모델'을 확산시켜 금융권 전반의 보이스 피싱 대응 역량을 함께 강화하는 것이 중요하다"며 "전반적 역량을 강화하지 못하면 금융사기는 대응 역량이 높은 금융회사에서 낮은 금융회사로 옮겨가는 전이효과가 나타날 수 있다"고 설명했다. 박 원장은 이어 "이번 MOU는 중소 금융회사의 AI 공동 모델 활용을 미리 준비하는 것이며, 향후 실질적 협력을 추진함으로써 금융권 전반의 보이스피싱 대응 수준 향상을 위해 노력하겠다"고 밝혔다.

2025.12.19 13:33김기찬

Prev 1 2 3 4 5 6 7 8 9 10 Next