검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'해킹'통합검색 결과 입니다. (418건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

"쿠팡 사태 남 일 아니다"…플랫폼 업계 보안 전면 재점검

쿠팡에서 3천370만개에 달하는 고객 계정 정보가 무단으로 유출된 사실이 뒤늦게 확인되면서, 플랫폼 업계 전반의 개인정보 관리 체계가 도마 위에 올랐다. 배달·커머스 등 주요 서비스들이 수천만 명의 이용자 정보를 보유한 상황에서, 단일 기업의 사고를 넘어 '플랫폼 전반의 보안 리스크'를 점검해야 한다는 목소리가 커지고 있다. 수천만 명 데이터 쌓는 구조, 한 번 뚫리면 '연쇄 유출' 위험 3일 플랫폼 업계에 따르면 쿠팡 사태 이후 기업들은 내부 보안체계를 다시 점검하는 흐름을 보이고 있다. 개인정보 접근 권한 설정, 퇴사자 계정 차단, 접근기록 관리 절차 등 기본 구조를 전면적으로 검토하는 작업이 이어지고 있다는 설명이다. 플랫폼 기업은 사용자의 주소와 구매 이력, 위치 기반 데이터 등을 처리해 사고 발생 시 피해 범위가 급격히 커질 수 있다는 점이 큰 부담으로 작용한다. 단순한 정보에 그치지 않고 반복된 주문 패턴이나 결제 수단, 배송지 기록 등 생활 동선 정보까지 축적되는 구조여서 보유한 정보의 정밀도가 높다는 점도 위험성을 키운다. 특히 고객과 판매자, 배송망 등의 정보가 한 시스템 안에 결합돼 있어 정보가 연쇄적으로 노출될 수 있는 구조를 갖고 있다. “쿠팡만의 문제 아냐”…플랫폼 전반으로 확산되는 보안 점검 이런 상황에서 일부 플랫폼 기업들은 이용자 대상 보안 조치도 강화하고 있다. 지마켓은 최근 고객들에게 비밀번호 변경, 2단계 인증 설정, 환금성 상품 구매 시 본인 확인 강화 등 보안 권고를 발송했다. 타사 보안 사고로 도용·피싱 위험이 커진 만큼 로그인 보안을 강화해 달라는 내용이다. SSG닷컴은 해외·새로운 환경 로그인 알림 대상을 '로그인 알림 미동의' 고객까지 확대하고 비밀번호 변경 캠페인을 시작했고, 주의사항 안내도 추가했다. 회사 관계자는 “정기·수시 점검과 내부 통제를 지속 강화하고 있다”고 말했다. 네이버 역시 내부 보안체계를 다시 들여다보고 있다. 네이버 관계자는 "암호화 키 생성·보관·교체 절차를 업계 기준에 맞춰 운영하고 있으며, 키 접근 권한도 최소 권한 원칙에 따라 통제하고 있다"고 설명했다. 이 관계자는 “2단계 인증 기능도 지속 안내 중이며, 강화 방안을 검토하고 있다”고 덧붙였다. 배달의민족도 개인정보 접근 체계를 다시 확인하고 있다고 밝혔다. 회사 관계자는 “퇴사자 계정 차단이나 정보 접근 통제는 기업이라면 당연히 지켜야 하는 기본 절차”라며 “내부 인력이 고객 정보를 임의로 조회할 수 있는 구조가 아니다”라고 말했다. 이 관계자는 쿠팡 사태와 관련해 최근 개인정보 유출 우려가 커지면서 회사 내부 보안 체계를 다시 점검했다고 밝혔다. 무신사도 내부자 승인 절차를 핵심 통제 장치로 두고 있다고 설명했다. 무신사 관계자는 “고객 정보에 접근하려면 담당자라도 보안 최고관리자(CISO)의 승인 절차를 거쳐야 한다”며 “접근 기록은 모두 로그로 관리되고 있고, 쿠팡 사태 이후 내부 암호화 관리 체계도 재점검했다”고 말했다. 이 관계자에 따르면 무신사가 보유하고 있는 회원의 규모는 약 1천500만명에 이른다. 업계는 쿠팡 사태를 계기로 플랫폼 전반의 접근 권한 구조와 암호화 등 고객 개인정보 점검 기준 등이 다시 검증돼야 한다는 데 대체로 공감하고 있다. 한 업계 관계자는 “보유 정보량이 많은 플랫폼일수록 기본 절차가 조금만 흔들려도 사고가 크게 번질 수 있다”며 “이번 일을 계기로 내부 보안 프로세스를 다시 확인하는 기업이 점점 늘어날 것”이라고 말했다.

2025.12.03 17:58류승현 기자

보안 인증 받은 쿠팡, 과징금 얼마나 나올까

대한민국 국민 65%에 달하는 개인정보 유출 사고가 발생한 쿠팡의 제재 수위에 대한 관심이 모아지고 있다. 보안의 기본이라고 할 수 있는 퇴사자 권한 관리가 유출사고의 원인으로 지목되고 있는 데다, 정부에서도 엄정 제재, 징벌적 손해 배상에 대한 목소리가 높아지고 있기 때문이다. 현행 기준에 따르면 매출액 기준 최대 3%에 달하는 과징금이 부과될 수 있어 쿠팡은 최대 1조원대 과징금 철퇴를 맞을 가능성도 있다. 2일 업계에 따르면 쿠팡은 최근 3천370만개의 개인정보가 유출되는 사고를 겪고 조사에 임하고 있다. 국회 과학기술정보방송통신위원회 최민희 위원장(더불어민주당) 분석에 따르면 이번 유출사고는 퇴사자 인증키를 퇴사 즉시 수거하지 않고 방치한 데 원인이 있는 것으로 알려졌다. 직원이 퇴사를 하면 회사 내부 데이터나 서버, 네트워크에 접근하지 못하도록 권한을 수거해야 하는데 그렇지 못한 것이 화근이 된 것이다. 다만 현재 회사는 무단 접근 경로를 차단하고 내부 모니터링을 강화하는 조치를 취했다. 개인정보보호위원회(개보위) 등 조사 당국에 따르면 정부는 쿠팡의 대규모 개인정보 유출로 민·관 합동 조사단을 꾸리고 본격적인 조사에 착수한 것으로 알려졌다. 개보위는 보안 조치 의무를 위반한 사실이 확인된 경우에는 엄정한 제재를 적용하겠다고 밝혔다. 이재명 대통령도 이날 쿠팡 개인정보 유출사고와 관련해 "쿠팡 때문에 우리 국민의 걱정이 많다"며 "처음 사건이 발생하고 5개월 동안이나 회사가 유출 자체를 파악하지 못했다는 것이 참으로 놀랍다. 관계 부처는 해외 사례를 참고해 과징금을 강화하고 징벌적 손해배상제도를 현실화하는 등의 대책에 나서달라"고 지시했다. 쿠팡, 최대 1조원 이상 과징금…최대 부과 가능성 낮아 조사 당국과 정부는 쿠팡에 대한 고강도의 제재 수위를 논하는 것으로 알려졌다. 현행법상 개인정보 유출 시 관련 법을 위반한 기업에는 전체 매출액의 3% 이내에서 과징금을 부과할 수 있다. 지난해 쿠팡의 매출액이 41조원이 넘는 만큼 1조원 이상의 과징금이 부과될 수 있다는 계산이 나온다. 다만 과징금 선정 절차는 사고와 관련 없는 매출은 제외하기 때문에 최대 과징금이 부과될 가능성은 낮다. 개보위에 따르면 과징금 선정은 우선 전체 매출액에서 사고와 관련 없는 매출액을 제외한 후, 과징금 선정 기준에 따라 기준금액을 정한다. 특히 기준금액 선정 이후에는 2차례에 걸쳐 조정에 들어간다. 여러 감경 사유를 따져보고 해당 사항이 있는 경우 과징금을 깎아준다. 대표적으로 유효한 정보보호·개인정보보호 관리체계(ISMS-P) 인증을 보유하고 있는 기업의 경우 현행법상 과징금의 최대 50%까지 감경받을 수 있다. 이에 쿠팡은 유효한 정보보호·개인정보보호 관리체계(ISMS-P) 인증을 취득한 기업이기 때문에 과징금을 최대 50% 감경받을 수 있다. 앞서 쿠팡은 지난 2021년 ISMS-P 인증을 획득한 이후 지난해 갱신까지 마친 상태로, 유효한 ISMS-P 인증을 보유하고 있다. 이에 현행법에 따라 과징금 감경 혜택을 받을 수 있는 것이다. 단, 감경 비율은 특정 위반 행위의 내용, 기업의 협조 정도, 시정 노력 등 여러 요소를 종합적으로 고려해 최종 결정된다. 해당 감경 제도로 우리카드는 과거 인천영업센터 가맹점주 개인정보 유용사건으로 부과된 과징금을 50% 감경받아 130억원만 부과된 바 있다. 1차, 2차 조정(감경) 절차 이후에는 중대성 판단을 하게 되는데, 중대성은 매우 중대함, 중대함, 보통, 약함 등 4단계로 구성된다. 가장 높은 '매우 중대함'으로 중대성이 판단된다고 하더라도 기준금액 내에서 과징금이 결정된다. 실제 역대 최대 과징금이 부과된 SK텔레콤 해킹 사태 당시 개보위는 이런 과정을 거쳐 1천348억원의 과징금을 부과했다. SK텔레콤의 무선통신사업 매출 약 13조원을 기준으로 하면 최대 3천831억원의 과징금이 부과될 수 있지만, 기준금액 설정에 따라 제재 수준이 낮아졌다. 그러나 쿠팡의 ▲지난해 매출이 SK텔레콤보다 높은 점 ▲유출 규모가 방대한 점 ▲5개월간 피해 사실을 인지하지 못한 점 등을 고려하면 SK텔레콤보다 높은 역대 최대 규모를 경신할 금액의 과징금이 선정될 가능성이 크다. 개보위 관계자는 "과징금 산정 과정에서 기준금액을 정한 이후 들어가는 감경 절차에 ISMS-P 인증 등이 감경 조항에 포함돼 있다"면서도 "과징금 산정 규모와 관련해서는 예단할 수 없고, 미리 언급할 수 없다"고 일축했다. 염흥열 순천향대 정보보호학과 명예교수는 "현행 과징금 부과 체계는 관련 분야 매출의 3%를 기준으로 산정하지만, 가감하는 조정절차가 있다. 조사 과정에 성실하게 임했는지, 피해자 구제에 적극적으로 했는지 등의 사항을 따져보고 가중하거나 감경해 과징금을 산정한다"며 "다만 정부나 대통령이 얘기하는 징벌적 과징금의 경우는 현재 법 개정 등 논의할 사항이 남아있다. 이번 쿠팡의 경우는 현 절차에 따라 산정되겠지만, 향후에는 개보위 TF에서 논의됐던 과징금 선정 관련 인센티브 제공, 징벌적 과징금 등 가감 조정절차의 방향성에 대해서 인식할 필요는 있다"고 밝혔다.

2025.12.02 18:19김기찬 기자

개인정보 유출 용의자는 중국인?…쿠팡 사태 의혹 짚어보니

쿠팡 대규모 개인정보 유출 사건 유력 용의자로 지목된 전 직원이 중국인이라는 의혹이 제기된 가운데, 경찰은 "수사가 필요하다"는 입장이다. 쿠팡 IT 인력의 절반 이상이 중국인이라는 의혹에 대해 회사 측은 이를 전면 부인했다. 2일 관련업계에 따르면 쿠팡은 지난달 18일 경찰에 개인정보 유출 피해를 확인했다는 신고를 접수했다. 당시 쿠팡은 4천500개의 고객 정보가 유출된 것으로 파악했으나, 후속 조사 결과 약 3천370만개가 무단 유출된 것으로 확인됐다. 이 과정에서 쿠팡이 밝힌 유출 정보는 이름, 이메일 주소, 배송지 주소록(입력한 이름, 전화번호, 주소), 일부 주문정보다. 회사는 어떤한 결제 정보, 신용카드 번호, 로그인 정보도 유출되지 않았다며 이용고객에게 계정 관련 조치를 취할 필요가 없다고 주장했다. 쿠팡 개인정보 유출 사고를 둘러싸고 제기된 의혹과 정부·경찰·회사 측 입장을 문답으로 정리했다. Q. 쿠팡 대규모 개인정보 유출 사건에서 정보가 유출된 기간은 얼마인가? A. 류제명 과학기술정보통신부 2차관: 공격식별 기간은 지난 6월 24일부터 11월 8일까지다. Q. 개인정보 유출 시점과 인지 시점 간 5개월의 간극이 있다. 뒤늦게 파악한 것인가? 개인정보 유출을 은폐한 것인가? A. 쿠팡 : 지난달 18일 약 4천500개 계정의 개인정보 유출 사실을 인지했다. 후속 조사 결과 고객 계정 약 3천370만개가 유출됐다는 것을 확인했다. 경찰: (개인정보 유출 사태 은폐, 축소 의혹과 관련해) 필요하면 수사하겠다. Q. 유출된 것으로 추정되는 3천370만개의 계정은 모두 현재 활동 중인가? A. 박대준 쿠팡 대표: 3천370만개의 계정에는 휴면, 탈퇴 회원 정보도 포함됐다. Q. 이번 사건의 발단이 된 개인정보 유출은 내부 소행인가? A. 쿠팡: 회사 시스템과 내부 네트워크망의 외부 침입 흔적은 없는 것으로 확인했다. 현재까지 조사에 따르면 해외 서버를 통해 무단으로 개인정보에 접근한 것으로 추정하고 있다. Q. 이번 사건의 유력 용의자(공격자)는 중국인인가? A. 류 차관: 현재 언급되는 공격자의 신상에 대한 정보는 경찰 수사로 확인이 필요하다. 확인이 필요한 미상자가 쿠팡 측에 메일을 보내 이메일, 배송지 등 3천만건의 개인정보 유출을 주장했다. 경찰 : 유력 용의자의 국적 등은 아직 확인할 수 없다. Q. 쿠팡이 받은 개인정보 유출 관련 협박 메일에는 어떤 내용이 담겼나? A. 박 대표: 용의자가 '자기가 이걸 어떻게 입수했고 취약점을 빨리 보완해라. 그렇지 않으면 폭로하겠다'라는 내용으로 메일을 보냈다. 브랜 메티스 쿠팡 정보보호최고책임자(CISO): 데이터를 자기가 취득해서 가지고 있다고 이메일로 이야기했다. 또 이 정보가 악용되지 않을 거라고 했다. Q. 대규모 개인정보를 유출한 직원은 쿠팡에서 인증 업무를 담당하던 담당자인가? A. 박 대표: (개인정보 유출 용의자로 지목된 직원은)인증 업무를 맡은 것이 아니라 인증 시스템을 개발하는 개발자였다. Q. 쿠팡 IT 인력 절반 이상이 중국이라는 의혹은 사실인가? 또 매니저의 90% 이상은 중국인으로 구성돼 있는가? A. 박 대표: 사실이 아니다. 한국인 비율이 압도적으로 많다. Q. 개인정보를 유출한 것으로 추정되는 직원은 개인인가? 팀인가? A. 박 대표: 단수나 복수라고 단정할 수는 없다. 수사 중이라 말할 수 없다. Q. 개인정보 유출 용의자로 지목된 직원은 어떤 방식으로 정보를 유출했나? A. 류 차관: 공격자는 로그인 없이 고객 정보를 여러 차례 비정상으로 접속해 유출했다. 이 과정에서 쿠팡 서버 접속 시 이용되는 인증용 토큰을 전자 서명하는 암호키가 사용됐다. Q. 이번 사건 용의자로 지목된 퇴직 직원의 권한은 어떻게 했나? A. 박 대표: 용의자 퇴직 후 권한을 말소했다. Q. 개인정보 유출 범위에 결제 정보, 신용카드 번호, 로그인 정보가 포함되지 않은 것이 맞는가? A. 과기정통부: 개인정보 유출 범위는 개인정보보호위원회가 확정한다. 개보위: 아직 쿠팡에서 개인정보가 무단으로 노출됐다는 사실을 신고한 정도로 인지하고 수사 중이다. Q. 결제 정보 등이 유출되지 않았다는데, 카드 정보 등을 바꾸지 않아도 되는가? A. 김승주 고려대 정보보호대학원 교수: 피해가 확산할 수 있기 때문에 결제 카드를 삭제하고, 카드와 쿠팡 로그인 비밀번호를 변경하는 게 좋다. Q. 개인통관고유부호(통관번호)와 공동 현관 출입문 비밀번호는 유출됐나? 쿠팡 : 현재까지 확인된 바로는 통관번호는 노출되지 않았고 공동 현관 출입문 비밀번호는 일부 포함됐다.

2025.12.02 16:37박서린 기자

박대준 쿠팡 "수사선상 오른 중국 직원은 인증 시스템 개발자"

박대준 쿠팡 대표가 가입자 개인정보 유출 사건 관련해 수사 선상에 오른 퇴사한 중국 국적 직원에 대해 "인증 시스템을 만드는 개발자였다"고 설명했다. 박 대표는 2일 국회 과학기술정보방송통신위원회 현안보고에서 신성범 국민의힘 의원의 질문에 이같이 답했다. 박 대표는 개발팀 구성 관련 질의에 “개발 조직은 한 사람이 모든 역할을 맡는 구조가 아니다”라며 “여러 개발자가 팀을 이뤄 기능을 분담하고 있다”고 말했다. 다만 “수사 중인 사안이라 구체적인 역할과 책임 범위에 대해서는 언급하기 어렵다”고 덧붙였다. 이준석 개혁신당 의원은 개인정보 유출자가 조선족인지 중국인인지 물었다. 쿠팡에서 유출된 정보가 보이스피싱에 쓰일 수 있어, 유출자가 정보를 범죄조직에 팔았는지 여부를 알기 위해서 질의한다고 하면서다. 박 대표는 “현재 수사가 진행 중”이라며 말을 아꼈다. 이어 이 의원이 “범죄 조직으로 넘어갔다고 볼만한 피해사례 등 근거가 지금 현재 있느냐”고 묻자 박 대표는 “아직까지는 없는 것으로 파악하고 있다”고 답했다. 브랜 메티스 쿠팡 정보보호최고책임자(CISO) 또한 말을 아끼며 "현재 경찰 조사가 진행 중이기 때문에 답변드릴 수 없는 점 양해해 달라”고 말했다.

2025.12.02 14:33안희정 기자

에버스핀, AI-MTD 기반 '에버세이프'로 대한민국 SW대상 대통령상 수상

AI 보안 기업 에버스핀(대표 하영빈)은 '제26회 소프트웨어산업인의 날' 기념식에서 보안 솔루션 에버세이프(EverSafe)로 '2025 대한민국 SW대상' 대통령상을 수상했다고 2일 밝혔다. 에버스핀의 대통령상 수상은 지난 2017년에 이어 두 번째다. 에버세이프는 웹과 모바일에 모두 적용 가능한 기술로, 위·변조, 세션 하이재킹과 같은 다양한 해킹 공격 뿐 아니라 스크래핑·매크로 등 AI 봇을 활용한 자동화된 공격도 대응 가능하다. 또 최근 금융·통신 업계에서 증가하는 통신망 기반 침투·인증 우회 등 복합형 공격에도 효과적인 것으로 평가되고 있는 솔루션이다. 에버세이프는 이러한 기술력을 바탕으로 국내에서는 우리은행·NH농협은행·삼성카드·한국투자증권·메리츠증권·KB증권·저축은행중앙회·SBI저축은행·애큐온저축은행·국세청·교보문고·헥토파이낸셜·티켓링크 등 다양한 업권에서 도입해 활용하고 있다. 해외에서는 SBI증권(일본)·자고은행·수무트은행·BNI증권(이상 인도네시아) 등 현지 대형 금융사를 중심적으로 도입 확산되고 있다. 에버스핀은 최근 국내외에서 발생하는 대형 보안 사고의 원인에 대해 단순한 탐지 실패가 아니라, 사전 예방 구조의 부재에서 비롯된 경우가 많다고 진단했다. 복합적이고 고도화한 최신 위협은 단일 취약점 중심 공격이 아니라 환경·구성·세션·트래픽·인증이 뒤섞인 구조 단위 공격으로 진화하고 있고 기존 탐지·대응 중심 방식만으로는 속도와 복잡성을 감당하기 어렵다는 설명이다. 에버스핀은 에버세이프의 핵심 기술인 AI-동적표적방어(MTD·Moving Target Defense)가 사전예방 전략을 기술적으로 구현하는 구조라고 강조했다. 에버스핀 관계자는 “AI-MTD는 보안 모듈이 지속적으로 변화하도록 설계돼, 공격자가 분석을 시도하더라도 분석이 이어지지 않고 매번 초기 단계로 되돌아가게 된다”며 “이는 단순 차단이 아니라 공격조건 자체를 지속하지 못하게 하는 선제적 보안 접근”이라고 설명했다. 글로벌 리서치 기관 가트너도 올해 발표한 2026년 10대 전략 기술 트렌드에서 '선제적 사이버보안(Preemptive Cybersecurity)'을 핵심 항목으로 선정했다. 가트너는 공격 발생 후 대응하는 방식만으로는 현대 위협을 처리하기 어렵다며, 공격 이전 단계에서 위험 요인을 제거하는 '예방 중심 보안'이 향후 표준 전략이 될 것으로 전망했다. 또 2030년에는 전 세계 기업 보안 예산의 절반이 선제적 보안에 투입될 것으로 내다봤다. 에버스핀 관계자는 “에버세이프 구조에서는 동일 유형의 공격이 성공하기 어려운 사례가 실제 프로젝트에서 반복적으로 확인되고 있다”며 “이번 대통령상 수상은 우리 기술의 방향성이 시장에서 검증된 결과”라고 말했다. 에버스핀은 이번 수상을 계기로 선제보안 중심의 구조적 보안 기술 개발에 속도를 낼 계획이다. 에버스핀 관계자는 “보안 위협은 더욱 복잡해지고 공격자는 더 많은 레이어를 활용할 것이고 방어 기술은 반드시 그보다 앞서 있어야 한다”며 “에버스핀은 선제보안 원칙에 기반한 기술 확장을 지속하겠다”고 밝혔다.

2025.12.02 10:07주문정 기자

"해킹 감추려는 문화 개선해야...너무 많은 보안자산도 문제"

"보안 취약점이 발견되는 것을 어떠한 문제나 사고 상황으로 인식하는 경우가 많다. 이에 다들 잘못이라 생각해서 일종의 방어기제가 발동해 취약점을 감추려고 한다. 진짜 잘못은 보안 취약점을 발견해 놓고도 대응하지 않는 것이다. 보안 문화 개선이 시급하다" 박찬암 스틸리언 대표는 1일 개최된 'AI 해킹 방어 대회(ACDC 2025)'에서 연사로 나와 이같이 밝혔다. 그는 이날 '최근 보안사고들의 관찰과 고찰'을 주제로 발표했다. 박 대표는 보안 문화에 대한 근본적인 개선이 이뤄져야 국내 정보보호의 체질 개선이 이뤄질 것으로 관측했다. 우선 박 대표는 인공지능(AI) 등장으로 공격이 더욱 쉽고 많아질 수 있다고 밝혔다. 공격자 관점에서 사람을 더 쉽게 속일 수 있게 되고, 공격 시간도 현저히 단축되며 이에 따라 공격 건수도 증폭될 우려가 나온다. 이처럼 고도화된 공격에 한국 기업들은 속수무책으로 당했다. 최근 초대형 개인정보 유출 사고가 발생한 쿠팡서부터 업비트, SK텔레콤, 예스24, KT, 롯데카드 등 굵직한 사고들이 한 해에만 터져나왔다. 이에 박 대표는 "올해 사고가 너무 많이 터져 공격 표면을 확인하고 취약점을 알아내자는 얘기가 많이 나온다"면서 "그러나 취약한 시스템의 취약점만 보완하면 끝나는 것이 아니다. 일종의 대증요법에 불과하다"고 지적했다. 이어 "보안을 대하는 문화를 근본적으로 개선해야 한다"며 "예컨대 보안 취약점이 발견됐다고 가정하면 보안 전문가의 의견을 수용하고 적극적으로 조치하는 전사적인 문화가 정착돼야 할 것"이라고 강조했다. 이어 그는 보안 사고의 근본 원인으로 '다수의 자산'을 꼽았다. 기업에서나 조직에서 보유하고 있는 자산이 너무 많아 보안 관리가 어려운 데다, 지켜야 할 자산을 보유한 조직조차 어떤 자산이 있는지 파악하지 못하고 있다는 것이다. 또 중요하지 않다고 판단한 자산에 대한 보안 소홀, 다수의 레거시 시스템 등도 문제로 꼽혔다. 보안 담당자들의 권한과 예산 부족도 지적됐다. 금융권의 경우 C(최고)레벨 차원의 보안 강화 움직임이 있으나 국내 기업 전반에 걸쳐 보안을 강화하려는 움직임은 아직 미흡하다는 지적인 셈이다. 박 대표는 "어마어마하게 뛰어난 기술이 있다고 해도 전사적으로 보안에 대한 기본기가 없으면 의미가 없다. '최신 기술이 없어서, AI 기술이 없어서 뚫렸다'는 얘기는 아직까지 들어본 적이 없다"며 "문제의 본질인 문화, 예산, 권한, 역량 등 근본적인 문제를 해결하는 것이 필요하겠다"고 진단했다.

2025.12.01 17:33김기찬 기자

"한국형 정보보호체계 시효 만료...법제 전면 재편해야"

올해 SK텔레콤, KT, 롯데카드에 이어 쿠팡에서 초대형 개인정보 유출 사태까지 잇단 보안 사고가 발생했다. 이에 국내 사이버보안 생태계 전반에 걸친 점검과 개선이 필요하다는 전문가의 제언이 나온다. 한국인터넷진흥원(KISA) 원장을 지낸 이원태 국민대학교 특임교수는 최근 페이스북에 "지난 주말 쿠팡에서 성인 인구 4명 중 3명에 달하는 3천370만명의 개인정보가 유출되는 사고가 터졌다"며 "그러나 피해 규모보다 더 충격적인 것은 그 과정에서 드러난 우리 사회의 총체적 보안 무능"이라고 지적했다. 이 교수는 "이번 사태는 단순히 개별 기업의 일탈이 아니다"라며 "한국형 정보보호 체계의 '시효 만료'"라고 비판했다. 그는 "특히 사고가 반복되면서 사회 전체에 보안 피로감이 축적되고, 위험이 '일상적 현상'처럼 취급되고 있는 '위험의 정상화'"라며 "보안 사고 둔감증이 만연한 상황에서는 어떠한 강력한 대책도 현장에서 작동하지 않는다"고 밝혔다. 그는 '기준 보완' 수준에 그치는 보안 대책이 아니라 국가 보안 체계를 완전히 다시 설계해야 한다고 역설했다. 이어 이 교수는 4가지 대책을 내놨다. 구체적으로 ▲인공지능(AI) 보안 법체계로 정보보호 법제의 전면 재편 ▲ISMS-P와 같은 문서 중심 인증 체계의 'AI-레질리언스(복원력) 인증 체계' 전환 ▲대형 플랫폼, 중요 인프라 기업의 기본 보안 수칙 의무화 ▲'사고 은폐가 불가한 공시체계' 도입 등이다. 우선 이 교수는 공격이 AI 기반으로 점차 고도화되고 진화할 것으로 예상되는 만큼 개인정보보호법, 정보통신망법 등으로 파편화된 보안 법률을 융합 보안 관점에서 통합하고 'AI 보안 법체계'로 전면 개정해야 한다고 강조했다. 또 쿠팡이 ISMS-P 인증·갱신 기업이었고, 롯데카드 역시 ISMS-P 인증을 받은 지 이틀 만에 해킹 사고를 겪었던 만큼 인증 체계의 전환도 주문했다. 이 교수는 "평균 탐지 시간(MTTD)과 평균 복구 시간(MTTR) 등 사고 대응 속도와 회복력을 핵심 지표로 삼고, AI 기반 이상행위 분석을 의무화해 실제 위협을 탐지하고 방어하는 '살아있는 인증'으로 거듭나야 한다"고 밝혔다. 아울러 기업이 피해 규모를 축소하거나 은폐할 수 있는 구조를 만들지 않기 위해 사고 발생 시 판단 주체를 기업에서 공적 영역으로 옮겨야 한다고 이 교수는 주장했다. 제3의 공적 기관이 실시간으로 위협을 탐지하고 공표하는 투명한 감시 구조를 법제화해야 한다는 것이다. 끝으로 이 교수는 "AI 시대의 보안은 더 이상 기업의 '비용'이 아니라 국가 생존의 필수 인프라다"라며 "지금이야말고 정부, 국회, 기업 모두가 낡은 보안 패러다임을 넘어 AI 시대에 걸맞은 새로운 국가 보안체계를 설계해야 할 때"라고 말했다.

2025.12.01 14:13김기찬 기자

국내 AI해커 고수들 총 출동...20개 팀 8시간 경연

국내 첫 인공지능(AI) 해킹 방어 대회인 'ACDC''가 1일 코엑스에서 개막, 2일까지 이틀간 열린다. 이 대회를 일컫어 과기정통부는 "'AI 보안'에서 다뤄지는 모든 분야를 대상으로 경쟁하는 세계 최초 방식의 해킹 대회"라고 설명했다. 행사는 과기정통부와 한국인터넷진흥원(KISA), 한국정보보호산업협회(KISIA)이 공동으로 주관했다. AI 보안은 ▲AI를 활용한 보안 ▲AI 모델 자체를 지키는 보안 ▲AI 플랫폼 보안 등 3가지 분야로 요약된다 ACDC는 이 모든 분야를 포괄하는 방식으로 대회 본선이 열렸다. 대회 참가자들은 제한 시간 안에 문제를 풀고 숨겨진 특정 문자열(Flag)을 획득하는 'CTF(캡처 더 플래그)' 방식으로 개최됐다. 앞서 지난 10월31일과 지난달 1일 양일간 온라인으로 예선전이 개최됐다. 대회 분야를 구체적으로 살펴보면 AI를 활용한 보안 분야는 AI 모델을 이용한 시스템·서버 취약점을 탐지하는 것이 핵심이다. AI 모델 자체를 지키는 보안, 즉 인공지능 안전성 확보 분야는 거대언어모델(LLM) 보안 취약점을 이용해 답변을 조작하거나 AI를 이용한 멀티모달(이미지, 영상, 음성) 조작하는 등의 악성행위를 수행하는 것이 목표다. 아울러 AI 플랫폼 보안은 AI 플랫폼을 구성하는 다양한 요소의 취약점을 이용하여 AI의 오작동 유도한다. 예선에는 총 주요 공공기관과 대기업 레드팀, 세계 해킹대회 수상 보안 기업, 국내 정보보호학화 보유 대학 등 총 187개 팀 748명이 참가했다. 이 중에서 일반 부문 상위 10개 팀과 학생 부문 상위 10개 팀이 본선에 올랐다. 가장 우수한 성적을 거둔 일반 부문 팀은 'The Bald Duck'(티오리 단일 팀)이었다. 대학생 부문운 '벌집으로 만들어 주지' 팀으로 KAIST, 서울대, 건국대, 단국대 연합팀이 이름을 올렸다. 본선은 1일 오후 1시부터 9시까지 총 8시간 동안 열린다. 이후 결과를 종합해 오는 2일 시상식이 열릴 예정이다. 통합 우승하는 1개 팀에게는 과기정통부 장관상을 비롯해 3천만원의 상금이 주어진다. 부문별 입상 2개 팀은 각각 KISA 원장상, KISIA 협회장상을 수상하며 2천만원을 받는다. 특별상은 2개팀을 선발하며, LG유플러스 대표상과 1천만원의 상금을 받는다. 한편 이날 현장에는 ACDC의 본격적인 시작을 알리는 개회식과 더불어 사전 기조강연이 열렸다. 기조 강연은 오픈 AI 심대일 GTM, 권태경 연세대 정보대학원 교수, 이안림 시스코 아태지역 고객총괄 등이 진행했다. 이어 1일 오후에는 라오 수라파네니(Rao Surapaneni) 구글클라우드 부사장 및 국내 저명 화이트해커들이 참여하는 'AI 보안 인사이트 세미나'에서 참여자 간 실시간 대담과 강연을 통해 AI 보안에 대한 각자의 통찰을 제시했다. 이번 세미나에는 윤인수 KAIST 교수, 박찬암 스틸리언 대표 등 AI 및 보안업계 유수 전문가들도 함께했다. 배경훈 부총리 겸 과기정통부 장관은 최근 발생한 e커머스사 개인정보 유출, 통신사 해킹 등 정보보호 이슈에 대해 언급했다. 그러면서 배 부총리는 "이같은 해킹 관련 이슈를 대처하지 못한다면 AI 3대 강국은 사상누각과 다름없다"며 "이번 해킹방어대회를 통해서 우리가 사이버보안 경각심을 알릴 수 있고, 어떤 준비를 해야 하는지 논의의 장이 됐으면 한다"고 강조했다. 또 배 부총리는 본선에 진출한 일부 팀 이름을 언급하며, 본선에 진출한 해커들과 직접 대화하기도 했다. 그는 "많은 분들이 대회에 참가했는데 이런 보안 인재들이 성공하고, 사회에서 중추적인 역할을 수행할 수 있도록 정부에서도 최선의 지원을 다할 것"이라고 밝혔다.

2025.12.01 14:07김기찬 기자

위대한상상, '사이버 위기 대응 모의훈련' KISA 원장 표창 수상

배달앱 요기요를 운영하는 위대한상상이 지난 26일 서울 중구 명동에서 열린 '2025년 하반기 사이버 위기 대응 모의훈련' 강평회에서 참여 우수기업으로 선정됐다고 밝혔다. 과학기술정보통신부와 한국인터넷진흥원(KISA)이 주관하는 사이버 위기 대응 모의훈련은 기업의 사이버 침해 대응 능력을 점검하고 보안 역량을 강화하기 위해 연 2회 정기적으로 실시되고 있다. 올해 하반기 모의훈련은 해킹 메일 대응, DDoS 공격 점검, 모의 침투, 서버 대상 취약점 탐지 대응 등 총 4개 유형으로 구성됐다. 10월 20일부터 31일까지 약 2주간 훈련별 신청 기업을 대상으로 진행됐다. 이번 훈련에는 총 626개 기업과 약 26만 6천여 명의 임직원이 참여해 전년 대비 44% 증가한 참여율을 보였다. 위대한상상은 적극적인 모의 훈련 참여와 우수한 대응 성과를 통해 한국인터넷진흥원 원장으로부터 2025년 하반기 사이버 위기 대응 모의훈련 우수기업 표창을 수상하고, 대응 사례를 공식 발표했다. 발표에서는 2025년 상·하반기에 걸쳐 임직원을 대상으로 실시한 '해킹 메일 대응 훈련'에서 실제 업무 환경 수준의 보안 대응 체계를 점검하고 임직원들이 보안 인식을 내재화한 사례를 소개했다. 총 2회의 해킹 메일 대응 훈련을 통해 의심 메일을 수신할 경우 적극 신고하고 공유하는 문화를 조성한 결과, 하반기 임직원의 해킹 감염률이 상반기 대비 4.43%p 감소하는 개선 효과를 달성했다. 위대한상상 김택현 CISO는 “지속적으로 고도화되는 사이버 공격 환경에서 실제 상황에 준한 훈련을 통해 전사적 보안 의식을 강화하고 있다”며 “앞으로도 고객이 안심하고 서비스를 이용할 수 있도록 더욱 견고한 정보보호 체계를 구축하겠다”고 말했다.

2025.11.28 14:02백봉삼 기자

업비트 445억 규모 해킹, 북한 라자루스 소행?

디지털자산(가상자산) 거래소 업비트에서 발생한 445억원 규모 가상자산 해킹 사건의 배후로 북한 정찰총국 산하 해킹조직 라자루스가 지목되고 있다. 28일 업계에 따르면, 정부 당국은 업비트의 이번 해킹 사건 배후로 라자루스를 지목하고, 점검에 나섰다. 라자루스 해커조직은 2019년 업비트에 보관된 580억원 규모 이더리움 탈취 사건에도 가담했다고 알려졌다. 이번 해킹 사고는 핫월렛(인터넷과 연결된 개인 지갑)에서 발생했다. 금융감독원과 금융보안원은 업비트를 현장 점검하고 있으며, 한국인터넷진흥원(KISA)도 인력 지원을 위해 점검에 나선 것으로 알려졌다. 업비트 측은 어제(27일) 새벽 솔라나 네트워크 기반 자산에서 비정상 출금 정황이 발생함에 따라 입출금 서비스를 중단하고 긴급 보안 점검에 착수했다. 피해 규모는 당초 약 540억원 상당으로 집계됐으나, 추후 445억원로 정정했다. 업비트 운영사인 두나무는 이번 비정상 출금으로 인해 발생한 손실은 전액 회사 자산으로 보전하며 회원 자산에는 어떠한 피해도 없다고 강조했다. 아울러 비정상 출금 행위와 관련해 확인 가능한 정보가 있을 경우 고객센터 제보를 요청하며 대응을 이어간다는 방침이다.

2025.11.28 12:13이도원 기자

오픈AI, 파트너사 해킹으로 일부 데이터 유출..."데이터 악용 주의"

오픈AI의 파트너사에서 보안 사고가 발생해 일부 사용자의 이름, 이메일 등 개인정보가 유출됐다. 유출된 데이터 규모는 제한되지만 이를 악용한 추가 범죄가 예상되는 만큼 주의가 요구된다. 오픈AI는 파트너사인 웹 분석 업체 믹스패널 시스템에서 일부 사용자 계정의 웹 분석 데이터가 공격자에게 유출됐다고 28일 밝혔다. 믹스패널은 오픈AI API 제품 웹 콘솔 프론트엔드에서 트래픽과 사용 행태를 분석하는 도구로 쓰여 왔다. 지난 9일 믹스패널은 시스템 일부에 대한 비인가 접근을 탐지하고 고객사 데이터 일부가 외부로 반출된 정황을 확인했다. 이후 자체 조사를 거쳐 오픈AI에 해당 데이터셋을 전달했고 오픈AI는 이를 바탕으로 영향 범위를 분석하고 있다. 오픈AI 측은 유출된 정보가 오픈AI API 계정에 연결된 프로필과 웹 분석 정보로 한정되며 플랫폼을 통한 챗GPT와 기타 소비자용 서비스 이용자는 이번 영향 범위에 포함되지 않는다고 설명했다. 개발자용 API 콘솔 이용자가 아닌 일반 챗GPT 이용자 계정은 이번 사고와 무관하다는 의미다. 구체적으로는 API 계정에 등록된 이름과 이메일 주소, 브라우저를 기반으로 추정한 대략적인 위치 정보, 접속에 사용된 운영체제와 브라우저 정보, 플랫폼 접속 직전에 방문한 웹사이트, 조직과 사용자 ID 등이 포함된 것으로 알려졌다. 대화 내용, 프롬프트와 응답, API 사용 로그, 비밀번호, 자격 증명, API 키, 결제 정보, 신분증 등 민감 정보는 이번 유출 범위에 포함되지 않았다는 것이 오픈AI의 설명이다. 이번에 노출된 정보 자체는 제한적이지만, 공격자가 이를 피싱·소셜 엔지니어링 공격에 악용할 가능성은 남아 있다. 이름, 이메일, 계정 ID, 대략적 위치 정보만으로도 실제 개발자나 조직을 노린 그럴듯한 사기 메일을 만들어 낼 수 있기 때문이다. 보안 전문가들 역시 민감도가 낮은 정보라도 여러 출처에서 모이면 신뢰를 가장한 공격 메시지 제작에 충분히 활용될 수 있다고 지적한다. 믹스패널 측은 이번 침해가 문자메시지를 악용한 스미싱 형태의 피싱 공격에서 비롯됐다고 설명했다. 공격자는 내부 계정 가운데 하나를 속여 로그인 정보를 탈취한 뒤, 이 계정으로 더 넓은 권한을 확보해 데이터셋을 추출한 것으로 알려졌다. 같은 기간 믹스패널을 사용하던 다른 서비스 사업자들도 유사한 유형의 사고 통지를 받은 것으로 전해졌다. 오픈AI는 사고 인지 후 믹스패널을 프로덕션 환경에서 제거했다고 밝혔다. 이어 믹스패널이 제공한 데이터셋을 자체적으로 재검토하고 타 파트너사·벤더와 함께 사고 경위와 영향 범위를 파악하고 있다고 덧붙였다. 오픈AI는 이번 사건을 계기로 믹스패널 사용을 종료했으며, 전체 벤더 생태계를 대상으로 보안 점검을 확대하고 파트너·공급사에 대한 보안 요구 수준을 한층 높이겠다고 강조했다. 또 오픈AI는 조직 관리자와 계정 소유자를 대상으로 개별 이메일을 통해 사고 사실과 영향을 받았을 수 있는 정보 범위를 안내하고 있다. 다만 비밀번호나 API 키, 인증 토큰이 유출된 정황은 확인되지 않았기 때문에 이번 사고만을 이유로 한 일괄 비밀번호 변경이나 키 교체까지는 권고하지 않는다는 입장이다. 오픈AI는 사용자가 유념해야 할 보안 수칙도 함께 제시했다. 우선 발신자가 오픈AI라고 주장하더라도 뜻밖에 도착한 메일·메시지에 포함된 링크나 첨부파일은 신중하게 열어야 한다고 당부했다. 또 오픈AI 안내 메일은 공식 도메인에서만 발송되며 이메일·문자·채팅으로 비밀번호나 API 키, 인증 코드를 요구하는 일은 없다고 재차 강조했다. 계정 보호를 위해서는 가능하면 계정에 다단계 인증(MFA)을 활성화하고 기업·조직 차원에서는 SSO에 MFA를 적용해 방어력을 높일 것을 권고했다. 오픈AI는 "신뢰와 보안, 프라이버시는 우리의 제품과 조직, 미션의 근간으로 이번 사고와 같은 이슈가 발생할 경우 투명하게 알리고 대응 상황을 공유하겠다"며 "급속히 커지는 AI 인프라와 이를 둘러싼 공급망 전반이 공격 표면으로 노출되고 있는 만큼 내부 시스템뿐 아니라 외부 벤더에 대해서도 한층 높은 수준의 보안 검증과 모니터링을 이어가겠다"고 밝혔다.

2025.11.28 10:26남혁우 기자

"드론·해킹 다 막아"…이탈리아 방산기업 '미켈란젤로 돔' 공개

이탈리아 방산기업인 레오나르도가 사이버 해킹을 포함해 극초음속 무기·드론·해상 공격 등 다양한 위협을 무력화할 수 있는 인공지능(AI) 기반 통합 방어 시스템을 공개했다. 27일(현지시간) 블룸버그에 따르면 레오나르도는 '미켈란젤로 돔'으로 불리는 새로운 방어 시스템을 선보였다. 미켈란젤로 돔은 해저부터 우주 공간에 이르는 모든 전장 영역의 플랫폼을 단일 네트워크로 연결해 조율하는 것을 목표로 한다. 회사 측은 향후 10년 동안 이 시스템과 관련된 잠재적 시장 규모가 약 2천30억 유로(약 344조3천억원)에 달할 것으로 전망했다. 레오나르도 로베르토 싱골라니 대표는 “위협이 급격히 진화하고 복잡해짐에 따라 공격보다 방어에 더 많은 비용이 소요될 수 있다”며 “방위 산업은 혁신과 예측 능력을 갖추고 국제적인 협력을 포용해야 한다”고 말했다. 르네상스 시대 거장의 이름을 딴 이 시스템은 사이버 공격을 포함한 각종 위협으로부터 주요 기반 시설과 인구가 밀집한 도심 지역을 보호하도록 설계됐다. 다양한 센서에서 수집된 데이터를 융합하고 '예측 AI'를 활용해 방어 자산의 최적 위치를 선정하며 대응 시간을 단축하는 것이 핵심 기술이다. 싱골라니 대표는 “미켈란젤로 돔은 모든 북대서양조약기구(NATO) 회원국의 방어 시스템과 호환된다”고 설명했다. 앞서 전망한 약 2천30억 유로 규모의 안보 시장에는 지휘 통제 시스템·탐지기·대응 수단·위성 판매 등이 포함된다. 유럽과 나토 회원국들의 국방비 지출이 증가하는 가운데, 레오나르도는 군사 기술 전문성을 앞세워 시장 내 입지를 다지고 있다. 앞서 회사는 지난 3월 사업 계획을 통해 전 사업 부문에 걸친 '디지털 백본' 구축 비전을 제시한 바 있다.

2025.11.28 09:55진성우 기자

[단독] KT알티미디어 공격한 해커, 탈취 데이터 공개

KT 자회사 KT알티미디어를 공격한 랜섬웨어 그룹이 한 달여간 KT알티미디어에 대한 협박 수위를 높여온 것으로 확인됐다. 27일 본지 취재를 종합하면 랜섬웨어 그룹 '킬린(Qilin)'은 자신들의 다크웹 사이트에 지난달 피해자로 등록했던 KT알티미디어 정보를 최근 업데이트한 것으로 확인됐다. 구체적으로 킬린은 KT알티미디어를 해킹해 탈취한 내부 데이터 중 12장의 데이터를 캡처해 올렸다. 킬린이 협박 수위를 높이며 일부 사진을 공개한 것으로 풀이된다. 탈취된 데이터에는 소프트웨어, 서버, 보안 관련 내부 문서가 포함된 것으로 확인됐다. 앞서 킬린은 지난달 말 KT알티미디어를 공격했을 당시, 금전 지불 기한을 성정해 놓고 협상에 응하라는 식으로 회사를 협박했다. 하지만 당시 해킹에 성공했다는 어떠한 샘플 데이터도 공개하지 않았다. 이에 어느 정도로 해킹 공격이 이뤄졌는지 알 수 없었지만 킬린이 탈취한 데이터 일부를 공개하면서 해킹 피해가 구체화됐다. 킬린은 이런 내부 데이터를 공개하면서 추가적으로 데이터를 공개하기 전에 협상에 응하라는 식으로 금전 지불 기한을 연장했다. 다만, 27일 오후 3시께 킬린이 요구하는 금전 지불 기한이 종료됐음에도 현재까지 별다른 추가 데이터는 공개되지 않았다. KT알티미디어는 KT그룹의 IPTV·OTT 플랫폼과 광고·콘텐츠 유통 등 디지털 미디어 서비스와 관련된 소프트웨어(SW)를 공급하는 미디어 솔루션 계열사다. 지난달에 KT알티미디어는 공격 사실을 확인하고 한국인터넷진흥원(KISA) 등에 신고 후 조사에 들어간 것으로 전해졌다. 한편 지니언스가 킬린을 분석한 보고서에 따르면, 킬린은 초기 접근 시 메일을 통한 스피어 피싱이나 노출된 원격접속 및 관리 솔루션의 취약점을 악용하는 것으로 알려졌다. 이에 테스트 스펙이나 RFP가 유출된 점을 감안하면 협력사 또는 고객사와 KT알티미디어 간 관계를 노린 스피어피싱을 통해 공격이 이뤄졌을 가능성도 제기된다. KT알티미디어 관계자는 "킬린이 해킹을 주장했을 당초부터 해당 사진들을 업로드했었다. 새롭게 업로드한 데이터는 아니다"면서 "회사는 해커와 어떠한 협상도 진행하고 있지 않다"고 밝혔다.

2025.11.27 21:05김기찬 기자

넷마블, PC 게임 포털 해킹 조사 적극 협조...사과문 공지

넷마블(대표 김병규)은 '바둑', '장기' 등과 같은 PC 게임을 서비스하는 포털사이트 등에서 발생한 고객 및 일부 임직원 정보 유출 건에 대한 자체 조사 결과를 27일 밝혔다. 회사 측에 따르면 PC 게임 포털 사이트 회원의 유출 규모는 휴면 계정을 포함해 총 611만여명으로 집계됐고, 유출된 정보는 이름과 생년월일, 암호화된 비밀번호 등이다. 단, 주민등록번호 등과 같은 고유식별정보나 민감정보 유출은 없는 것으로 확인했다는 것이 회사 측의 설명이다. 또한 이름과 생년월일 등의 개인정보가 이미 삭제되어 개인을 식별할 수 있는 정보는 아니지만, 현재는 휴면 처리된 채로 남아 있던 ID와 암호화된 비밀번호 3천100만여개도 유출된 것으로 파악했다. 해당 ID들은 PC포털 사이트에서 회원 1인당 5개까지 중복하여 생성된 것으로 보인다. 이와 함께 2015년 이전의 PC방 가맹점 약 6만6,000여곳의 사업주 명, ID와 이메일 정보, 전현직 임직원의 이름, 생년월일, 회사 이메일주소 등 약 1만7,000여건으로 알려졌다. 넷마블은 침해 사실의 구체적인 규모를 공개한 데 대해 고객들의 혼선을 최소화하고 정보 공개의 투명성을 확보하기 위해서라고 해명했다. 넷마블 관계자는 “이번 해킹 사건으로 인해 개인정보가 유출된 점에 대해 진심으로 사과드린다”며 “고객분들께 실질적인 피해가 가지 않도록 최선의 노력을 다하고 있으며, 관계기관의 조사에도 최대한 성실히 임할 것을 약속드린다. 시스템 전반에 대해 확대 점검을 진행하고, 재발 방지 대책 수립에 만전을 기하겠다”고 전했다.

2025.11.27 19:59이도원 기자

"내년 랜섬웨어·AI 기반 공격 이어진다…공급망 공격도 고도화"

인공지능(AI) 기반 공격 확산, 랜섬웨어 공격 심화 등이 내년 사이버 보안 위협으로 꼽혔다. 안랩은 27일 '2026년 5대 사이버 보안 위협 전망'을 발표하며 내년 사이버 보안 위협으로 ▲AI 기반 공격의 전방위 확산 ▲랜섬웨어 공격 및 피해 심화 ▲공급망 공격 고도화 ▲국가 핵심 인프라에 대한 위협 확대 ▲리눅스 위협 증가 등을 꼽았다. 안랩 시큐리티 인텔리전스 센터(ASEC) 양하영 실장은 “2026년에도 올해와 유사한 공격 양상이 이어지는 가운데, 공격자는 IT 환경 변화에 따른 보안 공백을 파고들며 한층 정교하게 진화할 것”이라며 “조직과 개인 모두 예상하지 못한 보안 사각지대를 미리 점검하고 대응 역량을 강화할 시점”이라고 말했다. 우선 내년에는 AI가 표적에 대한 맞춤형 공격을 실행하는 단계로 본격 진입할 전망이다. 안랩은 이미 공격자는 생성형 AI를 악용해 사회공학적 공격을 수행하고 있으며, 향후에는 사용자 환경을 실시간으로 분석해 맞춤형 악성코드를 생성하는 등의 '적응형 공격'이 확산될 것으로 봤다. 올해 역대 최고 수준을 기록한 랜섬웨어 공격도 이어질 전망이다. 전 세계적으로 새로운 랜섬웨어 조직이 대거 등장하면서 랜섬웨어 생태계가 파편화되고 있고, 이에 따라 대형 조직은 정교한 표적 공격을, 소규모 조직은 무차별적 공격을 감행하면서 피해가 커질 우려가 나온다. 특히 기업의 보안 강화와 정부의 랜섬웨어 몸값 지불 자제 기조로 인해 랜섬웨어 그룹들의 수익성이 감소함에 따라, 공격자들은 보안 역량이 부족한 중소기업을 새로운 타깃으로 삼을 가능성도 제기된다. IT 업계의 오픈소스 의존도가 높아지면서 이를 노린 소프트웨어(SW) 공급망 공격도 심화할 전망이다. 나아가 SW뿐 아니라 클라우드, 하드웨어까지 공격당할 우려가 제기되고 있다. 안랩은 국가 간 공급망 보안 프레임워크를 수립해야 할 필요가 있다고 강조했다. 의료, 제조업 등에 대한 공격이 전년 대비 급증하면서 국가 핵심 인프라를 겨냥한 사이버 공격이 내년에도 계속될 전망이다. 안랩은 국가 핵심 인프라는 공격을 받으면 피해가 큰 데다, 고가치 데이터를 다루지만 보안 투자가 상대적으로 부족하기 때문에 공격 타깃이 된다고 봤다. 이에 내년에는 철도, 항만, 항공, 통신망 등 디지털 전환 속도가 빠른 사회 기반 시설이 주요 타깃으로 떠오를 가능성이 높을 것으로 예상했다. 기업 서버 환경에서 리눅스 사용이 증가하면서 이를 향한 공격도 늘어날 것으로 보인다. 리눅스는 클라우드와 컨테이너 환경의 기반으로서 수많은 PC와 데이터가 연결돼 있다. 이에 침해사고가 발생하면 피해 규모 역시 겉잡을 수 없이 커진다. 안랩에 따르면 실제로 올해 6월 한 달에만 176개 리눅스 시스템이 1만2천건 이상의 공격을 받았으며, 유형 또한 다양했던 것으로 분석됐다. 안랩은 이러한 보안 위협에 대비하기 위해 조직 차원에서는 ▲PC·OS·SW·웹사이트 등에 대한 수시 보안 점검 및 패치 적용 ▲주요 계정에 대한 인증 이력 모니터링 ▲멀티팩터인증(Multi-Factor Authentication) 도입 ▲위협 인텔리전스 서비스로 최신 공격 기법 파악 ▲지속적인 임직원 보안 교육 ▲주기적인 공급망 보안 체계 점검 등 조직의 환경에 최적화된 대응책을 마련해야 한다고 주문했다.

2025.11.27 16:54김기찬 기자

넷마블, 바둑·장기 등 PC 게임 사이트 외부 해킹...고객정보 유출 정황 확인

'바둑', '장기' 등 PC 게임 서비스를 제공하는 넷마블의 PC 게임 사이트 고객 정보가 외부 해킹으로 인해 유출된 정황이 확인됐다. 개인 고유식별정보·민감정보는 없는 것으로 알려졌으며, 원인·규모는 관계기관 조사 후 투명하게 공개한다는 계획이다. 26일 넷마블은 홈페이지 및 PC 게임 사이트 공지사항에 '개인정보 유출에 대해서 사과드립니다' 제하의 사과문을 게재하고 “2025년 11월 22일 외부 해킹으로 인한 고객정보 유출 정황을 확인하고 대응 중”이라고 알렸다. 또한 “관련 법령에 따라 관계기관에 침해사고 발생 사실을 신고하고 현재 유출 원인·규모 등을 면밀히 조사하고 있다”고 설명했다. 회사 측에 따르면, 지금까지 확인된 유출 범위는 ▲PC 게임 사이트 고객 정보(이름, 생년월일, 암호화된 비밀번호 등) ▲일부 전현직 임직원 정보(이름, 회사이메일, 전화번호 등) ▲2015년 이전 가맹 PC방 사업주 정보(이름, 이메일 주소 등) 등이다. 넷마블 측은 “주민등록번호 등 고유식별정보나 민감정보 유출은 없었고, 유출된 비밀번호는 암호화된 상태로 해당 정보만으로는 악용이 불가능하다고 판단된다”고 설명했다. 또한 PC 게임 사이트 내 18종의 게임을 이용 중인 이용자들을 대상으로 비밀번호 변경을 권장했다. 이어 “이번 사고로 고객님께 불편과 심려를 끼쳐드린 점 머리 숙여 사과드린다. 유출 규모 등은 관계기관 조사가 나오면 즉시 투명하게 공개할 것”이라며 “고객 보호를 최우선 가치로 삼아 추가 침입 가능성에 대비해 시스템 전반에 대한 확대 점검을 진행하는 등 필요한 보호 조치와 재발 방지 대책 수립에 만전을 기하겠다”라고 덧붙였다.

2025.11.26 17:15이도원 기자

엔키화이트햇, '일렉콘 2025'서 2위 '쾌거'

오펜시브 보안 전문 기업 엔키화이트햇(대표 이성권) 소속 연구원들이 에너지 산업 분야 방어 대회에서 2위를 차지하는 성과를 올렸다. 엔키화이트햇은 소속 연구원들이 한국전력과 국가정부원 지부 공동 주관으로 개최된 '제5회 일렉콘 2025'의 일반부문에서 2위를 차지했다고 24일 밝혔다. '일렉콘'은 에너지 산업 분야의 사이버 보안 역량 강화를 위한 실전형 방어 훈련이다. 지난 19일부터 20일까지 이틀간 진행됐다. 이번 훈련에는 에너지 기관, 대학부, 고등부 외에 일반 분야가 추가돼 총 32개 팀이 참가했다. 이번 훈련에서 엔키화이트햇의 '해커ㅋ'팀으로 참가한 오승주 연구원(RedOps 1팀)과 채하늘 연구원(연구팀)은 일반부문에서 쟁쟁한 경쟁 팀들을 제치고 2위를 기록하며 뛰어난 방어 및 실전 대응 능력을 입증했다. 또한 엔키화이트햇의 천호진 팀장(위협연구팀)과 김영운 연구원(위협연구팀)이 '위협연구' 팀으로 대회에 참여했다. 엔키화이트햇은 "카스퍼스키(Kaspersky) CTF와 데프콘(DEF CON) CTF와 같은 세계적인 대회에서 꾸준히 수상하며 오펜시브 보안 역량을 증명해왔다"며 "이번 일렉콘을 통해 이러한 실력이 에너지 시스템 방어 분야에서도 유효함을 다시 한 번 확인했다"고 평가했다. 또한 엔키화이트햇은 일렉콘과 같은 훈련에서 증명된 세계 최고 수준의 공격·방어 기술과 실전 경험을 엔키화이트햇의 올인원 오펜시브 보안 플랫폼 '오펜(OFFen)'에 반영한다. 실제 공격자의 시각으로 고객의 시스템 취약점을 선제적으로 발견하고 실질적인 방어 역량을 제공하는 경쟁력을 더욱 키워 나갈 계획이다. 이번 대회에 참가한 채하늘 연구원은 "평소 엔키화이트햇이 지향하는 '공격자 관점의 오펜시브 보안'이 실전 방어에서도 유효하다는 것을 증명하게 돼 기쁘다"며 "이 경험을 바탕으로 더 안전한 사이버 세상을 만들겠다"고 밝혔다. 이성권 엔키화이트햇 대표는 "핵심 국가기반시설인 전력설비를 대상으로 하는 실전형 훈련에서 우수한 성과를 거둔 것이 매우 의미 깊다"며 "이번 수상을 계기로 엔키화이트햇이 가진 공격자 관점의 노하우를 통해 에너지 산업과 같이 중요한 국가기반시설을 사이버 위협으로부터 효과적으로 대응할 수 있는 보안 해법을 제공하겠다"고 밝혔다.

2025.11.24 14:16김기찬 기자

LGU+ "월 6600원에 태블릿 보안 원격진단"

LG유플러스가 보안 기능을 강화한 '스마트 안심 진단 서비스'의 지원 단말을 태블릿PC까지 확대했다고 23일 밝혔다. 이 서비스는 2018년 출시한 '실시간PC 원격주치의'의 고도화된 버전이다. PC·노트북만 원격으로 진단했던 서비스에서 태블릿까지 포함해 각 기기에 맞는 보안 솔루션을 지원하는 서비스로 확장했다. LG유플러스는 고객 정보를 최우선으로 지키기 위해 스마트 안심 진단 서비스의 보안 기능을 강화하고, 최근 사용량이 증가한 태블릿까지 지원을 확대했다. 먼저, PC·노트북은 사용자 화면을 외부로부터 보호하는 '스크린 디펜딩' 보안 솔루션을 탑재한다. 기기 사용 중 사이버 침입을 감지하면 해킹을 원격으로 즉시 차단하고, 이용자에게 알림을 보내는 서비스를 제공한다. 이때 침입자의 화면은 감지 즉시 검게 바뀌어 고객의 개인 정보가 유출되지 않도록 보호한다. 이 서비스는 24시간 지원하되 사용자가 원치 않는 시간에는 Off 설정을 할 수 있다. 태블릿PC는 스마트 안심 진단 앱을 설치하면 사용자가 원하는 시간에 원격으로 진단이 가능하다. 아이폰과 아이패드 이용 시 원격으로 가이드를 제공해 소비자가 전문가와 함께 실시간으로 진단할 수 있게 한다. 이 서비스는 원격 진단이 가능한 단말기 수에 따라 2가지 요금제 중 선택할 수 있다. PC·노트북 외 태블릿 1대를 추가하면 월 6천600원, 2대는 월 8천800원이다. 또 PC·노트북·태블릿PC 파손·고장 시 발생하는 수리비도 받을 수 있다. 보상 수리비는 1년에 1회로, 한도는 최대 50만원(자기부담금 10만원 포함)이다. 오인호 LG유플러스 홈사업담당은 “이번 서비스는 고객의 단말 사용 패턴 변화에 맞춰 서비스를 개선하고 안전한 인터넷 이용 환경을 만들기 위해 준비했다”며 ”앞으로도 댁 내 생활에 필요한 서비스들을 통신과 접목하여 발굴해 나갈 예정이다”라고 말했다.

2025.11.23 09:54진성우 기자

한전, 에너지 분야 정보보안 협력 강화…사이버보안 합동훈련

한국전력(대표 김동철)은 19일과 20일 이틀동안 나주혁신도시 본사에서 국가정보원 지부와 공동주관으로 '제5회 일렉콘(ELECCON·ELEctric sector Cyber CONtest) 2025'를 개최했다. 일렉콘은 에너지 분야 실전형 사이버공격 방어훈련으로 공격 1팀, 운영 1팀, 방어 32개팀으로 구성된다. 훈련은 실제 에너지시스템과 유사하게 구축된 가상 환경에서 공격팀과 방어팀으로 나눠 실시간 공방 방식으로 진행했다. 이번 훈련에는 방어팀으로 전력거래소 등 에너지 기관 8개팀과 온라인 예선을 통과한 일반부 8개팀, 대학부 8개팀, 고등부 8개팀이 참가했다. 특히, 올해는 더 많은 훈련 참여기회를 제공하기 위해 일반분야를 추가해 참가자를 모집했다. 19일부터 이틀간 치른 본훈련에서는 에너지 기관에서는 한국남동발전의 'KOEN'팀이, 일반부에서는 'HEXA'팀이, 대학부에서는 숭실대학교 '상금루팡슝슝이'팀이, 고등부에서는 한국디지털미디어고등학교 'FW'팀이 각각 1위를 차지했다. 에너지 기관과 일반부 1위 팀에는 산업통상부 장관상이, 대학과 고등부 1위 팀에는 한전 사장상 등의 포상이 수여됐다. 최근 통신 3사 해킹 피해 발생 등 사이버 위협이 지속적으로 증가함에 따라, 한전은 핵심 국가기반시설인 전력설비를 사이버 공격으로부터 안전하게 보호하기 위해 대응체계를 구축하고 실효성을 주기적으로 점검하고 있다. 더불어 개인정보관리 강화를 위한 중기 마스터플랜 수립, 각종 사이버보안 컨퍼런스 참여 등 정보보안 강화를 위한 다양한 노력을 펼치고 있다. 안중은 한전 경영관리 부사장은 “이번 훈련이 실제와 유사하게 만든 에너지시스템 안에서 여러 시나리오로 진행된 만큼 참가자들의 사이버 대응 실전 역량이 크게 높아질 것으로 기대하며, 앞으로도 국정원 등 유관기관들과 긴밀하게 협력해 에너지 산업의 사이버보안을 앞장서 지켜 나가겠다”고 밝혔다.

2025.11.21 18:07주문정 기자

금융회사 모의해킹해보니..."접근제어솔루션·그룹웨어 등 구멍"

금융권의 모의해킹 결과 기술적·관리적 취약점의 연계를 통해 접근제어 솔루션을 공격하고 내부 데이터를 탈취하는 보안 미흡 사항이 발견됐다. 금융보안원의 레드팀 역할을 수행하고 있는 '레드 아이리스' 팀 소속 원요한 금융보안원 책임은 20일 개최된 'FISCON 2025' 행사에서 이같이 밝혔다. 그는 금융 회사들을 모의해킹한 결과 3가지 종류로 요약할 수 있는 주요 취약점이 발견됐다고 설명했다. 우선 해커의 내부 침투가 이미 진행돼 있다고 가정한 공격 시나리오에서 내부에서 외부로 공격이 이어지는 경우, 금융 회사가 외주를 맡기는 접근제어 솔루션을 통한 공격이 지목됐다. 원 책임은 취약한 서버나 임직원 PC를 공격해 접근제어 솔루션을 경유하고, 고객센터, 메일 서버 등 내부 데이터를 탈취하는 식으로 공격이 가능했었다고 모의해킹 결과에 대해 발표했다. 외부에서 내부로 이어지는 공격의 경우 그룹웨어나, 접근제어 솔루션을 공격해 서버 계정, 임직원 계정 탈취가 가능했던 것으로 확인됐다. 또 내부에서 금융 회사가 사용하는 클라우드로의 접근할 수 있는 취약점도 식별됐다. 마찬가지로 접근제어 솔루션이 공격 대상에 포함됐으며, NAC(네트워크 접근 제어) 솔루션도 공격 대상에 포함됐다. 이 경우 클라우드 서버 탈취 등 결과를 초래할 수 있다고 원 책임은 밝혔다. 원 책임은 3가지 모두 기술적, 관리적 취약점의 연계를 통해 공격을 수행할 수 있다는 공통점이 확인됐다고 지적했다. 그는 이같은 취약점에 대응하기 위해 기술적으로는 ▲취약점 관리 체계 강화 ▲백신 우회에 대한 대응 강화 ▲로그·세션·인증정보 보안 강화 등의 대책이 필요하다고 주문했다. 아울러 관리적 대응 방안으로는 ▲솔루션 설정 및 계정 운영 가이드라인 수립 ▲망분리 환경 내 예외 서버 정기 점검 ▲중요 정보의 분산 보호 및 비인가 접근 모니터링 등의 대책이 필요하다고 제언했다. 이 외에도 단계적 제로트러스트 도입, 조직문화 및 인식 개선 등의 방안도 뒷받침돼야 한다고 강조했다.

2025.11.21 16:59김기찬 기자

Prev 1 2 3 4 5 6 7 8 9 10 Next