검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'51% 공격'통합검색 결과 입니다. (93건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

랜섬웨어 '메두사', GoAnywhere 취약점 악용해 공격 시도

2023년 초 최초 식별돼 현재까지 481곳의 피해 기업을 낳은 랜섬웨어 그룹 '메두사'가 최근 한 달간 랜섬웨어 공격에 최대 심각도의 GoAnywhere MFT 취약점을 적극적으로 악용하는 것으로 나타났다. 7일 보안 외신 블리핑컴퓨터(bleepingcomputer)에 따르면 전날 마이크로소프트(MS)는 지난달 11일부터 Storm-1175로 추적하는 알려진 메두사 랜섬웨어 계열사가 GoAnywhere MFT 취약점을 공격에 악용하고 있다고 보고서를 통해 밝혔다. MS 디펜더 연구원들은 "초기 접근을 위해 Storm-1175에 기인한 전술, 기술 및 절차(TTP)와 연계된 여러 조직의 익스플로잇(취약점 공격) 활동을 확인했다"면서 "초기 액세스를 위해 위협 행위자는 GoAnywhere MFT에서 당시 제로데이 디시리얼라이제이션(직렬화된 데이터를 다시 객체로 복원하는 과정) 취약점을 악용했다. 지속성을 유지하기 위해 원격 모니터링 및 관리(RMM) 도구를 남용했다"고 밝혔다. 구체적으로 랜섬웨어 계열사는 RMM 바이너리를 출시하고 사용자 및 시스템 검색을 위한 명령을 실행했으며, 손상된 네트워크를 통해 MS 원격 데스크톱 연결 클라이언트(mtsc.exe)를 사용해 여러 시스템으로 측면 이동시키는 공격 방법을 활용했다. 이후 도난당한 파일을 유출하고, 피해자의 파일을 암호화하기 위해 메두사 랜섬웨어 페이로드를 배치한 것으로 조사됐다. 랜섬웨어 추적 사이트 랜섬웨어닷라이브에 따르면 메두사는 2023년 초 최초 식별돼 이날까지 전 세계 기업 및 기관을 대상으로 481건의 랜섬웨어 공격을 시도한 그룹으로 알려졌다. 지난 3월 미국 사이버보안 전담 기관 CISA는 FBI 및 다중 주 정보 공유 및 분석 센터(MS-ISAC)와 공동 자문을 발표하며, 메두사 랜섬웨어 운영이 미국 전역의 300개 이상의 주요 인프라 조직에 영향을 미쳤다고 경고하기도 했다.

2025.10.07 16:03김기찬

올해 3분기 랜섬웨어 공격 5336건…2023년 넘었다

올해 3분기까지 누적된 전 세계 기관 및 기업을 대상으로 한 '랜섬웨어'(Ransomware) 공격 시도가 2023년 1년간 시도된 공격보다 많은 것으로 조사됐다. 7일 랜섬웨어 추적 사이트 랜섬웨어닷라이브에 따르면 전 세계 주요 랜섬웨어 그룹의 올해 들어 3분기까지 누적된 글로벌 랜섬웨어 공격 시도는 5717건으로 집계됐다. 이는 2023년 5336건보다 많은 건수로, 올해 국내를 비롯해 전 세계를 대상으로 랜섬웨어 공격 시도가 급증하고 있는 것으로 풀이된다. 지난해 3분기(누적 기준) 4201건보다 1500건 이상 공격 시도가 늘었다. 이런 추세라면 지난해 첫 6000건을 돌파한 이래 올해 글로벌 랜섬웨어 공격 시도는 지난해를 넘어설 것으로 분석된다. 최근 국내 자산운용사 29곳 랜섬웨어 공격, SGI서울보증, 예스24 등 기업 및 기관을 대상으로 공격 시도가 급증하는 가운데 RaaS(서비스형 랜섬웨어) 등 공격 그룹의 공격 방식 역시 고도화된 영향으로 해석된다. 올해 가장 많은 랜섬웨어 공격을 시도한 곳은 '킬린(Qilin)'으로, 7일 기준 581건의 랜섬웨어 공격에 나선 것으로 조사됐다. RaaS 그룹 킬린은 웰컴금융그룹의 대부업체를 공격한 것은 물론 국내 자산운용사에 대한 공격 등 국내를 비롯한 전 세계적으로 가장 위협적인 랜섬웨어 그룹으로 부상했다. 보안업계에 따르면 킬린에 지난해 가장 위협적인 랜섬웨어 그룹으로 꼽혔던 랜섬허브(Ransomhub)가 합류한 것으로 추정되면서 올해 가장 위협적인 랜섬웨어 그룹으로 확장했다. 실제로 SK쉴더스 분석에 따르면 랜섬허브가 활동을 중단한 이후 킬린의 월평균 피해 건수는 기존 35건에서 70건으로 두 배 늘어났다. 이 외에도 아키라(Akira), 클롭(Cl0p) 등 랜섬웨어 그룹이 올해에만 400건이 넘는 랜섬웨어 공격을 시도하면서 위협적인 공격 그룹 톱3에 이름을 올렸다. 피해 국가별로 보면 7일 기준 미국이 가장 많은 공격 시도를 받은 것으로 나타났다. 미국에 대한 공격 시도는 2497건으로 올해 진행된 공격 가운데 절반에 가까운 피해가 미국에 집중됐다. 이어 캐나다 264건, 독일 256건으로 피해가 이어졌다. 다만 보안 외신 등에 따르면 8월에는 독일과 영국에 대한 랜섬웨어 공격이 집중되면서 캐나다를 제치고 피해 건수가 각각 2위와 3위로 늘어났다. 업종별로 보면 제조업와 기술업에 대한 공격이 가장 많았고, 최근 헬스케어와 비즈니스서비스에 대한 공격도 이어지는 추세로 분석됐다. 보안업계 관계자는 "랜섬웨어는 여전히 전 세계 기업 및 기관에 가장 큰 위협으로 자리잡고 있다"면서 "과거 록빗(Lockbit) 등 몇몇 랜섬웨어 공격 조직이 공격을 주도했다면, 최근에는 다양한 랜섬웨어그룹이 등장하며 이중협박, RaaS 등 공격이 다변화되고 양적으로 많아지고 있다"고 우려했다. 그는 "랜섬웨어 공격에 대비해 백업 주기를 짧게 가져가고, 데이터 백업을 오프사이트(오프라인 등 인터넷과 연결되지 않은 공간)에 저장하는 것이 중요하다"면서 "랜섬웨어 공격을 당했을 때 어떻게 대처해야 하는지도 미리 훈련하면 대응에 도움이 될 것"이라고 덧붙였다.

2025.10.07 14:52김기찬

오라클 EBS 취약점 공격 가시화…빠른 패치 권고

미국 클라우드 인프라 기업 오라클이 자사 ERP(전사적 자원 관리) 솔루션 '이 비즈니스 스위트(E-Business Suite·EBS)'에 대한 취약점을 악용한 공격에 대비해 빠른 패치를 권고하고 있다. EBS 사용 고객에 대한 랜섬웨어 그룹이 협박 이메일을 보내는 등 공격을 확대하고 있기 때문이다. 7일 보안 외신 더해커뉴스 등에 따르면 최근 오라클은 랜섬웨어 그룹 Cl0p(클롭)의 데이터 탈취 공격에 악용된 EBS 보안 결함을 해결하기 위한 긴급 업데이트를 발표했다. 이 취약점은 CVE-2025-61882(CVSS 점수: 9.8)로 추적되며, HTTP를 통해 네트워크에 액세스(접근)할 수 있는 인증되지 않은 공격자가 오라클 동시 처리 구성 요소를 손상시키고 제어할 수 있는 불특정 버그인 것으로 조사되고 있다. 블룸버그, 더해커뉴스 등에 따르면 공격자들은 이 취약점을 통해 사용자 이메일을 침해하고 기본 비밀전호 재설정 기능을 악용해 인터넷을 통해 사용하는 EBS 포털의 유효한 자격 증명을 얻은 것으로 추정되고 있다. 이 사고를 조사하고 있는 구글 맨디언트와 구글 위협 인텔리전스 그룹(GTIG)에 따르면 수백개의 해킹된 계정을 이용해 대규모 이메일 협박이 진행되고 있는 것으로 나타났다. 오라클은 "이 취약점은 인증 없이 원격으로 악용될 수 있으며, 즉 사용자 이름과 비밀번호 없이 네트워크를 통해 악용될 수 있다"며 "공격이 성공하면 이 취약점으로 인해 원격 코드가 실행될 수 있다"고 경고했다. 오라클의 최고 보안 책임자 롭 듀하트도 "조사 중 발견된 추가 잠재적 악용에 대한 업데이트를 제공하기 위해 CVE-2025-61882에 대한 수정 사항을 발표했다"고 밝혔다. 앞서 3일 롭 듀하트는 블로그를 통해 "EBS 사용 고객이 협박 이메일을 수신했다는 사실에 대해 조사하고 있으며, 7월 패치 업데이트를 통해 해결된 기존 취약점을 악용한 것으로 파악하고 있다"며 "오라클 고객은 즉시 보안 패치 업데이트를 시행해야 한다"고 권고한 바 있다.

2025.10.07 12:01김기찬

'킬린' 또 자산운용사 해킹… AIP자산운용 내부 데이터 탈취

국내 자산운용사 내부 데이터를 탈취한 랜섬웨어 그룹 '킬린(Qilin)'이 최근 새로운 국내 자산운용사를 피해자로 새로 등록했다. 이로써 킬린의 '피해자 목록'에 오른 국내 자산운용사들은 총 29곳으로 늘어났다. 7일 보안업계에 따르면 최근 랜섬웨어 공격 그룹 킬린은 AIP자산운용의 내부 데이터를 탈취했다고 자신들의 다크웹 사이트에 게시했다. 킬린은 AIP자산운용에 대해 "이 회사의 포트폴리오에는 전 세계 고가의 부동산이 포함돼 있다"며 "회사 내부 문서는 물론 전 세계 주요 도시의 부동산 임대 및 매매 가격에 대한 수많은 보고서와 회사 투자자의 개인 데이터도 공개돼 있다"고 밝혔다. 다만 킬린은 AIP자산운용의 데이터 유출 규모를 밝히지는 않았다. 단 AIP자산운용의 내부 자료 및 문서로 추정되는 샘플 사진 8장을 게시했다. 앞서 킬린은 국내 자산운용사 28곳을 대상으로 공격을 시도한 바 있다. 개인정보보호위원회(개보위) 등 조사 기관에 따르면 지제이텍이라는 전산 업체에 외주를 맡긴 자산운용사들로 확인되는데, 지제이텍이 킬린의 공격을 받으면서 국내 자산운용사들의 내부 데이터가 빠져나가게 된 것으로 추정된다. 현재 개보위 등 조사기관은 이에 대한 조사에 착수한 상태다. 킬린의 '피해자 목록'에 오른 국내 자산운용사들은 ▲포어모스트자산운용(이하 자산운용 생략) ▲트라움 ▲페트라빌 ▲모비딕 ▲피티알 ▲포도 ▲허브 ▲트러스타 ▲써밋 ▲이음 ▲브로드하이 ▲이오스 ▲에스티 ▲오름 ▲디블록 ▲슈니크 ▲새봄 ▲제브라 ▲클라만 ▲휴먼앤드브릿지 ▲어썸 ▲포렉스 ▲벤코어인베스트먼츠 ▲에이펙스 ▲마제스티 ▲멜론 ▲토러스 ▲엘엑스 등 28곳으로, 이번 AIP까지 포함하면 피해가 확인된 곳은 총 29곳이다. 킬린은 금융권뿐 아니라 국내 건축·토목 업체 등 국내 산업계 전반에 걸쳐 공격을 확대하고 있다. 심지어 킬린은 올해 들어 전 세계 기업 및 기관을 대상으로 가장 활발한 공격을 시도하는 것으로 알려졌다. 실제 이날 기준 킬린은 올해 들어 전 세계 기업 및 기관을 대상으로 581건의 공격을 시도해 다른 랜섬웨어 그룹 대비 가장 많은 공격 시도를 기록하고 있다.

2025.10.07 11:22김기찬

SK쉴더스, ASM·모의해킹 결합해 기업 보안 사각지대 해소한다

SK쉴더스(대표 민기식)가 최근 잇따른 해킹 사고로 사이버 위협이 고조되고 있는 만큼 기업 보안 사각지대 해소를 위한 선제 점검에 나선다. SK쉴더스는 공격 표면 관리(ASM) 서비스에 업계 최고 수준의 모의해킹 전문성을 결합해 선제 점검에 나선다고 2일 밝혔다. 최근 국내 주요 기업들을 겨냥한 사이버 침해 사고의 상당수가 인터넷과 연결된 망 접점 자산의 취약점에서 비롯되고 있다. 특히 클라우드, 서비스형 소프트웨어(SaaS), 외부 협력사 시스템 등으로 IT 환경이 복잡해지면서 기업의 공격 표면은 과거보다 훨씬 넓어진 상황이다. 그러나 많은 기업들이 전담 인력과 보안 예산 부족으로 외부 노출 자산, 비인가 자산, 외주 개발 서버, 협력사 SaaS 계정 등을 효과적으로 관리하고 있지 못하는 상황이다. SK쉴더스는 이러한 사각지대가 공격자에게 '가장 손쉬운 침투 경로'로 악용되고 있다고 진단했다. 이에 정부도 주요정보통신기반시설, ISMS 인증 기업, 상장 기업 및 기타 중소기업을 대상으로 연내 IT 자산 긴급 점검을 확대하며 보안 관리 강화를 주문하고 있다. 이런 배경에 SK쉴더스가 기업의 보안 강화를 위해 인터넷 접점 자산 관리부터 취약점 점검, 위협 평가, 백업체계 점검까지 선제적으로 통합 지원하는 사이버보안 서비스를 강화하겠다는 것이다. 해당 서비스는 최근 전략적 파트너십을 맺은 S2W의 공격 표면 관리(ASM) 운영 경험과 국내 최대 규모의 화이트해커 그룹 '이큐스트(EQST, Experts, Qualified Security Team)'의 모의해킹 전문성을 결합한 것이 핵심이다. 단순한 취약점 점검을 넘어 공격자 관점에서의 종합 리스크 평가와 기업 맞춤형 대응 전략 수립까지 지원함으로써 보안 사각지대를 효과적으로 해소하는 것으로 알려졌다. 공격 표면 관리(ASM)는 운영 중인 자산을 자동으로 식별하고 관련 취약점 및 위험을 진단한다. 또한 자산별 위험도와 연계된 정보를 함께 제공해 기업 보안팀이 침해 발생 이전에 선제적으로 대응할 수 있도록 지원한다. 김병무 SK쉴더스 사이버보안부문장(부사장)은 “최근 잇따른 해킹 사고로 기업 보안에 대한 사회적 요구가 그 어느 때보다 높아지고 있다”며 “SK쉴더스는 국내 최다 침해 대응 실전 경험과 모의해킹 전문 역량을 결합한 선도적인 서비스로 기업이 보안 사각지대를 빠짐없이 점검하고, 어떤 상황에서도 비즈니스를 안정적으로 운영할 수 있도록 지원할 것”이라고 말했다.

2025.10.02 09:27김기찬

"공격은 최선 방어...AI에 해킹 가르쳐야"

"공격은 최선의 방어라고 한다. 이를 재해석하면, 인공지능(AI)에 해킹을 가르쳐야 해커와의 불리한 싸움 구도에서 벗어날 수 있다는 뜻이 된다." 박세준 티오리 대표는 30일 과학기술정보통신부 공식 AI 주간 'AI페스타 2025'의 부대 행사로 개최된 '대한민국 사이버 보안 컨퍼런스'에서 AI 기술들을 활용해 해킹을 선제적으로 방어한 사례를 공유하면서 이같이 말했다. 해커가 AI를 활발히 악용해 공격 건수와 속도 측면에서 이전보다 압도적인 성능을 발휘하며 우위를 점한 상황에서, 방어자도 해킹 전문 지식을 학습한 AI를 활용하지 않고선 대응이 어려워졌다는 진단이다. 해킹을 방어할 인력부터 크게 부족하다. 당장 부족한 전세계 사이버보안 인력만 480만명이라는 통계를 인용했다. 박세준 대표는 "지금부터 인력을 육성해도 턱없이 모자르다는 뜻"이라며 "해킹에 대한 대응도 수동적이고 제한적이다"고 지적했다. 이런 탓에 신규 취약점이 발견되고 이를 해커가 악용하는 시점과, 이에 대한 방어가 실시되기까지 평균 50일 가량의 시차가 발생한다고도 지적했다. 해커가 방어자에 비 50일을 앞서 움직이고 있다는 뜻이다. 티오리는 이런 사이버보안 한계를 극복하기 위해 AI가 소스코드를 이해하면서 취약점을 발견하고, 해커가 택할 최적의 공격 시나리오와 경로를 증명할 수 있으면서 문제가 된 소스코드에 대한 패치를 자동 생성할 수 있도록 하는 기술 개발에 나섰다. 이같은 취지로 개발한 AI 시스템이 '로보덕'이다. 박 대표는 "저희 목표는 LLM을 활용해 인간 전문가의 전체 업무 흐름을 그대로 재현하는 것"이라며 "이를 위한 첫 단계가 취약점을 파악해 버그 리포트를 생성하는 것"이라고 소개했다. 이어 "어려운 부분은 몇십만 줄, 몇백만 줄 가량의 소스코드 속에서 취약점을 탐색해내게 하는 것이었다"며 "에이전트를 쓰기엔 비효율적인데, 이를 '원샵 프롬프팅(예시를 바탕으로 문제를 해결하도록 하는 기법)'으로 해결하고자 했다"고 설명했다. 이런 기술들로 다수 생성된 버그 리포트 중 유효한 건수를 찾아내는 'LLM 클래시파이어'를 활용했다. 박 대표는 "1만개 정도 리포트를 처리하는 데 10분 정도, 비용은 10달러가 소요됐다"고 덧붙였다. 이를 통해 미 국방부 산하 방위고등연구계획국(DARPA)에서 주최한 AI 사이버 챌린지에 도전한 결과 90여개 참여팀 중 1위를 거두는 성과를 거뒀다. 로보덕은 총 취약점 34건을 발견해 보안 패치 20건을 제공하는 데 성공했다. 박 대표는 에이전틱 AI로 보안 전문가의 업무 흐름을 재현하는 것이 가능하다는 것이 증명됐다는 데 주목했다. 박 대표는 "AI를 이용한 공격 폭증은 피할 수 없는 현실임과 동시에 AI는 수백만줄 코드에서 제로데이 찾아내는 가장 강력한 무기"라며 "공격자들이 AI를 활용해 공격하기 전에 보안 시스템이 이를 예측하고 실시간으로 진화하게 되고, 이는 인간과 AI가 협업하는 모델이 될 것"이라고 전망했다. 박 대표는 "AI 시스템을 개발하는 데 1.5년 정도 기간이 걸렸고, 20만줄에 가까운 코드 수정을 거쳤다"며 "비용도 오픈AI, 엔트로피, 제미나이 등 거대언어모델(LLM) API 사용료와 애저 클라우드 등 인프라 비용을 종합하면 약 3억원이 투입됐다. 다만 비용은 모델을 보유한 기업들의 도움을 받았다"고 밝혔다.

2025.09.30 21:12김윤희

안랩 "정상 프로그램 위장 악성코드, AI로 선제 대응해야"

"보안 소프트웨어에 유효한 인증서로 서명된 악성코드가 실제 유포된 사례가 있었습니다. 이 프로그램은 정상 소프트웨어로 분류되기 때문에 백신에서 탐지 대상이 아니지만, EDR을 통해서는 사용자 정의룰을 통해 유사 공격을 모니터링할 수 있습니다." 양하영 안랩 ASEC 실장은 30일 서울 강남구 코엑스에서 열린 과학기술정보통신부 주관 'AI 페스타 2025' 부대행사 '대한민국 사이버보안 컨퍼런스'에서 이같이 밝혔다. 그는 이날 '보이는 위협에서 숨겨진 전략적 위협까지, AI가 여는 선제적 방어'라는 주제로 발표했다. 양 실장은 최근 악성코드가 전통적 보안 제품으로 탐지하기 어려운 형태로 진화하고 있다며, 보이는 위협과 보이지 않는 위협으로 구분해 은밀한 유포 방식 사례와 대응 방안을 소개했다. 안랩에 따르면 2023년부터 2025년까지 제로데이(패치가 없는 상태의 취약점을 노린 공격)가 급증했다. 특히 국내 보안 소프트웨어의 취약점이 큰 비중을 차지했다. 양 실장은 “2024년에는 마이크로소프트 취약점을 제외하면 대부분이 국내 보안 소프트웨어 취약점이었다”며 “특히 금융 보안 소프트웨어를 노린 공격이 활발했다”고 설명했다. 대표적 사례들은 모두 정상 보안 프로세스를 조정해 악성코드를 심는 것이 특징이다. 이중 언론사 홈페이지가 공격을 당해 독자가 기사를 열람하자 제로데이 취약점을 통해 암호화폐 탈취가 이뤄졌던 침해사고를 소개했다. 양 실장은 "언론사 홈페이지에 최초로 들어가게 되면 취약점 공격이 1차로 실행이 되고 사용자 시스템에 이미 설치된 보안 소프트웨어가 가지고 있는 취약점을 통해 PC에 암호화폐가 존재할 경우 2차로 공격하는 방식"이라며 "MS 프로세스에 의해서 추가적인 정보 유출이 발생하는 구조"라고 했다. 특히 마이크로소프트 소프트웨어에 악성코드를 입히는 방식이기 때문에 보안 프로그램이 정상 소프트웨어로 인식하기 때문에 방어가 쉽지 않다는 것이다. 양 실장은 "수많은 정상 이벤트들 중에서 이런 것들을 사람이 선별하기는 어렵다"고 토로하며 "향후 보안 프로그램이 사이버위협 인텔리전스(CTI), 엔드포인트 탐지 및 대응(EDR), AI 기반 탐지를 결합해야 한다"고 제언했다. CTI는 사이버 공격에 사용되는 위협 정보(악성코드 샘플, 해시값, 공격자 IP, 도메인, 행위 패턴 등)를 수집·분석·공유하는 체계다. 수집된 CTI를 바탕으로 PC, 서버 같은 엔드포인트 단말에서 일어나는 행위(프로세스 실행, 파일 생성, 네트워크 연결 등)를 지속적으로 모니터링하고, 이상 행위가 발견되면 탐지·대응하는 EDR 솔루션을 실행하고 AI로 이상 징후를 선별하는 것이다. 양하영 실장은 "유효한 인증서로 서명된 파일이 만약에 기존에 하던 행동과 다른 행동들을 한다면, 예를 들어 기존과 다른 경로에 파일이 생성된다든가, 평상시에 생성 주체와 다른 형태로 설치가 됐을 때 AI를 기반으로 선제적으로 유사한 위협을 탐지하고 대응하는 전략이 요구되는 상황"이라고 말했다.

2025.09.30 16:38김재성

아사히, 사이버 공격 피해로 일부 음료 출하 중단

아사히 그룹 홀딩스는 일본 내 일부 음료 사업 운영이 사이버 공격으로 타격을 입으면서 22일(현지시간) 일부 음료 출하를 중단했다고 밝혔다. 29일(현지시간) 블룸버그통신 보도에 따르면 아사히 맥주 등을 제조하는 아사히는 시스템 장애로 인한 피해가 현재까지는 일본 내 사업에 국한돼 있다고 설명했다. 이에 따라 회사는 일본 내 그룹 계열사의 주문 및 출하 업무와 고객센터를 일시 중단한 상태다. 아사히는 현재까지 고객이나 거래처의 개인정보 유출은 확인되지 않았다고 전했으며, 해커들이 금전적 요구를 했는지의 여부 역시 아직 확인되지 않았다. 정상 운영 복귀 시점에 대해서는 아직 구체적인 일정을 제시하지 않았다. 외신은 아사히뿐만 아니라 최근 들어 자동차 제조사와 소매업체 등 여러 산업에서 사이버 공격 사례가 발생하고 있다고 설명했다. 재규어랜드로버 오토모티브는 이날 성명에서 앞으로 며칠 내에 운영을 재개할 예정이라고 밝혔다. 이 회사는 9월 초부터 영국·슬로바키아·인도·브라질 공장이 랜섬웨어 공격으로 가동이 중단됐었다. 영국에서는 앞서 마크스앤스펜서와 슈퍼마켓 체인 코옵,백화점 해롯 등 소매업체들이 해커 공격으로 피해를 입은 바 있다.

2025.09.30 09:29류승현

SK쉴더스, 보안관제 플랫폼 MXDR로 고도화한다

SK쉴더스(대표 민기식)가 보안관제 플랫폼 '시큐디움(Secudium)'을 인공지능(AI) 기반 MXDR(관리형 확장 탐지·대응) 체계로 고도화하기 위해 2026년까지 총 200억원을 투입한다고 25일 밝혔다. 최근 해킹은 단순 침입을 넘어, 정상 사용자로 위장해 내부망을 이동하거나 보안 장비 탐지를 교묘히 회피하는 등 정교한 기법으로 진화하고 있다. 이 과정에서 계정 탈취, 정보 유출, 랜섬웨어 배포로까지 이어져 기업의 핵심 자산과 신뢰를 위협하고 있는 형국이다. 이런 위협에 대응하기 위해 기업들은 보안관제(MSS)를 도입한다. 보안관제는 기업의 네트워크, 서버, PC 등에서 발생하는 로그와 이벤트를 24시간 실시간으로 모니터링하고 분석해, 침입 시도를 빠르게 탐지하고 차단하는 서비스를 말한다. 다만 전통적인 보안관제는 실시간 탐지와 공격 이후 대응에 초점이 맞춰져 있기 때문에 최근 진화하는 공격에는 비교적 취약하다는 평가가 나온다. 이에 따라 보다 선제적이고 예측적인 대응 체계가 필요진 만큼 MXDR이 부상하고 있는 것이다. SK쉴더스는 "이번 고도화를 통해 추진하는 MXDR은 기존 보안관제보다 한층 진화한 서비스"라며 "네트워크와 서버에 국한됐던 관제 범위를 엔드포인트까지 확대하고, AI 기반 분석으로 정상 업무 패턴과 비교하면서 비정상 행위를 조기에 식별한다. 즉, MXDR은 단일 이벤트만 살펴보는 것이 아니라 여러 보안 지점에서 수집된 정보를 통합 분석해, 공격 징후를 종합적으로 파악하고 선제적으로 대응할 수 있는 것이 특징"이라고 설명했다. 앞서 올해 상반기 완료된 1단계 고도화에는 80억원이 투입됐다. SK쉴더스는 핵심 보안 로그 처리 엔진을 교체해 초당 수백만 건의 데이터를 더 빠르고 정확하게 분석할 수 있는 기반을 마련해, 불필요한 경보(오탐지)는 줄이면서 실제 위협은 놓치지 않도록 했다. 이와 동시에 위협에 자동으로 대응하는 체계(SOAR)도 강화해 탐지 즉시 공격자 IP 차단, 악성코드 감염 시스템 격리, 관리자 알림 등 대응 프로세스가 자동 실행되도록 했다. 또한 SK쉴더스는 해킹 징후를 판별하는 '룰셋(rule set)'도 글로벌 수준으로 재정비했다. 예컨대 짧은 시간 안에 로그인 실패가 반복되거나, 평소와 다른 해외 지역에서 관리자 계정이 접속할 경우 자동으로 경보가 울리도록 설정하는 식이다. SK쉴더스는 공격 전술 및 기법 프레임워크(MITRE ATT&CK), 공개 취약점 목록(CVE), 취약점 위험도 지표(CVSS), 신규 취약점 공유 사이트(Exploit DB) 등 다양한 위협 정보를 반영해 최신 공격까지 탐지할 수 있도록 정밀도를 높였다. 내년까지 진행되는 2단계 고도화에는 120억원이 추가 투입된다. SK쉴더스는 네트워크와 PC나 서버 같은 엔드포인트 등에서 발생하는 데이터를 AI 기반으로 통합 분석하고 내부망을 은밀히 이동하는 공격자까지 조기에 포착할 수 있는 체계로 고도화할 계획이다. 1단계가 보안관제의 토대를 강화한 작업이었다면, 2단계는 이를 발전시켜 위협을 사전에 예측하고 차단하는 관제로 확장하는 과정이다. 서비스 제공 방식도 고객 중심으로 개선한다. 보안관제를 서비스형 소프트웨어(SaaS) 방식으로 전환해, 고객이 별도 장비 구축 없이도 필요한 시점에 서비스를 이용할 수 있도록 할 계획이다. 이로써 국내 중소기업뿐 아니라 해외 기업에도 동일한 서비스를 손쉽게 제공할 수 있게 돼, 수출 경쟁력도 한층 강화될 것으로 기대된다. 여기에 공격이 실제 어떤 영향을 줄 수 있는지 사전에 확인하는 '위협 영향도 평가', 잠재적 공격을 사전에 찾아내는 '위협 헌팅(Threat Hunting)' 기능도 추가한다. 김병무 SK쉴더스 사이버보안부문장(부사장)은 "진화하는 해킹 위협에 대응하기 위해 업계 최대 수준의 투자를 단행해 차세대 MXDR 관제 서비스를 단계적으로 고도화하고 있다"며 "이번 투자를 통해 보안관제의 미래 표준을 제시하고, 글로벌 시장에서도 신뢰받는 선도 기업으로 자리매김하겠다"고 밝혔다.

2025.09.26 18:30김기찬

"39초마다 1건의 AI 기반 사이버 공격 발생…AI로 막아야"

"39초마다 1건의 인공지능(AI) 기반 사이버 공격이 발생하고 있다" 라온시큐어가 23일 개최한 '2025 시큐업&해커톤' 행사에서 박현우 라온시큐어 상무는 이같이 경고했다. 박 상무는 이날 'AI시대의 해킹, AI를 활용한 대응 전략'에 대해 발표했다. 박 상무는 "비전문가도 AI를 악용해 악성코드를 쉽게 만들 수 있다"며 "기본적으로 생성형AI는 악성코드 제작 요청에 대해 답변하지 않는 우회 시스템을 갖추고 있는데, 안전장치가 완전히 제거돼 있는 AI 모델도 있어 특히 위험하다"고 짚었다. 그는 이어 "랜섬웨어 침투한 이후에 협상을 할 때 직접 협상을 하는 것이 아니라, AI로 협상을 대신하는 움직임도 포착됐다"며 "거대언어모델(LLM)을 내포한 악성코드도 발견되고 있다. LLM을 통해 새로운 공격코드도 생겨나는 현실"이라고 지적했다. AI를 악용한 사이버 공격이 더 정교해지고 양적·질적으로 늘어나고 있다는 것이다. 그는 보이스피싱·스미싱 등 피싱 공격과 관련해서도 AI가 악용되고 있다고 강조했다. 박 상무는 "공격자들이 AI를 악용하면서 피싱 준비 시간이 기존 16시간에서 5분으로 대폭 단축됐다"며 "심지어 연구 결과에 따르면 사람이 작성한 피싱 메일보다 AI가 제작한 피싱 메일이 더 정교하고 효과적인 것으로 나타났다. 인터넷 주소(URL) 하나만 주면 정상 사이트를 복제한 피싱 사이트도 손쉽게 만들고 있는 현실"이라고 말했다. 박 상무 설명에 따르면 정치적 목적을 가진 딥페이크 공격도 늘어나고 있는데, 딥페이크를 화상 면접에 활용하고 기업 내부에 비밀리에 위장취업해 기업 내부 정보를 빼내려는 시도도 확인됐다. 또 피싱 공격에 AI나 딥페이크가 활용되면서 피해가 3배 늘어나는 것으로 전해졌다. 그는 AI발 위협에 AI로 대응해야 한다고 진단했다. "키워드나 패턴이 아니라 앱이나 코드, 권한 등을 AI를 통해 면밀히 분석하는 것이 필요하다"며 "전체먹인 문맥에서 공격자가 사용자에게 악의적인 메시지를 보내고 있는지, 어떤 의도로 행위를 지시했는지 등을 파악하는 일을 사람이 일일이 처리하기에는 한계가 있으므로 AI를 통해 이같은 행위 기반 공격을 막을 수 있을 것"이라고 설명했다. 박 상무는 이날 라온시큐어에서 제공하고 있는 딥페이크, 딥보이스 탐지 솔루션, AI가 사람 대신 명령을 수행할 수 있는 통합 보안 아키텍처 등에 대해서도 소개했다. 그는 "AI를 활용한 보안 외에 AI를 위한 보안에도 연구를 지속하고 있다. 많은 비용을 들여 학습한 AI 모델이 외부로 유출되는 일을 막기 위한 연구"라며 "라온시큐어는 지속적인 연구를 진행하고, 안전한 보안 환경을 제공할 수 있도록 끝까지 최선을 다할 것"이라고 강조했다.

2025.09.23 20:45김기찬

테슬라 공장서 로봇 공격으로 직원 중상…대규모 소송

미국 캘리포니아주 프리몬트 공장에서 일하던 테슬라 로봇 기술자가 테슬라를 상대로 5천100만 달러(약 710억 원) 규모 소송을 제기했다고 영국 인디펜던트가 22일(이하 현지시간) 보도했다. 보도에 따르면, 테슬라 직원 피터 힌터도블러(Peter Hinterdobler)는 통제불능 상태에 빠진 로봇이 아무 경고도 없이 자신을 치어 중상을 입었다고 주장했다. 소송 문서에 따르면, 그는 당시 모델3 생산 라인에서 평소 위치에서 옮겨진 로봇을 분해하는 작업을 돕고 있었다. 이 과정에서 엔지니어가 로봇의 내부 부품에 접근하기 위해 로봇 하단의 모터를 제거하려던 중 로봇 팔이 갑자기 강한 힘으로 분리됐고, 약 3천400kg에 달하는 균형추의 힘까지 더해져 거대한 충격을 가했다는 것이다. 힌터도블러는 그 충격에 쓰러지며 의식을 잃는 등 중상을 입었다.. 소장에 첨부된 손해배상 청구서에 따르면, 그는 2023년 7월 22일 발생한 이 사고로 현재까지 100만 달러(약 13억 9천만 원)의 치료비를 지출했으며, 최소 600만 달러(약 83억 5천만 원)의 추가 비용이 발생할 것으로 예상된다. 이와 함께 신체적 고통, 불편에 대한 보상으로 총 2천만 달러(약 278억 원), 정신적 고통에 대한 보상으로 1천만 달러(약 139억원) 등을 포함해 총 5천100만 달러의 손해배상을 청구했다. 그의 변호사 측은 이 금액은 변경될 수 있다고 밝혔다. 힌터도블러는 테슬라 뿐 아니라 로봇 제조사 일본 화낙(FANUC)을 상대로 소송을 제기한 상태며, 해당 사건은 현재 미국 오클랜드 연방법원으로 이관돼 진행 중이다. 테슬라에서 로봇으로 인한 부상 사건은 이번이 처음이 아니다. 2021년 텍사스주 오스틴 기가팩토리에서 한 엔지니어가 로봇에게 공격을 당하는 사고가 있었다. 당시 로봇은 엔지니어를 벽에 밀치고 그의 등과 팔을 금속 집게발로 찔렀다. 피해자는 로봇으로부터 벗어나려고 했지만 쉽지 않았고 동료가 로봇의 비상정지 버튼을 눌러서야 가까스로 빠져나올 수 있었다. 현장은 피로 얼룩질 만큼 심각한 부상이었다. 함께 소송을 당한 화낙도 과거 로봇 사고로 소송을 당한 전례가 있다. 2015년 미시간주에 있는 자동차 부품 공장의 한 정비 엔지니어가 화낙 로봇에 예상치 못하게 걸려 두개골 골절로 사망하는 사건이 있었다. 힌터도블러는 이번 사건에 대해 테슬라가 로봇을 지정되지 않은 구역에 배치했으며, 반복적인 요구에도 불구하고 사건 당시의 영상 제공을 거부했다고 주장하고 있다. 현재 테슬라와 화낙은 아직 이에 대한 공식적인 답변을 내놓지 않은 상태다.

2025.09.23 17:11이정현

"AI시대 효과적 보안 거버넌스 탐구"...'2025 정보보호교육 워크숍' 성료

SK텔레콤, 예스24 등 국내 기업 및 기관을 노린 침해사고가 잇달아 발생하면서 정보보호의 중요성이 높아지고 있다. 이런 가운데 인공지능(AI) 시대가 도래하면서 보안 거버넌스 강화도 핵심 과제로 자리잡았다. AI 시대가 가져올 기회와 수반될 보안 위협에 대한 본격적인 논의도 필요한 상황이다. 한국정보보호학회 정보보호교육연구회와 보안거버넌스연구회(회장 김태성 충북대 교수)는 19일 대한상공회의소 지하 1층 의원회의실에서 'AI 시대의 보안 거버넌스 및 스킬업 전략'을 주제로 '2025년 정보보호 교육 및 거버넌스 워크숍'을 개최했다. 온·오프라인으로 동시 개최한 이번 워크숍은 한국방송통신전파진흥원(KCA), 한국인터넷진흥원(KISA), 한국정보보호산업협회(KISIA) 등 국내 정보보호 관련 기관 및 학계 전문가, 기업 관계자 등이 참석했다. 워크숍 주요 프로그램은 ▲보안거버넌스 법제도 및 대응 전략 ▲정보보호 교육·훈련 사이버공격·방어 시나리오 경진대회 시상 ▲정보보호 전문인력 역량 측정 및 평가 ▲전사적 차원의 보안 거버넌스 현황 분석 및 전략 ▲정보보호 인력의 스킬업 현황 및 계획 등으로 구성됐다. 개회식에 앞서 기조강연을 한 법무법인 태평양 이상직 변호사는 'AI 시대 사이버보안 기본사회와 보안 강국을 위한 법제 방향'에 대해 발표했다. 이 변호사는 "AI시대가 되면서 범죄목적 AI 활용 증가로 공격의 정교화, 대량화가 진행되고 있다. 중소기업뿐 아니라 대기업도 해킹 공격에 뚫리는 상황"이라고 진단하며 "피해 기업의 자체 보안력 만으로는 방어에 한계가 있다. 사이버 보안 없이 AI는 있을 수 없으며, 사이버 공격과 침해사고가 일상화되는 상황에서 사이버 보안도 '기본사회'로 인식될 수 있도록 제도적 개선이 필요하다"고 짚었다. 워크숍 조직위원장을 맡은 김태성 충북대 정보보호경영학과 교수는 개회사를 통해 "대규모 보안사고의 근본 원인을 되짚어보고, 효과적인 보안 거버넌스 추진 전략에 대한 깊이 있는 논의를 시작하려 한다"며 "또한 정보보호 업무에 상용 AI 서비스를 효과적으로 활용하는 방법 등을 구체적인 사례를 통해 제시하며, 업무 효율성과 전문성 향상에 기여할 방안을 모색할 것"이라고 밝혔다. 한국인터넷진흥원장을 대신해 자리한 한국인터넷진흥원(KISA) 이용필 지역정보보호단장은 "이번 워크숍이 AI 시대의 보안 거버넌스 특화 전략이라는 시의 적절한 주제를 제시하고, 관련 전문가들의 의견을 같이 공유할 수 있어 기쁘게 생각한다"며 "최근 들어 통신사 해킹 사고, 금융권 해킹 사고 등 대형 침해사고가 발생하며 우리가 매일 사용하는 인터넷 상의 서비스들에 대한 신뢰가 근본적으로 흔들리고 있다. 사이버 보안의 핵심은 결국 리스크 관리이기 때문에 리스크 관리는 곧 의사결정 과정이며, 조직 내 거버넌스가 구성되고 관리체계가 변화돼야 한다"고 강조했다. 한국정보보호산업협회 김진수 수석부회장은 "최근 AI를 악용한 지능형 사이버 위험이 확산되며, 이에 대응하기 위한 보안과 거버넌스 체계 강화와 전문 인력은 필수적 과제가 됐다"며 "정보보호는 기술적 대안만으로 완성될 수 없으며, 법 제도적 기반과 조직의 관리체계가 무엇보다 중요하고, 이를 실행할 인재의 역량이 뒷받침될 때 비로소 실질적인 효과를 거둘 수 있다"고 진단했다. 한편 이날 워크샵 개회식에서는 올해 2회차를 맞은 '정보보호 교육·훈련 사이버공격·방어 시나리오 경진대회(ATHENA 2025)'의 시상식이 진행됐다. 정보보호 중요성을 알리고 우수 인재 발굴을 목표로 개최된 대회다. 이번 대회에서는 사이버 보안 전문 기업 SAS 김성현 대표가 단체부문 과학기술정보통신부 장관상을 수상했고, 개인 부문 과기정통부 장관상은 라운드버드 김문선 대표가 수상했다.

2025.09.19 22:40김기찬

세계적 해킹그룹 국내 금융사 2곳 해킹..."고객 명단에 유명 정치인 포함"

올해 가장 활발한 공격 활동을 보이고 있는 랜섬웨어 공격 그룹 '킬린(Qilin)'이 국내 자산운용사 2곳을 대상으로 랜섬웨어 공격을 시도한 것으로 보인다. 킬린은 회사 내부 자료는 물론 직원 및 고객들의 정보까지 탈취했다고 주장하는 것은 물론 재무관리 및 주식 시장에서 활동하는 한국 기업의 추가 유출을 경고하고 나섰다. 15일 본지 취재를 종합하면 랜섬웨어 공격 그룹 킬린은 한국의 자산운용사 '멜론자산운용' 및 '토러스자산운용'의 데이터를 탈취했다고 주장했다. 킬린은 자신들의 다크웹 사이트에 양사의 내부 데이터를 샘플 자료로 공개하며 위협했다. 킬린은 토러스자산운용에 대한 데이터 탈취를 주장하며 "토러스자산운용의 고객사로 국내 주요 증권사 등 한국의 주요 기업이 포함돼 있다"며 "이 회사는 꾸준히 투자 포트폴리오를 확장하고 있지만 동시에 투자자 데이터의 보안과 개인정보 보호에 대한 우려가 매우 심각하다. 예산, 투자 포트폴리오, 파트너와의 계약 및 개발 계획을 포함한 회사의 고객, 파트너, 직원의 데이터 등 모든 재무 정보가 공개됐다"고 밝혔다. 멜론자산운용과 관련해서는 "예산, 실물 투자 포트폴리오 및 향후 업무 계획을 포함한 모든 재무 문서가 공개됐다"며 "또한 국내 유명 정치인과 사업가의 이름을 포함한 모든 고객의 데이터도 있다. 이 정보가 공개되면 대형 스캔들과 일부 관계자의 사임으로 이어질 수 있다"고 위협했다. 킬린은 양사의 데이터 탈취 주장 게시글에서 모두 "우리는 재무 관리 및 주식 시장에서 활동하는 한국 기업의 방대한 데이터에 접근할 수 있게 됐다"며 "글로벌 유출은 수십개의 기업에 영향을 미쳤으며, 이 데이터는 여기(킬린 다크웹 사이트)에 게시할 예정"이라고 밝혀 국내 자산운용사에 대한 추가 공격을 예고해 우려를 더했다. 킬린은 러시아계 랜섬웨어 공격 그룹으로 알려져 있다. 올해 4월께 SK그룹 뉴욕오피스에 대한 공격은 물론 국내 금융업계에 대한 활발한 공격을 이어가고 있다. 지난달에는 웰컴금융그룹에서 내부 데이터 탈취를 주장했다. 보안업계에 따르면 킬린은 올해 전 세계 기업 및 기관을 대상으로 가장 활발히 공격하고 있는 그룹으로 알려졌다. 올해에만 509곳의 기업 및 기관을 공격해 랜섬웨어 기업 중 가장 빠르게 공격 건수가 500건을 넘긴 곳으로 조사됐다. 최근 통신사 해킹 및 해킹 의혹이 불거지면서 국내 기업에 대한 보안 우려가 커지고 있는 가운데 롯데카드, 웰컴금융그룹에 이은 자산운용사에 대한 공격이 더해지면서 금융권에 대한 보안 우려도 확산하고 있다. 금융감독원도 금감원은 SGI서울보증과 웰컴금융그룹 등 금융사를 노린 해킹 공격이 빈번해지면서 피해 기관들을 대상으로 현장검사에 나선 상태다. 다만 증권사 관계자는 "토러스자산운용의 경우 직접 공격을 당한 것이 아니라 토러스자산운용의 데이터를 관리하는 클라우딩 업체가 랜섬웨어 공격을 당한 것으로 전해졌다"고 밝혔다.

2025.09.15 10:33김기찬

국정원 주최 '사이버공격방어대회' 가보니…'The Mallard Duck' 종합 우승

11일 서울 강남구 삼성동 코엑스에서 '2025 사이버공격방어대회(CCE 2025)'가 열렸다. 올해로 9회째를 맞는 사이버공격방어대회는 국가정보원이 주최했고, 국가보안기술연구소가 주관했다. 지난 8~11일 개최된 글로벌 사이버 안보 행사 '사이버 서밋 코리아(Cyber Summit Korea 2025)의 부대 행사로 개최됐다. 대회는 '캡처더플래그(Capture the Flag·CTF)' 형식으로 진행됐다. 다양한 보안 문제를 해결하고 숨겨진 특정 형식의 문자열(플래그)을 제출하면 정답으로 인정되는 방식이다. 가장 많은 점수를 획득한 팀이 우승한다. 대회 관계자의 설명에 따르면, 사이버공격방어대회는 국제 해킹 방어대회인 '코드게이트' 수준의 대회다. 이번 사이버공격방어대회는 지난달 16일 온라인 예선전을 거쳐 ▲일반(민간·대학생) 15개팀 ▲공공(국가·공공기관 종사자) 20개 팀 ▲청소년(만 9~18세) 15개 팀 등 각 부문별 상위권에 진출한 팀이 본선에 진출했다. 다만 올해부터는 공공 분야의 경우 협력업체 실무자와 함께 팀을 구성할 수 없도록 조정됐다. 대회 분야는 사이버위기대응 역량 평가가 중점이다. 취약점 점검·예방과 탐지·분석·대응 등 사고조사 역량을 평가한다. 대회 총 상금은 1억원이다. 올해 대회에서 종합우승한 팀은 국가정보원장상을 포함해 메달 및 상금 4000만원을 받는다. 각 분야별 우승 팀도 국가정보원장상을 받으며, 메달 및 상금으로 1200만원을 받는다. 단 청소년 분야 우승 팀은 상금이 500만원이다. 이 외에도 공공과 일반 분야 준우승과 장려상을 획득한 팀은 각각 국가보안기술연구소장상이 수여되며, 상금은 각각 600만·300만원을 받는다. 청소년 분야의 경우 준우승 시 국가보안기술연구소장상과 상금 200만원, 장려상은 상금 100만원이 수여된다. 이와 별개로 본선진출자 전원은 5만원 상당의 상품권이 수여됐다. 공공분야의 경우 입상 시 국가정보원 사이버보안 실태평가에서 가산점도 받을 수 있다. 고요하지만 치열한 대회 현장…'해킹 체험'도 볼거리 대회 현장은 고요했다. 오전 9시부터 오후 6시까지 긴 시간 동안 각 팀별로 작게 상의하는 소리 외에는 마우스 클릭 소리와 노트북 키보드를 두들기는 소리밖에 들리지 않았다. 대회장 한 켠에는 각종 과일과 음료가 준비돼 있었지만, 대회에 몰두했기 때문인지 거의 손대지 않은 모습이었다. 대회장 중앙 공간에는 대회 진행 시간과 막아야하는 다음 공격 시간이 초단위로 표시돼 있었다. 뿐만 아니라 문제를 푼 팀들의 점수가 실시간으로 표기되고 있었다. 대회장 입구에는 사이버공격방어대회를 처음 방문하거나, 참관하러 온 관람객들을 위한 '해킹체험존'이 마련돼 있었다. 진행되고 있는 사이버공격방어대회를 쉽게 체험해볼 수 있는 곳으로, CSK 2025 행사 내내 발길이 끊이지 않았다고 한다. 기자도 해커가 돼 간접적으로나마 대회 참가자들의 입장이 되어봤다. 3대의 노트북이 놓여 있는 곳에 앉으면, 화면에 대회에 참가하는 사람들과 동일한 문제 제공 플랫폼 화면이 표시된다. 실제로 2020년 사이버공격방어대회에 출제됐던 문제를 재구성한 것이다. 문제 유형은 웹 해킹, 포너블, 리버싱, 포렌식, 암호 등 분야로 나뉘어져 있다. 대회 관계자의 설명에 따라 실제 문제풀이에 들어갔다. 기자가 푼 문제는 2020년 대회에서 출제됐던 'EatCookie' 문제로 웹 해킹 영역이었다. 당시 대회에서 가장 쉬운 문제였다고 한다. 문제를 클릭하니 한 인터넷 주소(URL)과 '플래그(Flag)'를 입력하는 공간이 표시됐다. URL을 클릭하자 흰 바탕에 'login as admin'이라는 관리자로 로그인하라는 문구만 표시됐다. 문제는 이게 끝이었다. 대회 관계자는 잠시 아무런 설명도 없이 의미심장한 미소를 지으며 황당해하는 기자를 쳐다봤다. 마우스를 가지고 이곳저곳 클릭해보아도 'login as admin'이라는 문구만 드래그될 뿐, 할 수 있는 것이 아무 것도 없었다. 문제는 표시되는 사이트를 관리자 권한으로 로그인하면 되는 구조였다. '쿠키를 먹어라'라는 'EatCookie'는 문제를 풀기 위한 힌트였다. 대회 관계자의 설명에 따라 차근차근 문제를 풀어나갔다. F12를 눌러 개발자도구를 연 뒤, 쿠키 탭에 우선 접근해야 한다. 이후 쿠키 탭에 'guest'라고 표시돼 있는 부분을 관리자를 뜻하는 'admin'을 입력했다. 그러자 화면이 변하며 숨겨진 문자열이 화면에 표시됐다. 해당 문자열을 복사해 플래그를 입력하는 공간에 붙여넣고 제출하자 문제가 해결됐다. 이처럼 출제된 문제를 풀어내고 특정 문자열(플래그)을 찾아 입력하면 되는 형식의 대회가 CTF 대회라는 것이 대회 관계자의 설명이다. 대회 관계자는 "열자마자 당황했던 이 문제가 해킹 대회에서는 가장 쉬운 문제였다"며 "이보다 훨씬 어려운 문제들로 구성된 대회를 국내 보안인들이 풀어내고 있으며, 더 복잡한 해결책을 요구하기 때문에 하루종일 풀어도 풀리지 않는 문제도 있다"고 설명했다. 10초간의 카운트다운 이후 오후 6시 대회가 종료되자마자 박수 소리가 터져 나왔다. 최고점을 기록하고 있던 팀은 일반 부문의 'The Mallard Duck' 팀으로 5640점의 점수를 획득해 일찌감치 종합 우승을 확정지었다. 청소년 분야는 'Hide on /bin/sh' 팀이 종료 시간 10분전까지 2983점으로 선두를 달렸다. 공공부문에서는 '이건 첫번째 레슨, 플래그 나만 갖기' 팀이 2557점으로 가장 높았다. 대회 시상식은 이달 24일 개최된다. 수상자에게 별도로 안내된다. 이번 대회에서 공공부문에 참가한 한 현역 장병은 "이번 대회에 처음 참가했는데, 생각보다 어려웠다"며 "실제 서버에서 발견되는 취약점을 찾아내야 하는데, 시간 제한이 있어 시간 내 풀지 못해 감점된 문제가 많을 것 같다. 그래도 열심히 노력해 뿌듯하다"고 말했다.

2025.09.11 21:21김기찬

[단독] SGI서울보증 공격했던 해커, 화천기계 데이터 탈취

SGI서울보증을 공격했다고 주장한 랜섬웨어 공격 그룹 '건라(Gunra)'가 국내 공작기계 전문업체 '화천기계'를 공격 타깃으로 삼았다. '건라'는 265GB(기가바이트)의 화천기계 내부 데이터를 탈취했다고 주장하며, 이 자료를 다크웹 사이트에 게시했다. 10일 본지 취재를 종합하면 '건라' 자신들의 다크웹 사이트에 265GB 규모 화천기계 내부 자료를 공개했다. 앞서 건라는 SGI서울보증의 13.2TB(테라바이트) 규모의 오라클 데이터베이스를 탈취했다고 주장한 바 있다. 이달 초에는 삼화 콘덴서 그룹을 해킹해 114GB 규모의 내부 자료를 탈취해 업로드하기도 했다. 보안 전문가가 건라 다크웹 사이트를 확인한 결과, 화천기계 재무지원팀 정보로 보이는 데이터가 업로드됐다. 구체적으로 ▲재무 ▲세무▲자금 ▲공시 ▲보고서 ▲기안 ▲개인 백업 등 내부 자료로 추정되는 데이터들이 폴더별로 정리돼 있다. 구체적으로 2015년부터 저장된 현금 출납장, 퇴직연금, 법인카드 사용 내역, 운영비, 자금수지 등 재무자료부터 자금 관련 정보까지 민감한 회사 정보들이 모두 해커의 손에 넘어갔다. 화천기계는 코스피 상장사로 기계, 조선, 자동차 업종의 중견기업이다. 이번 랜섬웨어 공격과 관련해 화천기계에 연락했으나, 화천기계 정보팀 측은 일방적으로 전화를 끊었다.

2025.09.10 16:08김기찬

[현장] "핵티비즘, 공격 양상 달라져...수익화 나서"

정치적, 사회적 메시지를 전달하기 위해 컴퓨터 시스템을 해킹하는 '핵티비즘(Hacktivism)'을 주장하는 공격자들이 '핵티비즘'은 명분일 뿐, 이면에 악의적 해킹 공격을 통한 수익성 확보에 열을 올리고 있다는 분석이 나왔다. 김재기 S2W 위협인텔리전스센터장은 10일 코엑스에서 열린 '사이버 서밋 코리아(Cyber Summit Korea, CSK 2025)'에서 이같은 내용을 골자로 한 '시위에서 수익으로: 이념을 가장한 사이버 범죄, 핵티비즘'에 대해 발표했다. 핵티비즘은 '해킹(Hacking)'과 '액티비즘(Activism: 행동주의)'를 합친 말이다. 정치적 또는 사회적 메시지를 전달하기 위해 사이버 공격을 가하는 행위를 말한다. 핵티비즘 공격자들은 정부 기관이나 기업을 대상으로 한 공격을 통해 자신들의 정치적 메시지를 전달하는 것으로 알려졌다. 잘 알려진 핵티비즘 공격 그룹으로는 '어나니머스(Anonymous)' 등이 있다. 기존 핵티비즘 그룹들은 정부나 기업의 시스템에 디도스(서비스 거부 공격·DDoS) 공격을 가하거나 디페이스(웹페이지 위·변조) 공격을 통해 자신들의 정치적 메시지를 전달하는 데 그쳤다. 그러나 김 센터장 발표에 따르면 최근 핵티비즘 공격 그룹의 공격 양상이 달라지는 것으로 확인됐다. 예컨대 한 기관을 핵티비즘 공격 그룹이 디도스 공격을 시행했을 때, 공격에 성공했다는 증빙을 텔레그램 채널에서 소개하며, 자신들의 특정 서비스를 홍보하는 등의 형식으로 변질된 것이다. 김 센터장은 "핵티비즘 공격자들이 자신들이 주장하는 바를 정보기관이나 정부가 들어주기를 원하며 디도스 등 공격을 가하는 것 같지만, 그 이면을 보면 수익화 활동이라고 할 수 있는 자신들의 서비스형 디도스를 홍보하는 사례가 확인됐다"면서 "디지털 환경에서의 정치적 저항이라고 한다면 굳이 이런 서비스를 홍보할 필요가 없는데, 자신들의 공격 사례를 홍보하고 실질적인 수익화에 나섰다고 볼 수 있다"고 설명했다. 김 센터장은 이날 'DaaS(DDoS as a Service)'라는 서비스형 디도스에 대한 개념도 제시했다. 디도스 공격을 수행한 서비스를 판매하고 있기 때문에 결국 과거에 행동주의적 해킹과는 거리가 멀다는 것이다. 김 센터장은 "서비스형 랜섬웨어(RaaS), 탈취한 데이터나 시스템 접근 권한 등을 판매하고 있는 불법적인 해킹 포럼처럼 핵티비즘 공격자들이 서비스를 판매하는 형식으로 점점 사이버 범죄화 되고 있다"며 "이런 데이터를 구매하려는 이들 역시 제2의 범죄자가 되고 있다"고 강조했다. 그는 이어 "핵티비즘의 형식을 빌려 사회적 혼란을 야기시킨 다음, 언론 등을 통해 자신들의 공격 사실이 알려지고 나면 이같은 내용도 텔레그램 등 채널을 통해 공유하고 홍보에 열을 올리고 있다"고 부연했다. 이같은 핵티비즘을 표방한 사이버 공격자로부터 대응하기 위해서는 공격 표면 및 공격 행위자의 전략을 파악하는 것이 중요하다고 김 센터장은 강조했다. 구체적으로 ▲L(애플리케이션 계층)7 디도스를 보호할 수 있는 웹 애플리케이션 방화벽(WAF) 구축 ▲물리보안 장비에 대한 접근제어 강화 ▲상시 로그·트래픽 모니터링 체계 구축 등의 기술적인 대응 방안이 필요하다고 짚었다. 아울러 정책적·조직적 차원에서 대응할 수 있는 방안으로는 ▲유효한 공격 여부에 대한 판단 및 권고 ▲서비스형 공격 도구에 대한 차단 및 법 집행기관에 협력 ▲국제 공조를 통한 공격 서비스 인프라 단속 및 정보 공유 등이 필요하다고 강조했다.

2025.09.10 15:47김기찬

러시아계 '정보협박범' 돌아왔다…기업 랜섬웨어 '주의보'

피해자에게 최대 1700만달러에 달하는 몸값을 요구하는 등 악질 '정보 협박범'이 활동을 재개한 것으로 나타났다. 8일 글로벌 사이버 보안 기업 카스퍼스키(지사장 이효은)에 따르면 카스퍼스키 위협 리서치팀은 올해 초 러시아어권 랜섬웨어(Ransomware) 그룹 '올드그렘린(OldGremlin)'의 새로운 공격을 식별해 주의가 필요하다고 강조했다. 올드그렘린은 과거 2020년에서 2022년까지 주로 활동한 랜섬웨어 그룹으로, 마지막으로 식별된 공격은 2024년이다. 단일 피해자에게 1700만달러에 육박하는 거액의 몸값을 요구하기도 하는 랜섬웨어 그룹으로 알려졌다. 카스퍼스키 위협 리서치팀은 이번에 식별한 공격 행위도 과거 전술과 일치한다고 밝혔다. 몸값 요구 문서와 파일 경로에 처음으로 공격자가 '올드그렘린'이라고 명시하기도 했다. 구체적으로 올해 사건을 올드그렘린과 연결지을 수 있는 단서로, 일관된 전술과 이전 캠페인에서 재사용된 암호화 공개키(Cryptographic Public Key)를 확인했다고 카스퍼스키는 설명했다. 올해 표적이 된 분야로는 제조, 기술, 리테일, 헬스케어 등 조직으로 올드그렘린은 과거 평균 약 49일 동안 내부에 잠복한 뒤 파일을 암호화하는 전략을 사용한 것으로 알려졌다. 또한 카스퍼스키는 올드그렘린의 명령 및 제어(C2) 서버가 퍼블릭 인터넷에서 접근 가능한 점도 확인했다. 최근에 확인된 올드그렘린의 공격 툴킷은 크게 ▲원격 접근 백도어 ▲패처(Patcher) ▲마스터 ▲클로즈더도어(Closethedoor) 등 네 가지 주요 구성 요소로 이뤄져 있다. 원격접근 백도어는 공격자가 감염된 컴퓨터를 원격으로 제어할 수 있는 툴킷이다. 패처는 합법적인 윈도우 드라이버의 취약점을 약용해 서명되지 않은 드라이버 차단 기능을 끄고, 그룹의 악성 드라이버를 로드해 보안 툴을 무력화하는 툴킷이다. 마스터는 파일 암호화 프로그램으로, 독립 시행 파일 또는 노드.js 애드온애드온(Node.js add-ons) 형태로 작동해 로컬 호스트(localhost:8010)에서 질의 시 현재 암호화 진행 상태를 보고하는 툴킷이다. 클로즈더도어는 데이터 암호화 과정 중 네트워크에서 디바이스를 격리하고, 몸값 요구 문서 등을 배포하고 흔적을 삭제하는 것을 말한다. 이처럼 올드그렘린은 합법적 툴과 악성 드라이버를 혼합해 공격을 고도화하고 있는 추세다. 이효은 카스퍼스키 한국지사장은 "한국의 빠른 기술 산업 발전은 사이버 공격의 주요 표적이 되고 있기 때문에 기업들은 역동적인 방어 체계를 반드시 구축해야 한다"며 "카스퍼스키 제품군은 이런 목적을 위해 설계된 확장 가능한 솔루션으로, 복잡한 사이버 환경에서 선제적 방어와 신속한 대응을 가능하게 지원한다"고 밝혔다. 한편 카스퍼스키는 기업이 랜섬웨어로부터 보호하기 위한 권장 사항으로 ▲소프트웨어 최신 상태 항시 유지 ▲외부로 나가는 트래픽에 주의를 기울여 사이버 범죄자의 네트워크 연결 탐지 ▲침입자가 조작할 수 없은 오프라인 백업 설정 ▲최신 인텔리전스 정보를 활용해 위협 행위자들이 실제로 사용하는 전술 및 기법을 사전에 파악하는 것 등을 꼽았다.

2025.09.08 09:55김기찬

"대기업 노린 랜섬웨어 늘었다…24시간 내에 신고해야"

"데이터를 암호화하고 이를 인질로 금전 등을 요구하는 랜섬웨어(Ransomware)공격이 과거에는 영세 중소기업이나 지역 제조업체를 대상으로 이뤄졌다면, 최근에는 대기업이나 중견기업 등 이용자 규모가 100만~200만명이 넘는 기업을 대상으로 이뤄지고 있다" 박용규 한국인터넷진흥원(KISA) 위협분석단장은 1일 최근 랜섬웨어 공격 동향에 대해 이같이 밝혔다. 박 단장은 최근 KISA에서 운영하고 있는 침해신고와 유출신고의 차이에 대해 소개하며 최근 침해사고 건수가 전년 동기 대비 15% 늘었고, 침해사고 유형별로 보면 절반 이상이 랜섬웨어 등 서버 해킹 형식으로 공격이 진행됐다고 밝혔다. 이처럼 랜섬웨어 등 침해사고가 빈번해짐에 따라 지난해 정보통신망법이 개정됐고, 침해사고를 미신고하거나 뒤늦게 신고하는 문제점을 개선하기 위해 침해사고의 신고 기준이 명확해졌다고 설명했다. 기존에는 침해사고가 발생하면 '즉시' 신고하도록 규정돼 있었으나, 즉시의 기준이 모호했던 만큼 '24시간 이내 최초 신고', '24시간 이내 보완신고' 등으로 구체화했다. 박 단장은 "침해사고와 유출신고는 비슷하면서도 다른데, 해킹이나 디도스 공격에 의해 침해사고가 발생된 경우에는 24시간 이내에 KISA에 신고해야 하는 의무"라며 "침해사고 외에도 개인정보 유출까지 확인된 경우에는 24시간 이내에 KISA에 신고하고 72시간 이내에 개인정보 유출신고를 해야 한다"고 강조했다. 그는 이어 "침해사고는 발생하지 않았지만 개인정보만 유출된 경우에는 72시간 이내에 개인정보 유출 신고만 하면 된다"면서 "KISA는 신고가 접수되면 사고 증적 확보, 침해사고 분석, 대응 및 조치는 물론 재발방지 등의 조치까지 진행한다"고 설명했다. 아울러 박 단장의 설명에 따르면 KISA는 중소기업이나 영세한 기업들의 경우 침해사고가 발생해도 대기업 대비 보안 역량이 떨어지기 때문에 사전에 다크웹이나 위협헌팅 프로그램을 통해 침해사고 현황을 면밀히 모니터링하고 있다. 자체탐지를 통해 침해사고가 확인되면 피해 기업에 KISA를 통한 신고를 안내한다. 박 단장은 "KISA가 이같은 노력을 하고 있지만 침해사고를 당한 기업 입장에서는 대외 이미지가 나빠질 것을 우려해 여전히 신고를 꺼려하는 경우가 많다"며 "기업이 신고를 하지 않으면 KISA 측에서 강제로 신고할 수 있는 법적 강제성도 없는 구조적인 문제도 해결이 되지 않고 있는데, 침해사고 발생 시 빠르게 신고하고 조치받을 수 있어야 한다"고 당부했다. 한편 침해사고에는 데이터를 탈취해 포럼 등을 통한 판매는 물론 탈취한 데이터를 암호화하는 식의 랜섬웨어까지 유형이 다양하다. 하지만 디페이스(홈페이지 위·변조) 공격 등 데이터 탈취가 목적이 아니라 자신의 해킹 실력을 과시하기 위한 침해사고 등은 KISA의 대응 체계에서 사전에 탐지되지 않을 가능성도 있다. 박 단장은 이같은 기자의 질문에 "기본적으로 KISA가 어떤 다크웹에 접속해서 유출 사실을 확인하게 되면 KISA도 침해 행위를 한 것으로 법적 판단이 이뤄질 수 있다"며 "그래서 여러 업무를 하고 있는 국내외 업체들과 인텔리전스 체계를 운영하고 있고, 각 국에서 확보되지 않은 다양한 정보들이 있을 수 있기 때문에 최대한 여러 국가 및 기관·기업과의 네트워킹을 통해 사전에 정보를 수입하고 있다"고 설명했다.

2025.09.01 11:00김기찬

"AI 무기화…北, 320개 기업에 위장 취업"

북한과 연계한 공격 세력이 생성형 인공지능(AI)를 활용해 320개 이상 기업에 위장 취업한 것으로 확인됐다. AI의 발전에 따라 가짜 이력서나 딥페이크 인터뷰와 같은 새로운 전술을 통해 기업에 침투하고 있는 것이다. 사이버 보안 기업 크라우드스트라이크는 1일 이같은 내용을 담은 '2025 위협 헌팅 보고서'를 발표했다. 보고서에 따르면 공격자들은 생성형 AI를 무기화해 더 신속하고 광범위한 공격을 단행한 것으로 나타났다. 효율성 제고를 위해 AI 도입에 속도를 내고 있는 기업을 타깃으로 삼고 있다. 특히 AI 에이전트 개발 도구를 목적으로 접근 권한, 자격 증명을 탈취해 악성코드를 배포하는 사례도 늘어나고 있다. 실제로 북한 연계 공격 세력 '페이머스 천리마(FAMOUS CHOLLIMA)'는 생성형 AI를 활용해 내부자 공격 프로그램의 전 과정을 자동화했고, 이들은 지난해에만 320개 이상의 기업에 침투한 것으로 확인됐다. 이는 전년 대비 220%나 증가한 수치다. 이들은 AI 기반 가짜 이력서 작성, 딥페이크 인터뷰, 허위 신분을 통한 기술 과제 수행 등 새로운 전술을 통해 내부자 위협을 지속적으로 확장한 것으로 전해졌다. 뿐만 아니라 러시아 연계 공격 세력 '엠버 베어(EMBER BEAR)'는 친러시아 성향의 메시지를 확산시키는 등 정치적 공격을 일삼았으며, 이란 연계 공격 세력 '차밍 키튼(CHARMING KITTEN)'은 거대 언어 모델(LLM) 기반 피싱 미끼로 미국과 유럽 조직을 표적으로 삼았다. 크라우드스트라이크는 이같은 위협 행위자들이 AI 에이전트 개발 도구의 취약점을 악용해 인증 없이 접근하고, 자격 증명을 탈취하는 사례들이 늘어나고 있다고 밝혔다. AI 에이전트 혁실으로 기업의 보안 환경이 빠르게 변화하고 있는 만큼 자율형 업무 구조가 차세대 공격 표적으로 떠오르고 있다고 설명했다. 아울러 사이버 범죄 조직과 해커들이 AI를 악용해 스크립트를 작성하고 기술 문제를 해결해 악성코드를 개발하는 사례도 늘어나고 있다. 초기 침투부터 랜섬웨어 배포까지 불과 24시간이 걸리지 않은 사례도 확인됐다. 애덤 마이어스(Adam Meyers) 크라우드스트라이크 공격 대응 작전 총괄은 “공격자들은 생성형 AI를 악용해 사회공학 공격에 속도를 내고 있으며, 기업이 도입한 AI 시스템을 주요 표적으로 삼는다”며 “이들은 SaaS 플랫폼, 클라우드 콘솔, 고급 권한 계정을 노리는 동일한 방식으로 AI 에이전트를 공략한다. 향후 사이버 보안의 핵심은 기업이 자사 AI를 어떻게 보호하느냐에 달렸다”고 말했다.

2025.09.01 10:02김기찬

"내 AI가 공격 통로"···AI 통한 랜섬웨어 발견

인공지능(AI)을 통한 보안 위협이 현실화됐다. AI를 이용해 핵심 공격 로직을 생성할 수 있는 랜섬웨어가 발견됐다. 31일 사이버 보안 업체 ESET에 따르면 최근 세계 최초로 GPT 기반 AI 기술을 악용해 로컬 시스템에서 작동하는 랜섬웨어 '프롬프트록(PromptLock)'을 발견했다고 밝혔다. 이 랜섬웨어는 AI의 코딩 기능을 악용해 악성 스크립트를 생성하는 방식으로 공격한다. AI를 통한 랜섬웨어 공격이 가능해진 것이다. 하드코딩된 프롬프트를 통해 대규모 언어 모델(LLM)이 즉석에서 악성 Lua 스크립트를 생성하고 실행하는 방식으로 공격이 진행된다. 구체적으로 Go(Golang) 프로그래밍 언어로 작성된 본체가 Ollama API를 통해 gpt‑oss:20b(오픈웨이트 모델)에게 하드코딩된 프롬프트를 보내면, 모델이 파일 열람·선별·유출·암호화 스크립트를 즉석에서 생성한다. 실행할 때마다 산출물이 달라져 IoC(침해지표) 변동성이 큰 것으로 확인됐다. 스크립트는 윈도, 리눅스, 맥OS 등 다양한 운영 체제에서 호환이 가능해 더욱 위협적이다. 파일 암호화 코드와 파괴 기능이 담긴 코드도 담겨 있는 것으로 확인됐다. 다만 프롬프트록이 현재까지 피해를 입힌 사례는 발견되지 않았다. 피해 환경에 Ollama가 로컬 또는 내부망으로 접근 가능해야 한다는 점에서 실전 위협성이 낮아 실제 피해가 발생하지 않았을 가능성도 있다. 아직은 개념 수준에서 존재하고 있는 것이다. 하지만 실전 위협에 제약만 있을 뿐, 구성 여부에 따라 충분히 현실화가 가능한 위협인 셈이다. 이에 보안업계 관계자는 "사내에서 Ollama가 운영되는지 등 로컬·내부LLM 서비스 노출 상황을 점검하고, 사내 LLM·에이전트에 명시적 정책(시스템 프롬프트 가드레일·툴 사용 제한·감사 로깅)을 적용해야 한다"며 "프롬프트록은 프롬프트 주입형 공격이기 때문에 프롬프트 주입에 취약한 업무 요소를 최소화해야 한다"고 설명했다.

2025.08.31 22:57김기찬

Prev 1 2 3 4 5 Next