오픈AI가 차세대 인공지능 모델 ’아스트라(Astra)’의 연구 성과를 공개했다. 아직 출시되지 않은 내부 연구용 모델인 아스트라는 수학과 이론 컴퓨터과학 분야에서 10년 이상 해결되지 않았던 난제 10건에 대해 새로운 결과를 제시했다.

오픈AI는 이번 연구가 고차원 기하학, 부호 이론, 군론, 양자 복잡도, 산술 회로 복잡도, 격자 기반 암호학 등 다양한 분야에서 진행됐다고 밝혔다. 해결된 문제에는 비소픽 군(Non-sofic Groups)의 존재 증명, 콘스(Connes) 강성 추측 반박, 고차원 구 충전(Sphere Packing)의 새로운 상한 도출, 수학자 폴 에르되시(Paul Erdős)가 제시한 일부 난제 해결 등이 포함됐다.

이번 연구는 AI가 아이디어와 증명을 도출하고, 인간 연구자가 이를 논문으로 정리한 뒤, 아스트라가 다시 수학 검증 시스템 ’린(Lean)’을 이용해 모든 증명을 공식 검증 가능한 형태로 완성하는 방식으로 진행됐다.

오픈AI는 아스트라를 장시간 복잡한 문제를 해결하도록 설계한 차세대 모델이라고 설명했다. 여러 AI 에이전트가 하나의 문제를 나누어 해결하고 결과를 통합하는 구조를 지원하는 것이 특징이다.

아스트라가 장기 추론을 위한 새로운 모델 계열이며, GPT-5.7이나 GPT-6 또는 별도 브랜드로 출시될 가능성이 있다. 다만 오픈AI는 출시 명칭과 일정은 아직 결정되지 않았다고 밝혔다.

미국 금융회사 리버 파이낸셜 코퍼레이션의 자회사 리버뱅크 앤드 트러스트(River Bank & Trust)가 지난 6월 발생한 랜섬웨어 공격으로 내부 데이터를 탈취당했으며, 공격자로부터 해당 데이터를 삭제했다는 확인을 받았다고 밝혔다. 다만 개인정보 유출 여부와 사고의 최종 영향은 아직 조사 중이라고 설명했다.

이번 사고는 미국 증권거래위원회에 제출한 공시를 통해 공개됐다. 금융권에서는 공격자가 데이터를 삭제했다고 주장하더라도 이를 기술적으로 완전히 검증하기 어렵다는 점에서 신중한 대응이 필요하다는 지적이 나온다.

6월 16일 침투…랜섬웨어 배포 후 일부 서버 마비

리버 파이낸셜 코퍼레이션에 따르면 공격자는 지난 6월 16일 회사 네트워크에 무단으로 침입했다. 회사는 6월 19일 이상 징후를 발견했고, 조사 결과 일부 서버 환경에 랜섬웨어가 배포된 사실을 확인했다.

회사는 즉시 영향을 받은 관리자 계정을 비활성화하고 감염된 시스템을 네트워크에서 분리하는 등 초기 대응에 나섰다. 외부 디지털 포렌식 전문업체와 함께 침해 원인과 피해 범위를 조사하고 있다.

초기 공시에서는 개인정보가 외부로 유출됐는지 여부를 확인하지 못했다고 밝혔다. 공격자가 어떤 경로를 이용해 내부망에 침입했는지, 어떤 랜섬웨어 조직이 공격을 수행했는지도 공개하지 않았다.

탈취 데이터 삭제 주장…검증은 여전히 어려운 문제

이후 공개한 후속 공시에서 리버는 공격자가 네트워크 일부에 접근해 데이터를 외부로 반출한 사실을 확인했다고 밝혔다.

회사는 사고 대응 과정에서 유출된 데이터의 확산을 막기 위한 조치를 진행했으며, 공격자로부터 보유하고 있던 데이터를 삭제했다는 확인을 받았다고 설명했다.

하지만 이는 공격자의 진술에 근거한 내용일 뿐, 실제로 모든 데이터가 완전히 삭제됐는지를 객관적으로 확인하는 것은 현실적으로 쉽지 않다.

사이버보안 업계에서는 랜섬웨어 조직이 협상 과정에서 데이터 삭제를 약속하거나 삭제 증거를 제시하는 사례가 꾸준히 보고되고 있다. 그러나 공격자가 별도의 저장소에 데이터를 보관하거나 다른 조직과 공유했는지 여부까지 확인할 방법은 거의 없다. 이 때문에 많은 보안 전문가들은 공격자의 삭제 약속만으로 정보 유출 위험이 완전히 해소됐다고 판단해서는 안 된다고 설명한다.

개인정보 유출 여부와 경영 영향은 계속 조사

리버는 현재 어떤 정보가 외부로 유출됐는지 계속 분석하고 있다. 개인정보가 포함됐는지 여부도 아직 확정되지 않았다.

회사는 이번 사고가 사업 운영이나 재무 상태에 중대한 영향을 미칠 가능성도 계속 평가하고 있다. 현재까지는 중대한 영향을 확인하지 못했지만, 조사가 완료되면 미국 증권거래위원회에 추가 공시를 제출할 예정이다.

팔로알토네트웍스 유닛42가 구글 크롬의 구글 패스워드 매니저를 겨냥한 새로운 패스키(Passkey) 공격 기법 3종을 공개했다.

연구진은 악성코드가 이미 실행 중인 윈도우 PC에서 사용자의 지문이나 PIN 입력 없이 패스키 인증을 악용할 수 있다고 밝혔다.

이번 연구는 암호 기술 자체를 깨뜨린 것이 아니라 패스키 저장 방식과 기기 재등록 과정, 사용자 인증 검증 절차의 허점을 노린 공격이다. 연구진은 이를 ‘패스타키(Pass-ta-key)’, ‘실버 패스타키(Silver Pass-ta-key)’, ’골든 패스타키(Golden Pass-ta-key)’로 구분했다.

첫 번째 공격은 TPM(Trusted Platform Module)을 이용해 사용자 인증 없이 로그인 요청을 생성하는 방식이다. 다만 서비스가 WebAuthn의 사용자 인증 검증을 제대로 수행하면 차단할 수 있다. 연구진은 깃허브는 이를 차단했지만, 이베이는 당시 검증이 미흡해 로그인이 가능했으며 이후 문제를 수정했다고 설명했다.

두 번째 공격은 기기 재등록 과정에서 공격자의 인증키를 등록하는 방식이다. 세 번째 공격은 패스키 복호화에 사용되는 SDS(Security Domain Secret)를 메모리에서 추출해 동기화된 패스키를 재사용할 가능성을 제시했다.

연구진은 이번 공격이 모두 악성코드 감염 이후를 전제로 하는 ‘사후 침해(Post-Compromise)’ 기법이며, 실제 악용 사례나 CVE 등록은 아직 확인되지 않았다고 밝혔다.

영국 경찰이 30년 넘게 활용해 온 경찰 국가 법률 데이터베이스(PNLD, Police National Legal Database)가 사이버 공격을 받아 경찰관과 사법기관 관계자 등 10만 명 이상의 연락처 정보가 유출됐다.

PNLD는 8월 3일 성명을 통해 7월 26일 침해 사실을 확인했으며, 현재 사이버보안 전문가 및 영국 국가범죄청(NCA)과 함께 사고 원인을 조사하고 있다고 밝혔다.

이번 사고로 유출된 정보는 경찰관과 경찰 직원, 형사사법 관계자, 정부 협력기관 담당자의 이름, 소속 기관, 이메일 주소 등이다. 또한 PNLD가 운영하는 대국민 질의응답 서비스 ‘Ask the Police’를 통해 문의를 남긴 이용자의 이름과 이메일 주소도 포함된 것으로 확인됐다.

PNLD는 이번 사고와 관련해 비밀번호나 인증정보가 유출됐다는 증거는 발견되지 않았으며, 피해자·증인·피의자 관련 기밀 정보도 저장하지 않아 해당 정보는 영향을 받지 않았다고 설명했다.

또한 영향을 받은 모든 기관에 사고 사실을 통보했으며, 영국 개인정보 감독기관인 정보위원회(ICO)에도 신고를 완료했다고 밝혔다.

ExfilSquad “13만5천 건 탈취” 주장

데이터 탈취·공개 협박 조직 ExfilSquad는 이번 공격의 배후를 자처하며 PNLD에서 약 1.9GB 규모의 데이터와 총 13만5천 건의 기록을 탈취했다고 주장했다.

공개된 샘플 데이터에 따르면 탈취된 정보는 ▲PNLD 가입자 약 11만4천 명 ▲’Ask the Police’ 이용자 약 2만1천 명의 연락처 정보로 구성된 것으로 알려졌다.

공격자는 몸값을 요구하며 협상에 응하지 않을 경우 나머지 데이터를 공개하겠다고 위협하고 있다.

PNLD는 연락처 정보 일부가 외부에 공개된 사실은 인정했지만, 공격 주체를 공식적으로 특정하지 않았으며 침해 경로도 공개하지 않았다.

ExfilSquad는 최근 미국 반도체 기업 Analog Devices 공격을 주장했던 데이터 유출 협박 조직과 동일한 그룹으로 알려져 있다.

데일리시큐는 7월부터 장삼봉 작가(필명)의 정보보안 소설《로그아웃되지 않는 밤》을 매주 4편씩 연재한다. 화려한 디지털 서비스 뒤에서 보이지 않는 위협과 맞서는 보안 담당자들의 현실과 고뇌, 성장을 생생하게 담았다. 수많은 오탐 속에 숨은 단 하나의 진짜 공격을 추적하는 이들의 잠들지 못하는 밤이 시작된다. 

-돌아가는 정책-

노트에는 자기가 적은 ‘완벽한 정책’의 조항들이 빼곡했다. 며칠 전까지만 해도 흠잡을 데 없다고 믿었던 문장들. 그런데 도윤의 ‘새벽 세 시에 비밀번호 만료되면 누가 책임지냐’는 한마디 앞에서, 그 문장들이 갑자기 공허해 보였다. 세아는 처음으로, 자기가 옳다고 믿은 것이 누군가에게는 ‘현장 모르는 소리’일 수 있다는 걸 인정해야 했다. 그건 신입에게 꽤나 아픈 첫 패배였다.

*   *   *

그날 저녁, 권영석이 세아 옆에 앉았다.

“밉죠, 한도윤 선임.” 권영석이 안경을 닦으며 말했다. “근데 걔 말이 다 틀린 건 아니에요. 우리가 만든 규칙은, 우리가 안 사는 현장에서 굴러가야 하거든.”

권영석은 종이컵의 식은 차를 한 모금 마셨다. “나도 신입 때 그랬어요. 완벽한 정책을 만들면 세상이 따라올 줄 알았지. 근데 정책은 만드는 게 10이고, 굴러가게 하는 게 90이에요.” 그가 옅게 웃었다. “현장을 모르면, 아무리 옳은 정책도 종이 위에서만 옳아요. 그게 정책팀이 평생 짊어지는 딜레마예요. 우린 현장에 안 사는데, 현장이 따를 걸 만들어야 하니까.”

“그럼 저 욕먹은 거예요?”

“정책팀은 원래 미움받아요. 누군가는 ‘안 됩니다’를 문서로 남겨야 회사가 살거든. 근데,” 권영석이 세아를 봤다. “미움받는 거랑, 현장을 모르는 거는 달라요. 우린 미움은 받아도 돼. 모르면 안 되고.”

세아는 그 말을 오래 곱씹었다.

*   *   *

다음 날, 오정환이 도윤과 세아를 함께 불렀다.

“싸우지 말고. 둘이 같이 현장을 돌아요. 그래서 ‘진짜 돌아가는’ 안을 만들어 와요.” 그게 명령이자 중재였다.

세아는 도윤과 함께 에덴 스튜디오로 갔다. 라이브 운영실은 늘 긴장이 흘렀다. 화면 가득한 지표, 한쪽 벽의 ‘무중단 183일’ 표시. 한 운영자가 세아에게 말했다. “여기선 1분만 멈춰도 커뮤니티가 뒤집혀요. 비밀번호 만료 같은 거, 우리한텐 진짜 무서운 거예요.”

세아는 그제야 도윤의 ‘새벽 세 시’가 무슨 뜻인지 몸으로 알았다. 종이 위에서는 깔끔했던 ‘90일 강제 변경’이, 이 현장에서는 칼이 될 수 있었다.

라이브 운영실의 공기는 정책팀과 완전히 달랐다. 벽면 가득한 그래프가 1초 단위로 갱신됐고, 누구도 모니터에서 눈을 떼지 않았다. 한쪽 벽의 ‘무중단’ 숫자가 세아의 눈에 박혔다. 저 숫자가 0으로 돌아가는 순간, 수십만 명이 동시에 멈춘다. 세아가 책상에서 적은 ‘예외 없이, 즉시’라는 단정한 문장이, 이 방에서는 그 숫자를 0으로 되돌릴 수도 있는 말이었다. 세아는 자기 초안의 그 깔끔한 문장들이 여기 와서야 진짜 무게를 가졌다는 걸, 그제야 알았다. 원칙은 책상에서 태어나지만, 시험받는 곳은 늘 현장이었다. 세아는 그 사실을 머리가 아니라 발로 배우는 중이었다.

그런데 현장을 돌던 세아의 눈에, 다른 것도 걸렸다. 운영 계정 목록을 훑던 그녀가 멈칫했다.

“선임님, 이거… 운영자 계정인데 자회사 시스템 권한이 왜 붙어 있어요? 그것도 거의 다.”

도윤이 화면을 들여다봤다. 표정이 살짝 굳었다. “……또 이거네.” 그가 낮게 말했다. 며칠 사이 3번째였다. 협력사로, 임원으로, 이번엔 운영 계정으로. 회사 곳곳에, 이름값보다 큰 열쇠를 쥔 계정들이 방치돼 있었다.

“이거예요.” 세아가 말했다. 목소리에 처음으로 확신이 실렸다. “비밀번호 90일 같은 거 말고, 진짜 위험한 건 이거예요. 권한 줄이기. 이걸 먼저 했어야 했어요.”

도윤이 세아를 봤다. 처음으로, 반대편이 아니라 같은 걸 보는 사람을 보는 눈빛이었다.

*   *   *

둘은 그날 저녁 회의실에 남아 정책을 다시 짰다. 세아의 ‘완벽한 원칙’과 도윤의 ‘현장의 현실’을 한 문서에 담는 작업이었다. 전 직원 즉시 적용이 아니라, 위험이 큰 계정부터 단계적으로. 긴급 상황을 위한 예외 신청 절차를 명확히 만들고, 대신 그 예외는 반드시 기록에 남게. 그리고 핵심으로, ‘권한 최소화’를 맨 앞에 올렸다. 특히 자회사·협력사로 연결되는 과한 권한부터.

“이건 세아 씨가 찾은 거니까, 세아 씨 이름으로 올려요.” 도윤이 말했다.

“같이 만든 건데요.”

“찾은 사람이 임자예요. 그게 룰이에요.” 도윤이 남은 커피를 비웠다. 그러고는 작게 덧붙였다. “……아까 그거. 권한 이상한 거 잡은 거. 잘했어요.”

세아는 모니터로 시선을 돌렸다. 얼굴이 또 달아오르는 걸, 이번엔 들키고 싶지 않았다.

*   *   *

완화된 정책은 통과됐다. 완벽하진 않았다. 도윤이 원했던 만큼 현장은 편해지지 않았고, 세아가 원했던 만큼 원칙이 강하지도 않았다. 그래도 그건 ‘돌아가는’ 정책이었다. 사람들이 따를 수 있는.

공지가 다시 나간 날, 도윤이 세아에게 메신저를 보냈다. 짧았다.

“이번 건 쓸 만하네요.”

세아는 그 한 줄을 한참 봤다. 칭찬에 인색한 사람이 보낸, 그 사람치고는 긴 문장이었다. 세아는 노트를 폈다.

‘안 돼요’도 아니고 ‘다 돼요’도 아닌, ‘이렇게 하면 돼요’를 같이 만드는 것.

그 아래, 처음 발견했지만 아직 다 정리하지 못한 한 줄이 남아 있었다. 회사 곳곳에 흩어진, 이름값보다 큰 열쇠들. ‘자회사 연결 권한 — 전수 점검 필요.’ 세아는 그 줄에 동그라미를 쳤다. 언젠가 이걸 끝까지 파야 한다는 직감이, 그때는 아직 이름을 갖지 못한 채로, 노트 한구석에 조용히 남았다.

-다음 화에 계속-

‘보안 때문에 개발을 못 하겠어요.’ 이번엔 그 말을, 세아가 듣는 쪽이 된다.

글. 장삼봉(필명). 글로벌 보안회사, 유통·게임 등 보안 현장을 20년 넘게 지켜 온 보안인. 묵묵히 위협과 마주해 온 보안 담당자들의 일상을 한 편의 소설로 기록한다.

(소설에 대한 의견 및 제안 등은 ask.sambong@gmail.com으로 보내주세요.)

API 관리 및 보안 전문기업 위베어소프트(대표 장영휘)는 SSL/TLS 인증서 자동화 관리 솔루션 ‘CertBear’의 인증서 발급 및 갱신 기능을 강화하기 위해 CertKorea와 협약을 체결했다고 밝혔다.

이번 협약으로 CertBear는 CertKorea API와 연동해 글로벌 인증기관 디지서트(DigiCert)의 SSL/TLS 인증서를 자동으로 발급·갱신할 수 있게 됐다. CertKorea는 DigiCert의 국내 총판으로, CertBear 이용 기업은 국제적으로 신뢰받는 인증서를 보다 편리하게 관리할 수 있다.

위베어소프트는 CertKorea 외에도 다양한 인증서 리셀러와 API 연동을 확대하고 있다. 이를 통해 공인·사설 인증서를 통합 관리하고, 고객이 필요에 따라 다양한 인증기관의 인증서를 선택해 발급받을 수 있는 환경을 제공한다.

CertBear는 지난 3월 국내 보험사에 공급되며 금융권 적용 사례도 확보했다. 회사 측은 금융권의 높은 보안 요구사항을 충족한 경험을 바탕으로 엔터프라이즈 환경에서도 활용 가능한 안정성과 신뢰성을 입증했다고 설명했다.

솔루션은 조직별·팀별 멀티 테넌트 기능을 지원해 계열사별 또는 서버별 인증서를 독립적으로 관리할 수 있으며, 대규모 기업 환경에서도 효율적인 인증서 운영이 가능하다.

또한 Rust 기반의 경량 Agent를 적용해 인증서 자동 갱신뿐 아니라 웹 공격 차단 기능까지 제공한다. 이를 통해 기업은 인증서 운영 자동화와 함께 보안성을 강화할 수 있다는 것이 회사 측 설명이다.

위베어소프트는 이러한 기능과 금융권 구축 경험을 바탕으로 최근 엔터프라이즈 고객들의 PoC(개념검증) 요청이 증가하고 있다고 밝혔다. 글로벌 보안 정책 변화로 SSL/TLS 인증서 유효기간이 단축되는 추세에서 발급·갱신 자동화 수요도 확대될 것으로 기대하고 있다.

장영휘 위베어소프트 대표는 “CertKorea와의 협약을 통해 글로벌 인증기관과의 직접 연동 체계를 확보했다”며 “금융권 적용 경험과 Rust 기반 Agent, 멀티 테넌트 기능을 바탕으로 엔터프라이즈 시장과 국내외 고객 레퍼런스를 지속 확대해 나가겠다”고 말했다.

리미니스트리트가 기업의 AI 에이전트 운영을 통합 관리하는 관리형 서비스 '리미니 거버넌스 포 AI(Rimini Govern™ for AI)’를 출시했다.

이 서비스는 AI 에이전트의 활동, 워크플로우, 보안, 규정 준수, 성능, 비용 등을 중앙에서 모니터링하고 통제할 수 있도록 지원한다. 또한 AI 전문 엔지니어가 글로벌 커맨드 센터를 통해 24시간 365일(24/7/365) 관리형 서비스를 제공한다.

주요 기능은 ▲AI 에이전트 활동 및 보안 모니터링 ▲거버넌스·컴플라이언스 정책 적용 ▲AI 운영 비용 및 ROI 측정 ▲장애 발생 시 신속한 원인 분석과 대응 등이다.

리미니스트리트는 부서별 AI 도입 확산으로 발생하는 ‘섀도우 AI’와 AI 통제 공백(Control Gap) 문제를 해결하고, 기업이 AI를 안전하게 확장할 수 있도록 지원하는 것이 목표라고 밝혔다.

서비스는 계획(Plan) → 구현(Implement) → 운영(Operate)의 3단계 방식으로 제공되며, 무료 AI 준비도 평가와 전략 워크숍도 함께 지원한다.

미국 의료 IT 기업 케어클라우드(CareCloud)가 해킹 공격으로 약 34만5천 명의 의료·금융 정보를 탈취당한 사실을 공식 확인했다. 공격자는 회사의 아마존웹서비스(AWS) 환경에 침입해 전자의무기록(EHR) 데이터 저장소에 접근한 것으로 조사됐다.

이번 사고는 지난 3월 처음 알려졌지만, 피해 규모와 유출 정보의 구체적인 내용은 최근 미국 각 주 정부에 제출된 개인정보 유출 신고서를 통해 확인됐다. 현재까지 확인된 피해자는 약 34만5천 명이며, 일부 주의 신고 절차가 계속 진행되고 있어 피해 규모는 더 늘어날 가능성이 있다.

케어클라우드는 미국 전역 4만5천 개 이상의 병원과 의료기관, 의원을 대상으로 클라우드 기반 전자의무기록(EHR), 병원 운영관리, 의료비 청구, 수익관리, AI 기반 의료 소프트웨어 등을 제공하는 의료 IT 기업이다. 의료기관이 환자 진료 과정에서 생성하는 민감한 개인정보를 대규모로 보관하고 있어 사이버 공격의 주요 표적 가운데 하나로 꼽힌다.

6일간 데이터 저장소 접근 확인

미국 캘리포니아주 법무장관실에 제출된 개인정보 유출 신고서에 따르면 공격자는 2026년 3월 10일부터 16일까지 최소 6일 동안 케어클라우드의 AWS 환경 내 전자의무기록 데이터 저장소에 접근했다.

회사 조사 결과 공격자는 해당 기간 데이터베이스에 저장된 정보를 외부로 반출했다고 주장했다. 케어클라우드는 3월 16일 이후 추가적인 무단 접근은 확인되지 않았다고 밝혔다.

회사는 침입 경로나 악용된 취약점 등 기술적인 공격 방식은 공개하지 않았다. 현재까지 이번 공격을 자신들의 소행이라고 주장한 랜섬웨어 조직이나 해킹 그룹도 확인되지 않았다.

다만 미국 정보기술 전문매체들은 공격 대상이 케어클라우드가 AWS에서 운영하던 데이터 저장소였다는 점은 이미 지난 3월 보도된 내용과 일치한다고 전했다.

의료정보와 금융정보까지 함께 노출

이번 사고에서 유출됐거나 유출 가능성이 있는 정보는 매우 광범위하다.

회사 공지에 따르면 이름과 주소를 비롯해 미국 사회보장번호(SSN), 운전면허증과 여권 등 정부 발급 신분증 번호, 은행계좌 정보, 신용카드 및 결제 정보가 포함될 수 있다.

여기에 환자의 의료기록과 건강정보까지 함께 저장돼 있어 일반 개인정보 유출보다 피해가 훨씬 클 수 있다는 우려가 나온다.

의료정보는 변경이 사실상 불가능한 개인정보다. 신원 도용뿐 아니라 보험사기, 의료사기, 표적형 피싱 등에 악용될 가능성이 높아 피해가 장기간 이어질 수 있다는 점이 문제로 지적된다.

의료 IT 공급망 노린 공격 잇따라

미국 의료 분야에서는 의료기관보다 의료 소프트웨어와 서비스 제공업체를 겨냥한 공격이 계속 증가하고 있다.

지난 3월에는 의료 청구 서비스 기업 트라이제토 프로바이더 솔루션즈가 침해 사고로 약 340만 명의 개인정보 유출 사실을 공개했다.

지난주에는 의료 청구 소프트웨어 기업 크레인웨어도 병원과 약국 고객사의 데이터를 대량으로 탈취당했다고 밝혔다.

의료기관 한 곳을 직접 공격하는 대신 다수의 병원과 의원이 공동으로 사용하는 의료 IT 기업을 공격하면 훨씬 많은 개인정보를 한 번에 확보할 수 있기 때문에 해커들의 주요 공격 방식으로 자리 잡고 있다.

이번 사고 역시 의료기관이 아니라 의료 데이터를 관리하는 서비스 제공업체가 공격받으면서 수십만 명의 환자 정보가 동시에 위험에 노출된 사례로 평가된다.

미국에서는 주 정부의 개인정보 유출 신고 제도가 운영되고 있어 기업들은 일정 기준 이상의 사고가 발생하면 피해 규모와 유출 내용을 공개해야 한다. 이번 사고 역시 관련 신고 절차를 통해 피해 규모와 세부 내용이 뒤늦게 확인됐다.

영상 중심 AIoT 솔루션 기업 다후아테크놀로지(Dahua Technology)가 제품 개발 보안 체계에 대해 국제 사이버 보안 표준인 ‘IEC 62443-4-1’ 인증을 획득했다고 밝혔다.

IEC 62443는 국제자동화협회(ISA)가 제정하고 국제전기기술위원회(IEC)가 채택한 산업용 자동화 및 제어 시스템(IACS) 분야의 대표적인 사이버 보안 국제표준이다. 산업 제어 시스템의 보안 요구사항과 개발·운영 체계를 규정하는 기준으로 활용된다.

이번에 획득한 IEC 62443-4-1은 보안 개발 수명주기(SDL, Secure Development Lifecycle)에 대한 요구사항을 담고 있다. 보안 요구사항 관리, 위험 평가, 보안 설계 및 구현, 보안 검증, 취약점 관리, 유지보수 등 제품 개발 전 과정에서 체계적인 보안 관리 프로세스를 갖출 것을 요구한다.

다후아는 이번 인증을 통해 자사의 안전한 소프트웨어 개발 수명주기(SSDLC) 운영 체계를 검증받았다. 요구사항 분석부터 보안 설계, 시큐어 코딩, 보안 테스트, 취약점 대응, 제품 출시 및 유지보수까지 개발 전 과정에 보안 절차를 적용하고 있으며, 최신 사이버 위협 정보와 국제 표준을 지속적으로 반영해 제품 보안성을 강화하고 있다고 설명했다.

이번 인증은 유럽연합(EU)의 사이버 복원력법(CRA, Cyber Resilience Act) 대응 측면에서도 의미가 있다. CRA는 디지털 제품의 전 수명주기에 걸친 사이버 보안 요구사항을 규정하고 있으며, IEC 62443-4-1의 개발 프로세스는 CRA가 요구하는 보안 체계와 밀접하게 연계된다. 다후아는 이를 기반으로 향후 유럽 시장의 규제 준수와 적합성 평가에 대응할 수 있는 기반을 마련했다.

여심일 다후아테크놀로지 코리아 지사장은 “ETSI EN 303 645, CC(Common Criteria) EAL3+, CE RED 등 다양한 국제 보안 인증을 확보하며 글로벌 보안 경쟁력을 강화하고 있다”며 “앞으로도 SSDLC 체계를 지속적으로 고도화하고 제품 전 수명주기에 걸친 보안 관리를 강화해 글로벌 사이버 보안 규제와 표준 요구사항에 적극 대응해 나가겠다”고 말했다.

AI 전문기업 초록소프트(대표 김명락)가 국내 산업현장의 AX 전환을 고민하는 중소기업을 겨냥해 3대 AX 솔루션을 앞세운 시장 공략에 본격 나섰다. 자금과 전문 인력 부족으로 AX 도입에 어려움을 겪는 중소기업을 겨냥해, 실질적인 현장 적용과 운영을 지원한다는 구상이다.

초록소프트가 이번에 소개한 솔루션은 ▲시각 정보 분석 '카비렌즈(CaviLens)' ▲지식 자산화 '코브레인(Co-BrAIn)' ▲데이터 기반 의사결정 지원 '데시내비(DeciNavi)' 등 3종이다. 개별 기술을 단편적으로 제공하는 것을 넘어, 데이터 수집 및 해석부터 지식 연결, 의사결정까지 AX 전 과정을 통합 지원하는 데 초점을 맞췄다.

시각 정보 분석 솔루션인 '카비렌즈'는 이미지, 영상, 도면 등 사람이 직접 확인하던 정보를 AI가 읽고 데이터로 변환하는 기술이다. 객체 탐지 및 상황 분석에 적용돼 생산 현장 점검이나 설계 도면 검토 시 업무 효율과 정확도를 높인다.

지식 자산화에 특화된 '코브레인'은 사내 규정, 매뉴얼, 보고서 등 기업 내 흩어진 문서를 실무에 쓰이는 지식 체계로 묶어내는 역할을 한다. 이를 기반으로 AI 챗봇 고도화, 대화형 AI 플랫폼 개발, 현업 지원형 지식 검색 서비스 등을 구현할 수 있다.

또한 '데시내비'는 축적된 데이터를 바탕으로 수요 예측과 이상 징후를 탐지해 데이터 기반의 의사결정을 돕는다. 조기 경보 및 최적화 기능을 통해 생산·배치·관리 등의 현장 업무가 즉각적인 운영 판단으로 이어지도록 지원한다.

최근 산업계 전반에 AX 도입 필요성이 커지고 있지만, 다수의 중소규모 제조·건설·서비스 현장 등은 예산과 전문 인력의 한계에 부딪히며 어떤 업무부터 AI를 적용할지, 기존 시스템과는 어떻게 연계할지 고심하고 있다. 초록소프트는 이러한 현업의 목적과 데이터 여건을 사전 분석해 맞춤형 시스템으로 구축해 준다는 점에서 차별화를 꾀했다.

초록소프트는 그동안 다양한 산업군에서 시각 AI 객체 인식, 생성형AI 챗봇 고도화, 데이터 기반 이상 탐지 등의 프로젝트를 수행해 왔으며, 이 과정에서 검증된 기능들을 이번 3대 솔루션에 체계적으로 담아냈다는 설명이다. 업계에서도 단일 솔루션 판매를 넘어 현장 맞춤형 구축과 운영까지 아우르는 방식이 AX 확산의 현실적 대안이 될 것으로 보고 있다.

초록소프트 김명락 대표는 “산업 현장에서의 AX는 더 이상 대기업만의 과제가 아니라 생산성, 대응 속도, 운영 효율 개선을 고민하는 중소기업에도 당면한 현실”이라며, “기업마다 처한 데이터 환경과 인력 여건이 다른 만큼, 현장 최적화에 초점을 맞춘 이번 3대 솔루션을 지렛대 삼아 중소기업에 가장 빠르고 확실하게 작동하는 AX 성공 사례를 지속적으로 만들어 가겠다”고 말했다.

금융보안원이 금융회사의 실제 공격 대응 역량을 강화하기 위해 '금융분야 침투테스트(모의해킹) 수행 가이드라인'을 발간했다.

이번 가이드라인은 실제 공격자와 동일한 기법을 활용해 금융회사의 IT 인프라 침투 가능성을 검증하는 침투테스트를 체계적으로 수행할 수 있도록 기준과 절차를 제시한 것이 특징이다.

최근 개인정보 상시평가 모의해킹 항목 신설, ISMS-P 기술심사 모의침투 도입 등 침투테스트 관련 제도적 요구가 확대되고, 생성형 AI를 악용한 공격과 다중 취약점을 연계한 침투 공격이 증가함에 따라 금융회사가 일관된 기준으로 침투테스트를 수행할 수 있도록 지원하기 위해 마련됐다.

가이드라인은 금융회사 보안담당자가 침투테스트를 직접 기획·관리할 수 있도록 △사전준비 △점검 수행 △결과보고 △사후관리 등 단계별 절차를 제시했다. 또한 3개 분야 6개 항목으로 구성된 체크리스트를 함께 제공해 실무 활용성을 높였다.

특히 국제적으로 널리 활용되는 MITRE ATT&CK 프레임워크와 록히드 마틴의 사이버 킬체인모델을 반영해 정보수집부터 목표 달성까지 실제 공격 과정을 재현하는 시나리오 기반 점검 방식을 제시했다.

기존의 단순 취약점 진단을 넘어 초기 침투, 내부 확산, 핵심 자산 접근으로 이어지는 실제 공격 흐름을 검증함으로써 금융회사의 보안 통제 체계와 대응 역량을 보다 실효성 있게 평가할 수 있도록 한 것이 핵심이다.

금융보안원은 앞으로 금융권의 실무 적용 결과와 현장 의견을 반영해 가이드라인을 지속적으로 보완할 계획이다. 아울러 국내 최고 수준의 화이트해커로 구성된 침투테스트 전문조직 RED IRIS를 운영하며, 축적된 금융권 침투테스트 경험을 바탕으로 금융회사의 침투테스트 수행을 지원할 방침이다.

박상원 금융보안원장은 “AI를 악용한 공격이 빠르게 고도화되는 상황에서 금융회사가 실제 공격에 대한 대응 역량을 스스로 검증하는 것은 선택이 아닌 필수”라며 “이번 가이드라인을 통해 금융회사가 침투테스트를 안전하고 신뢰성 있게 수행할 수 있도록 적극 지원하고, 현장 의견을 반영해 가이드라인을 지속 보완해 나가겠다”고 말했다.

NH농협캐피탈이 오라클 클라우드 인프라스트럭처(OCI)를 도입해 핵심 금융 서비스의 운영 복원력과 업무 연속성을 강화했다고 3일 밝혔다.

NH농협캐피탈은 기존 온프레미스 데이터 백업 방식을 OCI 기반 재해복구(DR) 환경으로 전환해 재해복구 절차를 자동화하고, 대규모 장애나 시스템 오류 발생 시에도 안정적인 서비스 운영이 가능한 체계를 구축했다.

이번 구축으로 오라클 클라우드 VM웨어 솔루션(Oracle Cloud VMware Solution)을 활용해 기존 VM웨어 환경을 OCI로 확장했으며, 오라클 베이스 데이터베이스 서비스와 OCI 블록 볼륨을 적용해 데이터베이스 재해복구와 고가용성 스토리지 환경도 마련했다. 이를 통해 운영 효율성과 인프라 비용 최적화도 함께 달성했다.

장종환 NH농협캐피탈 대표는 “OCI 기반 재해복구 체계 구축으로 운영 복원력과 업무 연속성을 크게 강화해 고객이 안심하고 이용할 수 있는 금융 서비스를 제공할 수 있게 됐다”고 말했다.

한편 이번 프로젝트는 오라클 파트너 네트워크(OPN) 회원사인 SK AX와 유클릭스(UCLIX)가 구축을 주도했다.

디지털 워크플레이스 플랫폼 기업 옴니사(Omnissa)가 ‘2026 가트너 매직 쿼드런트 디지털 직원 경험 관리(DEX) 도구’ 부문에서 2년 연속 리더(Leader)로 선정됐다고 밝혔다.

옴니사는 이번 평가로 엔드포인트 관리(Endpoint Management Tools), 서비스형 데스크톱(DaaS), 디지털 직원 경험 관리(DEX) 도구 등 가트너의 3개 핵심 매직 쿼드런트에서 모두 리더로 선정된 유일한 기업이라고 설명했다.

회사는 AI 기반 분석과 자동화, 통합 가시성을 바탕으로 PC·모바일·가상 데스크톱 등 다양한 업무 환경을 하나의 플랫폼에서 관리하고, 장애와 성능 저하, 보안 위험, 섀도우 AI 등을 선제적으로 탐지·대응할 수 있도록 지원한다고 밝혔다.

또한 DEX 솔루션은 Workspace ONE과 함께 사용하거나 독립적으로 구축할 수 있어 관리되지 않는 디바이스까지 가시성을 확보할 수 있으며, 실제 고객 사례에서는 IT 헬프데스크 문의 약 5% 감소와 연간 10만 달러 이상의 운영비 절감 효과를 거뒀다고 소개했다.

한국인터넷진흥원(KISA)이 암호모듈검증 민간 시험체계 확대에 대응하기 위해 암호모듈 시험 전문인력 양성에 나선다.

KISA는 과학기술정보통신부, 국가정보원과 함께 ‘암호모듈 시험자 양성 교육’을 신설하고 오는 8월 21일까지 교육생 100명을 선착순 모집한다고 3일 밝혔다.

암호모듈은 국가·공공기관의 비밀이 아닌 업무자료를 암호화하고 위·변조를 방지하는 데 사용되는 보안기술이다. 관련 제품이나 서비스를 국가·공공기관에 공급하려면 암호모듈검증제도에 따라 안전성과 구현 적합성에 대한 시험·검증을 받아야 한다.

최근 암호모듈검증 시험이 기존 공공 중심에서 민간 시험체계로 확대되면서 전문 시험인력 확보의 필요성이 커졌다. 이에 KISA는 교육과 필기시험을 연계한 시험자 양성체계를 마련해 객관적이고 일관된 암호모듈검증 기반을 구축한다는 계획이다.

교육은 8월 31일부터 9월 4일까지 5일간 대면 방식으로 진행된다. 교육 과정에서는 ▲암호모듈검증 시험 절차 ▲암호모듈 시험·검증 기준 ▲암호알고리즘 구현 적합성 시험 방법 등을 다루며, 마지막 날 오전 교육을 마친 뒤 오후에는 필기시험이 실시된다.

교육은 암호모듈 시험·검증에 관심이 있거나 향후 시험기관 시험자로 활동하기를 희망하는 사람이라면 누구나 무료로 신청할 수 있다. 신청 기간은 8월 3일부터 21일까지이며, 모집 인원은 100명이다. 자세한 내용은 KISA 암호이용활성화 누리집 공지사항에서 확인할 수 있다.

박해룡 KISA AI보안기술단장은 “민간 시험체계가 안정적으로 운영되기 위해서는 시험 기준을 정확히 이해하고 일관되게 적용할 수 있는 전문인력 확보가 필수적”이라며 “교육과 시험을 연계한 양성체계를 통해 암호모듈 시험의 전문성과 신뢰성을 지속적으로 높여 나가겠다”고 말했다.

키페어(대표 이창근)와 KB국민은행이 양자컴퓨팅 시대 보안위협에 대응하기 위한 공동 연구에 나선다.

양자내성암호(PQC) 전문기업 키페어와 KB국민은행은 양자내성암호 체계의 금융권 적용과 양자컴퓨팅 시대 새로운 보안위협에 선제적으로 대응하기 위한 전략적 업무협약(MOU)을 체결했다고 밝혔다.

이번 협약은 양자컴퓨터 발전으로 현실화될 수 있는 HNDL(Harvest Now, Decrypt Later·지금 수집 후 나중에 해독) 공격 등에 대비하고, 금융권에 적합한 양자내성암호 적용 방안을 공동으로 연구하기 위해 마련됐다.

양사는 협약을 통해 ▲금융권 양자내성암호 적용 방안 연구 ▲양자컴퓨팅 발전에 따른 신규 보안위협 대응 기술 연구 ▲양자내성암호 및 양자보안 분야 전문가 교류와 세미나 등 인력 양성에 협력할 계획이다.

키페어는 이번 협력에서 양자내성암호를 지원하는 키관리시스템(KMS) **‘QORA KMS’**와 하드웨어 보안모듈(HSM)을 핵심 기술로 제공한다. 해당 솔루션은 암호키를 소프트웨어가 아닌 보안칩(Secure Element) 기반에서 생성·저장·관리하도록 설계돼 AI 기반 키 탈취와 부채널 공격에 대응할 수 있도록 구현된 것이 특징이다.

키페어는 국내 보안칩 분야 KCMVP 양산 경험과 400만 개 이상의 보안칩 공급 실적을 바탕으로 금융권에 적합한 하드웨어 기반 양자내성 키관리 체계를 제안할 예정이다.

협약식은 지난 7월 31일 KB국민은행 여의도 전산센터에서 열렸으며, 키페어 이창근 대표와 KB국민은행 이재용 정보보호본부 상무 등 양사 관계자가 참석했다.

이창근 키페어 대표는 “AI는 암호키를 탈취하고 미래의 양자컴퓨터는 기존 암호를 해독할 수 있는 만큼, 암호 알고리즘뿐 아니라 암호키를 안전하게 생성·관리하는 체계가 중요하다”며 “KB국민은행과의 협력을 통해 금융권 양자내성암호 적용과 양자컴퓨팅 보안위협 대응 연구를 함께 추진하게 돼 의미가 크다”고 말했다.

이재용 KB국민은행 정보보호본부 상무는 “양자기술은 금융산업의 새로운 경쟁력이자 동시에 새로운 보안위협이 될 수 있다”며 “미래 금융보안을 선도할 수 있는 기술 경쟁력을 지속적으로 확보해 고객의 자산과 정보를 더욱 안전하게 보호하겠다”고 밝혔다.

양사는 앞으로 공동 실증사업과 기술 교류를 확대하고, 양자내성암호를 포함한 양자컴퓨팅 보안 대응 기술의 금융권 적용과 상용화를 공동 추진할 계획이다.

가트너는 앞으로 개인정보 보호의 핵심 위험이 개인정보(PII) 자체의 유출이 아니라 AI가 데이터를 분석해 생성한 ’추론(inference)’에서 발생할 것이라고 전망했다.

가트너는 3일 발표한 전망에서 2029년까지 대부분의 개인정보 침해 사고가 개인식별정보의 직접적인 유출이 아닌 AI가 생성한 개인별 인사이트에서 비롯될 것이라고 밝혔다.

가트너의 바트 빌렘센(Bart Willemsen) 수석 애널리스트는 “개인정보 침해 양상이 데이터 유출에서 인사이트 유출로 이동하고 있다”며 “AI는 기존 데이터 통제 여부와 관계없이 개인의 건강 상태나 행동 특성 등 심층적인 정보를 추론할 수 있기 때문에 새로운 개인정보 보호 위험이 발생하고 있다”고 설명했다.

기업들이 개인정보 보유를 최소화하는 방향으로 정책을 변경하고 있음에도 생성형 AI와 머신러닝 기술의 발전으로 익명화되거나 집계된 데이터만으로도 개인의 건강 상태, 행동 패턴, 성향 등 민감한 정보를 유추할 수 있다는 것이 가트너의 분석이다.

특히 이러한 추론 기반 공격은 실제 개인정보가 외부로 유출되지 않아도 AI가 도출한 결과만으로 민감한 정보가 드러날 수 있어 기존 데이터 유출 탐지 체계로는 식별하기 어렵다는 점이 가장 큰 위험 요소로 지적됐다.

가트너는 이에 따라 기업의 개인정보 보호 전략도 변화해야 한다고 강조했다. 단순히 개인정보 저장과 접근을 관리하는 수준을 넘어 AI 시스템이 어떤 정보를 추론하고 이를 어떻게 활용하는지까지 관리하는 AI 거버넌스 체계를 구축해야 한다는 것이다.

또한 2028년까지 데이터 무결성 보호에 대한 기업 투자 규모가 데이터 기밀성 보호 투자와 같은 수준까지 확대될 것으로 전망했다. AI가 생성한 잘못된 프로파일이나 편향된 추론, 무단 생성된 인사이트를 관리하는 것이 향후 개인정보 보호의 핵심 과제로 부상할 것이라는 분석이다.

가트너는 기업들이 추론 기반 개인정보 위험에 대응하기 위해 다음과 같은 사항을 추진할 것을 권고했다.

AI 개발과 운영 전 과정에 프라이버시 중심 설계(Privacy by Design)를 적용하는 AI 거버넌스 구축

차등 프라이버시, 합성 데이터, 개인정보 보호형 머신러닝 등 개인정보 보호 강화 기술(PET) 도입

데이터 최소 수집 원칙과 엄격한 접근 통제, 적시 삭제를 통한 데이터 수명주기 관리

AI 기반 추론 공격을 탐지할 수 있는 이상 징후 모니터링 및 시나리오 기반 대응 체계 강화

AI가 생성한 민감한 추론 결과를 사람이 검증하는 ‘휴먼 인 더 루프(Human in the Loop)’ 체계 운영

빌렘센 애널리스트는 “개인정보를 단순히 데이터 보호의 문제로만 인식하는 기업은 AI가 생성하는 추론으로 인한 개인정보 침해에 더욱 취약해질 수 있다”며 “앞으로 개인정보 보호 수준은 데이터를 어떻게 저장하느냐보다 AI가 데이터를 어떻게 해석하고 추론하느냐에 의해 결정될 것”이라고 강조했다.

AI·데이터 플랫폼 전문기업 인젠트가 엠티데이타와 손잡고 공공 정보화 시장 공략에 나선다.

인젠트는 엠티데이타와 전략적 업무협약(MOU)을 체결하고 공공기관 발주 정보화 사업을 비롯한 공동사업 발굴과 사업화를 추진한다고 3일 밝혔다.

협약식은 지난 7월 30일 서울 인젠트 본사에서 열렸으며, 인젠트 이형배 대표와 엠티데이타 강승우 공동대표 등 양사 관계자가 참석했다.

이번 협약에 따라 양사는 공공 정보화 사업 공동 발굴과 제안, 제안요청서(RFP) 및 입찰공고 공동 대응, 컨소시엄 구성 등 전반적인 사업 협력을 추진한다.

인젠트는 데이터 및 통합 플랫폼 역량을 바탕으로 eXperDB, ESB, MCI/FEP, APIM, EDM, ECM 등 자사 솔루션을 활용한 제안과 견적을 지원한다. 양사는 고객 요구사항에 맞춘 통합 제안 아키텍처도 공동 설계할 계획이다.

또한 주요 공공 발주기관을 대상으로 공동 영업 전략을 수립하고, 사업 실증과 레퍼런스 확보를 통해 공공시장 경쟁력을 강화한다는 방침이다. 인젠트는 데이터·통합 솔루션 기술력을, 엠티데이타는 공공사업 네트워크와 시장 정보를 활용해 시너지를 창출할 계획이다.

이형배 인젠트 대표는 “엠티데이타의 사업 네트워크와 인젠트의 데이터·통합 솔루션 역량을 결합해 공공 정보화 시장에서 실질적인 성과를 만들어 나가겠다”며 “고객이 신뢰할 수 있는 통합 제안을 통해 공공사업 수주 경쟁력을 지속적으로 강화하겠다”고 말했다.

클라우데라(한국지사장 최승철)는 포레스터가 발표한 ‘2026년 3분기 포레스터 웨이브: 데이터 레이크하우스(The Forrester Wave™: Data Lakehouses, Q3 2026)’ 보고서에서 리더로 선정됐다고 3일 밝혔다.

이번 평가는 주요 데이터 레이크하우스 공급업체를 대상으로 제품 역량과 전략, 고객 평가 등을 종합적으로 분석해 진행됐다. 클라우데라는 특히 ‘비전 및 로드맵' 평가 항목에서 최고 점수를 받았다.

최근 기업들이 생성형 AI를 넘어 에이전틱 AI를 실제 업무 환경에 적용하면서 데이터 레이크하우스는 AI와 데이터 분석의 핵심 인프라로 주목받고 있다. 클라우데라는 AI 성능을 높이기 위해서는 모델뿐 아니라 데이터 품질과 거버넌스, 데이터 계보, 실시간 접근성, 엔터프라이즈급 보안이 함께 갖춰져야 한다고 설명했다.

회사 측은 자사의 오픈 데이터 레이크하우스 플랫폼이 복잡하게 분산된 데이터를 통합 관리하고, 이를 신뢰할 수 있는 데이터 기반으로 전환해 대규모 에이전틱 AI 구축을 지원한다고 밝혔다. 또한 하이브리드 환경을 지원하는 데이터 레이크하우스 플랫폼을 통해 클라우드와 온프레미스, 소버린 환경 등 다양한 인프라에서 동일한 데이터 관리와 AI 운영이 가능하다고 설명했다.

포레스터는 보고서에서 클라우데라 플랫폼이 제로카피 멀티엔진 데이터 접근, 실시간 스트리밍, 페더레이티드 SQL, 시맨틱 및 벡터 검색, 에이전틱 AI 워크플로우, 오토스케일링, 엔터프라이즈급 옵저버빌리티 등을 지원한다고 평가했다. 또한 대규모 분산 환경과 규제가 엄격한 산업에서 요구되는 하이브리드 유연성, 데이터 거버넌스, 실시간 분석 및 운영 제어 역량을 갖춘 플랫폼이라고 평가했다.

레오 브루닉(Leo Brunnick) 클라우데라 최고제품책임자(CPO)는 “기업들이 AI 전략을 확대하면서 데이터 품질과 거버넌스, 접근성이 AI 성공의 핵심 요소가 되고 있다”며 “이번 리더 선정은 데이터가 위치한 어디서나 AI를 안전하게 활용할 수 있도록 지원하는 클라우데라의 개방형 하이브리드 레이크하우스 전략이 인정받은 결과”라고 말했다. 그는 이어 “클라우데라는 클라우드와 온프레미스, 소버린 환경 전반에서 엔터프라이즈급 거버넌스와 유연한 배포 환경을 제공해 고객이 신뢰할 수 있는 AI를 구축하도록 지원하고 있다”고 밝혔다.

AI·ICT 전문기업 쿠도커뮤니케이션(대표 김용식)은 지난 7월 28일부터 31일까지 경기도 과천시 DX타워에서 지역 중·고등학생을 대상으로 청소년 교육 사회공헌 프로그램인 ‘2026 과천미리내공유학교’를 운영했다고 밝혔다.

이번 프로그램은 안양과천교육지원청과 함께 지역 청소년들에게 학교 밖 미래기술 교육 기회를 제공하기 위해 마련됐다. 중학교 2학년부터 고등학교 2학년까지 학생 15명이 참여했으며, ‘기업에서 배우는 AI와 물리보안’을 주제로 4일간 총 12차시 교육이 진행됐다.

쿠도커뮤니케이션은 지난해에 이어 2년 연속 과천미리내공유학교에 참여했다. 회사가 보유한 AI·ICT 기술과 전문 인력, 교육 공간을 활용해 생성형 AI, 파이썬, AI 데이터, 영상분석, 물리보안 등 실제 산업 현장에서 활용되는 기술을 중심으로 교육 과정을 구성했다.

교육에는 홍보마케팅, AI 개발, AI 데이터 관리, 물리보안 분야 임직원들이 직접 강사와 교육 지원 인력으로 참여했다. 실무 경험과 기술 활용 사례를 소개하는 한편 정보통신, 컴퓨터공학, AI, 전기공학 등 관련 분야의 진로와 전공에 대해서도 학생들과 소통하는 시간을 가졌다.

쿠도커뮤니케이션은 지역사회와 연계한 교육 및 사회공헌 활동을 지속적으로 추진하고 있으며, 이러한 공로를 인정받아 2025년 과천시로부터 감사패를 수상했다.

쿠도커뮤니케이션 관계자는 “기업이 보유한 AI·보안 전문성과 인적 자원을 지역사회와 공유하고, 청소년들이 미래 기술과 관련한 진로를 구체적으로 탐색할 수 있도록 교육 사회공헌 활동을 지속적으로 확대해 나가겠다”고 말했다.

오펜시브 사이버 보안 기업 티오리(Theori)가 우리금융그룹에 AI 기반 블랙박스 모의해킹 솔루션 ’진트 웹(Xint Web)’을 공급하고 상시 보안 점검 체계 운영을 시작했다고 3일 밝혔다.

이번 구축은 AI를 활용한 사이버 공격이 빠르게 고도화되는 상황에서 그룹 차원의 정보보호 체계를 강화하기 위해 추진됐다. 우리금융그룹은 국내 금융그룹 가운데 처음으로 AI 기반 자율형 모의해킹 솔루션을 도입해 24시간 운영되는 온라인 금융 서비스에 대한 상시 보안 점검 체계를 마련했다.

‘진트 웹’은 URL만 입력하면 운영 중인 웹 서비스를 실제 사용자처럼 탐색하며 공격 표면을 분석하는 블랙박스 방식의 AI 모의해킹 솔루션이다. AI 에이전트가 서비스 구조를 파악한 뒤 다양한 공격 시나리오를 자동 생성해 실제 침투 테스트를 수행하고, 운영 환경에서 발생할 수 있는 취약점을 지속적으로 점검한다.

특히 기존 패턴 기반 보안 스캐너로는 탐지하기 어려운 비즈니스 로직 결함과 인증 우회 등 고난도 취약점까지 탐지할 수 있으며, 서비스 중단 없이 상시 진단이 가능해 금융 서비스의 보안 공백을 최소화할 수 있다는 것이 회사 측 설명이다.

우리금융그룹 관계자는 “AI를 악용한 금융권 사이버 위협이 고도화되는 상황에서 고객 자산을 안전하게 보호하기 위해 선제적으로 AI 모의해킹 솔루션을 도입했다”며 “그룹 주요 웹 애플리케이션에 대한 상시 점검 체계를 안정적으로 운영해 보안 신뢰도를 더욱 높여 나가겠다”고 말했다.

곽경주 티오리 진트 제품 총괄은 “운영 중인 웹 서비스의 복잡한 로직 결함까지 AI가 스스로 탐지하는 ‘진트 웹’의 기술력이 금융권의 높은 보안 요구 수준을 충족했다”며 “이번 협력을 계기로 금융권의 AI 기반 보안 혁신을 확대해 나가겠다”고 말했다.

한편 티오리는 구글, 마이크로소프트, 옥타, 삼성전자 등 국내외 기업과 기관에 보안 컨설팅을 제공하고 있으며, AI 기반 취약점 탐지 솔루션 ‘진트(Xint)’, LLM 보안 솔루션 ‘알파프리즘(αprism)’, 사이버보안 교육 플랫폼 ‘드림핵(Dreamhack)’ 등을 운영하고 있다.

호텔과 컨벤션센터의 공용 와이파이를 장악한 뒤 이용자에게 가짜 브라우저 업데이트를 보여주고 감시용 악성코드를 설치하는 사이버 스파이 공격이 확인됐다. 감염된 PC에서는 키보드 입력과 화면뿐 아니라 마이크와 웹캠 정보까지 수집할 수 있어 해외 출장자와 기업 임직원의 주의가 요구된다.

마이크로소프트는 2026년 7월 31일 공개한 분석에서 이 공격을 ‘캡티브크런치’로 명명했다. 공격은 2026년 5월 초부터 여러 국가의 호텔과 숙박시설 관련 네트워크에서 관찰됐다. 호텔뿐 아니라 컨벤션센터와 여러 이용자가 함께 사용하는 장소의 와이파이 장비에서도 유사한 침해 흔적이 발견됐다.

공격자는 객실이나 행사장 이용자가 와이파이에 접속할 때 나타나는 로그인 화면인 캡티브 포털 장비를 먼저 장악했다. 이 장비는 이용자에게 인터넷 주소를 찾아주는 도메인네임시스템 서버 역할도 맡고 있었다. 관리 권한을 확보한 공격자는 정상 사이트에 접속하려는 요청을 자신이 운영하는 서버로 돌렸다.

PC와 스마트폰은 와이파이에 연결되면 인터넷 접속이 가능한지 자동으로 확인한다. 공격자는 이 연결 확인 요청까지 가로채 가짜 브라우저 업데이트나 운영체제 업데이트 화면으로 연결했다. 이용자는 호텔 인터넷을 사용하려면 필요한 정상 절차로 오해하기 쉽다.

일부 화면에는 사용자가 직접 윈도 터미널이나 파워셸을 열고 제시된 명령어를 실행하도록 만드는 ‘클릭픽스(ClickFix)’ 수법이 사용됐다. 공격자가 와이파이를 통해 악성코드를 자동 설치하는 방식은 아니다. 사용자가 파일을 내려받거나 명령을 실행해야 감염이 시작된다. 안드로이드 기기에 APK 파일 설치를 유도한 정황도 확인됐다.

가짜 업데이트를 실행하면 ‘콘플레이크’라는 윈도 원격제어 악성코드가 설치됐다. 

설치 과정에서는 윈도 업데이트, 바이러스 검사, 다이렉트엑스 설치, 네트워크 진단, 브라우저 업데이트 등으로 꾸민 진행 화면을 띄웠다. 이용자가 진행 상태를 지켜보는 사이 악성코드는 서비스 등록과 레지스트리 실행 키, 예약 작업을 이용해 재부팅 후에도 실행되도록 설정했다. 보안 프로그램이 이 가운데 일부를 삭제하면 감시 기능이 이를 확인해 다시 복구했다.

콘플레이크가 감염된 PC에서 수집할 수 있는 정보는 광범위했다. 공격자는 키보드 입력과 클립보드 내용을 기록하고 화면을 캡처할 수 있었다. 마이크 음성을 녹음하거나 웹캠으로 사진을 촬영하는 기능도 포함됐다.

크롬과 파이어폭스 등 브라우저에 저장된 비밀번호와 쿠키도 탈취 대상이었다. 크롬의 앱 바운드 암호화로 보호된 쿠키를 빼내는 기능도 확인됐다. 문서와 압축파일, 소스코드, 이메일, 암호화 키 등을 찾아 외부로 전송하고 USB 등 이동식 저장장치가 연결되면 내부 파일을 검색했다. 공격자가 명령 프롬프트나 파워셸을 원격으로 실행하는 기능도 갖췄다.

파워셸 기반 정보 탈취 도구인 ‘초코셸’도 발견됐다. 초코셸은 파일을 디스크에 저장하지 않고 메모리에서 실행됐다. 브라우저 쿠키와 저장된 비밀번호, 마이크로소프트 365 로그인 토큰, 와이파이 접속 정보를 집중적으로 수집했다.

특히 마이크로소프트 365와 마이크로소프트 엔트라 ID의 접근·갱신 토큰, 웹 계정 관리자 토큰을 노렸다. 이 정보가 유출되면 공격자가 비밀번호를 다시 입력하지 않고 기존 로그인 세션을 재사용해 기업 클라우드 환경에 접근할 수 있다.

공격자는 2026년 7월 16일부터 일부 가짜 페이지에 ‘디바이스 코드 인증’ 방식도 적용했다. 이용자에게 공격자가 만든 코드를 마이크로소프트의 정상 로그인 페이지에 입력하도록 안내하는 방식이다.

이용자가 정상 페이지에서 다중인증(MFA)까지 마치면 자신의 기기가 아니라 공격자가 미리 시작한 로그인 세션을 승인하게 된다. 공격자는 비밀번호를 직접 훔치지 않아도 MFA 인증을 통과한 접근 토큰을 확보할 수 있다. 호텔 와이파이 접속 직후 나타난 안내이기 때문에 이용자가 정상 인증 절차로 받아들일 가능성이 높다.

마이크로소프트는 공격 조직을 ‘스톰-2945’로 추적하고 있다. 이 조직을 러시아계 해킹 그룹 ‘미드나이트 블리자드’의 작전 하위 조직으로 평가했다. 미드나이트 블리자드는 APT29, 코지 베어 등으로도 불린다.

미국과 영국 정부는 APT29를 러시아 대외정보국과 연계된 사이버 스파이 조직으로 판단하고 있다. 정부기관과 외교기관, 비정부기구, 정보기술 기업 등을 상대로 장기간 정보를 수집하는 공격을 지속해 왔다. 영국 국가사이버보안센터(NCSC)와 미국·호주·캐나다·뉴질랜드 기관들도 APT29가 러시아 정보기관의 일부라는 판단을 공유했다.

다만 공격 배후를 둘러싼 분석에는 차이가 있다. 렐리아퀘스트(ReliaQuest)는 2026년 7월 23일 호텔과 컨벤션센터 와이파이를 이용한 DNS 변조 공격을 공개하면서 러시아 군 정보기관 계열의 APT28과 수법이 유사하다고 평가했다.

렐리아퀘스트는 공격 기법이 겹친다는 이유만으로 APT28의 소행으로 단정하지 않았다. 기존 APT28 공격과 같은 서버나 악성코드가 확인되지 않았기 때문이다. 마이크로소프트는 기술·작전상의 별도 연관성을 근거로 스톰-2945와 미드나이트 블리자드의 연계를 제시했다. 현재 공개된 독립적인 기술 분석 가운데 이를 별도로 입증한 자료는 확인되지 않았다.

공격자가 호텔 와이파이 장비에 처음 침입한 방법은 아직 밝혀지지 않았다. 외부 인터넷에 노출된 관리 화면과 보안이 약하거나 여러 곳에서 재사용된 관리자 비밀번호를 이용했을 가능성이 제기됐다. 여러 피해 네트워크에서 비슷한 장비와 관리 시스템이 발견돼 개별 호텔이 각각 침해된 것이 아니라 공용 관리 서비스나 와이파이 운영 생태계의 일부가 공격받았을 가능성도 남아 있다.

공개된 자료에는 악성 페이지로 이동한 전체 이용자 수와 실제 악성코드를 실행한 기기 수, 탈취된 계정 수가 포함되지 않았다. 공격이 여러 국가에서 진행된 사실은 확인됐지만, 실제 피해 규모는 공개되지 않은 상태다. 특정 호텔이나 와이파이 장비 제조사·운영사 명칭도 공개되지 않았다.

마이크로소프트는 해외 출장시, 호텔·공항·컨벤션센터 와이파이를 신뢰하지 않는 것이 안전하다. 가능한 경우 스마트폰 테더링이나 eSIM 등 이동통신망을 사용해야 한다. 공용 와이파이를 사용해야 한다면 접속 직후 모든 통신과 DNS 요청을 회사 보안망으로 보내는 상시 연결 방식의 풀 터널 VPN을 적용해야 한다고 권고했다. 

[하반기 최대 사이버보안 컨퍼런스 KCSCON 2026 개최 / 사전등록 접수]

-행사명: 제14회 2026 대한민국 사이버보안 컨퍼런스(KCSCON 2026)

-일시: 2026년 9월 8일 화요일 오전 9시~오후 5시 30분

-장소: 서울 세종대학교 컨벤션센터 전관

-참석 대상: 공공·공기업·금융·의료·교육·일반기업 정보보호·개인정보보호 담당자 및 IT 실무자

-참석인원: 보안담당자 1,400여 명

-교육 인정: 정보보호·개인정보보호 교육 7시간

-보안기업 참가 신청: 8월 말까지

-보안기업 참가문의: 데일리시큐 길민권 기자 / mkgil@dailysecu.com

-보안담당자 사전등록: 클릭

중국어를 사용하는 해커가 텔레그램으로 인공지능 모델 딥시크에 명령을 내린 뒤, 취약한 인터넷 시스템을 찾아 공격하도록 한 정황이 확인됐다. 해커는 인공지능이 표적 검색과 취약점 선별, 공격 코드 확보, 침투 시도까지 수행할 수 있도록 공격 환경을 구성했다.

팔로알토 네트웍스 유닛42가 7월 31일 공개한 분석에 따르면, 공격자는 ‘knaithe’와 ‘KnYuan’이라는 이름을 사용했다. 공격자는 오픈소스 인공지능 에이전트 프레임워크인 헤르메스 에이전트에 딥시크를 연결하고 텔레그램을 통해 공격을 지시했다.

유닛42는 자동화 공격과 기존 수동 공격을 합쳐 460개가 넘는 시스템이 공격 대상에 포함됐다고 밝혔다. 공격에 사용하거나 준비한 취약점은 7개 공격 경로에 걸친 8개 CVE였다. n8n 공격 경로에는 2개 취약점이 함께 사용됐다.

텔레그램 명령 한 번으로 취약점 검색·공격 진행

2026년 5월 7일 기록된 헤르메스 에이전트 세션에서는 공격자가 처음 내린 지시 이후 추가로 개입한 흔적이 발견되지 않았다.

딥시크는 인터넷 자산 검색 서비스 포파(FOFA)를 이용해 외부에 노출된 시스템을 찾았다. 깃허브에서 공개된 취약점 공격 코드를 내려받고, 대상 제품의 버전과 설정을 확인한 뒤 공격 가능성을 판단했다.

첫 번째 표적은 인공지능 애플리케이션과 업무 흐름을 구축하는 랭플로였다. 딥시크는 원격 코드 실행 취약점 CVE-2026-33017의 공개 공격 코드를 확보한 뒤 포파에서 랭플로 시스템 84개를 찾았다.

이 가운데 버전 1.3.4를 사용하는 시스템을 발견했지만 실제 침투에는 실패했다. 공격이 성공하려면 자동 로그인 기능이 켜져 있거나 외부에서 사용할 수 있는 공개 플로 ID가 필요했지만, 대상 시스템은 두 조건을 모두 충족하지 않았다. 해당 취약점은 랭플로 1.9.0 이상에서 수정됐다.

랭플로 공격이 막히자 딥시크는 다른 표적을 스스로 찾기 시작했다. 포파를 이용해 10개 제품군의 인터넷 노출 규모를 조사하고, 깃허브에서 최근 공개된 취약점 공격 코드를 검색했다. 이후 취약점의 심각도와 설치 규모, 실제 공격 가능성을 비교해 업무 자동화 플랫폼 n8n을 다음 표적으로 선택했다.

당시 포파 검색 결과에는 전 세계에서 64만7천여 개, 중국에서 2만5천209개의 n8n 시스템이 노출된 것으로 나타났다. 이 수치는 포파 검색 결과로, 실제 취약 시스템이나 피해 시스템 수를 의미하지는 않는다.

취약 버전 찾아냈지만 인증 설정에 막혀

딥시크는 n8n의 인증되지 않은 파일 접근 취약점 CVE-2026-21858과 표현식 처리 과정에서 원격 코드 실행으로 이어질 수 있는 CVE-2025-68613을 연결한 공개 공격 코드를 확보했다.

이 공격은 인증 없이 접근할 수 있고 파일 업로드 기능을 제공하는 n8n 입력 양식이 있어야 가능했다. 딥시크는 중국 내 시스템 약 100개를 표본으로 뽑아 약 40개의 버전을 확인했다. 그 결과 1.18.0, 1.117.3, 1.108.2 버전을 사용하는 시스템 3개를 찾았다.

한 시스템에서는 3개의 입력 양식이 발견됐지만 모두 인증을 요구했다. 이후 50개가 넘는 시스템을 추가로 확인했으나 외부에서 인증 없이 사용할 수 있는 입력 양식을 찾지 못했다. n8n을 대상으로 한 자율 침투는 성공하지 못했다.

CVE-2026-21858은 n8n 1.121.0에서 수정됐다. 두 취약점을 함께 차단하려면 관련 보안 수정 사항이 모두 반영된 최신 버전으로 업데이트해야 한다. n8n 운영자는 외부에 공개된 웹훅과 입력 양식도 점검할 필요가 있다.

수동 공격에서는 정보 탈취와 명령 실행 확인

딥시크가 수행한 랭플로와 n8n 자율 공격에서는 실제 침해가 확인되지 않았다. 그러나 같은 공격자가 기존 방식으로 직접 수행한 별도 공격에서는 피해가 발생했다.

유닛42는 시트릭스 넷스케일러 ADC·게이트웨이(Citrix NetScaler ADC and Gateway)의 메모리 정보 노출 취약점 CVE-2026-3055를 이용해 3개 대상에서 데이터를 빼낸 사실을 확인했다.

공격자는 탈취한 메모리에서 넷스케일러 인증 쿠키를 검색했다. 이는 로그인 세션을 탈취하려는 목적으로 분석됐다. 말레이시아의 한 정부기관은 여러 날에 걸쳐 반복적으로 공격받았다.

파이썬 노트북 개발도구 마리모(Marimo)를 대상으로 한 공격에서는 CVE-2026-39987을 이용한 명령 실행이 11개 엔드포인트에서 확인됐다. 아파치 톰캣(Apache Tomcat) 서버 9대와 윈도 IKE VPN 시스템 3개를 대상으로 한 리버스 셸 연결 시도도 발견됐다.

다만 공개된 분석에는 피해 수치를 해석할 때 주의가 필요한 부분이 있다. 유닛42는 넷스케일러 대상 3곳에서 정보 유출을 확인했고 마리모 엔드포인트 11곳에서 명령 실행을 확인했다고 밝혔다. 같은 분석의 다른 부분에서는 ‘성공한 침투 3건’을 언급했다.

이는 3개 조직과 11개 엔드포인트를 서로 다른 기준으로 집계했을 가능성이 있지만, 공개 자료만으로는 정확한 관계가 설명되지 않았다. 따라서 전체 피해 조직을 14곳으로 단정해서는 안 된다.

공격용 서버 열어놓는 실수로 작전 전체 노출

이번 공격은 공격자가 운영한 인공지능 에이전트의 실수로 외부에 드러났다.

헤르메스 에이전트는 텔레그램 명령을 처리하던 중 공격 서버의 사용자 홈 디렉터리인 ‘/home/worker’에서 ‘python3 -m http.server 8888’ 명령을 실행했다. 이 때문에 홈 디렉터리에 있던 파일이 HTTP 서버를 통해 외부에 공개됐다.

노출된 자료에는 인공지능 모델 설정, API 키, 취약점 공격 코드, 표적 목록, 셸 명령 기록, 자동 공격 세션 로그가 포함됐다. 공격자는 다른 작업에서는 사용한 디렉터리를 비우고 코덱스(Codex)의 대화 저장을 끄는 등 흔적을 줄이려 했지만, 자동화 도구가 잘못 연 파일 서버 때문에 전체 작업 환경을 노출했다.

헤르메스 에이전트는 텔레그램을 통한 대화와 명령 전달, 터미널 사용, 파일 처리, 예약 작업 실행을 지원한다. 정상적인 업무 자동화를 위해 제공되는 기능이지만, 외부 명령 실행 권한과 취약점 검색 기능을 함께 부여하면 공격 자동화 도구로 악용될 수 있다.

클로드 코드·코덱스·큐원 코드도 시험

공격자는 딥시크를 주된 판단 모델로 사용했다. 헤르메스 에이전트는 터미널 접근과 명령 실행, 텔레그램 통신, 공격 절차 저장 기능을 제공했다. 딥시크는 공격 코드 작성과 취약점 평가, 표적 선정, 공격 지속 여부를 판단했다.

클로드 코드(Claude Code)는 연결 시험과 프록시 점검에 제한적으로 사용됐다. 큐원 코드(Qwen Code) 사용 기록도 일부 발견됐다. 코덱스는 공격 코드 개발 디렉터리에서 사용 흔적이 발견됐지만 대화 기록이 저장되지 않아 실제 사용 여부는 확인되지 않았다.

오픈AI(OpenAI)는 자사 서비스의 안전장치가 정책을 위반한 요청을 거부했으며, 반복적인 시도가 감지된 계정을 차단했다고 확인했다. 해당 계정이 이번 공격과 연관됐을 가능성이 제기됐지만, 코덱스가 실제 침투 과정에 사용됐다는 증거는 공개되지 않았다.

공격자 위치는 중국 주하이로 평가…국가 연계 증거 없어

유닛42는 공개 계정 활동과 서버 자료 등을 근거로 공격자가 중국 주하이에 기반을 둔 것으로 평가했다. 공격자는 자신을 바이너리 보안 연구자로 소개했으며, ‘1DayNews’라는 자동 취약점 정보 수집 도구를 관리한 것으로 조사됐다.

이 도구는 17개 정보원에서 원격 코드 실행 취약점 정보를 수집하고, 딥시크를 이용해 실제 공격 가능성을 선별한 뒤 텔레그램으로 결과를 전송하는 구조였다.

다만 공개된 깃허브 프로필과 과거 블로그만으로 공격자의 실제 신원이나 중국 정부와의 연계를 확인할 수는 없다. 현재까지 국가 지원 조직의 활동이라는 근거도 제시되지 않았다.

외부 노출 시스템부터 점검해야

기업은 인터넷에 공개된 랭플로, n8n, 마리모 관리 화면과 업무용 인터페이스가 반드시 필요한지 확인해야 한다. 불필요한 외부 접근은 차단하고 인증을 적용해야 한다.

랭플로는 1.9.0 이상으로 업데이트해야 한다. n8n은 두 취약점의 수정 사항이 모두 포함된 최신 안정 버전을 적용하는 것이 안전하다. 마리모는 CVE-2026-39987이 수정된 0.23.0 이상으로 업데이트해야 한다.

고객이 직접 운영하는 넷스케일러 ADC·게이트웨이 가운데 SAML 아이덴티티 제공자로 설정된 장비도 보안 공지에 따라 업데이트해야 한다. 관리자는 외부 노출 여부와 인증 설정, 비정상적인 명령 실행, 인증 쿠키 접근 흔적을 함께 확인할 필요가 있다.

이번 사례에서 인공지능이 새로운 취약점을 스스로 발견한 것은 아니다. 공개된 검색 서비스와 취약점 정보, 공격 코드를 빠르게 연결해 표적을 고르고 공격을 반복했다. 실제 침투 성공률은 낮았지만, 공격자가 처음부터 끝까지 직접 명령을 입력하지 않고도 대규모 취약점 탐색과 공격 시도를 진행할 수 있다는 점이 확인됐다.

[하반기 최대 사이버보안 컨퍼런스 KCSCON 2026 개최 / 사전등록 접수]

-행사명: 제14회 2026 대한민국 사이버보안 컨퍼런스(KCSCON 2026)

-일시: 2026년 9월 8일 화요일 오전 9시~오후 5시 30분

-장소: 서울 세종대학교 컨벤션센터 전관

-참석 대상: 공공·공기업·금융·의료·교육·일반기업 정보보호·개인정보보호 담당자 및 IT 실무자

-참석인원: 보안담당자 1,400여 명

-교육 인정: 정보보호·개인정보보호 교육 7시간

-보안기업 참가 신청: 8월 말까지

-보안기업 참가문의: 데일리시큐 길민권 기자 / mkgil@dailysecu.com

-보안담당자 사전등록: 클릭

저가형 안드로이드 TV 박스 일부가 스마트폰으로 위장해 광고를 자동 클릭하고, 이용자의 가정용 인터넷 회선을 외부 트래픽 중계에 사용한 사실이 확인됐다.

비트사이트(Bitsight)는 7월 30일 안드로이드 TV 박스를 이용한 광고 사기 운영 체계 ‘푸야오(Fuyao)’를 공개했다. 연구진은 관련 인프라와 애플리케이션을 분석해 중국 저장펑워 사물인터넷 기술 유한회사와의 연관성을 제시했다.

푸야오 애플리케이션은 TV 박스의 하드웨어 정보를 바꿔 삼성전자, 화웨이, 샤오미, 비보 스마트폰처럼 보이게 했다. 광고 시스템을 속여 정상 스마트폰 이용자가 광고를 본 것처럼 꾸미기 위한 기능이었다.

중앙 명령제어 서버는 기기별 스마트폰 설정값을 내려보냈다. TV 박스에 사용된 록칩, 암로직, 올위너 칩 정보는 삭제하고, 화면과 브라우저 환경도 스마트폰과 비슷하게 조작했다.

광고 클릭에는 객체 탐지 모델 욜로브이에이트에스, 안드로이드 접근성 기능, 구글 ML 키트의 문자 인식 기능이 사용됐다. 운영자는 블록리 기반 편집기로 광고 클릭 순서를 만든 뒤 자바스크립트 파일로 전송했다.

TV 박스는 광고 사기 외에 프록시 장비로도 활용됐다. HDMI 신호가 감지되면 외부 이용자의 트래픽을 대신 전달하는 SOCKS5 출구 노드로 동작했다. HDMI가 꺼지면 다시 광고 클릭 작업을 수행했다.

이 과정에서 이용자는 자신도 모르게 인터넷 회선을 외부에 제공하게 된다. 범죄자가 이를 이용하면 광고 사기나 계정 공격, 자동화 접속을 일반 가정의 IP 주소에서 발생한 것처럼 위장할 수 있다.

비트사이트는 하루 동안 푸야오 애플리케이션이 설치된 기기에서 6만5957건의 통신 기록과 약 3만8000개의 MAC 주소를 확인했다. 다만 하나의 기기가 여러 식별정보를 사용할 수 있어 이를 실제 감염 기기 수로 단정할 수는 없다.

확인된 기기 가운데 다수는 에이치96 맥스 V11 모델명을 사용했다. 그러나 조사 자료가 특정 제조사의 구형 제품에 집중돼 있어 전체 피해 모델 목록은 아직 확인되지 않았다.

구글은 조사 대상 기기들이 플레이 프로텍트 인증을 받은 안드로이드 제품이 아니라고 밝혔다. 인증되지 않은 기기는 보안과 호환성 시험을 통과하지 않았을 수 있으며 정상적인 보안 업데이트도 기대하기 어렵다.

비트사이트는 이용자에 대해 저가형 비공식 TV 박스를 사용할 경우 플레이 프로텍트 인증 여부를 확인해야 한다. 사용하지 않는 시간에도 인터넷 트래픽이 계속 발생하거나 비공식 앱스토어 설치를 요구한다면 기기를 네트워크에서 분리하는 것이 안전하다고 권고했다. 

공장 초기화만으로 출고 단계에서 설치된 시스템 앱이 삭제된다고 보장할 수 없다. 제조사와 업데이트 정책이 불분명한 제품은 교체를 검토할 필요가 있다.

2026년 상반기 국내 사이버 침해사고 신고 건수가 전년 동기보다 19.5% 증가한 1,236건을 기록했다. 서버 해킹 신고는 감소했지만 분산 서비스 거부 공격(DDoS)과 랜섬웨어 신고는 각각 56.7%, 76.8% 증가하며 기업의 서비스 가용성과 데이터 보호를 위협하는 핵심 공격으로 부상했다.

과학기술정보통신부와 한국인터넷진흥원(KISA)은 국내 기업의 선제적인 사이버 위협 대응과 침해사고 피해 최소화를 지원하기 위해 ‘2026년도 상반기 국내 사이버 위협 동향’을 발표했다.

이번 보고서는 올해 상반기 KISA에 신고된 침해사고 통계를 분석하고, 국내외 정보보안 기업 15개사 전문가들과 협력해 주요 위협 유형을 분류했다. 국내에서는 안랩, 지니언스, 이글루코퍼레이션, NSHC, S2W, SK쉴더스, 플레인비트, 엔키가 참여했으며, 해외에서는 시스코 탈로스, 구글, 마이크로소프트, 트렌드마이크로, 지스케일러, 팔로알토 네트웍스, 카스퍼스키가 참여했다.

DDoS 신고 373건…전체 침해사고의 30.2%

올해 상반기 KISA에 신고·접수된 침해사고는 총 1,236건으로, 2025년 상반기 1,034건보다 202건 증가했다. 역대 가장 많은 신고가 접수됐던 2025년 하반기 1,349건보다는 8.4% 감소했다.

과기정통부는 2025년 발생한 통신 3사 침해사고를 계기로 기업들의 침해사고 신고 인식이 개선된 점이 지난해 하반기 신고 증가에 영향을 미쳤다는 민간 전문가들의 분석을 소개했다.

유형별로는 서버 해킹이 487건으로 전체의 39.4%를 차지해 여전히 가장 높은 비중을 기록했다. 다만 2025년 상반기 531건과 비교하면 8.3% 감소했다.

반면 DDoS 신고는 2025년 상반기 238건에서 올해 상반기 373건으로 56.7% 증가했다. 전체 침해사고에서 차지하는 비중도 23.0%에서 30.2%로 높아졌다.

악성코드 감염 신고는 201건으로 집계됐다. 이 가운데 랜섬웨어 신고가 145건으로 72.1%를 차지했다. 랜섬웨어 신고는 전년 동기 82건보다 63건 늘어 76.8% 증가했다.

최근 3년간 반기별 전체 침해사고 신고 건수는 2024년 상반기 899건, 하반기 988건, 2025년 상반기 1,034건, 하반기 1,349건, 2026년 상반기 1,236건으로 나타났다.

AI 에이전트 외부 시스템 연결…새로운 공격 경로로

과기정통부와 KISA는 올해 상반기 주요 사이버 위협으로 생성형 AI 확산에 따른 보안 위협을 가장 먼저 제시했다.

AI는 취약점 탐지와 악성코드 분석, 코드 검토, 보안 이벤트 요약 등 방어 업무의 생산성을 높이고 있다. 공격자가 AI를 활용할 경우 공격 대상의 취약점 탐색, 패치 전후 코드 비교, 공격 코드 초안 작성, 정찰 결과 분석과 반복 실험에 필요한 시간과 비용도 줄어들 수 있다.

특히 AI 에이전트가 이메일, 코드 저장소, 클라우드 서비스, 협업 플랫폼 등 외부 시스템과 연결돼 자율적으로 업무를 수행하면 공격 표면이 확대될 수 있다. 악성 프롬프트 주입과 과도한 권한 사용, 민감정보 유출, 악성 도구 호출, 잘못된 자동 실행 등이 주요 위험으로 지목됐다.

기업은 AI 서비스와 에이전트가 사용하는 API 키, 토큰, 서비스 계정을 중앙에서 관리하고 장기간 유효한 자격증명 사용을 줄여야 한다. 민감정보가 프롬프트에 입력되지 않도록 데이터 분류와 필터링, 마스킹 정책을 적용하고 AI의 입력·출력과 도구 호출 이력을 감사 로그로 보관해야 한다.

AI가 생성한 코드와 보안 분석 결과, 자동 조치 명령은 담당자가 검증한 뒤 시스템에 반영하는 승인 절차도 필요하다. AI 서비스의 구성요소와 외부 노출 범위, 내부 연결 관계를 자산 목록으로 관리해 공격 경로를 지속적으로 파악해야 한다.

개발자 계정·토큰 탈취로 공급망 공격 확대

오픈소스 생태계를 노린 개발자 계정 탈취와 소프트웨어 공급망 공격도 고도화되고 있다.

공격자들은 정보 탈취형 악성코드를 개발자 단말이나 클라우드 개발 환경에 설치한 뒤 깃허브(GitHub), npm, 파이파이(PyPI) 계정 비밀번호와 개인 접근 토큰(PAT), 클라우드 접근 키 등을 탈취하고 있다.

탈취한 자격증명은 정상 프로젝트의 유지관리 권한을 장악하거나 CI/CD 파이프라인을 통해 악성 패키지를 배포하는 데 사용된다. 기업 내부의 소스코드와 개발 정보 탈취에도 직접 악용될 수 있다.

공급망 공격은 피해 개발자 한 명이나 하나의 저장소에 그치지 않는다. 정상 패키지를 신뢰한 기업과 기관의 빌드 서버, 개발자 단말, 운영환경으로 악성코드가 연쇄적으로 확산될 수 있다.

자동화 계정과 빌드 파이프라인은 사람의 별도 확인 없이 여러 저장소와 서비스에 프로그램을 배포하기 때문에 토큰 하나가 노출돼도 수백 개 저장소와 서비스가 동시에 침해될 수 있다.

기업은 소프트웨어 구성요소 분석(SCA)과 소프트웨어 자재명세서(SBOM)를 활용해 사용 중인 소프트웨어의 구성요소와 버전을 식별해야 한다. 개발자와 유지관리자 계정에는 다중 인증(MFA)을 적용하고 PAT와 패키지 배포 토큰은 최소 권한과 짧은 유효기간을 기준으로 발급해야 한다.

CI/CD 환경에는 코드 서명과 커밋·아티팩트 무결성 검증, 승인된 배포자 확인, 보호 브랜치, 이중 승인 절차를 적용할 필요가 있다. 개발자 단말과 빌드 서버에 EDR을 적용해 비정상적인 저장소 접근과 토큰 사용, 패키지 배포 행위도 탐지해야 한다.

국제 핵티비스트 국내 기관 지목…서비스 장애 노려

국제 핵티비스트 그룹이 국내 공공기관과 민간기업을 공격 대상으로 지목하면서 DDoS 위협도 확대됐다.

보고서는 리퍼섹(RipperSec)이 텔레그램 채널 등을 통해 국내 기업과 기관을 공격 대상으로 언급하고, 공격을 예고하거나 실제 공격을 수행했다고 주장한 사례를 소개했다.

핵티비스트의 DDoS 공격은 기밀정보 탈취보다 대외 서비스의 가용성을 떨어뜨려 사회적 혼란을 일으키고 조직의 존재감을 과시하는 데 목적이 있다. 공격 대상 기관의 장애 화면과 공격 성공 주장을 SNS와 메신저에 게시해 심리적 부담과 대외적 혼란을 키우는 방식이다.

기업은 평상시 인터넷서비스제공사업자(ISP), 클라우드서비스제공사업자(CSP), KISA 등과 비상 대응 절차를 협의해야 한다. CDN과 웹방화벽(WAF), 클라우드 DDoS 방어 서비스를 연계하고 네트워크 계층과 애플리케이션 계층을 함께 보호해야 한다.

요청 빈도 제한, 행동 기반 탐지, IP 평판, CAPTCHA, 캐시 정책도 서비스 특성에 맞게 적용해야 한다. 공격 전환 기준과 우회 회선 적용, 긴급 차단, 고객 공지, 로그 보존 절차를 포함한 대응 플레이북을 마련하고 정기적인 훈련을 실시할 필요가 있다.

중소기업은 KISA가 제공하는 ‘DDoS 사이버대피소’를 무료로 이용할 수 있다. 사전 입주는 보호나라를 통해 신청할 수 있으며, 공격으로 서비스가 마비된 긴급 상황에서는 국번 없이 118이나 사이버대피소 담당 부서에 지원을 요청할 수 있다.

랜섬웨어, 데이터 유출 후 암호화하는 이중 갈취 확산

랜섬웨어는 제조, 물류, 유통, IT 서비스 등 산업 전반의 핵심 위협으로 지속되고 있다.

공격자는 시스템을 암호화하기 전에 중요 데이터를 외부로 빼낸 뒤 복호화 대가와 데이터 비공개 대가를 동시에 요구하는 이중 갈취 수법을 사용하고 있다. 공격자가 내부망에 장기간 잠복하며 데이터를 수집한 후 암호화를 실행하면 업무 중단과 정보 유출, 법적 책임, 평판 훼손이 동시에 발생할 수 있다.

서비스형 랜섬웨어(RaaS)와 초기 접근 브로커(IAB)의 분업 구조가 정착되면서 전문적인 공격 기술이 없는 범죄자도 침해된 계정이나 원격 접속 권한을 구매해 랜섬웨어 공격에 참여할 수 있게 됐다.

협력업체와 공급망 계정을 우회 경로로 이용하는 공격도 늘면서 대기업뿐 아니라 보안 역량이 상대적으로 부족한 중소·중견기업과 협력사까지 직접적인 표적이 되고 있다.

랜섬웨어 대응은 악성 파일 차단에만 머물러서는 안 된다. 초기 침투와 권한 상승, 내부망 이동, 데이터 수집·압축, 외부 전송, 백업 훼손, 대량 암호화에 이르는 공격 전 과정을 탐지하고 복구할 수 있어야 한다.

중요 데이터는 운영망과 논리적·물리적으로 분리하고 삭제나 변조가 어려운 불변 백업 또는 오프라인 백업으로 보관해야 한다. 백업 성공 여부만 점검하지 말고 정기적인 복구 훈련을 통해 실제 복구시간과 서비스 재개 가능성을 검증해야 한다.

API 권한 검증 미흡·계정 재사용 공격도 지속

개인정보 탈취 공격은 기존 데이터베이스 서버 침해에서 외부 API와 사용자 계정을 악용하는 방식으로 확대되고 있다.

공격자는 인증 우회와 객체별 권한 검증 미흡, 과도한 데이터 반환, 예측 가능한 식별자 등 API 설계상의 취약점을 이용해 개인정보에 접근한다.

다크웹이나 과거 정보 유출 사고에서 확보한 계정정보를 자동화 도구로 대량 입력하는 크리덴셜 스터핑 공격도 계속되고 있다. 해당 요청은 정상적인 서비스 이용 형태와 유사해 기존 네트워크 보안장비만으로 비정상 행위를 구분하기 어렵다.

기업은 모든 외부 API에서 인증과 인가를 구분해 점검하고 사용자·객체·기능별 권한 검증을 서버 측에서 수행해야 한다. API 보안 솔루션과 웹방화벽을 활용해 비정상적인 호출 빈도와 대량 조회, 순차적인 식별자 탐색, 비정상 지역과 단말의 접근을 탐지해야 한다.

다중 인증과 위험 기반 로그인, 비밀번호 재사용 방지, 유출 계정 점검, 자동화 로그인 방어도 함께 적용해야 한다. API가 반환하는 데이터 항목을 최소화하고 개발·테스트 환경에서는 실제 개인정보 대신 가명정보나 샘플 데이터를 사용해야 한다.

최우혁 과기정통부 정보보호네트워크정책실장은 “인공지능 기반 사이버 위협이 현실로 다가오고, 클라우드 환경 취약점을 대상으로 하는 지능화된 공격이 지속해서 나타나고 있다”며 기업들의 정보보호 역량 강화를 당부했다.

그는 “정부는 인공지능 기반의 예방·대응체계를 구축·운영하고 선제적 취약점 발굴 조치를 통해 국민이 안심할 수 있는 사이버 환경을 조성해 나가겠다”고 밝혔다.

[하반기 최대 사이버보안 컨퍼런스 KCSCON 2026 개최 / 사전등록 접수]

-행사명: 제14회 2026 대한민국 사이버보안 컨퍼런스(KCSCON 2026)

-일시: 2026년 9월 8일 화요일 오전 9시~오후 5시 30분

-장소: 서울 세종대학교 컨벤션센터 전관

-참석 대상: 공공·공기업·금융·의료·교육·일반기업 정보보호·개인정보보호 담당자 및 IT 실무자

-참석인원: 보안담당자 1,400여 명

-교육 인정: 정보보호·개인정보보호 교육 7시간

-보안기업 참가 신청: 8월 말까지

-보안기업 참가문의: 데일리시큐 길민권 기자 / mkgil@dailysecu.com

-보안담당자 사전등록: 클릭

개인정보보호위원회가 불법 펨토셀을 통해 이용자 개인정보가 유출되고 무단 소액결제 피해까지 발생한 KT에 과징금 539억7,900만 원을 부과했다.

개인정보위는 7월 29일 제15회 전체회의를 열고 개인정보 보호법을 위반한 KT에 과징금과 시정명령, 개선권고, 처분사실 공표명령을 의결했다. 악성코드 감염 사고와 관련해 로그를 삭제하고 거짓 자료를 제출하는 등 조사를 방해한 행위에 대해서는 KT를 고발하기로 했다.

LG유플러스가 개인정보위 조사 착수 전 관련 서버의 운영체제를 재설치하거나 서버를 폐기한 행위에 대해서도 수사기관에 수사를 의뢰하기로 했다.

유실된 펨토셀 인증서 복제해 KT 내부망 접속

이번 사고는 해커가 유실된 KT 펨토셀에서 인증서를 빼내 자체 제작한 펨토셀에 삽입하면서 시작됐다.

펨토셀은 가정이나 사무실, 지하 등 이동통신 신호가 약한 지역의 통신 품질을 높이기 위해 설치하는 소형기지국이다. KT가 직접 설치하고 관리하는 자산으로, 이용자에게 판매되는 장비는 아니다.

해커는 복제한 인증서를 이용해 KT 이동통신망에 접속한 뒤 이용자 단말이 불법 펨토셀을 경유하도록 유도했다. 이 과정에서 단말과 KT 내부망 사이에서 송수신되는 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)를 가로챘다.

해커는 별도로 확보한 이름, 성별, 생년월일 등의 정보와 이를 결합해 휴대전화 소액결제를 요청한 뒤, 결제 인증에 사용되는 문자메시지와 자동응답전화 인증정보까지 탈취했다.

개인정보위 조사 결과 알뜰폰 이용자를 포함한 KT 이용자 1만6,647명의 개인정보가 유출됐다. 무단 소액결제 피해자는 368명, 피해 금액은 약 2억4,000만 원으로 확인됐다.

당초 KT가 신고한 유출 규모는 2만2,227명이었다. 개인정보위는 법인 명의 회선과 다중회선 등 중복 정보를 제외해 실제 정보주체 수를 1만6,647명으로 산정했다.

개인정보위는 개인정보 유출이 금전 피해로 직접 이어졌다는 점에서 이번 사건의 심각성이 크다고 판단했다.

인증서 유효기간 10년…해외 IP 접속도 허용

개인정보위는 사고의 핵심 원인으로 KT의 펨토셀 관리체계와 내부망 접근통제 부실을 지목했다.

KT는 펨토셀이 내부망에 접속할 때 사용하는 인증서의 유효기간을 10년으로 설정했다. 접속 IP도 제한하지 않아 다른 통신사나 해외 IP 주소에서도 KT 내부망에 접속할 수 있도록 운영했다.

펨토셀 관리서버를 우회할 수 있는 경로도 존재했다. 펨토셀이 코어망에 접속할 때 부여받는 식별자인 셀 아이디(Cell ID)를 제대로 관리하지 않아 비인가 장비의 접속을 탐지하고 차단하는 체계도 갖추지 않았다.

이 같은 관리 부실로 해커가 제작한 펨토셀은 별도의 추가 인증 없이 2024년 10월 8일부터 2025년 9월 5일까지 약 11개월 동안 KT 내부망에 접속했다. KT는 이용자들의 소액결제 피해와 관련 민원이 발생한 뒤에야 비정상 접속을 확인했다.

개인정보위는 펨토셀의 망 접속 승인과 인증체계 관리, 내부망 접속 허용, 보안통제 및 운영을 모두 KT가 수행하고 있다는 점도 분명히 했다.

이용자는 장비 설치 장소만 제공할 뿐 펨토셀의 실질적인 운영 주체와 개인정보 전송에 대한 관리·통제권은 KT에 있다는 판단이다.

KT “예측 불가능한 신유형 공격”…개인정보위 “기존에 알려진 취약점”

KT는 심의 과정에서 이번 사고가 해커가 직접 펨토셀을 제작해 단말기의 통신신호를 가로챈 전례 없는 신유형 공격으로, 사전에 예측하거나 대응하기 어려웠다고 주장했다.

그러나 개인정보위는 이를 받아들이지 않았다.

개인정보위는 펨토셀이 단순한 말단 통신장비가 아니라 이동통신 서비스를 제공하기 위해 이용자 통신이 반드시 경유하는 핵심 장비라고 봤다. 사고 역시 펨토셀 장비 관리 부실과 내부망 접속통제 미흡으로 발생했기 때문에 안전조치 의무를 충실히 이행했다면 충분히 예방할 수 있었다고 판단했다.

펨토셀을 악용한 해킹 가능성도 새로운 문제가 아니라는 입장이다. 개인정보위는 해외 사례와 학계에서 펨토셀 보안 취약점이 지속적으로 제기돼 왔다고 설명했다.

과징금은 사고가 발생한 KT 이동통신서비스의 5G·LTE 매출을 기준으로 산정했다. IPTV와 인터넷 서비스 등 사고와 직접 관련이 없는 독립 매출은 제외했다.

개인정보위는 국민 생활에 필수적인 이동통신 서비스를 제공하는 기간통신사업자가 장기간 불법 접속을 탐지하지 못했고, 실제 금전 피해까지 발생했다는 점을 중대한 위반행위로 봤다. 위반 기간과 시정 여부, 피해 회복 노력 등을 반영해 최종 과징금을 539억7,900만 원으로 결정했다.

펨토셀 취약점 점검하고 이동통신망까지 ISMS-P 확대 권고

개인정보위는 KT에 펨토셀을 비롯한 무선통신망 장비 전반의 취약점을 점검하고, 이동통신망 내 개인정보처리시스템에 대한 불법 접근을 차단할 수 있도록 안전조치를 강화하라고 명령했다.

개인정보 보호책임자(CPO)의 책임과 역할을 명확히 하고 회사 전체의 개인정보 보호 거버넌스를 정비하는 대책도 3개월 이내에 수립해 보고하도록 했다.

KT가 일부 IT서비스를 대상으로 획득한 개인정보보호 관리체계(ISMS-P) 인증범위를 실제 사고가 발생한 이동통신 네트워크와 시스템까지 확대할 것도 개선권고했다.

KT, BPFDoor 감염 인지하고도 미신고…로그 삭제 정황

개인정보위는 펨토셀 사고를 조사하는 과정에서 KT가 2024년 3월 발생한 별도의 악성코드 감염 사고를 정부에 신고하지 않은 사실도 확인했다.

해커는 KT 로밍렌탈서비스 홈페이지의 취약점을 이용해 내부 네트워크에 침투한 뒤 BPFDoor를 포함한 악성코드를 다수 서버에 설치했다. 로밍렌탈서비스 관리자 페이지에 SQL 삽입 공격을 수행해 KT 임직원과 협력사 일부 직원의 이름, 전화번호, 계정정보를 조회·유출한 정황도 파악됐다.

개인정보위 조사대상이 된 감염 서버는 38대다. 과학기술정보통신부 민관합동조사단이 발표한 41대 가운데 별도 네트워크에 존재하고 개인정보처리시스템에 해당하지 않는 3대는 제외됐다.

개인정보위는 사고 당시 네트워크 로그가 충분히 남아 있지 않아 38대 서버에서 처리된 이용자 개인정보가 추가로 유출됐는지는 확인하지 못했다.

KT는 2024년 3월 악성코드 감염을 인지했지만 정부에 침해사실을 신고하지 않고 자체 조치했다. 2025년 4월 서버 전수점검 과정에서는 침해 서버 10대의 로그를 삭제한 정황도 확인됐다.

개인정보위 조사 초기에는 보존 자료가 없다고 진술했지만, 디지털포렌식을 통해 로그 삭제 정황이 확인되자 별도로 보관하던 로그를 뒤늦게 제출한 것으로 조사됐다. 개인정보위는 이 같은 행위가 사고조사를 실질적으로 방해했다고 판단했다.

LGU+, 조사 착수 전 서버 OS 재설치·폐기

LG유플러스에 대해서는 2025년 8월 미국 보안 전문지 ‘프랙(Phrack)’에 공개된 개인정보 유출 의혹과 관련해 조사가 진행됐다.

개인정보위는 공개된 파일에 포함된 LG유플러스 임직원과 협력사 직원의 이름, 계정정보가 LG유플러스의 통합 비밀번호 관리시스템(APPM)에서 실제 관리되던 정보라는 사실을 확인했다.

그러나 LG유플러스는 개인정보위가 조사에 착수하기 전인 2025년 8월 12일과 14일 관련 서버의 운영체제를 재설치했고, 8월 25일에는 일부 서버를 폐기했다. 이 때문에 정확한 유출 경위와 추가 유출 규모를 확인할 수 없었다.

KT는 조사 착수 이후 거짓 자료를 제출하며 조사를 방해한 행위가 개인정보 보호법상 조사방해 요건에 해당해 고발됐다.

반면 LG유플러스의 서버 폐기는 개인정보위 조사 착수 전에 이뤄져 현행 개인정보 보호법의 조사방해 조항을 적용하기 어려웠다. 개인정보위는 해당 행위를 형법상 공무집행방해에 해당할 가능성이 있다고 보고 수사기관에 수사를 의뢰했다.

증거 폐기하면 전체 매출액 3% 과징금 추진

개인정보위는 기업이 조사 착수 전에 로그나 서버를 폐기할 경우 직접 제재하기 어려운 현행 제도를 개선하기로 했다.

추진 방안에는 조사 착수 전 증거 은닉·폐기에 대한 형사처벌 규정 신설, 증거를 은닉하거나 폐기한 기업에 전체 매출액의 3% 이내 과징금 부과, 내부 신고자에 대한 신고포상금 지급 등이 포함됐다.

조사 비협조나 시정명령 불이행 시 일 매출액의 0.3%를 이행강제금으로 부과하고, 침해사고 발생 시 개인정보위가 자료보전명령을 내릴 수 있도록 하는 방안도 추진한다.

이행강제금과 증거보전명령 도입 법안은 국회에 발의된 상태다. 증거 은닉·폐기 제재 규정은 올해 하반기 국회 통과를 목표로 입법을 추진할 계획이다.

송경희 개인정보위 위원장은 “이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신 업계 전반의 보안 역량을 한층 강화하는 계기가 돼야 한다”며 “사고 발생 시 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 개선하겠다”고 밝혔다.

[하반기 최대 사이버보안 컨퍼런스 KCSCON 2026 개최 / 사전등록 접수]

-행사명: 제14회 2026 대한민국 사이버보안 컨퍼런스(KCSCON 2026)

-일시: 2026년 9월 8일 화요일 오전 9시~오후 5시 30분

-장소: 서울 세종대학교 컨벤션센터 전관

-참석 대상: 공공·공기업·금융·의료·교육·일반기업 정보보호·개인정보보호 담당자 및 IT 실무자

-참석인원: 보안담당자 1,400여 명

-교육 인정: 정보보호·개인정보보호 교육 7시간

-보안기업 참가 신청: 8월 말까지

-보안기업 참가문의: 데일리시큐 길민권 기자 / mkgil@dailysecu.com

-보안담당자 사전등록: 클릭

데일리시큐는 7월부터 장삼봉 작가(필명)의 정보보안 소설《로그아웃되지 않는 밤》을 매주 4편씩 연재한다. 화려한 디지털 서비스 뒤에서 보이지 않는 위협과 맞서는 보안 담당자들의 현실과 고뇌, 성장을 생생하게 담았다. 수많은 오탐 속에 숨은 단 하나의 진짜 공격을 추적하는 이들의 잠들지 못하는 밤이 시작된다. 

-완벽한 초안-

보안정책팀의 첫 출근 날, 세아는 자기 책상에 놓인 것이 키보드가 아니라 두꺼운 규정집이라는 사실에 잠깐 멍해졌다. 옆자리 선배는 종일 회의에 들어가 있었고, 권영석은 모니터 2대에 표를 가득 띄워 놓고 무언가를 검토하고 있었다. ‘뚫는’ 일은 없었다. 여기선 모두가 문서를 만들고, 검토하고, 설득했다.

“여기선 키보드보다 사람을 설득하는 게 일이에요.” 권영석이 세아의 표정을 읽은 듯 말했다. “지루하죠? 근데 이게 회사 전체의 룰을 만드는 자리예요. 한 사람 막는 게 아니라, 만 명이 따를 선을 긋는 거.”

세아의 책상에는 키보드 대신 결재판과 규정집이 놓였다. 동아리에서 밤새 키보드를 두드리던 손이, 이제는 문서의 빈칸을 채우고 있었다. 모니터엔 코드 대신 표가 떠 있었고, 회의는 하루에 3번씩 잡혔다. 세아는 그 모든 게 자기가 꿈꾸던 ‘보안’과 너무 멀어서, 가끔 자기가 길을 잘못 든 건 아닌지 의심했다. 정작 시스템을 직접 만지는 건, 이제 복도 건너 운영팀의 일이었다.

세아는 애써 고개를 끄덕였다. 속으로는, 모의해킹을 하고 싶었던 마음이 자꾸 발끝에 차였다.

*   *   *

그 주, 큰 건이 떨어졌다. 실장 오정환이 정책팀을 불렀다.

“외부 감사에서 또 지적이 나왔어요. 계정 보안이 느슨하다고.” 오정환이 피곤한 얼굴로 말했다. “전사 계정 보안을 강화하는 정책을 만듭시다. 로그인할 때 한 번 더 본인 확인을 받게 하고, 비밀번호도 주기적으로 바꾸게 하고, 무엇보다 사람마다 가진 권한을 꼭 필요한 만큼으로 줄이는 거. 권 팀장이 주관하고.”

권영석이 세아를 봤다. “초안, 윤세아 씨가 잡아 봐요. 신입 시각으로.”

세아의 심장이 뛰었다. 드디어 ‘진짜 일’이었다. 게다가 권한을 줄이는 정책이라니. 순환교육 내내 도윤이 ‘권한이 왜 이렇게 많아’라고 중얼거리던 장면이 떠올랐다. 자기가 그 문제를 푸는 사람이 될 수 있었다.

세아는 그날 밤 늦게까지 자료를 찾아 읽었다. 다른 회사들의 사고 사례, 권한 관리의 표준, 본인 확인을 강화하는 방법들. 동아리 시절 공부하던 그 열정이 오랜만에 돌아왔다. 정책팀에 와서 처음으로, 가슴이 뛰는 일을 만난 거였다. 세아는 자기가 만들 정책이 회사를 바꿀 거라고 믿었다. 그 믿음이 얼마나 순진한 것이었는지는, 며칠 뒤에야 알게 됐다.

정책을 짜는 일은, 세아가 생각한 것과 달랐다. 코드는 맞으면 돌아갔지만, 정책은 맞아도 사람이 안 따르면 죽은 문서였다. 세아는 다른 회사들의 규정을 수십 개 내려받아 비교했다. 어떤 회사는 너무 빡빡해서 직원들이 다 우회로를 만들었고, 어떤 회사는 너무 느슨해서 규정이 있으나 마나였다. 그 사이 어딘가에 ‘사람이 실제로 따르는 선’이 있었다. 그 선을 찾는 게 정책의 일이라는 걸, 세아는 자료를 읽을수록 어렴풋이 느꼈다.

하지만 그날의 세아는 아직, 그 선이 책상이 아니라 현장에 있다는 걸 몰랐다. 그녀는 가장 엄격한 조항이 가장 안전한 조항이라고 믿었다. 빈틈없는 원칙이 회사를 지킬 거라고. 모니터에 빼곡히 정리된 자기 초안을 보며, 세아는 오랜만에 뿌듯했다. 그 뿌듯함이 며칠 뒤 회의실에서 어떻게 무너질지, 그때는 알 수 없었다.

*   *   *

세아는 며칠을 매달렸다. 전공 지식과 동아리에서 배운 것을 총동원해, 교과서적으로 완벽한 초안을 짰다. 로그인 본인 확인은 전 직원 예외 없이 즉시 적용. 비밀번호는 90일마다 강제 변경. 불필요한 권한은 발견 즉시 회수. 흠잡을 데 없었다. 세아는 뿌듯한 마음으로 전사 공지 초안을 권영석에게 보였고, 권영석은 한참을 들여다보다 짧게 말했다.

“……현장에 물어는 봤어요?”

“기준이 명확하면 따라오지 않을까요?” 세아가 답했다. 권영석은 무어라 말하려다, 그냥 “일단 가 봅시다” 하고 결재했다. 세아는 그게 허락인 줄 알았다.

공지가 나갔다.

*   *   *

반응은 10분 만에 왔다. 메신저가 터졌다. 가장 먼저, 가장 세게 회신을 단 사람은 보안운영팀의 한도윤이었다. 전체 메일에, 짧고 건조하게.

“이거 그대로 적용하면 새벽 장애 대응이 마비됩니다. 긴급 상황에 비밀번호 만료 걸리면 누가 책임지죠?”

세아의 얼굴이 화끈 달아올랐다. 며칠 전 자기를 ‘잘 봤어요’라고 했던 그 사람이, 이번엔 모두가 보는 자리에서 자기 정책을 정면으로 깠다. 다른 부서들이 그 회신에 줄줄이 동조했다. ‘현장을 모른다’, ‘책상에서 만든 규칙’이라는 말이 오갔다.

권영석이 조용히 말했다. “회의 잡아요. 얼굴 보고 합시다.”

*   *   *

회의실에서 세아는 처음으로 도윤과 ‘반대편’으로 마주 앉았다.

“선임님, 긴급 상황 예외를 두면 그 예외로 다 빠져나가요. 원칙이 무너지면 정책은 종이가 되는거 아닌가요?...” 세아가 조용하게 말했다.

“원칙만 있고 현장이 죽으면, 그 종이가 사람을 잡아요.” 도윤이 받았다. 목소리는 높지 않았지만 그의 목소리는 단호했다. “새벽 3시에 서버 죽었는데, 대응하려는 사람 비밀번호가 만료돼서 못 들어가면? 그 몇 분에 에덴이 멈춰요. 그건 누가 책임집니까.”

“그럼 보안은 영영 강해질 수 없어요. 다들 불편하다고만 하면.”

“불편한 걸 줄이는 것도 보안이에요. 안 그러면 사람들이 몰래 우회로를 만들어요. 그게 더 위험하고.”

말이 부딪힐수록 둘 다 옳았다. 그래서 더 풀리지 않았다. 권영석 팀장은 그저 묵묵 히 둘의 토론을 지켜볼 뿐 회의는 결론 없이 끝났다. 세아는 회의실에 혼자 남아, 덮지 못한 노트를 한참 들여다봤다.

-다음 화에 계속-

그날 저녁, 권영석이 세아 옆에 앉았다. “밉죠, 한도윤 선임.”

글. 장삼봉(필명). 글로벌 보안회사, 유통·게임 등 보안 현장을 20년 넘게 지켜 온 보안인. 묵묵히 위협과 마주해 온 보안 담당자들의 일상을 한 편의 소설로 기록한다.

(소설에 대한 의견 및 제안 등은 ask.sambong@gmail.com으로 보내주세요.)

[이 연재는 이혁중 CISO가 2026년 6월부터 데일리시큐를 통해 매주 한 편씩, 보안 현장에서 축적한 경험과 통찰을 전할 예정이다. 30년 가까이 CISO·CPO로 현장을 지켜온 경험을 바탕으로, 기술보다 운영, 솔루션보다 기본, 규제보다 실행의 문제를 짚어간다. 보안과 개인정보보호가 만나는 현실의 질문에 답을 찾아가는 연재가 될 예정이다.-데일리시큐 편집자-]

우리의 개인정보보호법은 2011년 제정·시행되어 공공과 민간에 흩어져 있던 개인정보 보호 규율을 하나의 체계로 통합했다. 법은 개인정보를 “살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보”로 정의하고, 해당 정보만으로는 개인을 알아볼 수 없더라도 “다른 정보와 쉽게 결합하여” 개인을 알아볼 수 있는 정보도 개인정보에 포함한다. 이 정의는 개인정보의 우회적 식별을 막기 위해 필요한 개념이다. 이름이나 주민등록번호가 없어도 생년월일, 성별, 위치정보, 접속기록, 구매이력, 행태정보 등이 결합되면 특정 개인을 식별할 수 있기 때문이다. 유럽연합의 GDPR이나 미국 캘리포니아의 CCPA 역시 식별 가능성, 연결 가능성을 중심으로 개인정보를 폭넓게 정의하고 있다는 점에서 이러한 방향성 자체는 국제적 흐름과도 맞닿아 있다.

문제는 기술 발전속도다. 과거에는 현실적으로 결합이 어렵던 정보가 지금은 빅데이터 분석, AI 추론, 위치정보 결합, 공개정보 수집 등을 통해 훨씬 쉽게 연결될 수 있다. 최근 AI 에이전트와 자동화 도구의 발전만 보더라도 전문 개발자의 도움 없이 데이터 수집·정제·분석이 가능해지는 환경이 만들어지고 있다. 필자도 최근 Agentic AI 공부를 하면서 그 위력의 대단함흘 느끼고 있는 상황이다. 그렇다면 법에서 말하는 “쉽게 결합”의 의미는 과거와 동일하게 해석될 수 있을까?  어제까지 개인정보가 아니었던 정보가 오늘은 개인정보가 되고, 오늘 안전하다고 판단한 데이터가 내일 새로운 분석기술로 인해 규제 대상이 될 수 있다면, 기업은 법적 예측 가능성을 갖기 어렵다.

고유식별정보도 같은 문제의식에서 다시 볼 필요가 있다. 주민등록번호는 유출 시 명의도용 등 직접 피해로 이어질 가능성이 높아 강한 보호 필요성이 분명하다. 반면 여권번호는 물론 중요한 정보이지만, 유효기간이 있고 재발급 시 변경될 수 있으며 번호 하나만으로 발생하는 위험은 주민등록번호와 동일하다고 보기 어려운 측면도 있다.(전회사에서 이것 때문에 예약발권 수탁업무를 맡은 외국 회사와 암호화에 대해 논란이 많았었다.) 그럼에도 법체계 안에서는 동일하게 고유식별정보로 분류되어 높은 수준의 보호조치가 요구된다. 초기에 개인정보가 중요시 되었던 이유는 오프라인과 달리 온라인 상에서 개인정보를 가지면 명의도용, 금융사기, 계정탈취, 피싱, 사칭 등의 불법 행위를 할 수 있었던 유출시 위험도가 컷던것도 크게 작용했던 것으로 기억하고 있다.

조금 다른 이야기로 최근에 이슈가 되고 있는 연계정보로 이야기되고 있는 CI(Connecting Information)에 대해서 이야기해보자. CI는 주민등록번호를 직접 사용하지 않고 온라인 서비스 간 동일인을 식별하기 위해 생성된 값으로, 그 자체로 원래의 주민등록번호를 바로 복원할 수 있는 구조는 아니지만 온라인 상에서 여러 서비스에서 동일인을 연결할 수 있는 식별자 역할을 하기 때문에 유출 시 행태 연결이나 프로파일링의 단서가 될 수 있다. 결국 기술적으로 변환된 값이라도 특정 개인을 지속적으로 식별하거나 다른 정보와 연결될 수 있는 이런 정보야  말로 고유식별정보로 인지되게 하여야 하지 않았을까 싶다.

이처럼 개인정보의 범위가 기술 발전에 따라 계속 넓어질 수 있다면 기업의 고민은 현실이 된다. 어떤 데이터가 미래의 어떤 기술과 결합되어 식별 가능해질지 누구도 장담하기 어렵기 때문이다. 결국 CISO/CPO는 최근 발생되는 인적재제의 상황을 볼 때 최악의 상황을 피하기 위해 데이터베이스의 거의 모든 정보를 개인정보처럼 취급하고, 암호화·접근통제·분리보관 등 고강도 보호조치를 적용하려는 방향으로 움직일 수밖에 없다.

하지만 모든 데이터를 고위험 개인정보처럼 취급하는 것이 정답은 아니다. 보안 수준은 높아질 수 있지만 시스템 성능 저하, 운영 복잡성 증가, 비용 폭증, 데이터 활용 제한이라는 문제가 뒤따른다. 이는 마이데이터, 가명정보 활용, AI 학습데이터 구축 등 데이터 기반 혁신에도 부담이 되지만 CPO/CISO 역시 법적 책임에서 자유롭기 어렵기 때문에 합리적 위험 관리보다 과잉 보호를 선택할수 밖에 없는 구조에 놓인다.

개인정보 보호의 목적은 개인정보 활용을 막는 데 있지 않다. 개인의 권리와 자유를 보호하면서도 사회적으로 필요한 데이터 활용이 가능하도록 균형점을 찾는 데 있다. 따라서 이제는 개인정보의 정의를 단순히 넓히는 것이 아니라, 식별 가능성의 현실성, 결합 가능성의 수준, 유출 시 실제 위험도, 정보의 사용 맥락, 보호조치의 적정성을 함께 고려하는 방향으로 정교화할 필요가 있다.

기술은 계속 발전할 것이다. AI와 대규모 데이터 분석은 과거 불가능했던 식별을 가능하게 만들 수 있고, 양자컴퓨팅의 발전은 현재의 암호기술에도 장기적 위협이 될 수 있다. 그렇다면 법도 “무엇이 개인정보인가”라는 질문에 더 섬세한 답을 준비해야 한다. 모든 정보를 개인정보로 보고 모든 책임을 기업과 담당자에게 전가하는 방식으로는 지속 가능한 보호 체계를 만들기 어렵다.

정보보호의 출발점은 보호해야 할 자산을 정확히 식별하는 것이다. 개인정보 보호도 마찬가지다. 보호할 정보는 더 강하게 보호하되, 위험도가 낮은 정보까지 동일한 잣대로 다루는 방식은 재검토해야 한다. 개인정보 보호의 다음 단계는 더 많은 규제가 아니라, 더 정확한 규제여야 한다.

글. 이혁중 CISO. 대한민국 정보보안 1세대 출신의 정보보호 전문가이자 글로벌 사설 및 기고가이다. 지난 27년간 펜타시큐리티, SK인포섹, 엔씨소프트, 넥슨, 삼성SDS, 제주항공. 신한ez손해보험과 같은 국내 유저 중심의 대형 기업에서 최고정보보호책임자(CISO) 및 개인정보보호책임자(CPO)를 역임하며 현장에서 비즈니스의 성장과 보안 회복탄력성(Cyber Resilience)의 균형을 이끌어왔다.

-English Column-

Rethinking the Definition of Personal Information: The Gap Between Rapid Technological Advancement and Legal Frameworks

Korea's Personal Information Protection Act (PIPA), enacted and enforced in 2011, unified fragmented privacy regulations across both the public and private sectors into a single comprehensive framework. PIPA defines personal information as data relating to a living individual that can identify a specific person through their name, resident registration number, image, or other identifiers. Furthermore, it includes information that—even if it cannot identify an individual on its own—can be "easily combined with other information" to do so.

This conceptual expansion is necessary to prevent indirect identification. Even without a name or a resident registration number, an individual can be singled out when combinations of data points—such as birth dates, gender, location data, access logs, purchase histories, and behavioral profiles—are brought together. This direction aligns with international trends, as seen in the European Union’s GDPR and California’s CCPA, both of which broadly define personal information centered around identifiability and linkage potential.

The Challenge: The Accelerating Pace of Technology

The core issue lies in the sheer velocity of technological advancement. Information that was once practically impossible to combine can now be linked with ease through big data analytics, AI inference, location data fusion, and open-source intelligence collection. Looking at the recent evolution of AI agents and automation tools alone, we see an environment where data collection, refinement, and analysis can be executed seamlessly without specialized developer assistance. As someone actively studying Agentic AI, I am continually struck by its immense power.

This begs the question: Can the legal threshold of "easily combined" still be interpreted the same way as it was in the past? If data that was not considered personal information yesterday becomes personal information today—and if data deemed safe today falls under regulatory scrutiny tomorrow due to novel analytical techniques—organizations lose legal predictability.

Re-evaluating Unique Identifiers

Unique identifiers deserve a critical re-examination through this same lens. Resident registration numbers carry an indisputably high risk of direct harm, such as identity theft, in the event of a breach, making stringent protection mandatory. On the other hand, while passport numbers are undoubtedly sensitive, they have expiration dates, can be reissued, and pose a fundamentally different level of risk when exposed in isolation compared to resident registration numbers.

Nevertheless, within the current legal framework, both are classified identically as unique identifying information, demanding the same rigorous tier of protective measures. Originally, personal information gained prominence because online systems—unlike offline environments—enabled malicious actors to leverage such data for illegal activities like identity theft, financial fraud, account takeover, phishing, and impersonation.

The Ambiguity of Connecting Information (CI)

Consider also the current debate surrounding Connecting Information (CI), a frequently discussed topic in recent regulatory discourse. CI is a value generated to identify the same individual across multiple online services without directly exposing a resident registration number, meaning it cannot be reverse-engineered back to the original number on its own.

However, because it serves as an identifier linking the same person across disparate services, its exposure can act as a catalyst for behavioral tracking and profiling. Ultimately, any technically transformed value that continuously identifies a specific individual or links across other datasets should be managed as personal information. While not entirely immune to breach concerns, current legal interpretations often treat CI as adequately protected because it is stored as a hashed value. Yet, from a structural standpoint, because it permits a 1:1 match with an individual, should it not be legally designated as "unique identifying information" accompanied by tailored security controls?

The Corporate Dilemma: Over-Protection vs. Practical Risk Management

If the scope of personal information continues to expand unchecked alongside technological innovation, corporate anxiety becomes a reality. No one can reliably predict which datasets will combine with future technologies to render individuals identifiable. Consequently, given recent trends in personal personnel liabilities, Chief Privacy Officers (CPOs) are left with little choice but to treat virtually all data within their databases as personal information—applying heavy-handed security controls such as encryption, strict access controls, and separate storage just to avoid the worst-case scenario.

However, treating all corporate data like high-risk personal information is not the right answer. While security posture may theoretically rise, it triggers a cascade of negative consequences: system performance degradation, increased operational complexity, soaring costs, and severe limitations on data utilization. This creates severe headwinds for data-driven innovation, including MyData initiatives, pseudonymous data utilization, and AI training data pipelines. Because CPOs and CISOs remain legally vulnerable, they are structurally incentivized to default to over-protection rather than rational risk management.

Moving Toward Precise Regulation

The ultimate objective of data privacy is not to shut down data utilization, but to strike a sustainable balance that protects individual rights and freedoms while enabling socially necessary data usage. Therefore, we must move beyond simply expanding the definition of personal information. Instead, we need to refine our approach by weighing multiple factors: the practical reality of identifiability, the degree of combinability, the actual risk level upon breach, the context of data use, and the proportionality of protective measures.

Technology will continue to evolve. AI and large-scale data analytics will make identifications possible that were once thought impossible, and the eventual maturation of quantum computing poses long-term threats to current cryptographic standards. Consequently, the law must prepare more nuanced answers to the question, "What constitutes personal information?" Managing all data as personal information while transferring 100% of the liability onto organizations and practitioners will not build a sustainable protection regime.

The starting point of information security is the accurate identification of assets that genuinely require protection. Personal information protection is no different. We must protect what truly matters with greater strength, while rethinking the practice of applying the exact same heavy-handed yardstick to low-risk data. The next phase of privacy regulation must not be about piling on more rules, but about crafting more accurate regulations.

By Lee Hyuck-Joong, CISO
Lee Hyuck-Joong is a first-generation cybersecurity professional in South Korea, as well as an international columnist and contributor. Over the past 27 years, he has served as Chief Information Security Officer (CISO) and Chief Privacy Officer (CPO) at major Korean companies with large customer and user bases, including Penta Security, SK Infosec, NCSoft, Nexon, Samsung SDS, Jeju Air, and Shinhan EZ General Insurance.
Throughout his career, he has led efforts to strike a practical balance between business growth and cyber resilience.

어도비가 기업용 마케팅 자동화 플랫폼인 캠페인 클래식에서 최고 위험도(CVSS 10.0)의 보안 취약점을 수정하는 긴급 보안 업데이트를 발표했다. 해당 취약점은 공격자가 별도의 사용자 조작 없이 임의의 코드를 실행할 수 있는 문제로, 기업 환경에서는 빠른 패치 적용이 필요한 사안으로 평가된다.

이번 업데이트에서는 캠페인 클래식뿐 아니라 디지털 자산 관리 프로그램인 브리지(Adobe Bridge)에서도 원격 코드 실행과 권한 상승으로 이어질 수 있는 다수의 취약점이 함께 수정됐다.

최고 위험도 10.0…사용자 조작 없이 코드 실행 가능

가장 심각한 취약점은 CVE-2026-48449다. CVSS 기준 최고 점수인 10.0이 부여됐다.

이 취약점은 권한 검증이 올바르게 이뤄지지 않는 문제에서 발생한다. 공격자는 별도의 사용자 클릭이나 추가 동작 없이 현재 사용자 권한으로 임의의 코드를 실행할 수 있다.

기업에서 캠페인 클래식을 고객 정보 관리와 마케팅 자동화에 활용하는 사례가 많은 만큼, 서버가 공격에 성공할 경우 내부 시스템 침해로 이어질 가능성도 있다.

어도비는 현재까지 해당 취약점이 실제 공격에 악용됐다는 사례는 확인하지 못했다고 밝혔다.

함께 수정된 CVE-2026-48448은 SQL 인젝션 취약점이다. CVSS 점수는 8.6이다.

이 취약점은 공격자가 데이터베이스 질의를 조작해 서버 내부 파일을 읽을 수 있도록 만들 수 있다. 민감한 설정 파일이나 시스템 정보가 노출될 경우 추가 공격의 발판으로 악용될 가능성도 있다.

어도비는 이번 업데이트를 통해 두 취약점을 모두 해결했으며, 윈도우와 리눅스용 캠페인 클래식 버전 7.4.3 빌드 9398에서 수정이 적용됐다고 설명했다.

브리지에서도 중요 취약점 8건 수정

어도비는 브리지(Adobe Bridge)에 대해서도 보안 업데이트를 함께 배포했다.

수정된 취약점은 모두 8건으로, 모두 중요(Critical) 등급으로 분류됐다.

취약점 유형은 신뢰할 수 없는 검색 경로(Untrusted Search Path), 권한 검증 오류, 경로 탐색(Path Traversal), 범위를 벗어난 메모리 쓰기(Out-of-Bounds Write) 등이다.

이들 취약점이 악용되면 공격자가 임의의 코드를 실행하거나 시스템 권한을 높일 수 있다.

수정된 주요 취약점은 다음과 같다.

-CVE-2026-48395 : 신뢰할 수 없는 검색 경로 취약점으로 인한 임의 코드 실행

-CVE-2026-48396 : 권한 검증 오류로 인한 임의 코드 실행

-CVE-2026-48390 : 권한 검증 오류로 인한 권한 상승

-CVE-2026-48391 : 신뢰할 수 없는 검색 경로 취약점으로 인한 코드 실행

-CVE-2026-48374 : 경로 탐색 취약점으로 인한 코드 실행

-CVE-2026-48392, CVE-2026-48393, CVE-2026-48394 : 범위를 벗어난 메모리 쓰기 취약점으로 인한 코드 실행

취약점 가운데 일부는 보안 연구원 키어런(Kieran, 활동명 ‘kaiksi’)이 발견해 신고했으며, 나머지는 보안 연구원 ‘yjdfy’가 제보했다.

기업 환경에서는 신속한 패치 적용 필요

캠페인 클래식은 대규모 고객 데이터 관리와 이메일·문자·마케팅 캠페인 운영에 사용되는 기업용 플랫폼이다. 인터넷과 연결된 환경에서 운영되는 경우가 많아 공격자가 취약점을 악용할 경우 서비스 장애나 내부 시스템 침해로 이어질 가능성을 배제할 수 없다.

보안 업계에서는 실제 공격 사례가 확인되지 않았더라도 최고 위험도의 원격 코드 실행 취약점은 공개 이후 공격 코드가 빠르게 제작되는 사례가 적지 않다고 분석한다. 패치가 늦어질수록 공격 대상이 될 가능성이 높아지는 만큼 운영 중인 서버와 관리 시스템의 버전을 즉시 확인하고 최신 보안 업데이트를 적용하는 것이 중요하다.

어도비는 현재까지 이번 취약점들이 실제 공격에 악용된 정황은 확인되지 않았다고 밝혔다. 다만 사용자와 기업 고객에게 최신 보안 업데이트를 적용해 시스템을 보호할 것을 권고했다.

비트코인 전용 하드웨어 지갑 콜드카드의 오래된 펌웨어 결함이 실제 대규모 자산 탈취로 이어진 정황이 확인됐다. 공격자는 단 41분 만에 1,196개의 비트코인 주소에서 총 1,082.65BTC를 옮겼다. 당시 시세 기준으로 약 7,020만 달러(약 980억 원) 규모다.

이번 사건은 단순한 개인 지갑 해킹이 아니라 하드웨어 지갑의 난수 생성 과정에 존재했던 설계 오류를 악용한 사례로 분석되고 있다. 업계에서는 하드웨어 지갑의 핵심 신뢰 요소인 시드(Seed) 생성 과정에서 문제가 발생했다는 점에 주목하고 있다.

2021년 펌웨어 오류가 대규모 탈취로 이어져

갤럭시 리서치는 블록체인 거래를 분석한 결과, 7월 30일 공격자가 동일한 방식으로 1,196개 비트코인 주소의 자산을 한 번에 이동시킨 사실을 확인했다.

조사 결과 공격은 캐나다 하드웨어 지갑 제조사 코인카이트의 콜드카드에서 2021년 3월 발생한 펌웨어 통합 오류와 연관된 것으로 나타났다.

당시 펌웨어에는 시드를 생성할 때 사용해야 하는 STM32 하드웨어 난수 생성기 대신 예측 가능한 소프트웨어 의사난수 생성기가 동작하도록 설정되는 문제가 있었다.

보안업체 블록은 이 오류로 인해 공격자가 특정 조건을 확보하면 실제 기기를 손에 넣지 않아도 시드 후보를 오프라인에서 반복 생성할 수 있다고 설명했다.

공격자는 기기의 고유 식별값, 타이머 상태, 이전 난수 생성 기록 등을 일정 수준까지 추정한 뒤 가능한 시드를 계산한다. 이후 해당 시드에서 생성되는 비트코인 주소를 공개 블록체인 데이터와 대조해 실제 사용 중인 지갑을 찾아낼 수 있다.

쉽게 말해 비밀번호를 훔친 것이 아니라, 지갑이 처음 만들어질 때 생성된 ‘복구용 비밀키’ 자체를 계산해 낸 것이다.

패치 설치만으로는 기존 지갑 안전해지지 않아

코인카이트는 7월 31일 영향을 받는 모든 모델에 대한 긴급 펌웨어를 배포했다.

하지만 이번 패치는 앞으로 새로 생성되는 시드만 안전하게 만들 뿐, 과거 취약한 환경에서 생성된 시드는 보호하지 못한다.

회사 측은 기존 시드를 그대로 사용하는 것은 위험하다며, 최신 펌웨어를 설치한 뒤 새로운 시드를 생성하고 모든 비트코인을 새 지갑으로 옮길 것을 권고했다.

기존 시드를 새 펌웨어나 다른 지갑 프로그램으로 복원해 사용하는 경우에도 취약성은 그대로 유지된다.

코인카이트는 사용자가 생성 과정에서 50회 이상의 공정한 주사위 값을 직접 입력해 시드를 만들었다면 이번 취약점의 영향을 받지 않는다고 설명했다. 반대로 주사위 사용 여부가 불확실하거나 자동 생성된 시드를 사용했다면 자산 이전을 권고했다.

BIP-39 패스프레이즈를 함께 사용한 경우 공격 난도는 크게 높아지지만, 회사는 이 경우에도 새로운 시드로 교체하는 것이 가장 안전한 방법이라고 밝혔다.

취약점은 현재 설치된 버전이 아니라 시드를 생성했던 당시의 펌웨어 버전에 따라 결정된다.

영향을 받는 모델은 다음과 같다.

콜드카드 Mk3는 4.0.1부터 4.1.9까지, Mk4와 Mk5는 5.6.0 이전 버전, Q 모델은 1.5.0Q 이전 버전이다. 테스트용 엣지 펌웨어 역시 Mk4·Mk5는 6.6.0X 이전, Q는 6.6.0QX 이전 버전이 영향을 받는다.

보안업체 블록은 Mk2 역시 동일한 취약한 코드 경로를 사용하는 것으로 분석했다.

코인카이트는 탭사이너, 오픈다임, 새트카드는 다른 코드 기반을 사용하기 때문에 이번 취약점의 영향을 받지 않는다고 밝혔다.

공격자는 아직 확인되지 않아

현재 공격자의 신원은 공개되지 않았다.

갤럭시 리서치는 이번 자산 이동이 모두 동일한 패턴으로 수행됐으며, 30 sat/vB 수수료와 잔돈(Change)이 생성되지 않는 동일한 거래 구조를 사용했다고 분석했다.

다만 이러한 패턴은 동일한 운영자가 거래를 수행했다는 점만 보여줄 뿐, 그것만으로 범행을 단정할 수는 없다고 설명했다. 동일한 형태의 거래는 사용자가 스스로 자산을 이동하는 경우에도 나타날 수 있기 때문이다.

이번 사건은 이달 초 공개된 소프트웨어 지갑 난수 취약점 ‘일 블룸(Ill Bloom)’ 연구에 이어 또 한 번 난수 생성 오류가 실제 암호자산 탈취로 이어질 수 있음을 보여준 사례로 평가된다.

보안 전문가들은 암호화폐 지갑에서 가장 중요한 보안 요소는 시드 생성 과정이라며, 과거 생성한 시드의 안전성까지 반드시 점검해야 한다고 강조했다.

미국 바이오 제약기업 암젠(Amgen)이 제3자 클라우드 서비스 환경을 노린 사이버 공격으로 환자 의료정보와 기업 기밀이 외부로 유출됐다고 공식 확인했다. 공격자는 암젠이 직접 운영하는 시스템이 아닌 외부 클라우드 서비스 제공업체의 저장 환경을 침해해 민감한 데이터를 탈취한 것으로 조사됐다. 

암젠은 미국 캘리포니아에 본사를 둔 글로벌 바이오의약품 기업이다. 암, 심혈관 질환, 염증성 질환, 희귀질환 치료제를 개발·생산하고 있으며 세계 여러 국가에서 사업을 운영하고 있다.

제3자 클라우드에서 민감 정보 유출

암젠은 미국 증권거래위원회(SEC)에 제출한 공시를 통해 2026년 7월 승인되지 않은 시스템 접근을 확인했다고 밝혔다. 이후 즉시 사이버 침해 대응 절차를 가동하고, 공격 확산을 막기 위한 조치를 시행했으며 외부 디지털 포렌식 전문기관과 함께 사고 원인을 조사하고 있다고 설명했다. 

조사 결과 공격자는 여러 외부 클라우드 환경에 저장돼 있던 데이터를 외부로 빼낸 것으로 확인됐다.

유출된 데이터에는 환자 보호 의료정보(PHI)를 비롯해 기업의 독점 정보, 연구개발(R&D) 관련 자료, 기타 민감한 내부 정보가 포함된 것으로 확인됐다. 다만 암젠은 현재까지 어떤 환자와 자료가 얼마나 영향을 받았는지는 계속 조사 중이라고 밝혔다. 

생산 차질은 없어…영향 범위 계속 조사

암젠은 현재까지 의약품 생산시설이나 제조 공정, 재무 시스템, 환자 대상 의약품 공급에는 이상이 발견되지 않았다고 밝혔다. 회사는 사고 범위와 피해 규모를 계속 분석하면서 필요한 규제기관 신고와 이해관계자 통보 절차를 진행할 예정이다. 

공격에 사용된 침투 방식이나 해킹 조직의 정체는 아직 공개되지 않았다. 랜섬웨어 조직의 배후 주장이나 다크웹 유출 게시물도 현재까지 확인되지 않았다.

의료·제약업계로 확산되는 클라우드 공격

최근 의료·제약 분야는 사이버 공격의 주요 표적이 되고 있다. 의료기관과 제약사는 환자 개인정보, 임상시험 자료, 신약 연구 결과, 지식재산권 등 가치가 높은 데이터를 대량으로 보유하고 있기 때문이다.

특히 이번 사고는 기업 내부 서버가 아니라 제3자 클라우드 환경이 공격 대상이 됐다는 점에서 공급망 보안의 중요성을 다시 보여준다. 기업이 직접 구축한 보안 체계만으로는 충분하지 않으며, 클라우드 서비스 제공업체의 접근 통제와 권한 관리, 데이터 암호화, 이상 행위 탐지 체계까지 함께 점검해야 한다는 지적이 나온다. 

보안 전문가들은 최근 공격자들이 기업 본사보다 관리 범위가 넓고 연결 지점이 많은 외부 서비스 제공업체를 우선 노리는 사례가 늘고 있다고 분석한다. 클라우드 환경 하나가 침해되면 고객사 여러 곳의 민감 정보가 동시에 유출될 가능성이 있기 때문이다.

암젠은 현재 독립적인 포렌식 조사를 계속 진행하고 있으며, 조사 결과에 따라 추가 피해 규모와 후속 대응 계획을 공개할 예정이다. 

오픈소스 웹 애플리케이션 프레임워크 레일스(Rails)에서 원격 코드 실행(RCE)으로 이어질 수 있는 치명적인 보안 취약점이 발견됐다. 공격자는 로그인하지 않은 상태에서도 특수하게 제작한 이미지 파일을 업로드해 서버 내부 파일을 읽을 수 있으며, 환경에 따라 애플리케이션을 완전히 장악할 가능성도 확인됐다.

이번 취약점은 CVE-2026-66066으로 등록됐으며, 레일스 개발팀은 최고 수준인 ‘치명적(Critical)’ 등급으로 분류하고 긴급 보안 업데이트를 배포했다. 보안업계는 공개된 공격 코드(PoC)가 빠르게 확산되고 있어 패치 적용을 미루지 말아야 한다고 강조했다. 

이미지 업로드 기능이 공격 통로로 악용

문제가 발생한 구성요소는 파일 업로드와 첨부파일 기능을 담당하는 액티브 스토리지(Active Storage)다.

취약점은 이미지 처리 라이브러리인 리브빕스(libvips)를 사용하는 환경에서 발생한다. 공격자는 조작된 이미지 파일을 업로드해 서버의 임의 파일을 읽을 수 있다. 공격이 성공하려면 애플리케이션이 신뢰하지 않는 사용자에게 이미지 업로드를 허용하고 있어야 한다.

공격자가 읽을 수 있는 정보에는 환경 변수와 설정 파일이 포함된다. 여기에는 레일스의 핵심 암호키인 시크릿 키 베이스(secret_key_base), 데이터베이스 접속 정보, 클라우드 스토리지 인증정보, API 키 등 민감한 정보가 저장되는 경우가 많다.

취약점 영향을 받는 버전은 Active Storage 7.2.3.2 이전, 8.0.5.1 이전, 8.1.3.1 이전이다. 레일스 6 계열은 기본 설정에서는 영향을 받지 않지만 Active Storage를 별도로 구성한 경우 취약할 수 있다. 

파일 유출 넘어 서버 장악 가능성

보안업계는 이번 취약점을 단순한 정보 유출 문제로 보지 않고 있다.

콘텐츠 전송 및 보안 기업 아카마이는 이번 공격 체인을 ’킨다레일스투셸(KindaRails2Shell)’이라고 명명했다.

아카마이는 공격자가 시크릿 키 베이스를 확보하면 세션 쿠키를 위조하고 인증 정보를 조작할 수 있으며, 이를 이용해 결국 서버에서 임의 코드를 실행하는 원격 코드 실행(RCE) 단계까지 이어질 수 있다고 분석했다. 이 경우 애플리케이션 전체가 공격자의 통제 아래 놓일 수 있다.

아카마이는 고객 보호를 위해 웹 애플리케이션 방화벽(WAF) 대응 규칙도 함께 배포했다. 

PoC 공개로 공격 위험 높아져

레일스 개발팀은 처음에는 공격 기법의 세부 내용을 공개하지 않았다. 사용자가 충분히 패치를 적용할 시간을 확보하기 위해서였다.

하지만 공개 직후 공격 개념증명(PoC)이 빠르게 등장하면서 상황이 바뀌었다. 결국 개발팀은 예정된 공개 일정보다 앞당겨 기술 분석 자료와 포렌식 조사 도구까지 함께 공개하기로 결정했다.

취약점을 처음 발견해 책임 있는 방식으로 신고한 곳은 에티악(Ethiack)과 지엠오 플랫 시큐리티(GMO Flatt Security) 연구진이다. 보안 커뮤니티에서도 해당 취약점의 공격 가능성과 대응 방법에 대한 분석이 빠르게 공유되고 있다. 

즉시 패치와 인증정보 교체 필요

레일스 개발팀은 취약한 버전 사용 시 즉시 최신 버전으로 업데이트할 것을 권고했다.

리브빕스는 8.13 이상으로 업그레이드해야 하며, 패치 후에는 시크릿 키 베이스뿐 아니라 데이터베이스 계정, Active Storage 인증정보, 클라우드 서비스 자격증명 등 애플리케이션이 접근 가능한 모든 비밀정보를 새로 발급하는 것이 안전하다고 설명했다.

금융위원회가 297만명의 고객 신용정보가 유출된 롯데카드 해킹 사고와 관련해 신규 카드 발급 업무를 1.5개월 정지하고 과징금 50억원을 부과하기로 했다. 당초 논의됐던 기관 제재보다 업무정지 기간이 줄어든 가운데, 전·현직 정보보호최고책임자(CISO)와 보안팀장에게 예고된 개인 제재도 재심의해야 한다는 요구가 금융위원회 안건소위원회에서 제기된 것으로 확인됐다.

다만 개인 제재는 금융감독원 소관이어서 7월 31일 금융위원회 전체회의에서는 직접 논의되지 않았다. 향후 금감원이 재심의 절차를 진행할지가 관건이다.

금융위, 해킹 사고 최초 업무정지…신규 회원 카드 발급만 제한

금융위원회는 7월 31일 제14차 회의를 열고 롯데카드에 1.5개월 업무정지와 과징금 50억원을 부과하기로 의결했다. 금융회사의 해킹 사고를 이유로 업무정지 처분을 내린 것은 이번이 처음이다.

금융당국은 2025년 8월 발생한 공격으로 롯데카드 고객 297만명의 신용정보가 유출됐다고 밝혔다. 금감원 검사에서는 온라인 결제시스템 운영 과정에서 정보처리시스템 패치를 적용하지 않고, 주민등록번호와 비밀번호 암호화를 이행하지 않았으며, 일부 시스템에 백신 소프트웨어를 설치하지 않은 사실 등이 확인됐다.

업무정지 기간은 8월 1일부터 9월 15일까지다. 신규 회원을 대상으로 한 신용·체크·선불카드 발급이 제한되지만 기존 회원은 카드 결제와 재발급, 카드론·현금서비스·리볼빙 신규 신청, 이용한도 증액 등의 서비스를 계속 이용할 수 있다. 금융위원회는 기존 제재 사례와의 형평성, 롯데카드의 사고 수습 노력, 금융시장과 소비자에게 미치는 영향을 고려해 업무정지 기간을 1.5개월로 정했다고 설명했다.

개인정보보호위원회는 앞서 3월 롯데카드에 과징금 96억2천만원과 과태료 480만원을 부과했다. 이번 금융위원회 결정은 개인정보보호법이 아니라 여신전문금융업법과 신용정보법상 보안 의무 위반에 대한 별도 제재다.

개인 제재는 금융위 의결 대상에서 제외…금감원 재심의 여부 주목

논란이 됐던 전·현직 CISO와 보안팀장에 대한 개인 제재는 이날 금융위원회 전체회의에서 직접 다뤄지지 않았다. 임직원에 대한 신분 제재가 금감원 소관이기 때문이다.

다만 취재 결과, 금융위원회 소위원회 심의 과정에서는 기관 제재를 조정하는 것과 함께 개인 제재 역시 재심의를 통해 감경할 필요가 있다는 요청이 있었던 것으로 파악됐다. 금융위원회가 기관 업무정지 기간을 최종적으로 1.5개월로 정한 만큼, 같은 사고를 근거로 한 개인 제재도 책임 범위와 통제 권한을 다시 살펴야 한다는 취지다.

금감원이 실제로 개인 제재 안건을 재심의할지는 아직 결정되지 않았다. 금융권과 보안업계는 금감원이 기관 제재 조정 내용과 안건소위의 요청을 반영해 개인별 권한과 책임, 재직 기간, 사고 원인과의 인과관계를 다시 검토할지 지켜보고 있다.

금감원은 앞서 롯데카드 전·현직 CISO와 보안팀장에게 정직, 감봉 등 중징계를 사전 통보한 것으로 알려졌다. 임원에게 중징계가 확정되면 일정 기간 금융회사 임원으로 취업할 수 없어 사실상 금융보안 분야에서 퇴출되는 결과로 이어질 수 있다는 우려가 제기됐다. 데일리시큐가 지난 5월 보도한 두 차례의 이슈진단에서도 보안 전문가와 현직 CISO들은 보안 예산과 인력, 시스템 교체 권한을 충분히 갖지 못한 CISO에게 사고 결과만으로 중징계를 부과하는 것은 책임 원칙에 맞지 않는다고 지적했다.

-관련 기사: 클릭

-관련 기사: 클릭

CISO 권한 강화한다면서 사고 발생 후 개인에게 책임 집중

이번 제재에서 가장 신중하게 살펴야 할 부분은 기관의 보안 실패와 개인의 책임을 구분하는 일이다. 패치 누락과 암호화 미이행, 백신 미설치가 중대한 관리 부실이라는 점에는 이견이 없다. 고객 정보를 관리하는 금융회사에는 사고 원인을 바로잡고 피해를 수습할 책임이 있으며, 법령 위반에 상응하는 기관 제재도 필요하다.

그러나 사고가 발생했다는 사실만으로 CISO와 보안 실무자에게 일률적으로 중징계를 부과해서는 안 된다. 제재를 위해서는 해당 인물이 문제를 인지했는지, 개선을 요구했는지, 예산과 인력을 배정할 권한이 있었는지, 경영진이나 다른 조직이 보안 조치를 거부하거나 지연했는지 등을 구체적으로 확인해야 한다.

특히 전임 CISO의 경우 사고 발생 시점에 이미 회사를 떠났다면 재직 당시의 행위와 실제 침해 원인 사이에 직접적인 인과관계가 있는지를 별도로 입증해야 한다. 직책을 맡았다는 이유만으로 퇴직 이후 발생한 사고까지 포괄적으로 책임지게 하는 방식은 책임주의 원칙에도 맞지 않는다.

금융위원회는 이번 발표에서 중대한 보안사고에 전체 매출액의 3% 이내 징벌적 과징금을 도입하고, CISO가 주도적으로 보안을 강화할 수 있도록 권한을 확대하는 전자금융거래법 개정을 추진하겠다고 밝혔다.

CISO의 권한을 강화하겠다는 정책과 실제 사고가 발생했을 때 CISO 개인에게 중징계를 집중하는 제재가 동시에 추진된다면 정책 방향은 서로 충돌할 수밖에 없다. 실질적인 권한은 주지 않은 채 사고 책임만 무겁게 묻는 구조에서는 유능한 보안 전문가가 CISO 직책을 기피하게 된다. 현직 CISO도 적극적으로 문제를 제기하기보다 제재를 피하기 위한 문서 작성과 형식적 보고에 집중할 가능성이 커진다.

보안사고에 대한 엄정한 책임 규명은 필요하다. 그러나 제재의 목적은 특정 개인을 처벌하는 데 그쳐서는 안 된다. 보안 투자를 결정한 경영진과 이사회, 예산·인력 배분 구조, 시스템 운영 부서, 위험을 알고도 조치하지 않은 의사결정 과정까지 함께 조사해야 한다.

금감원이 개인 제재를 재심의한다면 직책 중심이 아니라 실제 권한과 행위, 사고와의 인과관계를 기준으로 판단해야 한다. 그래야 CISO가 경영진에게 취약점 개선과 투자 확대를 요구할 수 있고, 금융회사도 책임을 실무자에게 전가하지 않는 보안 거버넌스를 구축할 수 있다. 보안 발전에 필요한 것은 사고가 발생할 때마다 CISO를 퇴출하는 제재가 아니라, CISO가 사고를 예방할 권한과 자원을 실제로 행사하도록 만드는 제도다.

AI 활용이 일상화되고 양자컴퓨터 시대가 다가오면서 새로운 보안 위협에 대응하기 위한 실전 가이드북이 출간됐다.

광문각출판미디어는 '당신의 일상을 지키는 AI 양자보안, AI 바이브코딩의 배신 AI 양자보안으로 막아라(Q-Day 전, 골든타임을 잡아라)'를 출간했다고 밝혔다.

이 책은 디지털기술융합협회 백남정 회장, 아이디퀀티크 엄상윤 대표, 보안전략연구소 박나룡 소장, 디지털기술융합협회 박상민 부회장이 공동 집필했다.

저자들은 생성형 AI를 활용한 ‘바이브 코딩(Vibe Coding)’ 확산으로 개발 생산성은 높아졌지만, AI가 작성한 코드에 API 키와 환경변수(.env), 인증정보 등이 그대로 포함되면서 새로운 공급망 공격과 정보 유출 위험이 커지고 있다고 지적한다.

책은 이러한 위험을 줄이기 위한 ‘섀도 격리 전략'과 출시 전 보안 점검 방법, AI 보안 프롬프트, OWASP LLM Top 10 기반 점검 항목 등을 소개하며 AI 활용 시 실무자가 반드시 확인해야 할 보안 절차를 제시한다.

또한 양자컴퓨터 등장 이후 기존 공개키 암호체계가 무력화될 수 있는 Q-Day와 HNDL(Harvest Now, Decrypt Later) 위협을 설명하고, 양자내성암호(PQC), 양자키분배(QKD), 양자난수생성기(QRNG), 암호 민첩성(Cryptography Agility) 등 차세대 보안 기술과 전환 전략도 함께 다룬다.

책은 AI 보안과 양자보안을 별개의 기술이 아닌 하나의 신뢰 체계로 접근한다. AI가 만드는 새로운 공격 표면과 양자컴퓨팅이 가져올 암호체계 변화에 대비하기 위해 개발자뿐 아니라 일반 사용자, 기업 보안 담당자, 정책 결정자 모두가 기본적인 보안 습관과 대응 전략을 갖춰야 한다는 점을 강조한다.

총 272쪽 분량의 이 책은 AI 보안, 바이브 코딩 보안, 프롬프트 인젝션, 딥페이크, 양자보안, 국가 보안인증, Q-Day 대응 전략 등을 사례 중심으로 설명했으며, 전문 지식이 없는 일반 독자도 이해할 수 있도록 구성했다.

광문각출판미디어는 “AI와 양자 기술이 동시에 확산되는 환경에서 디지털 신뢰를 지키기 위한 실천적인 보안 지침을 제시하는 것이 이 책의 핵심”이라고 밝혔다.

다음은 저자소개다. 

■백남정

· 디지털기술융합협회 회장 / 테크파이 대표

· 개인정보 기술포럼

· 한국열린사이버대학교 AI융합학과 객원교수 / 공학박사

· SW보안약점진단원 / ISMS-P,ISO 27001, ISO 42001, 기업재난관리 심사원

■엄상윤

· 아이디퀀티크(유) 대표이사

· 양자전략위원회 민간위원 / 한국양자산업협회 이사

· 연세대 양자정보공학 박사 과정 중

■박나룡

· 보안전략연구소 소장

· ISMS-P, ISO 27001, ISO 27701, ISO 42001 선임심사원, 정보보호 관련 심사 20년

· 전략물자 판정자문위원

· 데일리시큐 고정 칼럼니스트

■박상민

· 디지털기술융합협회 부회장

· STO·RWA·AI 시각화·블록체인 거버넌스 등 디지털 전환 (DX) 프로젝트 전문가

· 빅데이터 플랫폼 구축, 디지털자산 거래소 기획 등 실물 기반 디지털 인프라 구축

아마존웹서비스(AWS)가 최근 18개월 동안 발생한 주요 npm 공급망 공격 4건을 동일한 북한 연계 해킹 조직의 소행으로 지목했다.

AWS는 7월 30일 공개한 분석에서 타이포-크립토, 디버그, 초크, 액시오스 침해 사건의 배후를 사파이어 슬릿으로 평가했다. 판단 신뢰도는 ‘중간 수준’으로 제시했다.

사파이어 슬릿은 라자루스 그룹과 연계된 북한 해킹 조직으로 알려져 있다. 가상화폐 탈취와 가짜 취업 제안, 개발자를 노린 사회공학 공격을 주로 수행해 왔다.

AWS는 네 사건에서 공격 인프라와 악성코드 구조, 설치 방식, 명령제어 통신 방식이 유사했다고 설명했다. 공격자는 npm 기반 시설을 직접 공격하지 않고 패키지 유지관리자의 계정과 배포 권한을 탈취했다.

정상 유지관리자 계정으로 악성 업데이트를 올리면 개발자들은 공식 배포 경로에서 감염된 패키지를 내려받게 된다. 널리 사용되는 패키지 하나만 장악해도 이를 사용하는 수많은 개발 환경과 기업 시스템으로 공격을 확산시킬 수 있다.

AWS가 확인한 첫 공격은 2025년 3월 발생한 타이포-크립토 침해 사건이다. 공격자는 정상 패키지와 비슷한 이름의 악성 파일을 추가하고 윈도, 맥OS, 리눅스용 악성코드를 내려받도록 했다.

2025년 9월에는 디버그와 초크 등 널리 사용되는 npm 패키지가 침해됐다. 공격자는 유지관리자 계정을 피싱으로 탈취한 뒤 가상화폐 지갑 주소를 공격자 주소로 바꾸는 악성 코드를 배포했다.

2026년 3월 31일에는 자바스크립트 통신 라이브러리 액시오스가 공격을 받았다. 공격자는 액시오스 1.14.1과 0.30.4 버전에 ‘plain-crypto-js’라는 악성 패키지를 추가했다.

감염된 버전을 설치하면 웨이브셰이퍼 V2(WAVESHAPER.V2) 백도어가 실행됐다. 이 악성코드는 명령 실행과 파일 탐색, 추가 악성코드 설치 기능을 갖췄다.

액시오스는 주요 버전의 주간 다운로드 수가 1억회를 넘는 핵심 오픈소스 패키지다. AWS는 공격 대상이 사용량이 적은 패키지에서 디버그와 초크, 액시오스 같은 핵심 패키지로 확대됐다고 분석했다.

생성형 인공지능(AI)도 공격을 정교하게 만드는 수단으로 지목됐다. 공격자는 AI를 이용해 자연스러운 코드와 문서, 커밋 기록, 가짜 개발자 프로필을 만들 수 있다. 악성코드의 구조와 이름을 계속 바꿔 기존 패턴 기반 탐지를 피하는 것도 쉬워졌다.

개발 조직은 npm 패키지의 자동 업데이트 정책을 점검해야 한다. 패키지 버전을 고정하고 새 버전이 공개된 직후 운영 환경에 반영되지 않도록 대기 기간을 두는 것이 필요하다.

액시오스 1.14.1이나 0.30.4를 설치한 조직은 ‘plain-crypto-js’ 4.2.0 또는 4.2.1 버전이 포함됐는지 확인해야 한다. 감염 가능성이 확인되면 개발자 장비와 빌드 서버를 격리하고 API 키와 접근 토큰, 클라우드 인증정보를 교체해야 한다.

AWS는 네 사건을 모두 사파이어 슬릿의 소행으로 평가했지만, 최종 판단에는 추가 검증이 필요하다고 밝혔다. 이번 분석은 북한 해킹 조직이 개발자 계정과 오픈소스 생태계를 주요 공격 경로로 활용하고 있음을 보여준다.

이스트시큐리티가 AWS(Amazon Web Services) 파트너 네트워크에서 '셀렉트 티어' 파트너 등급을 획득했다. 이를 계기로 클라우드와 AI 보안 비즈니스를 본격적으로 전개한다.

APN은 AWS 기술을 활용해 고객에게 솔루션을 제공하는 글로벌 파트너 커뮤니티다. 등록 단계를 거쳐 셀렉트, 어드밴스드, 프리미어 티어로 승급한다. 각 단계는 기술 인증, 전문 인력, 프로젝트 수행 실적, 고객 성공 사례 등의 기준을 충족해야 부여된다.

이번 승급을 통해 이스트시큐리티는 AWS의 기술 지원과 마케팅 혜택을 활용한다. 이를 바탕으로 클라우드 보안 및 AI 보안 솔루션 사업 확장에 속도를 낸다. 알약과 같은 엔드포인트 보안, 위협 인텔리전스, 문서중앙화 솔루션 등으로 구축해 온 기업 및 공공 고객 네트워크를 기반으로 사업 다각화를 추진한다.

모기업 이스트소프트와의 협업도 강화한다. 10여 년간 축적된 이스트소프트의 AI 기술력과 이스트시큐리티의 AI 위협 연구 및 방어 인프라를 결합한다. 양사가 공동으로 B2B 비즈니스를 전개 중인 AI 아바타 기반 생성 서비스 '페르소에이아이'의 고투마켓 전략에도 힘이 실린다.

페르소에이아이는 실시간 대화형 AI 아바타, 영상 생성, AI 더빙 등을 지원하는 플랫폼이다. 이스트시큐리티는 자사의 기업 고객망과 AWS의 글로벌 인프라 및 마켓플레이스를 결합해 페르소에이아이의 글로벌 공급을 확대한다.

정상원 이스트시큐리티 대표는 "이번 승급이 기존 엔드포인트 보안을 넘어 클라우드 및 AI 보안 솔루션 기업으로 도약하는 기반이 된다"며 "그룹사의 AI 기술력과 검증된 보안 역량을 AWS 인프라 위에 결합해 경쟁력을 강화하겠다"고 전했다.

[하반기 최대 사이버보안 컨퍼런스 KCSCON 2026 개최 / 사전등록 접수]

-행사명: 제14회 2026 대한민국 사이버보안 컨퍼런스(KCSCON 2026)

-일시: 2026년 9월 8일 화요일 오전 9시~오후 5시 30분

-장소: 서울 세종대학교 컨벤션센터 전관

-참석 대상: 공공·공기업·금융·의료·교육·일반기업 정보보호·개인정보보호 담당자 및 IT 실무자

-참석인원: 보안담당자 1,400여 명

-교육 인정: 정보보호·개인정보보호 교육 7시간

-보안기업 참가 신청: 8월 말까지

-보안기업 참가문의: 데일리시큐 길민권 기자 / mkgil@dailysecu.com

-보안담당자 사전등록: 클릭

IBM과 시카고대학교 연구진이 오류 정정 기술을 적용한 양자 컴퓨팅으로 고전 컴퓨터가 풀기 어려운 계산을 수행하고 그 결과의 신뢰성까지 확인했다. 기존 양자 우위 실험에서 한계로 지적됐던 결과 검증 문제를 해결했다는 평가다.

연구진은 최근 발표한 논문을 통해 새로운 구조의 양자 회로를 선보였다. 기존 양자 컴퓨터 성능 측정에 쓰이던 무작위 회로 샘플링 방식은 연산이 복잡해질수록 결과 검증이 어려워지는 단점이 있었다. 이를 보완하기 위해 연산 과정에서 오류를 스스로 감지할 수 있는 구조화된 방식을 도입했다.

이번 실험에는 70개의 논리 큐비트가 투입됐다. 연구진은 큐비트를 오류로부터 보호하며 2,415회의 논리 2큐비트 연산과 468회의 논리 T 게이트를 처리했다. 회로 인코딩 덕분에 물리 오류율보다 10배 낮은 유효 논리 오류율을 기록했다.

해당 계산 작업은 IBM 양자 컴퓨터에서 15분 만에 끝났다. 최신 고전 컴퓨팅 방식으로는 현실적으로 처리하기 어려운 규모다. 연구진은 통계적 신뢰를 바탕으로 연산 과정이 정확하게 실행됐음을 입증했다.

이번 성과는 양자 컴퓨팅의 실용성을 높이는 발판이 된다. IBM과 시카고대학교의 발표에 이어 생태계 파트너들도 신뢰 가능한 계산 기반의 양자 우위 사례를 연이어 공개할 예정이다.

[하반기 최대 사이버보안 컨퍼런스 KCSCON 2026 개최 / 사전등록 접수]

-행사명: 제14회 2026 대한민국 사이버보안 컨퍼런스(KCSCON 2026)

-일시: 2026년 9월 8일 화요일 오전 9시~오후 5시 30분

-장소: 서울 세종대학교 컨벤션센터 전관

-참석 대상: 공공·공기업·금융·의료·교육·일반기업 정보보호·개인정보보호 담당자 및 IT 실무자

-참석인원: 보안담당자 1,400여 명

-교육 인정: 정보보호·개인정보보호 교육 7시간

-보안기업 참가 신청: 8월 말까지

-보안기업 참가문의: 데일리시큐 길민권 기자 / mkgil@dailysecu.com

-보안담당자 사전등록: 클릭

IT서비스 사업 부문 매출은 1조7,625억 원으로 전년 동기 대비 5% 늘었다. 이 중 클라우드 사업 매출은 지난해 같은 기간보다 17% 성장한 7,794억 원을 기록했다.

특히 대외 사업 매출이 75% 늘어나며 실적을 견인했다. CSP 사업은 삼성 클라우드 플랫폼(SCP) 수요 증가와 공공 및 대외 업종의 GPUaaS 확대에 힘입어 24% 성장했다.

MSP 사업은 금융 업종의 AX 사업과 조선 업종의 ERP 사업 증가로 17% 상승했다. 물류 사업 부문은 항공 포워딩과 계약 물류가 늘고 첼로스퀘어 중심의 대외 사업이 커지면서 매출이 6.6% 증가한 1조9,553억 원을 기록했다.

삼성SDS는 AI 인프라와 AX 서비스, AI 플랫폼을 아우르는 AI 풀스택 기반으로 사업 경쟁력을 강화하고 있다. 지난 6월 과기정통부의 GPU 확보·구축·운용 지원사업 핵심 사업자로 선정됐으며, 엔비디아 B300 기반 GPUaaS와 퓨리오사AI 레니게이드 기반 NPUaaS 상품을 출시했다. 우리은행과 한국수출입은행의 생성형 AI 시스템 구축 사업을 수주하며 금융권 AX 사업도 넓혀가고 있다. 아울러 오픈AI, 엔트로픽, 구글 클라우드 등 글로벌 Frontier AI 기업과 협력 체계를 구축했다.

신사업 발굴을 위한 투자도 이어지고 있다. 지난 5월 삼성증권, 삼성카드와 함께 두나무 지분 4%를 확보해 디지털 자산 인프라 시장에서 사업 기회를 발굴한다. 6월에는 미국 피지컬 AI 풀스택 기업 Walden Robotics에 투자해 로봇 오케스트레이션 사업을 추진할 발판을 마련했다.

삼성SDS는 기존 110MW 규모의 AI 인프라를 2029년까지 230MW로 늘리고, 2031년에는 800MW 이상으로 확장해 인프라 경쟁력을 높여나갈 계획이다.

AI 자율주행 순찰로봇 통합 솔루션 전문기업 도구로보틱스가 ISO/IEC 27001(정보보안경영시스템)과 ISO 37301(규범준수경영시스템) 국제 표준 인증을 획득했다.

ISO/IEC 27001은 기업의 정보 자산이 안전하게 보호되고 있는지 평가하는 표준이며, ISO 37301은 관련 법규를 준수하는 준법 경영 체계를 갖췄는지 검증하는 표준이다. 도구로보틱스는 순찰로봇 플랫폼부터 관제 및 컨트롤 소프트웨어를 자체 개발해 여러 현장에 공급하고 있다.

이번 인증으로 도구로보틱스는 정보보안과 규범준수 경영 관리 체계가 국제 수준에 부합함을 증명했다. 글로벌 서비스 확장과 기업공개(IPO) 준비 과정에서 고객사와 협력사에 객관적인 관리 수준을 제시하고 신뢰를 뒷받침할 수 있는 경영 기반을 마련했다.

도구로보틱스는 지난 3월 ISO 9001, ISO 14001, ISO 45001 국제 표준 3종을 획득한 데 이어 이번에 2종을 추가로 획득하며 전반적인 내부 관리 체계를 국제 표준 수준으로 끌어올렸다.

김진효 도구로보틱스 대표는 "보안을 위한 순찰로봇과 관제 솔루션을 다루는 기업인만큼 고객과의 신뢰 유지가 중요하다"며 "투명하고 믿을 수 있는 서비스를 제공해 글로벌 시장에서 신뢰받는 로봇 기업으로 성장하겠다"고 밝혔다.

[하반기 최대 사이버보안 컨퍼런스 KCSCON 2026 개최 / 사전등록 접수]

-행사명: 제14회 2026 대한민국 사이버보안 컨퍼런스(KCSCON 2026)

-일시: 2026년 9월 8일 화요일 오전 9시~오후 5시 30분

-장소: 서울 세종대학교 컨벤션센터 전관

-참석 대상: 공공·공기업·금융·의료·교육·일반기업 정보보호·개인정보보호 담당자 및 IT 실무자

-참석인원: 보안담당자 1,400여 명

-교육 인정: 정보보호·개인정보보호 교육 7시간

-보안기업 참가 신청: 8월 말까지

-보안기업 참가문의: 데일리시큐 길민권 기자 / mkgil@dailysecu.com

-보안담당자 사전등록: 클릭

이번 협약은 국토안전관리원 직원이 이용하는 업무용 차량의 사고를 선제적으로 예방하고, 데이터 마스킹과 영상 자동 블러 처리를 적용해 개인정보 보호가 필수적인 공공기관 업무 환경에 맞춘 안전관리 시스템을 구축하기 위해 추진됐다.

에이아이매틱스가 공급하는 솔루션은 차량용 온디바이스 AI 카메라와 안전운전 플랫폼으로 구성된다. AI 카메라는 주행 중 차량 안팎의 위험 상황을 실시간으로 감지해 운전자에게 즉시 경고를 전달한다. 관리자는 플랫폼이 제공하는 스코어링 리포트와 안전운전 통계를 바탕으로 운전자의 위험 운전 패턴을 분석해 개선점을 파악할 수 있다. 긴급 상황이나 사고 발생 시 PC와 모바일 앱을 통해 원격으로 영상을 곧바로 확인할 수 있는 기능도 갖췄다.

이훈 에이아이매틱스 대표는 "공공기관과 기업의 차량 관리에서 안전 확보와 개인정보 보호의 균형이 중요하다"며 "이번 솔루션이 실실적인 사고 예방과 공공기관 특수성을 반영한 데이터 마스킹을 함께 제공한다"고 밝혔다.

에이아이매틱스는 업무용 차량을 비롯해 노선버스, 통근버스, 화물차 등 다양한 상용차 시장으로 관련 솔루션 공급을 이어가고 있다.

이번 보고서는 딥페이크를 활용한 사칭과 AI 기반 악성코드가 사이버 공격의 경제적 구조를 빠르게 바꾸고 있다고 분석했다. 보안 운영에 AI와 자동화를 적극 활용한 기업은 침해사고 비용을 평균 200만 달러 절감했다.

포네몬연구소 추가 조사에서는 고도화된 차세대 AI 기반 사이버 공격 역량을 인지한 기업의 85%가 보안 투자 확대 계획이 있다고 답했다. 반면 응답 기업의 절반 이상이 위협 탐지 및 대응에 AI 에이전트를 활용하는 것과 달리, 취약점 관리에 이를 적용하는 비율은 18%에 그쳤다.

AI 기반 공격은 특히 핵심 인프라 산업에 집중됐다. 전체 AI 기반 공격의 62%가 핵심 인프라를 겨냥했으며, 금융 서비스 업계의 평균 침해사고 비용은 630만 달러, 에너지 산업은 520만 달러로 집계됐다.

AI 보안의 취약점은 주변 환경에서 두드러졌다. 응답 기업의 20% 이상이 AI 모델이나 애플리케이션 관련 침해사고를 경험했다고 답했고, API와 애플리케이션 및 플러그인의 보안 취약점과 클라우드 설정 오류가 주요 원인으로 지목됐다. 랜섬웨어 공격의 경우 기업 평판을 압박 수단으로 활용하는 비중이 41%로 가장 높았다.

[하반기 최대 사이버보안 컨퍼런스 KCSCON 2026 개최 / 사전등록 접수]

-행사명: 제14회 2026 대한민국 사이버보안 컨퍼런스(KCSCON 2026)

-일시: 2026년 9월 8일 화요일 오전 9시~오후 5시 30분

-장소: 서울 세종대학교 컨벤션센터 전관

-참석 대상: 공공·공기업·금융·의료·교육·일반기업 정보보호·개인정보보호 담당자 및 IT 실무자

-참석인원: 보안담당자 1,400여 명

-교육 인정: 정보보호·개인정보보호 교육 7시간

-보안기업 참가 신청: 8월 말까지

-보안기업 참가문의: 데일리시큐 길민권 기자 / mkgil@dailysecu.com

-보안담당자 사전등록: 클릭

인공지능(AI)이 사이버 공격을 지원하는 보조 도구를 넘어 실제 침입과 정보 탈취를 수행하는 자율형 공격 주체로 진화하고 있다는 분석이 나왔다. AI가 취약점 분석부터 네트워크 침투, 내부 탐색, 탈취 데이터 분석까지 공격 전 과정에 직접 참여하면서 기업의 대응 시간도 수일에서 수시간 단위로 짧아지고 있다.

체크포인트 소프트웨어 테크놀로지스(Check Point Software Technologies)는 체크포인트 리서치(Check Point Research)의 ‘AI 시큐리티 리포트 2026(Annual AI Security Report 2026)’을 발표했다고 30일 밝혔다.

이번 리포트는 최근 12개월간 발생한 실제 침해사고와 체크포인트 텔레메트리 데이터, 사례 연구를 바탕으로 AI 기반 사이버 공격과 기업의 AI 이용 위험을 분석했다.

AI가 수천 개 명령 실행하며 공격 전 과정 수행

리포트에 따르면 AI는 공격자가 지시한 일부 작업을 지원하는 수준을 넘어, 사람의 개입을 최소화한 상태에서 수십 개의 세션에 걸쳐 수천 개의 명령을 실행하고 익스플로잇 워크플로우를 수행하는 단계에 진입했다.

멕시코 정부기관 9곳이 피해를 입은 것으로 알려진 침해사고에서는 공격자 한 명이 클로드 코드(Claude Code)와 GPT-4.1을 함께 활용했다.

클로드 코드는 시스템 침투와 네트워크 탐색에 사용됐으며, GPT-4.1은 탈취한 데이터를 분석하고 후속 공격 활동을 지시했다. 공격 과정에서는 34개 세션에 걸쳐 총 5천317개의 AI 실행 명령이 생성됐다.

체크포인트는 과거 숙련된 공격자 여러 명이 수행했던 작업을 AI가 단독으로 처리하면서 공격자의 기술적 진입 장벽이 빠르게 낮아지고 있다고 분석했다.

취약점 공개 후 수시간 만에 공격 도구 제작

AI의 코드 분석과 자동화 능력이 향상되면서 새로운 취약점이 공개된 이후 실제 공격 도구가 제작되기까지 걸리는 시간도 며칠에서 몇 시간으로 단축되고 있다.

리포트는 정부기관과 주요 기업이 인터넷에 연결된 핵심 시스템의 취약점을 기존 주기보다 훨씬 빠르게 해결해야 한다고 지적했다. 중요 시스템은 취약점 공개 이후 12시간 이내에 조치해야 하는 상황도 발생할 수 있다는 설명이다.

프롬프트 주입 공격도 빠르게 증가했다. 2026년 3월부터 5월 사이 길고 악의적인 프롬프트 주입 페이로드 탐지 건수는 약 5배 증가했다.

특히 외부 문서나 웹페이지, 이메일 등에 악성 지시문을 숨겨 AI가 이를 실행하도록 유도하는 간접 프롬프트 주입이 기업 운영에 실질적인 위험 요소로 자리 잡고 있다. AI 애플리케이션과 에이전트 자체가 새로운 공격 표면으로 부상한 것이다.

고위험 기업용 AI 프롬프트 1년 새 2배 증가

기업 내부의 AI 사용에 따른 데이터 유출 위험도 커지고 있다.

고위험 기업용 AI 프롬프트는 지난 1년 동안 AI 상호작용 50건당 약 1건에서 25건당 약 1건으로 두 배 증가했다. 기업은 매월 평균 10개의 AI 애플리케이션을 사용하고 있으며, 상당수는 보안 부서의 공식 승인 없이 이용되는 것으로 조사됐다.

기업의 87~93%는 매월 최소 한 번 이상 위험도가 높은 AI 상호작용을 경험했다.

체크포인트는 기업 데이터 유출의 상당수가 외부 공격이 아닌 직원의 정상적인 AI 사용 과정에서 발생한다고 설명했다. 직원이 더 정확한 답변을 얻기 위해 내부 문서, 고객 정보, 소스코드, 계약 내용 등 과도한 업무 정보를 AI 서비스에 입력할 수 있기 때문이다.

AI 기반 딥페이크 기술이 정교해지면서 기존 아이덴티티 검증 방식의 신뢰성도 약화되고 있다. AI는 음성과 얼굴, 문서, 실시간 영상을 합성할 수 있으며, 훈련된 전문가도 AI가 생성한 얼굴을 정확하게 식별한 비율이 약 41%에 그쳤다.

이에 따라 기업은 육안이나 영상에 의존한 검증 방식에서 벗어나 다단계 인증(MFA), 대역 외 검증, 강력한 신원 보증 체계를 적용해야 한다고 리포트는 강조했다.

“사람이 아닌 머신 속도로 대응해야”

체크포인트는 AI 시대의 보안 전략으로 ▲AI 시스템과 에이전트 자체를 보호하는 ‘AI를 위한 보안’ ▲AI 기반 공격 속도에 자동으로 대응하는 ‘AI를 통한 보안’ ▲임직원의 승인·비승인 AI 사용을 관리하는 ‘AI를 활용한 보안’을 제시했다.

기업은 AI 에이전트가 프롬프트와 툴, 데이터에 접근하는 과정을 실시간으로 통제하고, AI 애플리케이션을 대상으로 레드팀 테스트를 수행해야 한다. 네트워크와 이메일, 엔드포인트, 모바일, 클라우드 전반에서는 사람의 승인만 기다리지 않고 위협을 자동 탐지·차단하는 대응체계가 필요하다.

임직원이 이용하는 생성형 AI 서비스도 식별하고, 프롬프트에 데이터 손실 방지(DLP) 정책을 적용해 민감정보가 외부 AI 서비스로 전송되는 것을 차단해야 한다.

로템 핀켈스타인(Lotem Finkelstein) 체크포인트 리서치 부사장은 “AI가 실제 공격 과정에 직접 참여하며 과거 숙련된 전문가팀이 수행하던 작업을 단독으로 처리하고 있다”며 “방어자는 더 이상 기존의 사람 중심 대응 속도로 공격자를 따라갈 수 있다고 가정해서는 안 된다”고 말했다.

그는 “AI 사용을 체계적으로 관리하고 AI 시스템을 보호하는 동시에, 사람의 속도가 아닌 머신의 속도로 대응할 수 있는 조직이 경쟁력을 갖게 될 것”이라고 강조했다.

S2W가 에이전틱 AI 시대를 맞아 기업의 안전한 AI 도입과 활용을 지원하기 위한 AI 서비스 취약점 진단 사업을 본격적으로 확대한다.

이번 사업은 다크웹과 텔레그램, 해킹 포럼 등에서 수집한 실제 LLM 공격 기법을 즉시 적용할 수 있는 연구팀의 오펜시브 보안 전문성을 기반으로 진행된다. 소프트웨어 및 웹 애플리케이션 보안 분야의 국제 비영리 단체인 OWASP가 제정한 LLM 보안 취약점 기준인 OWASP Top 10 for LLM을 기본으로 삼고, 산업별 특수성을 고려한 추가 항목을 적용해 도메인 적합성을 확보한다.

이를 통해 S2W는 모델과 프롬프트, 데이터, 에이전트 등 AI 서비스를 구성하는 다양한 요소의 보안상 취약점을 정밀 진단한다. 공격자의 악용 가능성을 다면적으로 검증하고 구체적인 개선 방안까지 함께 제시해 기업들이 AI 서비스 보안 내부 점검 체계를 정립할 수 있도록 지원한다.

최근 과기정통부와 KISA가 AI 보안 레드티밍 가이드를 발간하고 공격자 관점의 보안 검증 절차를 제시한 것처럼, 사전에 위험을 방지하려는 산업계 요구가 커지는 상황이다.

S2W는 사업 개시와 동시에 국내 대형 금융사의 AI 서비스 취약점 진단 사업을 수주했다. 금융권의 엄격한 보안 기준과 규제 환경을 고려한 진단을 수행 중이며, 향후 AI 도입이 확산되는 다양한 산업으로 진출 범위를 넓혀 종합적인 취약점 진단을 제공한다.

양종헌 S2W 통합분석실장은 "AI 서비스의 잠재적 위험을 사전에 찾아내기 위해 AI를 활용한 정교한 점검과 공격자 관점의 전문적인 검증이 함께 이루어져야 한다"며 "자체 개발한 AI 도구에 오펜시브 보안 전문가의 노하우를 결합해 기업이 AI 서비스를 안전하게 도입하고 운영할 수 있도록 실효성 높은 진단 서비스를 제공하고 있다"고 밝혔다.

[하반기 최대 사이버보안 컨퍼런스 KCSCON 2026 개최 / 사전등록 접수]

-행사명: 제14회 2026 대한민국 사이버보안 컨퍼런스(KCSCON 2026)

-일시: 2026년 9월 8일 화요일 오전 9시~오후 5시 30분

-장소: 서울 세종대학교 컨벤션센터 전관

-참석 대상: 공공·공기업·금융·의료·교육·일반기업 정보보호·개인정보보호 담당자 및 IT 실무자

-참석인원: 보안담당자 1,400여 명

-교육 인정: 정보보호·개인정보보호 교육 7시간

-보안기업 참가 신청: 8월 말까지

-보안기업 참가문의: 데일리시큐 길민권 기자 / mkgil@dailysecu.com

-보안담당자 사전등록: 클릭

인젠트가 아이티윈과 공공 조달 시장 공략을 위한 전략적 업무협약을 체결했다. 협약식은 지난 29일 서울 인젠트 본사에서 이형배 인젠트 대표와 곽영호 아이티윈 대표를 비롯한 양사 관계자들이 참석한 가운데 진행됐다.

이번 협약은 조달청 종합쇼핑몰 내 디지털서비스몰을 통해 인젠트의 포스트그레SQL 기반 데이터베이스 솔루션인 INZENT eXperDB와 관련 제품을 전국 단위로 공급하기 위해 추진됐다. 양사는 이를 통해 공공기관을 상대로 한 조달 영업 협력 체계를 긴밀하게 다진다.

협약에 따라 아이티윈은 인젠트의 조달 파트너로서 디지털서비스몰을 통한 제품 판매를 맡고, 하위 협력 파트너사 네트워크를 활용해 공공기관 대상 영업과 마케팅을 펼친다. 인젠트는 안정적인 제품 공급과 기술지원을 제공하며 제품 도입 이후 유지보수 체계까지 책임진다.

양사는 이번 협력을 바탕으로 공공 부문에서 국산 DBMS 솔루션 보급을 늘리고 데이터 주권 강화에 기여할 계획이다.

이형배 인젠트 대표는 "아이티윈과의 협업으로 공공 조달 시장 입지를 강화하고 안정적인 제품과 기술지원으로 신뢰할 수 있는 국산 데이터 플랫폼을 지속해서 공급하겠다"고 밝혔다.

[하반기 최대 사이버보안 컨퍼런스 KCSCON 2026 개최 / 사전등록 접수]

-행사명: 제14회 2026 대한민국 사이버보안 컨퍼런스(KCSCON 2026)

-일시: 2026년 9월 8일 화요일 오전 9시~오후 5시 30분

-장소: 서울 세종대학교 컨벤션센터 전관

-참석 대상: 공공·공기업·금융·의료·교육·일반기업 정보보호·개인정보보호 담당자 및 IT 실무자

-참석인원: 보안담당자 1,400여 명

-교육 인정: 정보보호·개인정보보호 교육 7시간

-보안기업 참가 신청: 8월 말까지

-보안기업 참가문의: 데일리시큐 길민권 기자 / mkgil@dailysecu.com

-보안담당자 사전등록: 클릭

카스퍼스키 내부 리서치 센터가 진행한 최신 글로벌 조사에 따르면, 응답 기업의 99%가 IT 보안을 단순한 사이버 공격 방어 수단이 아닌 디지털 전환과 지속 가능한 성장을 위한 비즈니스 운영의 필수 요소로 인식하고 있다.

이번 조사는 전 세계 18개국의 IT, 제조, 금융, 유통 등 다양한 산업 분야의 IT 및 사이버 보안 의사결정자 1,800명을 대상으로 진행됐다.

조사 결과에 따르면 클라우드 도입, AI 활용, 업무 자동화가 빠르게 확산되면서 사이버 보안은 혁신을 뒷받침하는 기반으로 자리 잡았다. 특히 직원 수 2,500명 이상의 대기업 의사결정자들 사이에서 IT 보안 역량 강화를 핵심 전략 과제로 평가하는 경향이 두드러졌다.

사이버 보안 강화가 제공하는 가장 중요한 비즈니스 가치로는 데이터 보호가 전체 응답자의 35% 선택을 받아 1위를 차지했다. 기업들이 민감한 고객 정보와 비즈니스 데이터를 다루는 비중이 늘어나면서, 강력한 보안 체계는 리스크 감소를 넘어 비즈니스 연속성과 규제 준수를 위한 필수 요건이 됐다. 응답자의 27%는 새로운 기술을 안전하게 도입할 수 있는 역량을 두 번째로 중요한 가치로 꼽았다. 이어 재무적 위험과 예상치 못한 손실을 줄이는 재무적 회복력이 24%를 기록했다.

과거 보안 사고 경험에 따라 기업들의 우선순위도 차이를 보였다. 지난 1년 동안 보안 사고를 겪지 않은 기업들은 운영 효율성과 규제 준수를 중시한 반면, 사고 경험이 있는 기업들은 신기술의 안전한 도입, 재무적 위험과 인적 오류 감소, 경쟁력 강화에 더 큰 가치를 두었다.

일리야 마르켈로프 카스퍼스키 통합 플랫폼 제품군 총괄은 "기업들이 디지털 전환을 가속화함에 따라 효과적인 보안이 회복탄력성을 높이고 복잡한 IT 환경의 운영을 효율적으로 만들어야 한다"고 설명했다.

이효은 카스퍼스키 한국지사장은 "국내 기업들도 클라우드와 AI 도입을 확대하는 상황에서 공급망 공격과 AI 악용 같은 새로운 위협에 대응하기 위해 보안을 장기적인 디지털 전략에 통합해야 한다"고 말했다.

카스퍼스키는 기업의 회복탄력성 강화를 위해 위협의 전반적인 맥락을 파악할 수 있는 위협 인텔리전스 활용을 권고했다. 아울러 EPP, EDR, XDR 전반에서 실시간 보호와 가시성을 제공하는 Kaspersky Next 제품군 도입을 제안했다.

[하반기 최대 사이버보안 컨퍼런스 KCSCON 2026 개최 / 사전등록 접수]

-행사명: 제14회 2026 대한민국 사이버보안 컨퍼런스(KCSCON 2026)

-일시: 2026년 9월 8일 화요일 오전 9시~오후 5시 30분

-장소: 서울 세종대학교 컨벤션센터 전관

-참석 대상: 공공·공기업·금융·의료·교육·일반기업 정보보호·개인정보보호 담당자 및 IT 실무자

-참석인원: 보안담당자 1,400여 명

-교육 인정: 정보보호·개인정보보호 교육 7시간

-보안기업 참가 신청: 8월 말까지

-보안기업 참가문의: 데일리시큐 길민권 기자 / mkgil@dailysecu.com

-보안담당자 사전등록: 클릭

시큐리온이 한국인터넷진흥원(KISA)과 악성문자 사전차단체계 제공을 위한 업무협약을 체결했다.

이번 협약은 전기통신사업법 시행령 개정에 따라 국내 대량 문자 발송 기업들의 악성 문자 피해 예방과 대응 역량을 높이기 위해 마련됐다. 시큐리온을 비롯해 악성 URL 탐지 기술을 갖춘 국내 보안 기업들이 함께 참여해 위협 정보 공유 체계와 공동 대응 프로세스를 구축한다.

개정된 시행령에 따르면 대량 문자 발송 서비스를 제공하는 기업들은 악성 문자 메시지를 식별하고 차단하는 기술적 대응 체계를 갖춰야 특수부가통신사업자로 등록할 수 있다. 이에 따라 문자중계사와 대형 문자재판매사는 민간 보안 솔루션을 도입하거나 자체적인 사전차단체계를 마련해야 하며, 기존 등록 사업자도 유예 기간 내에 요건을 맞춰 재등록을 마쳐야 한다.

시큐리온은 악성 문자 탐지 솔루션인 OnScan for Message를 통해 문자 발송 기업들의 컴플라이언스 대응을 지원한다. 해당 솔루션은 금칙어와 URL 분석 기능을 제공하며, 고도화된 탐지를 원하는 고객에게는 AI 기반의 앱 및 URL 악성 여부 분석 기술을 맞춤형으로 제공한다. 이 과정에서 시큐리온이 독자 개발한 AI 탐지 시스템인 CVS를 적용해 모바일 환경과 동일한 조건에서 URL로 유포되는 앱을 자동으로 다운로드하고 악성 여부를 판정한다.

시큐리온 고봉수 대표는 "문자 발송 단계에서 스미싱 대응이 가능해져 기존 신고 기반의 사후 대응 방식보다 강력한 피해 예방 효과를 낼 수 있다"며 "OnScan for Message로 실효성 있는 대응 체계 구축에 기여하겠다"고 밝혔다. 시큐리온은 OnScan for Message 외에도 OnTrust, OnAppScan, OnAV 등의 보안 솔루션을 공공과 민간 시장에 공급하고 있다.

[하반기 최대 사이버보안 컨퍼런스 KCSCON 2026 개최 / 사전등록 접수]

-행사명: 제14회 2026 대한민국 사이버보안 컨퍼런스(KCSCON 2026)

-일시: 2026년 9월 8일 화요일 오전 9시~오후 5시 30분

-장소: 서울 세종대학교 컨벤션센터 전관

-참석 대상: 공공·공기업·금융·의료·교육·일반기업 정보보호·개인정보보호 담당자 및 IT 실무자

-참석인원: 보안담당자 1,400여 명

-교육 인정: 정보보호·개인정보보호 교육 7시간

-보안기업 참가 신청: 8월 말까지

-보안기업 참가문의: 데일리시큐 길민권 기자 / mkgil@dailysecu.com-보안담당자 사전등록: 클릭

시큐아이가 한진정보통신과 정보보호 사업 협력을 위한 전략적 업무협약(MOU)을 체결했다. 이번 협약식은 서울 강서구 한진정보통신 본사에서 시큐아이 김병문 전략마케팅실장과 한진정보통신 김주필 전략영업부서장 등 양사 관계자들이 참석한 가운데 진행됐다.

양사는 이번 협약을 통해 각자가 보유한 보안 기술과 사업 역량을 결합해 신규 비즈니스 기회를 공동으로 발굴한다. 한진정보통신은 한진그룹사의 IT 전문 기업으로 항공과 물류 분야의 IT 경험을 바탕으로 그룹사와 대외 고객에게 MSP, SI, 클라우드 등의 보안 서비스를 제공하고 있다.

시큐아이는 한진정보통신의 사업 네트워크를 기반으로 자사의 정보보호 제품과 서비스를 연계해 신규 사업 기회를 창출한다. 특히 기업의 클라우드 전환에 발맞춰 보안 수요가 늘어남에 따라, 시큐아이의 클라우드 솔루션인 NGF VE와 보안관제 서비스를 중심으로 대외 MSP 및 SI 사업 협업을 진행한다.

양사는 대외 사업 협업을 넘어 한진그룹사의 정보보안 사업에도 적극 참여하며 전략적 협력 관계를 넓혀간다. 시큐아이는 방화벽과 IPS 등의 네트워크 보안 솔루션 클라우드 버전인 BLUEMAX VE 시리즈와 원격 및 클라우드 보안관제 서비스를 여러 산업 분야에 공급하고 있다.

시큐아이 김병문 상무는 "양사의 핵심 역량을 결합해 사업 시너지를 내고 고객이 신뢰할 수 있는 제품과 서비스를 제공하겠다"고 밝혔다.

[하반기 최대 사이버보안 컨퍼런스 KCSCON 2026 개최 / 사전등록 접수]

-행사명: 제14회 2026 대한민국 사이버보안 컨퍼런스(KCSCON 2026)

-일시: 2026년 9월 8일 화요일 오전 9시~오후 5시 30분

-장소: 서울 세종대학교 컨벤션센터 전관

-참석 대상: 공공·공기업·금융·의료·교육·일반기업 정보보호·개인정보보호 담당자 및 IT 실무자

-참석인원: 보안담당자 1,400여 명

-교육 인정: 정보보호·개인정보보호 교육 7시간

-보안기업 참가 신청: 8월 말까지

-보안기업 참가문의: 데일리시큐 길민권 기자 / mkgil@dailysecu.com

-보안담당자 사전등록: 클릭

’접속기록을 남기지 않는다(No-Logs)’고 홍보해 온 VPN 서비스가 실제로는 수천만 건의 연결기록을 저장한 사실이 대규모 데이터 유출을 통해 드러났다.

개인정보 보호를 가장 중요한 가치로 내세운 VPN 서비스에서 이용자 이메일과 IP 주소, 기기 정보, 결제 정보는 물론 연결기록까지 외부에 유출되면서 VPN 업계의 신뢰에도 적지 않은 영향을 미칠 것으로 보인다.

해외 보안 연구진과 복수의 보안 커뮤니티에 따르면 러시아 기반 VPN 서비스 스플릿VPN(SplitVPN, 구 노트VPN)의 데이터베이스가 해킹된 뒤 약 17GB 분량의 SQL 데이터가 사이버범죄 포럼 ’알테넨(Altenen)’을 통해 유포되고 있는 것으로 확인됐다.

분산형 VPN 서비스 업체 미스테리엄 연구팀은 확보한 데이터베이스를 직접 분석한 결과 유출된 데이터에는 약 2,340만 건의 이용자 정보, 1,360만 건의 기기 정보, 260만 건의 결제 정보, 5,800만 건의 VPN 연결기록이 포함됐다고 밝혔다.

가장 큰 문제는 스플릿VPN이 그동안 “접속기록이나 이용기록을 저장하지 않는다”며 “100% 프라이버시를 보장한다”고 홍보해 왔다는 점이다.

“접속기록은 저장하지 않는다”더니…5,800만 건 연결정보 확인

연구진이 확인한 데이터에는 ‘디바이스프록시’ 테이블이 포함돼 있었다. 이 테이블에는 어떤 기기가 어느 VPN 서버에 언제 접속했는지가 시간 정보와 함께 기록돼 있었다.

연구진은 해당 기록이 단순한 테스트 데이터가 아니라 실제 운영 데이터라고 분석했다. 기록 시점은 2025년 6월부터 2026년 7월 21일까지 이어졌으며, 데이터베이스가 유출된 시점까지도 새로운 연결기록이 계속 저장되고 있었다.

유출된 정보에는 방문한 웹사이트나 인터넷 사용 내용은 포함되지 않았다. 하지만 VPN 서버 접속 시간과 이용자의 이메일, 마지막 접속 IP 주소, 기기 식별정보 등을 함께 대조하면 특정 이용자가 언제 어느 서버를 이용했는지를 상당 부분 확인할 수 있다.

VPN 서비스에서 이 같은 연결 메타데이터는 가장 민감한 정보 가운데 하나다. VPN 이용자들은 서비스 사업자가 이런 정보를 남기지 않는다는 점을 신뢰하고 서비스를 이용하기 때문이다.

이메일·IP·결제정보까지 노출…검열 국가 이용자 피해 우려

유출된 데이터에는 이메일 주소, IP 주소, 기기 식별자, 대략적인 위치 정보, 구독 상태, 자동결제 토큰 등이 포함된 것으로 확인됐다.

신용카드 전체 번호는 저장되지 않았지만 카드 앞자리, 마지막 네 자리, 카드 만료일과 반복 결제를 위한 토큰 정보가 포함돼 있었다. 연구진은 전체 카드번호는 없더라도 이메일과 결제정보가 함께 노출된 만큼 피싱 공격이나 계정 탈취 시도 등에 악용될 가능성을 배제할 수 없다고 설명했다.

판매자는 해당 VPN 이용자가 러시아, 이란, 인도, 미얀마 등에 많이 분포한다고 주장했다.

이들 국가는 인터넷 검열이나 온라인 통제가 강한 지역으로 꼽힌다. VPN은 차단된 뉴스 사이트나 메신저, 해외 서비스를 이용하기 위해 많이 사용된다. 이런 환경에서는 이메일과 IP 주소, 접속 시각이 함께 유출되는 것만으로도 이용자에게 심각한 위험이 될 수 있다는 지적이 나온다.

“노로그” 문구만 믿어서는 안 된다

미스테리엄 연구팀은 이번 사건이 VPN 서비스의 구조적인 한계를 보여준 사례라고 평가했다.

대부분의 일반 VPN은 중앙 서버를 운영하는 사업자가 이용자 데이터를 직접 관리한다. 이용자는 실제 어떤 정보가 저장되는지 확인할 방법이 거의 없다. 사업자가 ‘노로그’ 정책을 내세우더라도 운영 과정에서 접속기록이나 이용자 정보를 저장하고 있다면 외부에서는 이를 알기 어렵다.

연구진은 VPN 서비스를 선택할 때 단순히 ’노로그(No-Logs)’라는 광고 문구만 신뢰하기보다 독립적인 보안감사 여부와 투명성 보고서 공개 여부 등을 함께 확인할 필요가 있다고 조언했다.

연구팀은 스플릿VPN 또는 노트VPN 이용자들에게 해당 이메일 계정의 비밀번호를 즉시 변경하고, 같은 이메일을 사용하는 다른 서비스의 비밀번호도 함께 교체할 것을 권고했다. 다중인증(MFA)도 반드시 활성화해야 하며, 유출된 연결 메타데이터가 제3자에게 넘어갔다는 점을 전제로 보안 점검을 진행할 필요가 있다고 덧붙였다.

어빌리티시스템즈가 기술유출방지시스템 구축사업 공급기업으로 선정되어 20년 이상 쌓아온 보안 구축 경험을 바탕으로 기업 맞춤형 보안 환경 조성을 지원한다.

기술유출방지시스템 구축사업은 중소기업의 기술 유출을 예방하고 정보보안 수준을 높이기 위해 보안 솔루션 도입과 운영 환경 개선을 돕는 사업이다. 어빌리티시스템즈는 공공과 국방, 금융, 연구기관 등 다양한 분야에서 방화벽과 VPN 구축 사업을 수행해 왔다.

대표적인 구축 사례로는 AI 기반 IT 플랫폼 기업과 자동차 부품 제조기업의 보안 솔루션 도입이 있다. 특히 자동차 부품 제조기업은 노후 보안 장비를 교체해 보안성과 안정성을 높이고, 본사와 지사 간 안전한 VPN 통신 환경을 구축해 침입 시도와 악성 트래픽을 차단하는 체계를 갖췄다.

어빌리티시스템즈는 AXGATE, 엑스엔시스템즈, 시큐위즈 등 다양한 보안 솔루션 제조사의 제품을 공급한다. 방화벽, UTM, VPN, IPS 등 다양한 보안 제품군에 대한 구축 경험을 바탕으로 고객의 업무 환경과 요구 사항을 분석해 최적의 솔루션을 제안한다. 설계부터 구축, 운영 지원까지 전 과정을 직접 수행하며, 경험이 부족한 기업을 위해 보안 환경 분석과 컨설팅을 제공한다.

신재일 어빌리티시스템즈 대표이사는 "기업의 핵심 기술을 보호하기 위해서는 환경에 적합한 보안 체계를 갖추는 것이 중요하다"며 "축적된 기술 역량을 바탕으로 고객이 안정적인 보안 환경을 구축할 수 있도록 지원하겠다"고 전했다.

한편 중소기업의 기술 보호를 위한 기술유출방지시스템 구축사업 상생협력기금 연계형 제3차 공고가 8월 중에 진행될 예정이다. 어빌리티시스템즈는 전문 컨설팅 역량을 바탕으로 참여 기업들이 최적의 보안 인프라를 구축할 수 있도록 도울 계획이다.

코오롱베니트는 반복 업무를 줄이고 의사결정의 정확성을 높이기 위해 자체 솔루션을 개발해 왔다. 주요 솔루션으로는 경영계획 및 손익추정 솔루션인 r-PLANNA(알플래나), 연결회계 솔루션인 BENIT SIGMA(베니트 시그마)와 차세대 버전인 BENITSIGMA Pro, 전자공시 솔루션인 DSDFlow, 제조 DX 플랫폼인 r-CoCoAna(알코코아나)가 있다. 각 솔루션에는 AI 기능이 단계적으로 접목되어 업무 자동화 수준을 높인다.

SAP S/4HANA 기반의 r-PLANNA는 환율과 원자재 가격 등 다양한 변수를 고려해 시나리오별 손익을 예측한다. SAP 시스템과 동일한 메커니즘의 자체 엔진을 활용해 예측 신뢰도를 높였으며 엑셀 기반 수작업을 줄여 업무 시간을 단축한다.

재무공시 분야에서는 BENIT SIGMA와 DSDFlow를 통해 그룹 연결회계부터 전자공시까지 이어지는 업무를 지원한다. BENITSIGMA Pro는 2027년 IFRS18 시행에 대응해 기존 계정과 IFRS18 기준의 재무제표를 비교하는 듀얼 리포트 기능과 주석 기능을 활용한 MPM 양식 산출을 지원한다. DSDFlow는 연결결산 데이터를 금융감독원 DART 제출 형식으로 변환하여 공시 업무의 효율성을 높인다.

제조 분야에서는 r-CoCoAna를 중심으로 현장의 데이터 연결과 운영 혁신을 돕는다. 커넥티드 데이터 플랫폼(CDP)과 생산운영관리 체계(MOM)를 결합해 생산, 품질, 설비 데이터를 통합 관리하며 비전 AI 기술을 적용해 불량 발생을 줄인다.

코오롱베니트는 그룹사 제조 계열사에서 쌓은 현장 검증 경험을 바탕으로 대외 고객사를 대상으로 제조 DX 패키지 공급을 확대할 계획이다.

엘앤에프가 미국의 배터리 기술 기업인 코어셸 테크놀로지(Coreshell Technologies)와 LFP(리튬인산철) 양극재 중장기 공급계약을 체결했다. 이번 계약을 통해 엘앤에프는 기존의 에너지 저장장치(ESS) 중심에서 모빌리티와 방산 응용처까지 LFP 포트폴리오를 넓혔다.

코어셸은 미국 캘리포니아에 본사를 둔 기업으로 미국산 금속 실리콘을 활용한 차세대 배터리 플랫폼을 개발하고 있다. 전기차와 전력망용 에너지 저장장치, 국방 분야로 사업 영역을 확장하고 있다.

양사는 이번 계약으로 음극부터 양극까지 중국산 광물과 부품을 배제하고 미국 내 생산과 규제 준수 기준을 충족하는 배터리 공급 체계를 구축했다.

엘앤에프는 OBBB와 미국 국방수권법(NDAA) 등 북미 지역의 엄격한 공급망 및 원산지 규제에 대응 가능한 역량을 입증했다. 이를 통해 규제 민감 산업 전반에서 경쟁 우위를 확보했으며, 북미 고객이 요구하는 공급 안정성과 조달 기준을 충족했다.

자회사인 엘앤에프플러스는 국민성장펀드로부터 장기·저리 정책대출 지원 대상으로 선정되어 LFP 양극재 공장 설비 투자를 진행한다. 올해 3분기 말 3만 톤 규모의 초기 가동을 시작하고, 2027년 상반기까지 연산 6만 톤 체제를 갖출 계획이다.

류승헌 엘앤에프 CFO는 "울트라 하이니켈 NCM과 LFP를 아우르는 투트랙 전략을 통해 프리미엄 전기차부터 보급형 시장까지 폭넓게 대응하고, 비중국 공급망 구축에 기여하겠다"고 밝혔다.