뱅크 오브 아메리카에서 발생한 데이터 유출 사고 여파로 보안 담당자들이 어려움을 겪고 있다.이번 침해 사고는 뱅크 오브 아메리카의 서비스 제공업체인 인포시스 맥캐미시 시스템즈(Infosys McCamish Systems, IMS)에서 발생한 침해 사고다. 공격자들은 IMS 시스템에 무단으로 액세스해 이름, 주소, 주민등록번호, 생년월일, 계좌 및 신용카드 번호와 같은 금융 데이터 등 민감한 고객 정보를 대량으로 노출시켰다.뱅크 오브 아메리카는 정확한 피해 고객 수를 공개하지 않았지만, 메인주 법무장관에게 제출한 IMS 침해 통지서에

국내 최대 사이버위협 인텔리전스 컨퍼런스 K-CTI 2024가 지난 2월 6일 더케이호텔서울 2층 가야금홀에서 700여 명의 정보보안 책임자 및 실무자가 참석한 가운데 성황리 개최됐다.한국인터넷진흥원 사고분석1팀 강동화 책임은 지난해 국내 주요 침해사고 동향을 설명하며 통신사 개인정보 유출부터 쇼핑몰, 의약유통, 차량부품제조사, 가상통화거래소, 서점, 교육업체, 의약제조사 등 다양한 침해사고 사례에 대해 공유하는 시간을 가졌다. 특히 크리덴션 스터핑, 공급망 공격, 백업솔루션 취약점, 무단 문자발송, 공유기 디도스, 국내 웹사이트

상반기 최대 공공, 금융, 기업 개인정보보호&정보보안 컨퍼런스 ‘G-PRIVACY 2024’가 오는 3월 12일 화요일 더케이호텔서울 2층 가야금홀에서 1,000여 명의 보안책임자·실무자들이 참석한 가운데 성황리 개최될 예정이다.G-PRIVACY 2024는 개정된 개인정보보호법 및 정보보안의 기술적∙관리적 조치사항들을 중심으로 보안실무자에게 꼭 필요한 내용들을 공유하는 자리다. 개인정보 유출 사고를 예방하고 강화된 컴플라이언스 이슈와 해킹공격들에 대응할 수 있는 방안들을 제공할 예정이다.지난해에도 1,000여 명이 넘는 보안담당자들

루카 팔미에리(Luca Palmieri)의 ‘제로부터 시작하는 러스트 백엔드 프로그래밍’이 출간됐다.‘러스트는 API 개발을 위한 생산적인 언어가 될 수 있을까?’라는 질문에서 시작된 이 책은 가상의 엔지니어 팀이 러스트로 클라우드 네이티브 애플리케이션을 개발하고 배포하는 과정을 그린다.총 11장에 걸쳐 러스트의 에코시스템 탐색 및 활용, 애플리케이션의 모듈화와 구조화, 단위/통합 테스트, 타입 시스템을 사용한 도메인 불변성 적용, API 사용자 인증 및 권한 부여, 강력한 오류 처리 전략, 구조화된 로그를 사용한 애플리케이션 관리

과학기술정보통신부(장관 이종호, 이하 ‘과기정통부’)는 2월 13일에 “글로벌 과학기술 강국, 디지털 모범국가 도약”을 목표로, 2024년 주요정책 추진계획을 발표하였다.과기정통부는 지난 1년간 누리호 3차 발사성공 등 과학기술의 위상을 제고하고 R&D 다운 R&D 추진을 위한 기틀을 마련하였으며, 디지털권리장전 발표 등 디지털 혁신을 선도해 왔으며, 그간의 성과를 바탕으로 2024년 대한민국이 과학기술 강국·디지털 모범국가로 도약할 수 있도록 4대 추진전략, 12대 핵심과제를 본격 추진한다고 밝혔다. 상세 내용은 다음과 같다.첫째

한국정보보호산업협회(회장 이동범, 이하 KISIA)는 2월부터 총 8개월에 걸쳐 고용노동부 및 한국산업인력공단이 주최하는 ‘개인정보보호 국가인적자원개발컨소시엄(산업맞춤형)’ 교육을 시작한다고 밝혔다.국가인적자원개발컨소시엄(이하 컨소시엄) 교육은 공동훈련센터로 지정된 교육훈련기관이 기업과 협약을 맺고 재직자들을 위한 맞춤형 교육을 제공하는 직업능력개발훈련 사업이다.지난해 개인정보보호 전문가 양성을 목표로 교육을 운영한 KISIA는 국가직무능력표준(NCS) 및 산업계의 수요를 반영한 실무 중심의 이론 및 실습교육을 진행했으며, 목표였던

최근 중국의 국가 지원을 받는 사이버 공격자들이 미국의 중요 인프라 네트워크에 적극적으로 침투하고 있다는 보고서가 미국 CIS에 의해 발표되었다. '볼트 타이푼(Volt Typhoon)'으로 알려진 이 공격자들은 에너지, 교통, 수도 시스템과 같은 필수 서비스의 안정성과 보안에 심각한 위협을 가하고 있는 것으로 드러났다.사이버보안 및 인프라 보안국(CISA)은 다른 미국 정보기관과 협력해 볼트 타이푼의 활동에 대해 자세히 설명하는 포괄적인 권고문을 지난 7일 발표했다. 국가가 후원하는 이 공격자들은 단순한 스파이 활동이 아니라 지정

비주얼 스튜디오(Visual Studio) 업데이트로 위장한 RustDoor 맥OS 멀웨어가 발견됐다.RustDoor는 Rust 프로그래밍 언어로 작성된 새로운 맥OS 멀웨어다. 이 멀웨어는 마이크로소프트의 인기 있는 통합 개발 환경(IDE)인 맥용 Visual Studio의 업데이트로 위장한다. 이 멀웨어는 최소 2023년 11월부터 유포되었으며, 최신 변종도 여전히 유포되고 있다.RustDoor는 인텔 기반(x86_64) 및 ARM(Apple Silicon) 아키텍처 모두에서 실행되도록 설계되어 다양한 맥 시스템과 호환된다.한편

미국 CISA는 포티넷의 포티OS 운영 체제에서 중요한 원격 코드 실행(RCE) 취약점이 사이버공격에 활발하게 악용되고 있다고 경고했다. 이 경고는 지난 목요일에 포티넷이 CVE-2024-21762 보안취약점을 해결한 패치를 발표한 직후에 나온 것이다.이 취약점은 인증되지 않은 공격자가 특수하게 조작된 HTTP 요청을 통해 원격으로 임의의 코드를 실행할 수 있기 때문에 심각한 위험을 초래할 수 있다. 상황의 심각성을 고려할 때, 관리자는 취약한 디바이스에 패치를 적용하기 위한 보안 업데이트를 신속하게 배포해야 한다. 그러나 즉각적인

수많은 사람들이 사용하는 만큼 수많은 위험이 도사리는 곳이 인터넷이다. 따라서 인터넷에 전 세계 사이버 범죄자들이 몰려드는 것도 전혀 놀라운 일은 아니다. 그런데 최근 몇 주 동안 자사 연구진은 사회공학기법을 사기를 위해 일반적인 형태에서 벗어나는 악성 캠페인을 다수 발견했다.◇화성행 티켓몇 년 전만 해도 우주관광이 신문기사 제목을 장식하는 등 한창 주목받았다. 우주 시대 도래를 앞두고 머지않아 미국 항공우주국(NASA)이 달 기지를 구축할 것처럼 보였지만, 결국 이런 일은 일어나지 않았다. 아직까지도 우주는 우주비행사, 과학자,

블록체인 데이터 분석기업 체이널리시스(한국지사장 백용기)가 ‘2024 가상자산 범죄 보고서-랜섬웨어(Ransomware)’를 발표했다.2022년 잠시 주춤했던 랜섬웨어는 다시 일 년 만에 공격의 빈도, 범위, 규모 모두 눈에 띄게 증가하며 랜섬웨어의 부활을 알렸다. 2023년 랜섬웨어 공격으로 인한 가상자산 피해 규모는 10억 달러(약 1조 3천억 원)를 넘어 역대 최대치를 기록했다. 병원, 학교, 정부 기관 등 중요 인프라가 주요 표적이 됐으며, 특히 무브잇(MOVEit) 파일 전송 소프트웨어가 악용돼 다양한 분야에서 심각한 혼란

최근 불법 온라인 도박 정보를 위장해 악성코드를 유포하는 사례가 발견되고 있어 이용자들의 각별한 주의가 요구된다. 공격자는 먼저 ‘percent.xlsm'이라는 이름의 바로가기 파일(.lnk)을 유포했다. 유포에는 불법 온라인 도박 확률 분석 내용과 함께 불법 도박 사이트를 홍보하는 이메일 등을 이용했을 것으로 추정된다. 사용자가 무심코 해당 파일을 실행하면 불법 도박 배팅 방법이 적힌 엑셀 파일의 본문(보충자료 참조)이 나타나며, 동시에 악성코드가 설치된다.악성코드에 감염되면 공격자는 감염 PC에서 키로깅 및 사용자 정보 탈취를

최근 원격 액세스 솔루션 제공업체인 애니데스크가 생산 시스템에 대한 사이버 침해를 당한 것으로 확인되었다. 컴퓨터에 대한 원격 액세스를 지원하는 널리 사용되는 플랫폼인 애니데스크는세븐일헤븐, 콤캐스트,, UN과 같은 유명 기업을 포함해 17만 명의 고객을 보유하고있다. 이 회사의 소프트웨어는 원격 지원을 위해 기업에서 선호할 뿐만 아니라 손상된 장치와 네트워크에 지속적으로 액세스하려는 위협 행위자들로부터도 공격 타깃이 되고 있다. 애니데스크에 따르면, 이번 침해는 회사의 프로덕션 서버에 대한 무단 액세스와 관련이있다. 정확한 공격

과학기술정보통신부(장관 이종호, 이하 ‘과기정통부’)와 정보통신기획평가원(원장 전성배, 이하 ‘IITP’)은 2024년도 융합보안대학원 2개교를 신규 선정하기 위해 2월 5일부터 3월 20까지 모집 공고를 실시한다고 밝혔다.융합보안대학원(융합보안핵심인재양성사업)은 ICT 융합산업 보안 위협 확대에 대응하여 융합보안 분야 석·박사급 고급 인재를 양성하기 위한 사업으로, 선정된 대학원은 연간 10억 원*을 최대 6년간(4+2) 지원받아 융합보안에 특화된 교육과정 개발, 전용 실습장 구축, 장학금 지급, 산·학 연계 융합보안 프로젝트·인

과학기술정보통신부(장관 이종호, 이하 ‘과기정통부’)는 클라우드 보안인증 등급제의 상중등급 평가기준이 반영된 클라우드컴퓨팅서비스 보안인증에 관한 고시일부 개정안을 2월 6일부터 2월 26일까지 행정예고 한다고 밝혔다.클라우드 보안인증 등급제는 공공 부문의 민간 클라우드 이용 활성화를 통해 공공서비스를 혁신하고, 클라우드 산업의 경쟁력을 강화하고자 ’23년 1월 도입되었다. 당시 과기정통부는 등급별로 보안인증 평가기준을 차등화하여, 상등급은 기존 평가기준을 보완‧강화, 중등급은 현행 수준을 유지, 하등급은 합리적으로 완화하는 것으로

개인정보보호위원회(위원장 고학수, 이하 ‘개인정보위’)는 이미지, 영상, 음성, 텍스트 등 인공지능 시대 기술개발의 핵심 재료인 비정형데이터에 대한 가명처리 기준을 새롭게 마련했다.최근 인공지능(AI) 기술과 컴퓨팅 자원의 발달로 비정형데이터(이미지·영상·음성·텍스트 등)에 대한 활용수요가 폭발적으로 증가했다.하지만, 기존의 가명정보 처리 가이드라인(이하 ‘가이드라인’)은 정형데이터에 대한 처리기준만 제시하고 있어 기업, 연구기관 등은 적합한 가명처리 방법이나 수준을 알지 못하는 등 현장의 불확실성이 컸다.이에, 개인정보위는 정책연

한국소프트웨어저작권협회(회장 유병한)가 2023년 불법복제 SW 사용 제보 통계조사 자료를 발표했다.해당 자료는 한국소프트웨어저작권협회가 SW 저작권 보호와 SW 정품 사용 문화조성을 위해 운영하는 불법복제 SW 제보 서비스 ‘엔젤(Angel)’의 분석 결과를 토대로 작성되었다.자료에 따르면, 지난해 제보ㆍ접수된 전체 956건의 불법복제 프로그램 중 273건(29%)이 ‘일반사무용 SW’로 가장 높았으며, 설계용 SW 242건(25%), 운영체제 187건(20%), 그래픽 SW 130건(14%), 기타 SW 등의 순이었다.이를 업종

국정원은 최근 미상 해커조직이 국가ㆍ공공기관 정부 서비스 이용자의 개인정보를 다크웹ㆍ텔레그램 등을 통해 불법 유통하고 있는 정황을 포착했다며, 주의를 당부했다.이번에 악성코드에 감염되어 다크웹에 유출된 對民서비스 계정은 1만3,000여 개로, 국정원은 해당 기관에 관련 사실과 정보를 제공하여, 기관 차원에서 추가 피해가 발생하지 않게 신속 조치토록 했다.해커는 아이디ㆍ비밀번호 등 개인정보 탈취를 위해, 악의적인 ‘정보 탈취형’ 악성코드인 ‘인포스틸러’(Infostealer)를 활용한 것으로 나타났다. 각종 불특정 콘텐츠ㆍ파일이 오가

진화하고 정교해지는 사이버 공격에 적극적으로 대응하기 위해 위협 인텔리전스는 이제 조직의 보안업무 강화를 위해 필수적인 요소로 인식되고 있으며 많은 기관과 기업에서 중요성을 알고 적극 활용에 나서고 있다.제11회 2024년 대한민국 사이버위협·침해사고대응 인텔리전스 컨퍼런스 ‘K-CTI 2-24’가 오는 2월 6일 화요일 더케이호텔서울 2층 가야금홀에서 600여 명의 공공, 금융, 기업 정보보호 책임자 및 담당자들이 대거 참석하는 가운데 성황리 개최될 예정이다.국내 최대 사이버 위협 인텔리전스(TI) 전문 컨퍼런스인 K-CTI 20

클라우드플레어(Cloudflare)가 국가 배후 사이버 공격조직의 공격을 받았다. 이 회사 CEO는 최근 블로그 게시물에서 공격자가 주요 싱글 사인온 공급업체인 옥타에서 발생한 이전 침해 사고에서 훔친 자격 증명을 활용했다고 확인했다. 이 사건은 지난해 추수감사절 당일 클라우드플레어 보안팀이 자체 호스팅된 아틀라시안 서버에서 무단 액세스를 감지하면서 드러났다.위협 행위자는 11월 14일부터 17일까지 정찰을 수행하면서 치밀한 공격을 시작했다. 이 기간 동안 공격자는 회사의 위키 및 버그 데이터베이스를 비롯한 내부 시스템에 액세스했다