구글은 사이버 공격자의 쿠키 도용 위협에 대응하기 위해 새로운 보안 기능인 '디바이스 바운드 세션 자격증명'(DBSC)을 도입했다고 밝혔다. 이 기능은 인증 시스템의 취약점을 악용하도록 설계된 멀웨어에 대응하기 위해서다.사용자의 인증 정보와 기본 설정을 저장하는 쿠키는 개인 및 민감한 데이터에 무단으로 액세스하려는 사이버 범죄자들의 주요 표적이 되고 있다. 이러한 쿠키는 일단 도난당하면 다단계 인증(MFA) 조치를 우회하는 데 악용될 수 있어 사용자의 온라인 보안에 심각한 위험을 초래할 수 있다.이 문제를 해결하기 위해 구글 크롬

소프트웨어 보안 개선에 전념하는 유명한 비영리 단체 OWASP 재단이 최근 일부 회원에게 영향을 미친 데이터 유출 사건이 있었다고 공개했다. 이 사고는 오래된 위키 웹 서버의 잘못된 구성으로 인해 회원 이력서에 포함된 민감한 정보가 노출된 사고다.OWASP 관계자에 따르면, 미디어 위키 서버의 잘못된 구성으로 인해 2006년부터 2014년 사이에 회원들이 제출한 이력서에 무단으로 액세스할 수 있었던 것으로 밝혀졌다. 이 기간 동안 회원들은 가입 절차의 일부로 OWASP 커뮤니티와의 관계를 증명하기 위해 이력서를 제출해야 했다.노출된

데일리시큐는 오는 5월 21일 화요일 전국의 국공립 의료기관 및 대학·민간 병원 개인정보보호 및 정보보안 책임자, 실무자를 대상으로 ‘2024 의료기관 정보보안 컨퍼런스’(MPIS 2024)를 더케이호텔서울 2층 가야금홀에서 개최한다.내년 5월 개최되는 MPIS는 국내 의료기관 정보보호 담당자만을 대상으로 하는 최대 컨퍼런스로 의료기관 보안담당자를 한자리에서 만날 수 있는 국내 최대 의료기관 정보보호 컨퍼런스 및 전시회로 매년 성황리 개최되고 있다.올해도 대한병원정보협회, 대한병원정보보안협의회 등의 후원으로 병원 IT 보안에 꼭 필

한국인터넷진흥원(KISA)이 주최하고 한국정보보호학회가 주관하는 제30회 NetSec-KR 2024(제30회 정보통신망 정보보호 컨퍼런스)가 ‘디지털 패권 시대, AI와 함께하는 미래 보안’을 슬로건으로 오는 4월 24일~25일 양일간 더케이호텔서울에서 온오프라인 병행 개최된다.이번 NetSec-KR 2024은 ‘미중 디지털패권 시대의 사이버보안 / 인공지능 컴퓨팅과 사이버보안’을 주제로한 키노트를 시작으로 양일간 국가 사이버보안 체계 외 60여 개 세션발표로 진행될 예정이다.NetSec-KR은 한국정보보호학회가 초고속 정보통신망

미국의 대형 보험사인 푸르덴셜 보험가 지난 2월 5일 사이버 공격으로 인해 36,000명 이상의 민감한 개인정보가 유출된 것으로 드러났다.푸르덴셜은 2024년 2월 4일에 승인되지 않은 제3자가 네트워크에 침입하여 시스템에서 개인 데이터 일부를 추출하는 과정에서 침해가 발생했다고 밝혔다. 유출된 정보에는 개인의 이름, 주소, 운전면허증 번호 또는 신분증이 포함되어 있었다.보험 회사는 즉시 사법 당국에 침해 사실을 알리고 외부 사이버 보안 회사의 도움을 받아 대응에 나섰다. 그러나 푸르덴셜은 아직 어떤 시스템에 액세스했는지 또는 랜섬

개인정보보호위원회(위원장 고학수, 이하 ‘개인정보위’)는 지난 3월 27일 제6회 전체회의를 열고, 개인정보보호 법규를 위반한 ㈜디지털대성과 ㈜하이컨시에 대해 총 8억 9,300만 원의 과징금과 1,350만 원의 과태료를 부과하기로 의결했다.이들 2개 사업자는 인터넷 강의 사업자로, 입시를 준비하는 청소년이 주로 이용하고 있어 개인정보 유출에 각별한 주의를 기울일 필요가 있으나, 개인정보 보호법에 따른 안전조치와 개인정보 유출 통지 등의 의무를 위반하여 과징금과 과태료 부과 처분 등을 받게 되었다.우선 ㈜디지털대성의 경우 해커의 ‘

최근 중국 온라인 쇼핑 플랫폼 판다바이(PandaBuy)에서 130만 명 이상의 사용자 데이터가 유출된 것으로 확인됐다.이번 해킹 공격자로 알려진 '상지에로'와 '인텔보커' 조직은 최신 사이버 공격의 정교함을 보여줬다. 공격자들은 판다바이 API의 심각한 취약점을 활용하고 시스템 내의 다른 버그를 악용해 민감한 사용자 데이터에 무단으로 액세스할 수 있었다. 조직 내에서 강력한 취약점 관리 전략이 필요한 상황이다.유출된 데이터는 사용자 ID, 이름, 연락처, 주문 내역, 주소 등이다. 위협 행위자들은 지하 해킹 포럼에서 판매하거나 신

맥OS 사용자를 대상으로 진행 중인 인포스틸러 공격이 발견됐다. 공격자들은 악성 광고와 가짜 웹사이트를 이용해 두 가지 다른 스틸러 멀웨어를 배포하고 있다. 아토믹 스틸러와 리얼스트로 알려진 러스트 기반 스틸러 계열과 관련된 변종이다.공격 체인은 사용자가 구글과 같은 유명 검색 엔진에서 브라우저 아크(Arc)와 같은 특정 소프트웨어를 검색하는 것으로 시작된다. 스폰서 링크를 클릭하면 사용자는 멀웨어를 호스팅하는 "airci[.]net"과 같은 위조 웹사이트로 리디렉션된다. 특히 이러한 사이트에 직접 액세스하면 탐지 회피가 작동된다.

‘불투르(Vultur)’ 안드로이드 뱅킹 악성코드가 새로운 기능과 향상된 우회 기법을 장착하고 모바일 환경을 위협하고 있다.2021년 초에 처음 발견된 Vultur는 처음에는 안드로이드의 접근성 서비스 API를 활용해 악의적인 작업을 실행했다. 그러나 최신 버전의 트로이목마는 업그레이드된 원격 제어 기능을 적용해 위협 행위자가 감염된 디바이스와 원격으로 상호 작용할 수 있게 되었다.Vultur 주요 업그레이드 사항은 암호화된 통신과 합법적인 애플리케이션의 사용을 통해 악성 활동을 위장하는 기능이다. 명령 제어(C2) 통신을 암호화하

통신 대기업 AT&T가 최근 데이터 유출로 인해 7,300만 명에 달하는 고객의 개인 데이터가 유출된 사실이 확인됐다.이 사건은 2021년 샤이니 헌터스(Shiny Hunters)로 알려진 해커가 수백만 명의 AT&T 고객의 데이터를 훔쳤다고 주장하면서 시작되었다. 유출된 데이터에는 이름, 주소, 전화번호, 사회보장번호, 생년월일 등 민감한 정보가 포함된 것으로 알려졌다.당시 AT&T는 자사 시스템이 여전히 안전하다고 주장하며 유출 사건에 연루된 사실을 강력히 부인했지만, 2024년에 다른 위협 행위자가 해킹 포럼에서 동일한 데이터

2000년 초 안랩코코넛을 시작으로 포털 다음(DAUM. 현재 다음카카오), 쿠팡, ISMS-P 인증심사원 등 20년 이상을 정보보호 업무에 몸 담아온 박나룡 보안전략연구소 소장을 최근 만나 인터뷰를 진행했다.박 소장은 안랩코코넛에서 정보보호 엔지니어를 시작으로 당시 최대 포털사였던 다음커뮤니케이션 보안담당자로 자리를 옮겼다. 당시 다음은 현재 네이버보다 규모가 컸고 정보보호에도 많은 투자를 했다.◆포털 다음과 이커머스 쿠팡에서 보안 조직 세팅과 운영그는 ‘다음’에서 보안정책부터 보안조직 세팅 등 정보보호 업무를 배우고 이해하는데

한국인터넷진흥원(KISA, 원장 이상중)은 고용노동부, 한국산업인력공단과 함께 정보보안 산업계 재직자를 대상으로 2024년 최정예 정보보호 전문인력 양성(K-Shield, 케이쉴드)교육을 4월 1일(월)부터 시작한다고 밝혔다.케이쉴드(K-Shield)는 취약점 및 악성코드 분석, 모의 침투 등 침해사고 대응 기술력 강화를 위한 실무 중심의 교육으로 실시되고 있다. 이를 통해 디지털경제 가속화로 지능화되는 사이버 공격에 대응할 수 있는 고급 수준의 보안 인력을 양성하고 산업계의 인적 경쟁력을 강화하고 있다. 2022년도 국가인적자원개

개인정보보호위원회(위원장 고학수, 이하 ‘개인정보위’)는 3월 27일 제6회 전체회의를 열고, 대규모 언어 모델(Large Language Model, 이하 ‘LLM’)을 개발‧배포하거나 이를 기반으로 인공지능(AI) 서비스를 제공하는 6개 사업자에 대하여 개인정보 보호의 취약점을 보완하도록 개선권고를 의결하였다.개인정보위는 초거대‧생성형 AI 서비스의 급속 확산으로 프라이버시 침해 우려가 증대됨에 따라, 국민 불안의 조기 해소와 안전한 서비스 활성화를 위해 지난해 11월부터 한국인터넷진흥원(원장 이상중)과 함께 주요 AI 서비스를

금융보안원(원장 김철웅)은 디지털금융 및 금융보안 분야에 대한 우수한 논문을 발굴하고 국민적 관심을 고취하고자 금융위원회, 금융감독원 등 정보보호 유관기관과 함께 ‘제8회 금융보안원 논문공모전’을 개최한다고 밝혔다.‘제8회 금융보안원 논문공모전’은 4월부터 8월까지 전 국민을 대상으로 다양한 시각과 인사이트를 담은 논문을 공모한다. 창의적이고 학술적 가치가 높으며, 금융정책 기여 및 금융산업 적용 가능성이 높은 논문 8편을 선정하여 총 2,200만원 규모의 상금과 금융위원장상을 비롯해 금융감독원장상, 금융보안원장상 등의 특전을 수여

개인정보보호위원회(위원장 고학수, 이하 ‘개인정보위’)가 ‘개인정보 보호책임자’(이하 ‘CPO’)의 전문성 강화를 위해 ‘자격요건을 갖춘 CPO’(이하 ‘전문CPO’) 지정 제도를 본격 시행함에 따라 ‘개인정보 보호책임자 경력 인정에 관한 고시’(이하 ‘고시’)를 마련했다.개인정보 보호법 개정으로 지난 3월 15일부터 전문CPO 지정 제도가 시행됨에 따라 대규모 또는 민감한 개인정보를 처리하는 개인정보처리자는 일정자격을 갖춘 CPO를 반드시 지정해야 한다.고시에서는 전문CPO 경력으로 인정될 수 있는 자격범위를 구체화하였다.시행령에

한국인터넷진흥원(KISA, 원장 이상중)은 인천광역시(시장 유정복), 인천테크노파크(원장 이주호)와 함께 ‘2024년 지역 블록체인 기술혁신지원센터 구축 사업’에 관한 협약을 인천광역시청에서 3월 28일(목) 체결했다고 밝혔다.KISA와 과학기술정보통신부는 지난 2022년부터 블록체인 산업의 지역 균형 발전을 위해 지역 특화산업과 연계한 블록체인 혁신 서비스 발굴, 블록체인 기업 육성 지원을 위한 ‘지역 블록체인 기술혁신지원센터 구축 사업’을 추진하고 있다.KISA는 2024년 지역 블록체인 기술혁신지원센터를 유치할 광역지방자치단체

국가정보원은 3월 25일부터 29일까지 사이버위협 대응차원에서 전국 주요 정보통신기반시설 정보보호담당자 대상 설명회를 진행 중이다.이번 설명회는 최근 북한 등이 우리 국민 다수가 사용 중인 보안-인증 SW 취약점을 악용하여 해킹하려는 시도가 지속 포착되고 있어 선제적으로 기반시설을 보호하기 위해 마련됐다.특히, 지난 19일 ‘제30차 정보통신기반보호위’에선 “다가오는 선거를 겨냥한 사이버 도발 가능성에 보안 공백이 발생하지 않도록 민간과 공공의 역량을 결집하자”는 논의가 이뤄진 바 있다.미국 역시, 올해 대선을 앞두고 사이버인프라보

한국인터넷진흥원(KISA, 원장 이상중)과 방송통신위원회(위원장 김홍일)는 ‘불법스팸 방지를 위한 정보통신망법 안내서’ 개정본을 발간했다고 3월 28일(목) 밝혔다.KISA는 ‘정보통신망 이용 촉진 및 정보보호 등에 관한 법률’(이하, 정보통신망법)에 근거해 광고성 정보 전송과 관련한 규정을 전송자가 올바르게 이해하여 실무상 혼란을 방지하고 법령을 위반하지 않도록 지원하기 위해 2014년 12월 발간 이후 여러 차례 개정-배포해 왔다.이번 개정본에는 정보통신망법 일부 개정(‘24.1.23.)에 따른 변경사항을 반영했다. 불법스팸 전

널리 사용되는 레이(Ray) 프레임워크에 심각한 취약점이 발견됐다. 수많은 기업의 민감한 데이터와 컴퓨팅 리소스가 악용될 수 있어 각별히 주의해야 한다. 이 건은 AI 인프라를 활용하는 조직에서 강력한 보안 조치와 사전 예방적 위험 관리가 얼마나 중요한지를 말해주고 있다.사이버 보안 업체 올리고 시큐리티는 이 취약점을 공식적으로 CVE-2023-48022로 지정하고, 새도우레이(ShadowRay)라고 명명했다. 이 취약점은 원격 공격자가 Ray의 작업 제출 API를 통해 임의의 코드를 실행할 수 있게 하여 머신 러닝, 컴퓨팅, 데이

전 세계 수천 대의 오래된 아수스(ASUS) 라우터를 노리는 변종 더문(TheMoon) 멀웨어가 다시 등장했다. 악명 높은 봇넷인 더문의 재등장으로 약 6천대의 라우터가 감염된 것으로 조사됐다.2014년에 처음 발견된 더문 멀웨어는 라우터와 IoT 디바이스의 취약점을 악용해 봇넷 네트워크를 구축하는 등 수년에 걸쳐 진화해 왔다. 최근의 더문은 알려진 취약점과 잠재적으로 취약한 자격 증명을 활용해 아수스 라우터에 집중적으로 침투했다. 일단 감염되면 이 멀웨어는 은밀하게 작동하여 제어권을 확보하고 탐지를 회피하기 위해 일련의 작업을 실