개발자들은 보안 테스트에 대한 책임이 증가하면서 보안 지침과 표준 코딩 사례 등에 대한 정보를 찾고 있다.보안은 더 이상 보안팀 만의 책임이 아니다. 새로운 도구를 사용하면, 데브옵스(DevOps) 모델에 쉽게 테스트를 도입해 개발자가 앱이나 소프트웨어를 빌드할 때 코드를 검토하고 테스트할 수 있도록 할 수 있다. 그러나 개발자가 항상 보안 테스트 업무를 직접 수행할 수 있는 것은 아니다. 깃랩(GitLab)의 2020 글로벌 개발자 보고서(GitLab’s 2020 Global Developer Report)에 따르면, 설문조사에

글로벌 보안기업들의 조사에 따르면, 2020년에 발생한 해킹에 의한 데이터 침해로 인해 수백억 건의 데이터가 유출된 것을 확인할 수 있다.한편 유출된 데이터는 대부분 다크웹에서 사이버 범죄자들에 의해 판매되거나 공유되고 있는 상황이다. 물론 2차 피해로 이어지고 있는 것도 사실이다.시큐리티어페어스는 아래와 같이 2020년 주요 글로벌 정보유출 사건을 공개했다.2020년 1월: 2억5천만 마이크로소프트 고객 지원 기록 및 개인식별정보가 온라인에 노출.2020년 2월: 화장품 회사 에스티로더 소유의 데이터베이스에서 4억4천만개의 정보가

다크웹에서 사이버 범죄자가 2억명 정도의 중국인 데이터를 판매하고 있는 것이 확인됐다.해외 보안전문가들은 중국의 유명 사이트들에서 유출된 정보들로 보고 있다.현재 판매되고 있는 데이터 샘플에는 중국 공안 카운티의 시민 정보 999건에 대한 샘플 데이터가 제공되고 있다.또 판매되는 데이터는 ID, 성별, 이름, 생년월일, 휴대폰, 주소 및 코드번호가 포함돼 있다. 또 중국 웨이보 플랫폼과 QQ 사용자와 관련된 데이터도 포함돼 있다.한편 다크웹에는 한국 이랜드그룹에 랜섬웨어 공격을 가해 200만개 카드정보를 훔쳤다고 주장하며 한국인 카

2021년에는 ▲타깃형 랜섬웨어 공격 증가 ▲비대면 업무환경 보안위협 확대 ▲다양해지는 악성코드 제작 언어 ▲악성코드의 기능 모듈화 ▲악성앱 유포 글로벌화 등이 주요 보안위협으로 떠오를 전망이다.안랩(대표 강석균)은 2021년 예상되는 주요 보안위협을 정리해 ‘2021년 5대 사이버 보안위협 전망’을 발표했다.안랩 시큐리티대응센터 한창규 상무는 "2021년에는 코로나19가 촉발한 디지털 중심의 일상생활이 더욱 확산될 것”이라며 “이런 상황에서 사이버 보안위협은 우리 생활에 직접적인 피해를 입힐 것으로 예상되기 때문에 기관과 기업,

[제공. 스틸리언. 클릭]★정보보안 대표 미디어 데일리시큐!★

지난해 코로나19 상황에서도 성공적으로 정보보호 컨퍼런스를 개최해 공공, 금융, 기업 정보보호 실무자들에게 알찬 보안정보를 제공한 데일리시큐는 올해 2021년에도 특화된 정보보안 및 개인정보보호 컨퍼런스 개최를 준비하고 있다.데일리시큐 2021년 정보보호 컨퍼런스 일정은 다음과 같다. (아래 일정은 코로나19 상황에 따라 변경될 수 있다.)◆ 2021 대한민국 사이버위협·침해사고대응 인텔리전스 컨퍼런스제8회 K-CTI 2021은 오는 2월 23일 한국과학기술회관 대회의실에서 개최될 예정이다. 국내 최고의 정보보안 인텔리전스 전문가들

개방형 직위인 국민건강보험공단 정보보안부장(2급)에 정보보안 분야 민간전문가가 임용됐다.2020년 5월 빅데이터센터장에 이어 정부 민간인재 영입 지원으로 발굴된 공단 내 두 번째 사례다.인사혁신처(처장 황서종)와 국민건강보험공단(이사장 김용익)은 김용훈(남, 52세) 전 에스케이(SK)인포섹 정보보호실장을 정부 민간인재 영입 지원으로 발굴해 정보보안부장에 임용한다고 31일 밝혔다.정부 민간인재 영입 지원은 공직 경쟁력 강화를 위해 각 부처 및 기관 요청에 따라 민간 우수인재를 인사처가 직접 조사, 추천하는 맞춤형 인재 발굴 서비스로

10만개 이상의 Zyxel 방화벽, VPN 게이트웨이 및 액세스 포인트 컨트롤러에서 하드코딩된 백도어 계정이 발견됐다. 이는 공격자에게 장치에 대한 루트 액세스 권한을 부여 할 수 있는 것이다.해당 기기를 사용하는 기관은 신속히 업데이트해야 해킹 피해를 면할 수 있다.보안 전문가들은, 이번 백도어는 DDoS 봇넷 운영자부터 국가가 후원하는 해킹 그룹 및 랜섬웨어 갱에 이르기까지 누구나 악용해 취약한 장치에 액세스하고 추가 공격을 감행할 수 있다고 경고하고 있다.백도어의 영향을 받는 모델은 민간 기업 및 정부 네트워크에 배포되는 비즈

사이버 범죄자들이 최근 페이스북 광고를 악용해 사용자들의 로그인 계정을 탈취하기 위한 피싱 공격을 대규모로 하고 있어 페이스북 이용자들은 각별한 주의가 요구된다.보안 회사 ThreatNix 연구원들은 “사이버 범죄자들이 페이스북 광고를 사용해 이용자들의 로그인 자격 증명을 훔치는 데 사용하는 피싱 페이지를 호스팅하는 깃허브 계정으로 사용자를 리디렉션하고 있다”고 경고한 것이다.이번 공격은 이집트, 필리핀, 파키스탄, 네팔을 포함한 여러 국가에서 진행되고 있다.보안연구원은 “이 캠페인은 잘 짜여진 것으로 보이며, 위협 행위자들은 합법

티모바일(T-Mobile)이 해커에 의해 전화번호 및 통화 기록을 포함한 고객의 계정 정보를 노출하는 데이터가 유출됐다고 공개했다.T-Mobile 보안 직원은 “시스템에 무단으로 악의적인 접근이 있었다”며 “우리 사이버 보안 팀은 최근 T-Mobile 계정과 관련된 일부 정보에 대한 악의적인 무단 액세스를 발견하고 차단했다”고 전했다.조사결과, 공격자들은 고객 계정의 이름, 실제 주소 또는 이메일 주소, 금융 데이터, 신용카드 정보, 주민등록번호, 세금 ID, 비밀번호 또는 PIN에 액세스하지 않았다고 덧붙였다.한편 T-Mobile

구글이 악성 웹 사이트에 삽입해 민감한 구글 Docs 문서의 스크린 샷을 훔칠 수 있는, 구글 서비스 전반에 통합된 피드백 도구에 존재하는 버그를 패치했다.해커스뉴스에 따르면, 해당 결함을 발견한 보안연구원은 지난해 7월 9일 발견했고 구글로부터 3천133달러를 보상받았다고 보도했다.구글 Docs를 포함한 많은 제품은 사용자가 특정 문제를 강조하기 위해 자동으로 로드되는 스크린샷 등을 포함해 피드백을 보낼 수 있는 "피드백 보내기” 또는 "구글 문서 개선 참여하기”와 같은 옵션을 지원한다.피드백 기능은 여러 서비스에 동일한 기능을

사이버 공격자들이 시트릭스(Citrix) ADC 네트워킹 장비에 정크 웹 트래픽을 증폭해 DDoS 공격을 진행하고 있다.공격자에 대한 세부 정보는 아직 알려지지 않았지만 시트릭스 기반 DDoS 공격의 피해자에는 스팀 및 Xbox와 같은 온라인 게임 서비스가 포함되어 있다.시트릭스도 DDoS 공격 벡터가 전 세계의 소수 고객에게 악용되는 것을 목격했다고 밝혔다.여러 보고서를 통해 시트릭스는 문제를 확인하고 2021년 1월 중순 겨울 휴가 이후 수정 사항을 발표할 것을 약속했다.시트릭스 ADC 장치의 DTLS 인터페이스에 대한 문제다.

2020년은 코로나19 팬더믹과 데이터 3법 개정으로 인해 그 어느 때보다 정보보호 이슈가 많은 한 해였다.조직에서는 언택트 환경에 따른 원격 근무가 확대되면서 관련된 정보보호 활동이 증가했고, 공인인증서에서 ‘공인’이 폐기되면서 다양한 인증서가 사용될 수 있는 기반이 조성되었으며, 관리되지 않는 컴퓨팅 자원에서 랜섬웨어가 감염되어 서비스 연속성에 영향을 주는 사례도 발생했다.개인정보 관점에서는 개인정보보호위원회가 조직을 통합 정비해 출범했고, 코로나 감염자에 대한 개인정보 공개 논란도 있었다.특히, 데이터 3법으로 불리는 법률들이

이랜드그룹 해킹으로 한국 신용카드 및 체크카드 정보 200만건을 탈취했다고 주장하는 클롭 랜섬웨어 조직이 28일 10차로 10만건의 카드정보를 다크웹에 공개했다.현재 유포된 카드정보는 100만건에 달한다. 클롭 랜섬웨어 갱단은 지난 1년간 이랜드그룹 여러 매장에서 사용하는 POS기기에 악성코드를 심어 놓고 신용카드 정보 200만건을 빼내왔다고 주장하고 있다.이랜드그룹은 클롭 조직이 요구한 445억원의 비트코인 지불을 거부했고 그러자 자신들의 다크웹 사이트에 훔친 카드정보를 유포하고 있다.현재 이랜드그룹은 자신들의 매장에서 빠져나간

개인정보보호위원회(위원장 윤종인, 이하 ‘개인정보위’)는 12월 23일 제9회 위원회 전체회의에서 의결한 ‘정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시’(이하 ‘ISMS-P 인증 고시’) 일부개정안을 공포했다.현장에서 지속적으로 개선을 요구한 유사・중복점검 해소, 심사기관 지정공고 절차 개선, 인증‧심사기관에 대한 사후관리 강화, 신기술변화에 대응하기 위한 분야별 세부점검 항목 마련을 위해 개정하였으며, 이번 고시 개정으로 앞으로 ISMS-P 인증을 획득한 수탁회사는 위탁회사들이 ISMS-P 인증심사를 받을 때마다 반복되

스파이스웨어가 고도화-지능화된 사이버 위협에 발빠르게 대응하기 위해 ‘2020년 보안 이슈 결산 및 정보보호 실태’를 조사했다. 정보보안 전문가 170명을 대상으로, 기업-기관의 개인정보 보호 수준과 업계 비즈니스 사례 확인을 통해 ◇2020년 보안 이슈 ◇정보보호 실태 ◇클라우드 도입 및 보안 현황 등 다양한 설문 결과를 발표했다.스파이스웨어가 발표한 ‘2020년 보안 이슈 결산 및 정보보호 실태’ 조사에 따르면, ‘재택근무에 따른 보안 위협(39%)’과 ‘데이터 3법 시행’(32%)을 올해의 보안 이슈로 손꼽았다. ‘정보보호 관

라온시큐어의 자회사 라온화이트햇(대표 이정아)이 ‘2021년 보안 위협 트렌드-익숙해진 언택트, 가까워진 보안 위협’을 28일 발표했다.세계 주요 해킹방어대회를 석권한 라온화이트햇 핵심연구팀은 코로나19 심화로 비대면 생활이 보편화됨에 따라 이를 악용한 사이버 공격이 증가할 것으로 예상하고, 기업과 개인이 각종 보안 위협에 대비할 수 있도록 ‘2021년 보안 위협 전망 Top 5’를 발표했다.라온화이트햇이 전망한 보안 위협의 주요 내용에는 ◇홈 IoT 기기 사용 증가로 홈 네트워크 해킹 및 사생활 침해 위험 증가 ◇기업 핵심 업무의

시트릭스(Citrix)가 DDoS(디도스) 공격이 시트릭스 ADC(Application Delivery Controller) 네트워킹 장비를 표적으로하고 있다고 밝혔다.위협 행위자가 시트릭스 어플라이언스에 대한 공격에서 DTLS(Datagram Transport Layer Security) 프로토콜을 증폭 벡터로 사용하고 있다는 것이다. DTLS 프로토콜은 앱 및 서비스를 보호하기위한 통신 프로토콜이다.즉 DTLS는 데이터그램 기반 애플리케이션이 도청, 변조 또는 메시지 위조를 방지하도록 설계된 보안을 제공하는 통신 프로토콜인 것이

북한 정부 후원 해킹조직으로 잘 알려진 APT 공격그룹 라자루스(Lazarus)가 최근 코로나19 연구와 관련된 최소 두 개의 조직에 대한 사이버 공격을 시작한 것으로 조사됐다.카스퍼스키에 따르면, 라자루스 APT 그룹은 2007년경부터 활동을 시작했고 2014년과 2015년에 활동이 급증했으며, 대부분 공격에 맞춤형 맬웨어를 사용했다. 주로 데이터를 훔치고 시스템을 파괴하기 위한 사이버 스파이 활동과 사보타주 활동에 참여한 것으로 알려져 있다.이 그룹은 워너크라이(WannaCry) 랜섬웨어 공격, 2016년 SWIFT 공격, 소니

이랜드그룹에 랜섬웨어 공격과 1년간 POS기를 해킹해 한국 신용카드 및 체크카드 정보 200만건을 탈취했다고 주장하며 445억원의 비트코인을 요구한 클롭 랜섬웨어 조직이 9차로 10만건의 카드정보를 다크웹 사이트에 공개했다.12월 3일 1차로 10만건을 공개한 이후 27일까지 총 9차에 걸쳐 90만건 정도의 한국 카드정보를 다크웹에 무차별로 공개하고 있다. 다운로드를 클릭하면 누구나 다운로드할 수 있는 상황이다. 이제 남은 카드정보는 110만건에 달한다. 클롭 조직은 앞으로 계속 훔친 카드정보를 공개해 나갈 것으로 예상된다.한편 국