미래창조과학부(장관 최문기)는 포털, 인터넷 쇼핑몰, SNS, 온라인 뱅킹 등 인터넷을 통해 제공되는 정보통신서비스에 대한 해킹 등 사이버위협 취약점을 분석·평가해 공개해 나갈 계획이라고 밝혔다. 오늘날 인터넷으로 대표되는 사이버 공간에 대한 사회·경제적 의존도는 점점 높아지고 있다. 포털에서 정보를 얻고, SNS로 실시간 소통을 하며, 인터넷뱅킹으로 금융거래를 하는 등 이제 사이버 공간은 우리의 일상생활에서 가장 큰 활동 무대다. 그러나 이렇게 편리한 사이버 공간의 이면에는 인터넷 서비스의 각종 취약점을 악용한 악성코드 감염, 개

국내 기업 관계자들은 ‘일반 국민과 사업자들의 개인정보보호에 대한 인식이 태부족하다’고 느끼고 있으며, 정부당국은 과징금 위주의 행정처분보다는 현실여건을 감안한 계도와 교육, 정보보호 인식 제고에 더 많은 노력을 기울여야 한다고 보고 있는 것으로 나타났다. 또 ‘사업자 영역별로 환경에 차이가 있으므로 업태별 가이드라인을 지속적으로 제시 및 제공해 줄 것’과 ‘다양한 교육용 교재 및 콘텐츠 개발 등을 통한 정부차원의 교육지원 증대’를 이 분야의 가장 시급한 과제로 꼽고 있는 것으로 조사됐다. 이같은 결과는 사단법인 한국개인정보보호협의

얼마전 데일리시큐는 단독기사로 포털 네이버(NAVER) 정상 계정이 중국 최대 옥션 사이트인 타우바우 사이트에서 공공연히 거래되고 있다는 사실을 확인하고 이를 기사화 한 바 있다.-관련기사: dailysecu.com/news_view.php?article_id=5603 이번에는 포털 다음(DAUM) 계정도 마찬가지로 타우바우(www.taobao.com)에서 마치 상품처럼 거래되고 있는 사실도 여러건 발견했다. 보통 판매가를 1위안(180원 정도)으로 책정해 놓았지만 1위안은 타우바우가 제한한 판매 최저가일 뿐, 실제 거래 가격은 판

모 인터넷서점 B사이트와 휴대폰 판매 C사이트에서 XSS 취약점이 발견됐다. 게시판에 body태그가 필터링 되지 않아 onload속성과 onunload속성을 이용한 XSS 취약점과 img태그의 onerro의 속성을 적절히 필터링하지 않아 발생한 XSS 취약점이었다. 두 사이트의 취약점을 발견하고 데일리시큐에 제보한 김정훈(동명대) 씨는 “두 사이트의 XSS 취약점을 발견하고 해당 사이트에 통보해 현재 취약점 패치가 이루어졌다”며 “주로 게시판에서 이러한 문제가 발생하고 있어 사이트 관리자들의 각별한 주의가 요구된다”고 전했다. B사

미국 NSA 국장은 현재 미국 사이버 사령부에 대한 권한을 가지고 있지만, 차기 NSA 국장은 이와 달라질 예정이다. 군 지휘부와 의회는 권력 남용을 예방하고 NSA의 신뢰를 회복하기 위해 역할을 분리하고자 한다. 2005년 NSA 국장으로 임명된 알렉산더는 2010년 사이버 사령부에 대한 지휘 역할을 획득했으며, 내년에는 이 자리에서 물러날 계획이다. 알렉산더 NSA국장은 2개의 기관에서 자원 및 의사결정 등 사소한 싸움들을 없애기 위해서는 2개의 지위는 연결되어야 한다고 믿고 있다. -thehill.com/blogs

트레이드포트리스는 공격자들이 취약점을 공격해 약 120만달러(원화 약 13억원)의 비트코인을 훔쳐간 후 비트코인 웹 지갑 서비스 Inputs.io를 폐쇄했다. 이번 공격은 지난 10월 23일 발생했다. 트레이드포트리스의 성명에 따르면 "공격자는 이메일 주소를 해킹해 호스팅 서버를 해킹했다. 트레이드포트리스 또한 비트코인을 인터넷에 연결되지 않은 컴퓨터에 저장해야 한다“고 밝혔다. -www.coindesk.com/hackers-steal-bitcoins/ [외신. 2013. 11. 7. SANS Korea / www.i

10월 24일 미국 국토안보부 감사실의 보고서에 따르면, 미국 정부는 사이버 사고에 대한 디지털 경고 시스템은 없다. 즉 연방정부간 또는 민간 회사와의 침해사고에 대한 경고를 공유할 수단이 없다. 이벤트 보고 및 대응 정보를 배포하는 시스템은 있으나, 두 개의 시스템은 연결되어 있지 않다. 감사실의 보고서에는 상황인식 제품과 사이버 사고를 연결할 수 있는 도구 및 기술을 구매하거나 개발하는 것을 포함해 7개의 권고사항을 제시했다. -www.oig.dhs.gov/assets/Mgmt/2014/OIG_14-02_Oct13.

미국 FBI는 사이버 범죄자에 대한 지명수배자 명단을 추가했다. FBI는 최근에 지명 수배 명단에 5명을 추가해, 사이버 범죄자 지명 수배자가 17명으로 증가했다. 가장 최근의 추가된 사람 중에는 DNSChanger와 관련된 나빌레비치 타메와 주요 전자상거래 회사에 침투해 사용자 ID와 암호화된 패스워드를 훔쳐가서 판매한 알렉시 벨란이 포함되었다. 벨란의 불법 활동으로 인해 발생한 피해는 1억달러(원화 약 1100억원)가 넘는다. -사이버범죄자 지명수배자: www.fbi.gov/wanted/cyber [외신. 2013.

2014년 1월부터 윈도용 크롬 사용자는 크롬 웹스토어에서 오는 확장프로그램만 설치하도록 허가될 예정이다. 현재는 사용자들이 크롬 스토어의 외부에서 오는 확장프로그램 설치를 원하는지 질문을 받으나, 공격자들은 이러한 경고 기능을 우회하는 방법을 발견했다. -news.cnet.com/8301-1009_3-57611380-83// [외신. 2013. 11. 7. SANS Korea / www.itlkorea.kr]

국제 해킹·보안 컨퍼런스 ‘POC 2013’의 이벤트 행사인 ‘Power of XX’가 8일 The-K 서울호텔에서 개최됐다. 이는 숙명여자대학교 정보보호 동아리 SISS와 해커스쿨(Hacker school)이 2011년부터 주최해 온 여성 해킹대회다. Power of XX에서는 전통적인 웹, 시스템 문제부터 암호학, 알고리즘, IT 시사 상식에 관한 퀴즈까지 여러 분야와 난이도의 문제가 출제되며, 정해진 시간 동안 문제를 가장 많이 푼 팀이 승리하는 방식이다. 총 50여개 팀이 참가해 10월 5일 온라인 예선을 치렀으며, 우수한

국제 해킹·보안 컨퍼런스 POC2013에서 주목할 만한 발표 중 하나가 바로 CCTV 관련 제로데이 발표였다. 몰도바 출신 해커 안드레이 코스틴(Andrei Costin)은 지난해 이어 올해도 POC 발표자로 참가해 흥미로운 주제 발표를 하게 됐다. 데일리시큐는 안드레이와 사전 인터뷰를 통해 이번에 공개될 CCTV 취약점 관련 내용에 대해 자세히 들어보는 시간을 가졌다. 그는 현재 프랑스에 거주하고 EURECOM이라는 시큐리티 연구기관에서 박사과정을 밟고 있으며 보안연구가로 활동하고 있다. 그에게 CCTV 취약점을 연구하게 된 동기

11월 7일과 8일 서울 양재동 더케이서울호텔에서 열리고 있는 국제 해킹·보안 컨퍼런스 POC 2013의 메인 이벤트는 바로 러시아 파지티브 테크놀로지스 해킹팀이 어렵게 한국까지 공수해 온 스카다(SCADA) 시스템에 대한 해킹 게임 이벤트라고 할 수 있다.국내 해커들도 쉽게 접할 수 없었던 실제 스카다 시스템을 접해 볼 수 있는 좋은 기회가 주어진 것이다. POC 참관객들은 스카다 시스템 해킹 게임에 참여해 직접 스카다 시스템의 로직을 살펴보고 자신들이 만든 해킹툴로 실제 해킹도 해 볼 수 있는 기회를 가졌다. 러시아 보안기업인

11월 7일부터 8일까지 서울교육문화회관(The-K 서울호텔)에서 개최된 국제 해킹·보안 컨퍼런스 ‘POC 2013’에서 주목을 많이 받은 주제 중 하나는 ‘산업제어시스템(ICS/SCADA)에 대한 해킹 기술’이였다. 이는 강연과 함께 ‘Choo Choo Pwn 이벤트’로 진행됐으며, 이 이벤트에선 실제 산업제어시스템을 공격할 수 있는 기회를 제공해 더욱 눈길을 끌었다. 산업기반시설을 미니어처로 만들어 실제 현장과 같은 상황을 재연했기 때문이다. 진행을 맡은 ‘SCADA StrangeLove팀’은 세르게이 고르디칙(Sergey Go

올해 8회째를 맞는 국제 해킹·보안 컨퍼런스 POC 2013이 11월 7일과 8일 양일간 서울 양재동 더케이서울호텔 가야금홀에서 열리고 있다. 이번 행사는 국내·외 유명 해커들의 퀄리티 있는 최신 해킹기술 시연들로 구성돼 있어 해커들과 보안전문가들의 높은 관심을 끌고 있다. 특히 첫날 첫 발표를 맡은 KAIST 김용대 교수는 “Hacking Sensors with EMI”라는 주제로 발표를 진행했다. 데일리시큐는 레이더와 심장박동기 관련 내용도 흥미로웠지만 후반부의 스마트폰 데이터 무료이용 해킹기법에 대해 좀더 자세한 후속 인터뷰

한글 취약점을 이용한 APT 공격용 악성 문서가 지속적으로 발견되고 있어 주의가 필요하다. 특히 특정 기관을 타깃으로 한 공격이라 관련 기관은 각별한 주의가 요구된다. 이번 악성 파일을 발견한 하우리(대표 김희천 www.hauri.co.kr) 보안대응센터 김정수 센터장은 “이번에 발견된 북중간 경제협력의 평가 및 전망에 대한 한글 문서는 경색 국면으로 접어든 남북관계의 돌파구로 중국과의 경제협력으로 풀어가려는 북한의 현 상황에서 대북관련 기관 및 단체 관련자에게 발

경기도 포천 시청(www.pcs21.net) 사이트에서 XSS(크로스 사이트 스크립팅) 취약점이 발견됐다. XSS란 ‘Cross site Scripting’의 줄임말로 서버가 아닌 클라이언트를 공격하는 기법이다. 공격자가 게시판 등에 스크립트를 삽입하면 클라이언트가 스크립트를 읽어 공격자의 스크립트가 실행되는 공격기법이다. XSS 취약점은 OWASP에서도 주요 웹 취약점으로 경고하고 있어 웹 사이트 관리자의 각별한 주의가 요구된다. 악의적 공격자는 XSS 취약점을 이용해 사용자 쿠키 정보를 변경하거나 탈취할 수 있으며 정상적인 사용

모 스터디공간 대여 사이트(www.studyXXXXX.com)의 공지사항, 예약신청 게시판 등에서 블라인드 SQL인젝션 취약점이 발견됐다. 공지사항, 예약신청 글 중 하나를 골라 뒷주소에 에러를 내는 문자를 삽입하면 되는 취약점이다. 이번 취약점을 발견하고 데일리시큐에 제보한 윤성권(0xyzen TEAM 소속) 군은 “블라인드 SQL 인젝션은 악의적인 문자를 삽입해 쿼리결과로 나오는 결과에 따라 DB를 공격하는 기법”이라며 “SQL 구문을 필터링 하지 않아 발생하는 취약점으로 악의적 해커가 오류정보를 획득해 DB를 탈취하고 이를 통

모 수학 전문 인터넷 강의사이트(www.XXmath.kr)의 자유게시판, 공지게시판 등에서 블라인드 SQL인젝션 취약점이 발견됐다. 해당 취약점을 발견하고 데일리시큐에 제보한 윤성권(0xyzen TEAM 소속) 군은 “자유, 공지 게시판의 글 중 하나를 골라 뒷주소에 에러를 내는 문자를 삽입하면 적용된다”며 “블라인드 SQL 인젝션은 악의적인 스크립트를 삽입해 쿼리결과로 나오는 결과에 따라 DB를 공격하는 기법”이라고 설명했다. 윤 군은 이번 취약점에 대해 “SQL 구문을 필터링 하지 않아 오류정보를 획득해 데이터베이스 즉 DB에

11월 6일 기준으로 MS 오피스 제로데이 보안취약점을 이용하는 악성 Word 파일이 다수 발견됐다. 파키스탄 등에서 변종이 다수 유포 중인 정황도 포착된 상태다. 이번 악성파일을 발견하고 포스팅한 잉카인터넷 대응팀 관계자는 “해당 이슈는 대응팀에서 지난 10월 말 관련 첩보를 입수하고 자체 조사를 은밀하고 진행 중에 있었다. 또한 보여지는 문서파일은 대체로 파키스탄 시간대를 이용하고 있다”고 설명했다. 악성파일은 "Shanti Dyanamite.docx", "IMEI.docx", "Inter-Services Intelli

도로교통공단(이사장 주상용)은 ‘교통사고로부터 국민의 생명과 재산보호’에 앞장설 ‘공공기관 청년인턴’ 및 ‘고졸 출신자’ 등 다양한 사회형평적 인재’를 포함하여 역량 있는 경력직을 공개 채용한다. 주요 모집분야는 PD, 엔지니어 등의 교통방송 운영요원과 상습음주전자 상담교수, 교통안전교육을 위한 강의교수를 비롯해 전국 26개 운전면허시험장의 공정한 면허시험 관리 또는 민원처리 담당요원과 정보보안 강화를 위한 윤리적 해커 및 GIS 관련 전문인력 등을 대상으로 한다. 응시원서 접수기간은 11월 7일부터 11월 15일 18시까지 9일간