모 인터넷강의 S사이트의 인증번호 탈취 취약점이 발견됐다. 탈취한 인증번호로 인증까지 성공할 수 있어 주의해야 하며 이를 통한 금전적 피해도 발생할 수 있다. 해당 취약점을 발견하고 데일리시큐에 제보한 윤성권(월산중) 군은 “웹 프록시를 이용해 인증번호 탈취가 이루어지고 불법 인증까지 가능하다. 그리고 이를 통해 이용자의 금전적 피해까지 발생할 수 있어 주의해야 한다”고 밝혔다. 또한 인강 수강은 뒷 부분 코드 조작만으로 가능한 상황이다. 데일리시큐는 해당 취약점을 KISA에 통보해 보안조치가 이루질 수 있도록 할 예정이다. 데일리

탱크디스크라는 P2P 사이트에 로그인을 하면 이벤트에 참여하라며 이벤트 웹페이지로 이동되는데 해당 페이지에서 실명인증 체크 및 인증번호 취약점이 발견됐다. 해당 취약점을 발견하고 데일리시큐에 제보한 유태민(조선대학교) 씨는 “해당 사이트 이벤트 내용은 30일 무제한 이용권을 3900원에 판매한다고 적혀있으나, 주민번호 앞자리는 생년월일을 아무렇게 입력하고 뒷자리는 뒷 주민번호의 길이인 7자리를 아무렇게나 입력하고 핸드폰 번호를 입력한 뒤, 전송을 누르게 되면 그 번호로 인증번호가 전송된다”고 설명했다. 그는 “이 취약점을 이용하면

금융보안연구원(원장 김광식)은 금융보안포럼과 공동으로 “금융보안 교육 아이디어 및 시나리오 공모전”을 개최한다고 밝혔다. 공모는 교육아이디어 및 교육시나리오 등 2개 부문으로 나눠 진행되며 별도 참가 자격 없이 누구나 응모 가능하다. 교육아이디어 부문은 금융보안 교육 시행의 모범 사례나 발전적 모델에 대한 내용을, 교육시나리오 부문은 대상별 교육 내용 구성안을 출품하면 된다. 최우수상에 100만원의 상금을 수여하는 것을 비롯해 우수상, 장려상 등 다수 작품에 대해 시상이 이루어질 예정이다. 접수 기간은 11월 1일부터 25일까지이며

한화생명이 개인정보 암호화를 성공적으로 적용해 운영하고 있음에 따라 그 동안 개인정보 암호화를 쉽게 적용하지 못한 금융사들의 개인정보 암호화에 어떤 영향을 미칠지 귀추가 주목된다. 한화생명은 개인정보보호법에 따라 전사 시스템에 대해 고객정보, 임직원정보, FP정보 등 모든 개인정보에 대해 암호화를 적용을 완료했다고 밝혔다. 이는 현재까지 적용 사례 중 금융권 최대로 약 90여개 시스템에 이르며, 구축기간은 2012년 7월~2013년 10월까지 총 16개월이 소요되었다. 한화생명 개인정보암호화 구축 담당자는 “그 동안 개인정보 유출에

일명 ‘Y세대’라 불리는 21~32세 직원들을 대상으로 실시한 보안 설문조사 조사 결과, Y세대에 해당하는 직원들은 개인용 스마트기기 사용 제제에 관한 회사의 BYOD 정책에 강한 불만이 있으며, 정책을 위반할 생각도 있는 것으로 나타났다.포티넷에서 실시한 이번 설문조사는 스마트폰, 태블릿PC등 개인용 스마트기기를 보유하고 있는 21~32세 (Y세대)에 해당하는 정규 직원들을 대상으로 전세계 20여 개국에서 실시했으며 총 응답자 3,200명(한국에서는 150명)이 참여했다.특히 올해 조사에서 ‘개인 스마트기기 사용에 따른 회사의 방

10월 4주차 발견된 악성코드 유포지는 최근 한달 간 최저치를 기록했지만 신규 경유지는 지난주에 비해 약 40% 증가한 것으로 조사됐다. 빛스캔(대표 문일준) 측은 “이번 주는 주요 사이트를 통한 악성코드 유포가 증가한 가운데 지난주에 나타난 IE 제로데이를 이용한 공격킷이 지속적으로 활용됐으며 다운로드 된 바이너리는 신규 파밍 사이트로 연결됐다”고 설명했다. 또한 “올해 상반기에 나타난 스팸메일 발송목적인 레드킷 활동이 다시 포착됐으며 공다팩도 기존 8개의 취약점에서 9개의 취약점을 이용하는 모습도 꾸준히 관찰됐다”고 덧붙였다.

정보 보호 관련 학계 및 정부 유관 기관과 손잡고 강력한 기업 보안 전략 수립을 위한 보안 전문가 대상 체험 이벤트가 열린다.시만텍코리아(www.symantec.co.kr)는 오는 11월 6일(수) 기업 보안 전문가들을 대상으로 ‘APT(Advanced Persistent Threat, 지능형 지속 위협) 공격 시뮬레이션 대회’를 개최한다고 밝혔다.사이버 보안 위협이 더욱 고도화되고 정교화되는 가운데 특히 APT공격이 점점 기승을 부림에 따라 기업을 대상으로 한 공격에 대한 대응책 및 기업 내 우수한 보안 인재 양성이 적극 필요한

한국IBM(대표 셜리 위-추이 www.ibm.com/kr)은 30일, 2013년 IBM X-포스(X-Force) 연례 보안 동향 보고서의 결과를 발표하고 기업과 기관의 최고정보보호책임자(CISO)가 새로운 형태의 보안 위협에 더 효과적으로 대응하기 위해 소셜 미디어, 모바일, 웹 페이지의 취약점과 공격 실태를 파악하는 것이 최우선 과제임을 밝혔다. IBM X-포스의 연구 결과에 따르면, 소셜 미디어, 모바일, 홈페이지 등 새로운 매개체를 대상으로 사용자의 신뢰를 악용한 공격 행태가 기승을 부리고 있다. 공격의 유형 또한 보다 정교해

경기도 포천에 위치한 G중학교와 Y고등학교 사이트에서 XSS 취약점이 발견됐다. XSS란 Cross site Scripting의 줄임말로, 서버가 아닌 클라이언트를 공격하는 기법이며 공격자가 게시판 등에 스크립트를 삽입하면 클라이언트가 스크립트를 읽어 공격자의 스크립트가 실행되는 것이다. OWASP 10대 웹 취약점에 포함된 것으로 관리자의 신속한 조치가 필요하다. 이번 두 학교 웹사이트의 XSS 취약점을 발견하고 데일리시큐에 제보한 Team Pure 소속 유훈상 군은 “포천지역 G중학교와 Y고등학교 사이트에서 XSS 취약점이 발견

미래창조과학부가 주최하고 KISA가 주관한 2013년 제10회 해킹방어대회 본선이 10월 30일 오전 9시부터 오후 6시까지 더케이서울호텔에서 펼쳐졌다. 최종 우승팀은 1만2,500점을 획득한 ‘설이’팀이 차지했다. 국내 정보보호 인력의 수준측정 및 정보보호 인식제고를 목적으로 개최된 이번 해킹방어대회는 예선상위 10개 팀과 코드게이트에 참가팀 중 상위 1개팀 총 11개 팀이 참여해 경합을 펼쳤다. 1위 ‘설이’팀에 이어 ‘CodeRed’팀이 9,310점으로 2위를 차지했고 3위는 9,100점을 획득한 ‘진격의해커’팀이 차지했다.

지난주 PHP.net 사이트가 사이버 침해공격을 받아 사이트가 10월 22일~24일까지 일부 사용자에게 악성코드를 유포한 사건이 발생했다. 구글 세이프 브라우징 시스템이 이 사이트가 악성이라고 표시를 시작하면서 사이트의 침해상황이 탐지되었다. PHP 관리자는 자바스크립트 악성코드를 삭제했으나 공격자들이 사이트에 접근한 방법을 확실치 않다. 관리자는 PHP 소스코드 보관소는 이번 사고로 피해를 입지 않았다고 밝혔다. 관리자들은 공격자들이 사이트의 SSL 프라이빗 키에 접근했을 수도 있다는 것을 인정했다. 그래서 바로 사이트의 인증서를

사이버 공격이 영국 기업들이 직면한 주요 위협이며, 25개 영국회사 중 24개가 사이버 공격을 방어할 수 있는 적절한 보안 수단을 가지고 있지 않고 있다고 보고했다. 예산 부족이 사이버 위협 대응에 가장 큰 문제이며 66%는 충분한 기술력을 가진 직원을 보유하고 있지 않는 것이 그 이유라고 조사되었다. 유사하게 28%는 경영진의 인식 및 지원 부족이라고 답했다. -www.telegraph.co.uk/technology/internet-security/ [외신. 2014. 10. 29. SANS Korea / www.it

범죄자들이 멕시코의 ATM에서 이전에 탐지된 악성코드를 미국에 전파시키고 있다. 시만텍은 업데이트된 영어판 플라우터스(Ploutus) 악성코드를 발견했다. 이 악성코드는 CD-ROM 드라이브를 통해 ATM에 유입된다. 이 악성코드는 현금 인출기에서 돈을 출금하도록 한다. 플라우터스는 아직 어떤 종류인지는 밝혀지지 않았으나 특정 ATM에서만 동작한다. -www.scmagazine.com/atm-malware-ploutus-updated/ [외신. 2013. 10. 28. SANS Korea / www.itlkorea.kr

모질라 파이어폭스 모바일 운영체제를 악성코드로 감염시키는 방법을 발견한 한 10대 청소년이 인도 뉴델리에서 개최되는 11월 행사까지 익스플로이트에 대한 공개하지 않을 것이라고 밝혔다. 샨타누 고드는 공격자들이 모바일 기기 SD 카드에 원격으로 접속하고 연락처를 전송하고 위치를 추적하고 무선 기능을 제어하고 그림, 음악, 비디오 등을 업로드, 다운로드할 수 있는 악성코드를 개발했다.-www.scmagazine.com/mozilla-addresses-teenagers/[외신. 2013. 10. 25. SANS Korea /

미국 국방부장관인 척 하젤이 10월 초 미국 국방부에서 일반 통제 데이터에 해커들이 접근할 수 없도록 보호할 수 있는 방안을 구현하라고 지시했다. 하젤 장관은 DoD 최고정보책임자, 획득, 기술 및 병참 차관, 정책 차관 및 첩보 차관 등에게 공개된 네트워크의 취약점을 평가하고 위험을 완화할 수 있는 전략을 개발할 것을 명령했다. 하젤 장관은 또한 DOD, NSA 및 DISA에게 기술 정보 누설 및 누설에 따른 결과를 평가할 수 있는 수단을 개발하고 강력한 보호가 필요한 핵심 구매 및 기술 프로그램을 식별하고 이러한 자산들이 적절히

중국에서 선적된 가전제품에 스파이 칩이 내장된 사실이 밝혀져 러시아 당국이 이를 조사하고 있는 것으로 알려졌다. 러시아의 국영 방송사인 ‘Rossiya 24’는 중국에서 수입된 일부 가전제품에 마이크로칩이 발견돼 당국이 해당 제품을 압수했다고 보도했다. 이 마이크로칩은 보안이 설정되지 않은 와이파이망을 통해 반경 200m 내에 있는 컴퓨터에 연결이 가능하며, 해당 컴퓨터에 저장된 데이터를 훔치고 이를 해외 서버로 전송할 수 있는 것으로 나타났다.‘Rossiya 24’는 통관중개업에 종사하는 한 전문가의 말을 인용해 내장된 칩은 주로

국내 모 메신저 대화창에서 특정 태그를 사용하면, “매개 변수가 틀립니다.”라는 오류를 무한대로 발생 시킬수 있다는 것이 발견됐다. 이 취약점을 발견하고 데일리시큐에 제보한 익명의 제보자는 “메신저 대화창은 특정 HTML 태그들이 실행이 가능한데 HTML 태그의 사용을 막아야 이러한 취약점이 발생하지 않을 것”이라고 말했다. 그는 “결론적으로 HTML 태그를 일부 막는다 하더라도 여러가지 우회가 가능하기 때문에 원칙적으로 사용을 차단하는 것이 안전 할 것”이라고 전했다. 데일리시큐는 이 취약점을 해당 업체에 전달해 패치가 될 수 있

모 포털에서 제공하는 메신저와 SNS 사이트의 웹페이지 로그인 페이지에서 리다이렉트 취약점이 발견됐다. 해당 취약점을 발견하고 데일리시큐에 제보한 조성준(영덕중) 군은 “로그인을 시도하고 난 후, 리다이렉트되는 링크를 파라미터를 통해 전달 받는데, 여기서 이 파라미터값을 필터링하지 않아 발생하는 취약점”이라고 설명했다. 조 군은 “필터링을 하지 않게되면 서버 측에서 원하는 사이트가 아닌 다른 사이트로도 리다이렉트가 가능하게 된다”며 “즉, 해커가 이것을 악용해 다른 사이트로 유도할 수 있을 것이다. 피싱이 가능하게 된다. 이렇게 되

중고물품 거래 사이트 번개장터에서 인증번호가 응답메시지로 노출되는 취약점이 발견됐다. 파이어폭스의 부가기능 또는 wire shark 등 패킷 캡처링툴을 이용하면 노출된 인증번호를 볼 수 있어 조치가 필요한 상황이다. 해당 사이트의 취약점을 발견하고 데일리시큐에 제보한 조성준(영덕중) 군은 “신용을 요구하는 거래사이트에서 휴대폰 번호를 위장하는 행위는 소비자들이 안전하게 거래하지 못하게 할 수 있다”며 “단지 이러한 인증방식을 회원가입 페이지에서만 사용한다면 금전적 피해가 없겠지만 결제 페이지에서 이러한 인증방식을 사용한다면 타인의

Unicode Character Right to Left Override(U+202E) 기법을 이용한 표적공격 정황이 포착됐다. 이 공격방식은 2중 확장자명의 순서를 임의로 변경할 수 있어 실행파일(EXE, SCR, COM 등)과 문서파일(DOC, TXT, PDF, HWP 등)의 순서를 바꾸어 마치 실행파일을 문서파일로 보이도록 조작할 수 있다. 그래서 이용자들에게 정상적인 문서파일처럼 보이도록 유혹한 후 실행파일 형태의 악성파일을 열어보게 만든다. 해당 공격을 발견하고 주의를 당부한 잉카인터넷 대응팀 관계자는 “2중 확장자로 만들