오늘의 보안 뉴스 - 2026-08-11
오늘의 브리핑
- 탈취된 기업 메일함으로 발신자 인증을 우회하는 뱅킹 악성코드가 지갑 주소까지 바꿔친다.
- 중국 연계 Storm-1175의 신종 랜섬웨어, 김수키의 오프라인 AI 등 위협 고도화가 뚜렷하다.
- 패스키의 동기화 키 복구·MFA 우회 연구가 잇따라 공개돼 구현·계정 보안 점검이 필요하다.
보안뉴스
씨엠아이텍, ‘Secutech Vietnam 2026’서 高 보안 생체인증 통합 솔루션 선보인다
생체인식 전문기업 씨엠아이텍(CMITECH)이 9월 9일부터 12일까지 베트남 하노이에서 열리는 ‘Secutech Vietnam 2026’에 참가해 비접촉 생체인증 기반의 고보안 출입통제·근태관리 솔루션을 선보인다. 신제품 워크스루 얼굴인식기 ‘NovaFace-3’를 공개하고 홍채·얼굴인식 기반 솔루션을 집중 소개할 예정이다.
한국첨단안전산업협회, ‘제3회 첨단치안산업 新기술 공모전’ 개최… 9월 18일까지 접수
한국첨단안전산업협회가 경찰청 주최, 협회·과학치안진흥센터·경찰과학전략센터 공동 주관의 ‘제3회 첨단치안산업 신기술 공모전’을 개최한다. 첨단 기술·연구 개발·정책 연계 3개 부문에서 대상 1점 등 총 10점을 시상하며, 9월 18일까지 접수받고 수상작에는 테크쇼 부스 할인과 컨퍼런스 발표 초청 등 후속 혜택이 제공된다.
[인터뷰] 김태수 마이크로소프트 보안연구 부사장 “에이전틱 보안, AI로 실행하는 새로운 보안 패러다임”
김태수 마이크로소프트 보안연구 부사장이 AI로 실행하는 새로운 보안 패러다임인 ‘에이전틱 보안(Agentic Security)’을 제시했다. 마이크로소프트는 에이전틱 보안 시스템 ‘Project Perception’을 통해 위험을 지속적으로 예측·이해하고 선제 대응하는 지능형 시스템으로의 발전 방향을 그리고 있다. 에이전틱 보안이란 사람이 경보를 보고 사후 대응하던 기존 방식과 달리, AI 에이전트가 위협 예측부터 분석·대응까지 자율적으로 수행하는 접근을 말한다. 미토스 등장 이후 AI가 보안에 미치는 영향에 대한 연구와 고민이 이어지는 가운데, 방어 측도 AI의 속도로 대응해야 한다는 흐름을 보여주는 인터뷰다.
한강홍수통제소, AI·슈퍼컴 활용해 도시침수예보 정확도 높인다
한강홍수통제소가 한국과학기술정보연구원(KISTI)과 11일 도시침수예보체계 고도화를 위한 업무협약을 체결한다. AI 강우분석·시뮬레이션·CCTV 침수인지 기술을 단계적으로 연계하고, 강남역·신대방역 침수예보에 첨단기술을 실증한 후 현장에 적용할 계획이다.
“믿었던 회사 메일이 함정?” 기업 메일함 활용한 발신자 인증 시스템 우회 공격 기승
글로벌 보안 기업 젠 디지털(Gen Digital)이 2026년 상반기에 벌어진 탈취된 기업 메일함을 이용한 금융 악성코드 공격과 암호화폐 지갑 관련 공격 사례를 분석했다. 공격자는 실제 기업의 메일함을 탈취해 악성 메일을 발송함으로써 발신자 인증 시스템을 우회하는데, 정상 기업 계정에서 온 메일은 SPF·DKIM 같은 인증을 통과하고 수신자의 신뢰까지 얻기 때문에 기존 필터로 걸러내기 어렵다. 또 이 뱅킹 악성코드는 사용자가 블록체인 지갑 주소를 복사하면 클립보드에서 공격자 주소로 몰래 바꿔치기하는 수법을 21종 지갑 주소 형식에 대해 수행한다. 여기에 바이낸스 스마트체인을 이용한 ‘이더하이딩’ 기법으로 C2를 은닉한다. C2 서버는 공격자가 악성코드에 명령을 내리고 훔친 데이터를 받는 원격 조종 서버인데, 이를 차단이 사실상 불가능한 퍼블릭 블록체인 위에 숨기면 인프라 폐쇄가 어려워진다. 송금 전 주소 전체를 다시 확인하는 습관과 메일 계정 MFA 적용, 계정의 이상 발신 행위 모니터링이 실질적인 대응책이다.
데일리시큐
에스넷그룹, 전사 차원 AI 전환 추진…직군별 맞춤 교육 실시
에스넷그룹이 가치경영실 주관으로 전사 차원의 AI 전환(AX)을 추진하며 직군별 맞춤 교육에 나섰다. 지난 7월부터 임직원 대상 AI 활용 교육을 시작해 임원진이 주말 바이브 코딩 실습에 직접 참여했고, 지금까지 150명이 기초 과정을 이수했다.
[김승주 교수 칼럼] 세계적인 해커는 많은데, 대한민국은 왜 계속 뚫리는가
DEF CON CTF에서 한국 해커들이 또다시 좋은 성적을 거두고 세계 최고 수준 보안 학술대회에서 논문을 발표하는 국내 연구자·학생도 꾸준히 늘고 있는데, 왜 대한민국은 계속 뚫리는가라는 질문을 던지는 김승주 교수의 칼럼이다. 뛰어난 개인 역량이 국가 차원의 방어 역량으로 이어지지 못하는 간극을 짚으며, 인재 배출과 실제 보안 수준 사이의 구조적 문제를 성찰하게 한다.
나우로보틱스, 과기정통부 피지컬 AI 실증사업 선정…산업용 휴머노이드 개발 착수
나우로보틱스가 과학기술정보통신부의 국산 AI 반도체 기반 피지컬 AI(Physical AI) 실증사업에 선정돼 산업용 휴머노이드 개발에 착수한다. 국산 NPU 반도체에 시각·언어를 이해하고 행동으로 연결하는 국산 VLA 모델을 탑재하며, 개발·실증 기간은 2027년 12월까지다.
메가존클라우드, 미래 테크 리더 육성 위한 청소년 AI 리더십 포럼 개최
메가존클라우드가 테크 리더를 꿈꾸는 청소년을 위한 교육 과정인 ‘제1회 Global Tech Youth Leadership Forum’을 개최했다. 지난 5일부터 7일까지 경기도 과천 메가존산학연센터에서 임직원 중·고등학생 자녀들을 대상으로 진행됐으며, 향후 참가자 범위와 규모를 넓혀 정례화할 계획이다.
SK쉴더스 EQST, 데프콘 34 AI CTF서 5위 기록
SK쉴더스의 화이트해커 그룹 EQST가 미국 라스베이거스에서 열린 ‘데프콘(DEF CON) 34’의 AI 빌리지 내 CTF에서 글로벌 200여 개 팀 가운데 최종 5위를 기록했다. 데프콘은 전 세계 보안 전문가들이 모여 최신 해킹 기술과 위협을 공유하는 행사다.
The Hacker News
10~50배 늘어난 코드 배포량 - AI 속도의 개발 보안을 다룬 웨비나
AI 덕분에 개발팀의 코드 생산 속도는 크게 빨라졌지만, 보안팀은 여전히 사람의 속도로 취약점 검토와 종속성 관리, 수정 우선순위 지정을 해야 하는 간극을 다룬 웨비나 안내 기사다. AI 시대의 개발 속도에 맞춰 보안 검토 체계를 어떻게 재설계할지가 주제다.
중국 연계 해커, N-central 결함 악용 정황 속 신종 랜섬웨어 ‘StormEncryptor’ 배포
마이크로소프트가 중국과 연계된 금전적 동기의 위협 행위자 Storm-1175가 이전에 문서화되지 않은 신종 랜섬웨어 ‘StormEncryptor’를 배포했다고 공개했다. 이 공격은 최근 문제가 된 N-able N-central의 결함을 통해 이뤄졌을 가능성이 높은 것으로 전해졌다. N-central은 MSP 등이 다수 고객 시스템을 원격 관리하는 RMM 도구여서, 이를 발판으로 삼으면 관리 대상 시스템 전반에 랜섬웨어를 한꺼번에 뿌릴 수 있다. ‘Storm-’ 명칭은 마이크로소프트가 새로 관찰돼 아직 정식 명명 전인 위협 그룹에 붙이는 임시 식별자다. 중국 연계 그룹이 금전 목적의 랜섬웨어까지 운용한다는 점에서, N-central 사용 조직은 핫픽스 적용과 함께 침해 흔적 점검, 백업의 오프라인 보관을 서둘러야 한다.
주간 요약: 폭주한 AI, 메타베이스 제로데이, MCP 공급망 공격, 라우터 백도어
AI 폭주, 메타베이스 제로데이, MCP 공급망 공격, 라우터 백도어 등 한 주의 주요 보안 이슈를 정리한 주간 요약이다. 저장소 복제, 전화 응대, 기본 설정 신뢰처럼 ‘완전히 정상적인 일’에서 많은 보안 사고가 시작된다는 점을 짚는다.
김수키, 오프라인 AI 스택 구축해 피싱 강화·악성코드 개발 자동화
북한의 국가 배후 해커들이 더 이상 공개 챗봇에 프롬프트를 입력하는 수준에 머물지 않고, 자체 서버에서 AI를 오프라인으로 구동하기 시작했다. 북한의 주요 스파이 그룹 중 하나인 김수키(Kimsuky)가 오프라인 AI 스택을 구축해 피싱을 고도화하고 악성코드 개발을 자동화하고 있다는 내용이다. 김수키는 정부·연구기관·언론인 등을 겨냥한 스피어피싱으로 잘 알려진 북한 연계 APT(지능형 지속 위협) 그룹이다. 공개 챗봇 대신 자체 서버의 AI를 쓰면 서비스 제공업체의 오남용 탐지와 안전장치(가드레일), 계정 차단을 모두 피할 수 있어 추적과 억제가 훨씬 어려워진다. 국가 배후 그룹의 AI 내재화는 피싱 문구의 자연스러움과 악성코드 변종 생산 속도를 끌어올리는 만큼, 어색한 문장으로 피싱을 가려내던 기존의 감각이 더는 유효하지 않다는 점을 방어자들이 유념해야 한다.
새 패스키 공격, 동기화된 개인키 복구·피싱 방지 MFA 우회 가능
지난주 서로 다른 세 건의 연구가 암호 체계 자체를 깨지 않고도 패스키 보호를 무력화할 수 있는 방법을 보여줬다. 연구들은 클라우드로 동기화된 패스키의 개인키를 복구하거나, 피싱 방지형 MFA를 우회하는 공격이 가능함을 입증했다. 패스키는 재사용 가능한 비밀번호를 대체하도록 설계된 FIDO 기반 인증 수단으로, 기기에 저장된 개인키의 서명으로 로그인하기 때문에 피싱에 강하며, 여러 기기에서 쓰도록 클라우드 계정을 통해 동기화되는 경우가 많다. 이번 연구는 바로 그 동기화 계층과 인증 절차의 주변부가 새로운 공격면이 될 수 있음을 보여준다. 패스키가 안전하지 않다는 뜻이라기보다 패스키를 감싼 클라우드 계정 보안(복구 절차 포함)과 구현 세부까지 함께 지켜야 한다는 의미로, 도입 조직은 계정 복구 경로 강화와 관련 구현의 업데이트 적용을 점검할 필요가 있다.