오늘의 보안 뉴스 - 2026-08-19

오늘의 브리핑

미국 정부가 민간 기업의 해외 사이버 범죄조직 ‘역해킹’을 허용하는 각서에 서명했다

다크웹서 한국인 계정이 헐값에 거래되고 배달 플랫폼 4,790만건 유출 주장도 나왔다

코파일럿·MLflow 등 AI 플랫폼과 에이전트를 노린 취약점 공개가 잇따랐다

보안뉴스

유니뷰, AI 스포츠 Lite형 라이브 스트리밍 솔루션 ‘UniSport’ 축구 경기 자동 생중계

글로벌 AIoT 통합 솔루션 기업 유니뷰가 8월 12일 광명 롯데아울렛 LOCO 풋살장에서 AI 스포츠 중계 솔루션 ‘UniSport’를 활용한 축구 경기 생중계를 시연했다. AI 카메라가 선수와 공의 움직임을 자동으로 인식·추적해 경기를 중계하며, 고정형 제품은 5~8인제(4렌즈)와 11인제 축구(듀얼 렌즈), 농구 환경에 적용할 수 있다. 보안 이슈라기보다는 영상 인식 기술의 스포츠 분야 응용을 소개한 제품 홍보성 소식이다.

美 정부, 민간 기업에 해외 사이버 범죄조직 ‘역해킹’ 허용 추진

도널드 트럼프 미국 대통령이 검증된 민간 기업에 해외 사이버 범죄 조직을 대상으로 한 정보 수집 및 무력화(사보타주) 작전을 허용하는 대통령 각서에 서명했다. 연간 피해가 수백억 달러 규모에 달하는 초국가적 사이버 범죄망을 막기 위해 민간의 공격적 사이버 역량까지 동원하겠다는 취지다. 역해킹(hack back)이란 공격을 받은 쪽이 거꾸로 공격자의 서버나 인프라에 침투해 정보를 수집하거나 무력화하는 행위로, 지금까지 대부분의 국가에서 민간 주체에게는 허용되지 않아 온 영역이다. 그만큼 이번 조치는 사이버 공격 대응의 주체를 국가에서 민간으로 확장하는 큰 정책 전환이지만, 기사 역시 민간 기업이 떠안게 될 안보·법적 리스크에 대한 우려를 함께 짚었다. 공격 귀속(어느 조직의 소행인지 특정하는 일)이 틀리면 무고한 대상을 공격하거나 외교 문제로 비화할 수 있기 때문이다. 국내 기업에 당장 적용되는 제도는 아니지만, 민간의 공세적 사이버 작전이라는 국제 규범 논의에 영향을 줄 수 있어 정책 동향을 주시할 필요가 있다.

에스에스티랩, 1m급 대형 위탁수하물용 3D CT 보안검색장비 국산화 개발 착수

보안검색장비 전문기업 에스에스티랩이 산업부 CVC 투자연계 R&D 과제에 선정돼 1m급 대형 위탁수하물용 3D CT 보안검색장비 국산화 개발에 착수했다. 외산이 100%인 시장에 도전하는 것으로, 세계 7번째로 최고 등급 인증(ECAC C3)을 받은 기술을 1000㎜×1000㎜ 대형 터널 사이즈로 확장하고 부품 국산화율 90% 달성을 목표로 한다. 공항 보안검색 장비의 기술 독립과 검색 데이터 주권 확보 차원의 의미가 있는 소식이다.

행안부·과기정통부, 재난안전통신망 연동 스마트워치 개발 착수

행정안전부와 과학기술정보통신부가 ‘국민생활안전 긴급대응연구’ 사업으로 재난안전통신망 전용 스마트워치 개발 과제를 공모한다. 재난현장 인력이 여러 장비를 함께 휴대해야 하는 부담을 줄이려는 것으로, AI 교신 요약과 심박·위치 모니터링 기능을 탑재할 계획이다. 연구기관 공모는 9월 7일까지이며 선정 시 2년간 9억원 내외의 연구개발비가 지원된다.

한국인 넷플릭스 아이디 5달러, 오피스365 계정 26달러… 식사 한 끼값에 신분 도용

노드VPN 조사 결과 다크웹에서 한국인의 넷플릭스 계정 1개가 5달러 미만(한화 약 6,700원), 이메일 계정이 27달러, 오피스365 계정이 26.75달러에 거래되는 것으로 나타났다. 식사 한 끼 값이면 타인의 디지털 신원을 통째로 살 수 있는 셈이다. 다크웹은 일반 검색엔진으로는 접근할 수 없고 전용 브라우저로만 접속되는 익명 네트워크로, 탈취된 계정 정보가 상품처럼 매매되는 시장이 형성돼 있다. 조사에서 한국인 42%는 “하루라도 인터넷 없이 지내기 어렵다”고 답했고 37%는 개인정보 유출을 우려했는데, 일상이 온라인에 깊이 묶일수록 계정 하나의 탈취가 결제·신분 도용 등 연쇄 피해로 번지기 쉽다. 특히 유출된 계정 정보는 같은 비밀번호를 쓰는 다른 사이트에 자동 대입하는 크리덴셜 스터핑 공격의 재료가 된다. 사이트마다 비밀번호를 다르게 쓰고 다중 인증(MFA)을 켜두는 것이 가장 실효성 있는 방어이며, 유출 여부 조회 서비스로 내 계정이 이미 거래되고 있는지 주기적으로 확인하는 습관도 필요하다.

데일리시큐

티맥스티베로, ‘티베로7’ 보안 정밀 점검 완료…AI 활용해 안전성 강화

티맥스티베로가 한국인터넷진흥원(KISA)의 G-TAC을 활용해 OpenAI의 사이버보안 특화 모델 GPT-5.5-Cyber로 데이터베이스 관리 시스템 ‘티베로7’의 보안 정밀 점검을 마쳤다. 공격뿐 아니라 방어 영역에서도 AI 활용이 활발해지는 흐름 속에서, AI 모델을 국산 DBMS 제품의 취약점 점검에 적용한 사례라는 점이 눈에 띈다. 급변하는 보안 환경에 대응해 제품 안전성을 높이기 위해 KISA와 협력했다는 것이 회사 측 설명이다.

메가존클라우드, AWS 파트너 에이전트 팩토리 참여

메가존클라우드가 아마존웹서비스(AWS)의 AI 에이전트 솔루션 공동 개발 프로그램인 파트너 에이전트 팩토리(PAF)에 참여해 기업용 AI 에이전트 솔루션 3종을 공동 개발했다. PAF는 AWS의 AI 전문 조직인 생성형 AI 혁신 센터(GenAIIC)가 파트너와 함께 기업용 AI 에이전트 솔루션을 만드는 글로벌 프로그램이다. 기업용 AI 에이전트 시장 경쟁이 본격화되고 있음을 보여주는 협력 소식이다.

[단독] 해커 “국내 배달 플랫폼서 4,790만건 탈취…주민번호·계좌·공동현관 비밀번호까지” 판매 주장, 진위여부 확인 필요

해외 해킹포럼에서 국내 배달 플랫폼 FLY(플라이)를 겨냥한 대규모 개인정보 유출 주장이 제기됐다. 공격자는 약 4,790만 건, 46.6GB 규모의 데이터를 확보했다고 주장하며, 공개된 샘플에는 고객 주소와 GPS 위치정보, 배달 요청사항, 공동현관 비밀번호로 보이는 정보까지 포함된 것으로 확인됐다. 제목에 따르면 주민등록번호와 계좌 정보까지 판매 대상으로 내걸렸으나, 아직 진위 확인이 필요한 단계다. 해킹포럼의 데이터 판매 글은 실제 침해가 아니라 기존 유출 데이터를 짜깁기해 규모를 부풀리는 경우도 많아, 샘플 데이터가 실제 해당 플랫폼에서만 나올 수 있는 것인지 검증하는 작업이 중요하다. 다만 주장대로라면 주소·GPS·공동현관 비밀번호처럼 물리적 침입으로도 이어질 수 있는 생활 밀착형 민감 정보라는 점에서 파급력이 크다. 이용자는 해당 서비스 비밀번호 변경과 재사용 계정 정리로 우선 대비하고, 기업 측은 침해 여부 조사와 사실로 확인될 경우의 이용자 통지 등 법적 대응 절차를 준비해야 한다.

한국전파진흥협회-토스, ICT 실무 인재 양성 위한 업무협약 체결

한국전파진흥협회(RAPA)가 토스와 실무형 ICT 인재 양성을 위한 업무협약을 체결했다. 토스의 불용 네트워크 장비를 교육용으로 기증받아 실습 프로그램을 운영하고, 현업 전문가의 기술 멘토링과 특강을 지원하는 내용이다. 산업 현장 장비와 전문가 경험을 교육 과정에 연계하는 인재 양성 협력 소식이다.

웹케시, 전국 4개 권역 순회하는 공공 재정 AX 전략 세미나 개최

웹케시가 9월 1일부터 서울·나주·대전·부산 등 전국 4개 지역에서 공공기관 재정·자금 담당자 대상 세미나를 연다. 공공기관이 보안 부담과 비용 문제 등으로 AI 도입에 어려움을 겪는 가운데, 업무 환경에 맞는 인공지능 전환(AX) 방안을 공유하는 자리라는 설명이다. 공공 부문 AI 도입 확산을 겨냥한 행사 소식이다.

The Hacker News

MS 코파일럿 퍼스널 취약점, 클릭 한 번으로 연결된 앱 데이터 유출 가능

Varonis Threat Labs가 Microsoft Copilot Personal에서 세 가지 취약점을 공개했다. 조작된 링크를 사용자가 한 번만 클릭하면 코파일럿에 연결된 앱과 기타 정보에서 데이터를 자동으로 가져와 빼낼 수 있는 결함이다. 코파일럿 같은 AI 어시스턴트는 이메일·일정·클라우드 저장소 등 여러 앱과 커넥터로 연결돼 사용자를 대신해 데이터를 읽는데, 입력에 숨겨둔 악성 지시로 AI를 조종하는 프롬프트 인젝션 공격과 결합하면 AI가 가진 접근 권한이 그대로 데이터 유출 통로가 된다. 사용자가 첨부파일을 열거나 악성코드를 설치하지 않아도 링크 클릭 한 번으로 피해가 발생한다는 점에서 기존 피싱보다 진입 장벽이 낮다. AI 어시스턴트에 연결하는 앱과 권한을 꼭 필요한 것으로 최소화하고, 출처가 불분명한 링크는 AI 연동 환경에서 더욱 경계해야 한다. AI 도입이 새로운 공격면을 만든다는 것을 보여주는 대표적 사례다.

공격자들, MLflow SSRF 취약점 악용해 클라우드 자격증명·시크릿 탈취

오픈소스 AI 플랫폼 MLflow와 운영기술(OT) 환경용 오픈소스 웹 기반 SCADA/HMI 소프트웨어 FUXA에 영향을 미치는 두 가지 치명적인 취약점이 공개됐고, 공격자들이 MLflow의 SSRF 결함을 실제로 악용해 클라우드 자격증명과 시크릿을 훔치고 있는 것으로 나타났다. SSRF(서버 측 요청 위조)는 공격자가 서버로 하여금 자신이 지정한 내부 주소로 요청을 보내게 만드는 취약점으로, 클라우드 환경에서는 인스턴스의 메타데이터 서비스에 요청을 보내 임시 자격증명을 탈취하는 데 흔히 악용된다. 이렇게 얻은 자격증명은 클라우드 계정 전체 장악의 발판이 될 수 있다. AI 실험 관리 도구인 MLflow와 산업 제어 화면을 다루는 FUXA 모두 내부용 도구로 여겨 인터넷에 그대로 노출해 두는 경우가 많다는 점이 문제를 키운다. 해당 소프트웨어 운영자는 패치 적용과 함께 관리 인터페이스의 외부 노출을 차단하고, 클라우드 메타데이터 접근 통제를 강화해야 한다.

‘랜섬 버스터즈’, 랜섬웨어 서버 해킹 주장하며 피해자에 최대 6만 달러 요구

자신을 ‘Ransom Busters’라 부르는 랜섬웨어 계열사(affiliate)가 피해 조직에 미리 이메일을 보내, 랜섬웨어 그룹의 서버를 해킹해 그곳에서 도난당한 피해 조직의 데이터를 삭제해 주겠다고 주장하며 최대 6만 달러를 요구하는 활동이 포착됐다. 랜섬웨어 생태계는 악성코드를 만드는 운영 조직과 실제 침투·유포를 담당하는 계열사가 분업하는 서비스형 랜섬웨어(RaaS) 구조로 돌아가는데, 그 내부자가 ‘데이터 삭제 대행’이라는 명목으로 별도의 돈을 뜯는 변종 수법인 셈이다. 돈을 내더라도 데이터가 실제로 삭제된다는 보장은 어디에도 없으며, 이런 제안 자체가 2차 갈취일 가능성이 높다. 유사한 연락을 받은 조직은 지불 협상 대신 침해 사실 확인과 법 집행기관 신고를 우선해야 한다.

AI ‘마인드 바이러스’, 영속 프롬프트 파일 타고 에이전트 사이로 확산 가능

Anthropic과 스위스 EPFL의 보안 연구원들이 자가 전파형 페이로드가 편집 가능한 시스템을 통해 한 AI 에이전트에서 다른 에이전트로 확산될 수 있음을 입증했다. 에이전트가 읽고 쓰는 영속적인 프롬프트 파일에 악성 지시를 심으면, 그 파일을 읽은 다른 에이전트가 다시 같은 지시를 다른 파일에 옮겨 적으면서 마치 컴퓨터 웜처럼 번질 수 있다는 것이다. AI 에이전트는 지침·메모리를 담은 프롬프트 파일을 참조해 동작하고 이를 스스로 수정하기도 하는데, 이 파일이 곧 에이전트의 ‘행동 규칙’이라는 점을 악용한 공격 모델이다. 연구 명칭인 ‘마인드 바이러스’는 악성코드가 실행 파일이 아니라 AI에게 주는 지시문 형태로 전파된다는 점을 빗댄 것이다. 에이전트를 도입하는 조직은 에이전트가 읽는 설정·메모리·프롬프트 파일의 변경을 추적하고 무결성을 검증하는 체계, 그리고 외부에서 온 텍스트를 명령으로 취급하지 않는 설계 원칙을 갖춰야 한다. 멀티 에이전트 환경이 확산될수록 이런 전파형 공격의 파급 범위도 커진다.

TWINLOOT, 셰어포인트·팀즈 악용해 자격증명 탈취하고 내부망 이동

보안 연구원들이 이전에 문서화되지 않았던 파이썬 기반 임플란트 프레임워크 ‘TWINLOOT’의 세부 내용을 공개했다. TWINLOOT는 PyArmor로 난독화·보호된 모듈식 파이썬 임플란트로, 마이크로소프트 셰어포인트(SharePoint)와 팀즈(Teams)를 악용해 자격증명을 훔치고 네트워크 내부를 가로질러 이동(측면 이동)한다. 임플란트란 침투에 성공한 뒤 시스템에 상주하며 공격자의 명령을 수행하는 악성 구성요소를 말하며, 모듈식 구조는 필요한 기능만 골라 심을 수 있어 탐지를 어렵게 한다. 특히 조직이 일상적으로 쓰는 협업 도구를 통신·이동 경로로 쓰면 트래픽이 정상 업무와 섞여 보안 장비의 눈에 잘 띄지 않는다는 점이 이 수법의 핵심이다. 방어 측은 셰어포인트·팀즈 API의 비정상 사용 패턴을 모니터링하고, 계정별 최소 권한 원칙과 EDR 기반 행위 탐지로 측면 이동을 조기에 차단해야 한다.