오늘의 보안 뉴스 - 2026-09-30

오늘의 브리핑

AI와 맞춤형 GPT를 악용한 피싱 및 클릭픽스 공격이 개발자 위협으로 부상했습니다.

프랑스 세무 당국이 직원 계정 탈취로 수십만 건의 세무 데이터를 유출당했습니다.

브라우저와 커널을 위협하는 새로운 CPU 취약점 BTR과 npm 악성 패키지가 발견됐습니다.

보안뉴스

SKT, 개인정보 보호의 날 맞아 ‘프라이버시 퍼스트’ 서약

SK텔레콤이 개인정보 보호의 날을 맞아 구성원의 실천을 독려하는 사내 캠페인을 실시했다.

SK텔레콤은 개인정보 보호의 날 및 개인정보 보호 주간을 맞아 구성원이 업무 과정에서 쌓은 경험을 공유하고 실천을 약속하는 사내 캠페인을 시행했다. 이번 캠페인은 구성원의 일상 속에서 개인정보 보호의 중요성을 되새기고 보호 원칙을 실천하는 문화를 확산하기 위해 마련됐다. SK텔레콤은 전 구성원을 대상으로 개인정보 보호 실천 서약 참여를 독려하고 있다. 사내 인트라넷을 통해 구성원들이 실제 업무에서 지켜야 할 보호 원칙을 점검하도록 유도한다. 일상 속 실천을 고객 신뢰로 연결하겠다는 취지다.

인천 제물포구, 여성 1인 가구·점포에 홈카메라·비상벨 지원

인천 제물포구가 스토킹 등 여성 대상 범죄 예방을 위해 안심장비를 지원한다.

인천 제물포구는 스토킹 등 여성 대상 범죄를 예방하고 안전한 환경을 조성하기 위해 ‘여성안심드림 지원사업’을 추진한다고 밝혔다. 관내 여성 1인 가구와 여성 1인 점포를 대상으로 홈카메라와 비상벨 등 범죄예방 안심장비를 지원하는 사업이다. 범죄 및 폭력 피해자와 기초생활수급자 등 취약계층을 우선 지원한다. 일반 가구는 전세환산가 3억 원 이하, 점포는 3억 5,000만 원 이하인 경우 신청할 수 있다. 전세환산가는 보증금에 월 임대료 곱하기 12개월을 더해 계산한다.

지니언스, AI 혁신으로 ‘주4.5일제’ 시범 운영… ‘대한민국 일자리 으뜸 기업’ 선정

지니언스가 선진적 조직문화와 고용 창출 성과로 ‘2026년 대한민국 일자리 으뜸기업’에 선정됐다.

사이버 보안 기업 지니언스가 주 4.5일제 시범운영 참여 등 선진적 조직문화를 추진해 온 공로로 고용노동부가 주관하는 2026년 대한민국 일자리 으뜸기업에 선정됐다. 해당 기업은 탁월한 고용 창출 성과와 함께 일과 생활의 균형 실천, 업무 환경 개선에 앞장선 민간기업을 엄선해 선정한다. 인증기업에는 신용평가 우대, 여신지원 금리우대, 출입국 우대카드 발급 등 다양한 지원이 제공된다. 지니언스는 청년 및 전문 인력 중심의 지속적인 고용 확대를 이어왔다.

구글 검색 광고 타고 들어간 ‘챗GPT 플러스’… 맞춤형 GPT가 악성코드 설치 안내

공격자가 맞춤형 챗GPT를 이용해 구글 검색 광고로 사용자를 속이고 악성 명령을 유도했다.

보안 기업 헌트리스는 챗GPT 맞춤형 GPT로 정상 제품을 사칭하며 이용자에게 악성 명령을 직접 실행하게 만든 사례를 밝혔다. 공격자는 맞춤형 GPT 두 개를 제작해 이용자 질문에 구글 사이트 링크로 답하도록 설정했다. 링크 끝에는 이용자가 스스로 명령어를 복사해 붙여넣게 만드는 클릭픽스 공격 페이지가 존재했다. 맞춤형 GPT는 특정 지시와 도구를 담아 만든 챗GPT의 변형판으로 chatgpt.com에서 운영된다. 기사는 사용자가 임의의 명령어를 복사해 실행하지 않도록 주의할 것을 당부했다.

[디지털 문단속] #7. 스마트 TV 사생활 침해 논란… 내 거실 지키는 보안 수칙

미국에서 스마트 TV의 자동 콘텐츠 인식 기술을 둘러싼 개인정보 침해 논란이 소송으로 이어졌다.

미국에서 삼성전자와 LG전자 스마트 TV의 자동 콘텐츠 인식 기술인 ACR을 둘러싼 개인정보 침해 논란이 소송으로 이어졌다. 거실에 위치한 스마트 TV는 카메라와 고성능 마이크가 내장된 컴퓨터와 같아 보안 우려가 제기된다. 스마트 TV는 시청자의 시청 패턴은 물론 결제 정보나 성향 같은 민감한 데이터까지 초 단위로 수집할 수 있다. 편리함을 이유로 수집되는 데이터 통제에 문제가 생기면 사생활이 외부로 노출될 수 있다. 기사는 스마트 TV 사용 시 관련 보안 설정을 점검할 것을 권고했다.

티오리 ‘진트’, 美 국방부 통신앱 취약점 분석… DARPA 연구 사업자 선정

티오리의 AI 기반 모의해킹 플랫폼 진트가 미국 국방부 통신앱 취약점 분석 사업에 선정됐다.

오펜시브 사이버 보안 기업 티오리의 AI 기반 자율형 모의해킹 플랫폼 진트가 미국 국방고등연구계획국의 자율 AI 애플리케이션 보안 연구 수행 사업자로 선정됐다. 진트는 미국 국방부 전반에서 사용되는 자체 개발 앱 및 오픈소스 메신저 앱의 정밀 분석에 활용된다. 바이너리 분석을 통해 다양한 환경에서 실행되는 소프트웨어의 공급망 위험을 평가할 예정이다. 이번 사업은 AI를 활용해 소프트웨어 보안 취약점을 자율적으로 탐지하고 분석하는 역량을 검증하는 데 목적이 있다.

“정보보호 벤처 생태계 키운다”… KISA, 한국벤처투자와 맞손

한국인터넷진흥원이 한국벤처투자와 손잡고 유망 정보보호 중소·벤처기업 육성에 나선다.

한국인터넷진흥원은 한국벤처투자와 판교 정보보호 클러스터에서 유망 정보보호 중소·벤처기업 육성을 위한 업무협약을 체결했다. 정보보호 기업을 지원하는 진흥원과 벤처 투자 시장에 자금을 공급하는 한국벤처투자가 협력한다. 이를 통해 우수 기술력을 가진 초기 정보보호 중소·벤처기업이 투자자와 접점을 넓히도록 지원한다. 주요 협력 분야는 유망 기업 발굴, 투자유치 기회 확대를 위한 공동 기업 설명회 및 투자 상담회 개최 등이다.

데일리시큐

AWS, NATO 전 회원국서 ‘NATO RESTRICTED’ 정보 처리 승인

아마존웹서비스가 NATO 전 회원국에서 기밀 등급 정보를 처리할 수 있는 클라우드 서비스를 승인받았다.

아마존웹서비스가 북대서양조약기구 전 회원국에서 NATO RESTRICTED 등급 정보를 처리할 수 있는 클라우드 서비스를 승인받았다. 이번 승인으로 NATO와 방산 파트너, 모든 회원국은 회원국 내에 위치한 AWS 리전에서 승인된 서비스를 활용해 해당 워크로드를 처리할 수 있게 됐다. 회원국은 사전 평가를 마친 공통 보안 기준을 활용함으로써 보안 및 규정 준수 요건을 충족하는 데 드는 시간과 비용을 줄인다. 또한 자국의 공식 인증 절차를 신속하게 진행할 수 있게 됐다.

KISA, 부천시 등 8개 기관과 손잡고 AI 에이전트 기반 실종자 탐색 체계 구축

한국인터넷진흥원이 부천시 등 8개 기관과 함께 AI 기반 실종자 탐색 체계 구축에 나선다.

한국인터넷진흥원은 부천시청에서 AI 에이전트 기반 실종자 탐색 체계 구축을 위한 다자간 업무협약을 체결했다. 이번 협약에는 KISA, 부천시, 부천도시공사, 관내 경찰서 3곳, 중앙대학교, 쿠도커뮤니케이션, 한국과학기술원 등 8개 기관이 참여했다. KISA는 과기정통부와 함께 AI 기반 차세대 보안제품 상용화 지원사업을 공모했다. 이에 선정된 컨소시엄과 함께 실종자 보호를 위한 물리보안 통합 플랫폼을 개발하고 있다. 이번 체계는 첨단 AI 기술을 활용해 실종자 수색의 효율성을 높일 예정이다.

쿠도커뮤니케이션, 자체 플랫폼 CUVIA 기반 AI 물리보안 통합관제 구축 나선다

쿠도커뮤니케이션이 자체 플랫폼을 바탕으로 AI 물리보안 통합관제 구축 사업에 참여한다.

쿠도커뮤니케이션이 자체 AI CITY 플랫폼 CUVIA를 기반으로 AI 에이전트와 물리보안 통합관제 기술을 결합하는 사업에 본격 나선다. 부천시청에서 열린 AI 기반 물리보안 통합관제 개발 협력 업무협약식에 참석해 관련 기관들과 협약을 체결했다. 이번 협약은 과기정통부 과제인 AI 기반 물리보안 통합관제 시스템 개발의 원활한 추진과 실종자 찾기 시스템 활용을 위해 마련됐다. 협약에는 한국인터넷진흥원, 중앙대학교, KIST, 부천시 경찰서 등이 참여해 기술 협력을 진행한다.

아우토크립트, 미디어텍 칩셋 보안 취약점 발견해 CVE 등록

아우토크립트가 미디어텍 칩셋 등에서 보안 취약점을 발견해 CVE 등록과 버그바운티 포상을 받았다.

아우토크립트가 미디어텍 칩셋과 오픈소스 임베디드 커널에서 보안 취약점을 발견해 제보했다. 올해 상반기 미디어텍 SoC와 부트 환경에서 쓰이는 오픈소스 임베디드 커널인 Little Kernel을 대상으로 보안 연구를 진행했다. 연구 과정에서 취약점을 발견해 미디어텍과 Little Kernel 프로젝트 측에 각각 제보했다. 미디어텍은 제보받은 취약점을 CVE-2026-XXXX 형태로 등록했다. 이번 연구로 아우토크립트는 국제 표준 보안 취약점 식별 체계인 CVE 등록 및 버그바운티 포상을 획득했다.

팔로알토 네트웍스, 유닛42 지속형 프런티어 AI 디펜스 발표

팔로알토 네트웍스가 AI를 활용해 기업 취약점을 상시 탐지하고 해결하는 디펜스 서비스를 발표했다.

팔로알토 네트웍스가 AI를 활용해 기업의 보안 취약점을 상시 탐지하고 해결하는 유닛42 지속형 프런티어 AI 디펜스를 발표했다. 이 서비스는 앤트로픽의 클로드 미토스와 오픈AI의 GPT 등 고성능 모델을 기반으로 작동한다. 공격자가 취약점을 실제 공격에 악용하기 전에 기업이 선제적으로 대응할 수 있도록 돕는 것이 목표다. 위협 행위자는 AI를 이용해 취약점을 탐색하고 공격 주기를 단축하고 있다. 유닛42는 지속적인 공격 테스트로 기업 환경의 실제 악용 가능성을 검증한다고 밝혔다.

The Hacker News

프랑스 세무 데이터 도난, 직원 비밀번호 도용으로 7주간 탐지되지 않아

프랑스 세무 당국이 직원 비밀번호 도용으로 수십만 명의 납세자 데이터를 탈취당했다.

공격자는 프랑스 세무 행정부 직원들의 도난당한 비밀번호를 사용하여 6월과 7월 동안 수십만 명의 납세자와 기업에 대한 세무 데이터를 탈취했다. 프랑스 국가사이버안보국 ANSSI의 화요일 보고서에 따르면 세무 당국이나 기관 모두 데이터가 유출되는 것을 감지하지 못했으며 유출은 7주 동안 지속되었다. ANSSI는 이번 공격이 정교하지 않았으며 취약한 인증 관리로 인해 발생했다고 밝혔다. 공격은 탈취된 정상 직원 계정을 그대로 악용했기 때문에 보안 장비의 탐지를 우회할 수 있었다.

기존 방어 우회해 리눅스 메모리 유출하는 신종 스펙터-v2 BTR 공격 등장

학계 연구원들이 기존 방어를 우회하여 리눅스 메모리를 유출하는 새로운 스펙터 변종 취약점을 공개했다.

VUSec과 스쿠올라 수페리오레 산타나 소속 학자들이 웹 브라우저, 언어 런타임, 운영체제 커널의 JIT 엔진에 영향을 미치는 새로운 스펙터 CPU 취약점 변종을 공개했다. 이 새로운 스펙터-v2 변종은 Branch Target Reuse, 줄여서 BTR로 명명되었다. 현대 CPU가 분기 예측을 처리하는 방식을 악용해 기존 방어가 적용된 환경에서도 리눅스 메모리를 유출할 수 있다는 것이 연구진의 설명이다. 이번 취약점은 다양한 CPU 벤더의 시스템에 영향을 미치며, JIT 엔진과 커널의 메모리 보호 메커니즘을 우회한다. 연구진은 이에 대응하기 위한 추가적인 소프트웨어 및 하드웨어 수준의 완화 조치가 필요하다고 밝혔다.

러시아 해킹 그룹 스타 블리자드, 가짜 행사 초대장으로 100여 개 기관 타깃

러시아 해킹 그룹 스타 블리자드가 가짜 행사 초대장으로 100여 개 기관을 공격했다.

마이크로소프트에 따르면 러시아 국가 배후 해킹 그룹으로 알려진 스타 블리자드가 가짜 행사 초대장을 이용해 윈도우 컴퓨터에 백도어를 설치하도록 유도하고 있다. 우크라이나와 연관된 개인과 조직을 겨냥한 이 캠페인은 지난 1월 이후 100개 이상의 조직에 영향을 미쳤으며 주로 미국과 영국에 집중되었다. 공격자들은 신뢰할 수 있는 행사나 회의를 사칭한 미끼 문서를 통해 피해자가 악성 페이로드를 실행하게 만들었다. 최소 한 대 이상의 컴퓨터가 감염된 것으로 확인되었으며, 이들은 지속적인 정찰과 정보 수집 활동을 수행하고 있다. 마이크로소프트는 관련 조직들에게 의심스러운 초대장과 첨부 파일에 대한 주의를 당부했다.

키트웍스, 9시간 동안의 예방적 차단 중 발견된 치명적 취약점 패치 완료

키트웍스가 예정된 예방적 차단 조치 중 발견된 치명적 보안 취약점을 긴급 패치했다.

키트웍스는 월요일 예정된 사전 예방적 차단 조치 주말 동안 연방 정보 당국과 협력하여 치명적인 보안 취약점을 식별하고 해결했다고 밝혔다. 회사는 차단 조치 중 수행된 활동으로 인해 고객 기반의 1% 미만에서만 활성화된 기능에 국한된 이전에는 알려지지 않은 치명적인 취약점을 발견했다고 설명했다. 공격자가 이를 악용했는지 여부는 즉각적으로 밝혀지지 않았으나, 회사는 신속하게 보안 패치를 적용했다. 키트웍스는 고객들에게 최신 업데이트를 적용할 것을 권고했다.

개발자 왓투앱 계정을 무단으로 그룹에 추가하는 악성 npm 패키지 101개 발견

개발자들을 타깃으로 왓츠앱 계정을 무단으로 그룹에 가입시키는 악성 npm 패키지 101개가 발견됐다.

보안 연구원들은 개발자를 왓츠앱 그룹 구독 캠페인인 팬텀섭에 끌어들이는 데 사용되는 101개의 악성 npm 패키지 클러스터를 식별했다. 옥스 보안 연구원들에 따르면 이 악성 패키지들은 Baileys 왓츠앱 오픈소스 프로젝트를 악용하여 피해자의 동의 없이 그룹에 강제로 가입시킨다. 공격자들은 개발자들이 자주 사용하는 오픈소스 패키지 생태계를 오염시켜 개발자들의 계정을 무단 마케팅이나 그룹 가입에 악용했다. 연구원들은 이러한 공급망 공격이 개발자 환경을 직접 겨냥하고 있음을 경고했다. 기사는 개발자들이 외부 패키지를 설치할 때 신뢰성을 철저히 검증할 것을 권고했다.

오늘의 용어

클릭픽스(ClickFix) - 사용자가 웹페이지의 가짜 오류를 해결하기 위해 악성 명령어를 직접 복사해 실행하도록 유도하는 사회공학적 공격 기법.
ACR(Automatic Content Recognition) - 시청 중인 영상이나 오디오 콘텐츠를 자동으로 식별하여 시청 습관 등의 데이터를 수집하는 기술.
바이너리 분석(Binary Analysis) - 컴파일된 실행 파일 코드를 역설계하거나 분석하여 소스 코드 없이도 취약점이나 악성 행위를 찾아내는 과정.
CVE(Common Vulnerabilities and Exposures) - 공개된 컴퓨터 보안 취약점들에 대해 표준화된 식별 번호를 부여하는 국제 시스템.
자격 증명 도용(Credential Theft) - 공격자가 피싱이나 악성코드를 통해 사용자 계정의 아이디와 비밀번호를 탈취하는 행위.
스펙터(Spectre) - CPU의 추측 실행 기법의 허점을 악용해 다른 프로세스의 메모리 정보를 몰래 빼내는 하드웨어 보안 취약점.
백도어(Backdoor) - 정상적인 인증 절차를 거치지 않고 시스템에 몰래 접속할 수 있도록 만들어 둔 비밀 통로.
공급망 공격(Supply Chain Attack) - 소프트웨어 개발 과정에서 사용하는 오픈소스나 외부 서비스의 취약점을 파고들어 2차 피해를 유발하는 공격 방식.