북한 해킹그룹이 미국의 한 보안 연구원에게 역으로 해킹당하는 일이 발생했다. 미국 정보기술(IT) 전문매체 와이어드는 6일(현지시간), 미국 보안업체 쿠미오(Kumio)의 방겔리스 스티카스(Vangelis Stykas) 최고기술책임자(CTO)가 지난 22개월 동안 북한 해킹그룹의 서버에 침투해 약 5TB에 달하는 해킹 내역 데이터를 확보했다고 보도했다. ◇미 보안업체에 뚫린 북한...전 세계 1640개 기업 공격 사실 확인 스티카스 CTO는 구체적인 침투 방식은 밝히지 않았다. 다만, 일부 북한 해커가 악성코드에 감염되며 업무용 PC와 슬랙(Slack)·디스코드(Discord) 등 메신저 대화까지 접근할 수 있었다고 설명했다. 이를 통해 북한 해킹 조직 내부의 활동 기록과 공격 대상 정보가 대량으로 유출됐다. 스티카스가 확보한 데이터를 분석한 결과, 해당 북한 해킹조직은 전 세계 57개국 1640개 기업을 해킹한 것으로 밝혀졌다. 이 가운데 최고관리자(root) 권한이나 암호화폐 지갑 키 등 핵심 정보를 탈취당한 심각한 피해 사례만 700~800곳에 달했다. 특히 여러 기업의 시스템 접근 권한을 가진 외주업자가 악성코드에 감염될 경우 피해 규모가 기하급수적으
랜섬웨어 피해자를 돕겠다며 접근한 데이터복구업체 관계자들이 실제로는 해커와 결탁해 피해자들로부터 복구 비용을 받아낸 사실이 밝혀졌다. 이들 두 명은 1심에서 실형을 선고받았다. 서울중앙지법 형사1단독 이춘근 부장판사는 폭력행위 등 처벌에 관한 법률 위반(공동공갈) 혐의로 기소된 데이터복구업체 운영자 A씨와 광고실장 B씨에 각각 징역 3년을 선고했다. 재판부는 이들이 랜섬웨어 해커와 사실상 협력해 피해자들로부터 복구 비용을 갈취했다고 판단했다. 조사에 따르면 이들은 2018년 10월부터 2022년 7월까지 약 4년 동안 랜섬웨어 ‘매그니베르(Magniber)’에 감염된 피해자들을 상대로 총 730차례에 걸쳐 복구 대행 계약을 체결하고 약 26억원을 받아냈다. 매그니베르에 감염된 파일은 특정 확장자로 바뀌는데, 피고인들은 이 확장자 정보를 해커에게서 미리 넘겨받아 이를 영업에 활용한 것으로 드러났다. 이들은 피해자들이 인터넷 검색창에 감염된 파일 확장자를 입력해 복구 방법을 찾는다는 점을 노렸다. 해커에게서 받은 확장자 리스트를 포털 검색광고 키워드로 등록하거나 블로그 게시물로 올려 피해자가 검색하면 자신들의 업체가 상단에 노출되도록 했다. 실제로 B씨는 A씨에
페이스북·인스타그램의 모회사 메타(Meta)는 최근 자사의 인공지능(AI) 모델 ‘뮤즈 스파크(Muse Spark)’가 내부 사이버 보안 시험 도중 외부 기관의 시스템에 무단 침입한 사실을 확인했다고 밝혔다. 이는 오픈AI(OpenAI)와 앤트로픽(Anthropic)에 이어 세 번째로 드러난 ‘불량 AI 에이전트’ 사례다. 세계 주요 AI 기업들의 보안 평가 과정에서 자사 모델이 외부 기관을 해킹하는 사건이 잇따라 발생하면서 AI 기반 사이버 보안에 대한 우려가 커지고 있다. 메타의 이번 사고는 메타가 의뢰한 보안 평가업체 이레귤러(Irregular)가 진행한 시험 과정에서 발생했다. 이레귤러의 설정 오류로 원래 인터넷과 완전히 격리된 ‘샌드박스’ 환경에서 테스트되어야 할 뮤즈 스파크가 외부 인터넷에 접속할 수 있게 되었고, 이후 취약점을 악용해 다른 기관의 시스템에 침입한 것으로 확인됐다. 해킹 피해를 본 기관은 한 곳으로 알려졌으나, 구체적인 기관명은 공개되지 않았다. 일부 보도에 따르면 뮤즈 스파크는 해당 기관의 내부 시스템을 변경하는 등 실제 침해 행위를 수행한 것으로 전해졌다. 이레귤러 측은 이번 사건이 고도화된 사이버 공격이나 샌드박스 탈출과는 무
한국인터넷진흥원(KISA)이 기관 운영 전반을 재점검하고 체질을 개선하기 위한 강도 높은 혁신 작업에 돌입했다. KISA의 이번 변화의 시초는 최근 공공기관 경영평가에서 좋지 않은 결과를 받은데 따른 재점검 차원이다. KISA는 기관장 직속의 전사적 혁신 추진체계인 ‘국민 체감 성과 혁신 전담조직(TF)’을 새롭게 발족하며, 경영과 사업 전 분야에 걸친 구조적 개편과 성과 중심 운영을 선언했다. 이는 단순한 조직 개편이 아니라, 기관의 존재 이유와 역할을 근본적으로 되돌아보겠다는 의지의 표현이라는 점에서 의미가 크다. 이번 TF 출범은 올해 6월 발표된 2025년도 공공기관 경영실적 평가에서 KISA가 D등급을 받으며 경영 체계 전반의 개선 필요성이 제기된 데 따른 후속 조치다. 기관장인 이상중 원장도 기관장 평가에서 ‘미흡’ 판정을 받아 경고 조치를 받았다. KISA는 이러한 평가 결과를 엄중하게 받아들이고, 내부 통제 강화와 청렴 문화 확산, 재무·예산 관리 체계 정비 등 경영 기반을 다시 세우는 작업을 본격화하기로 했다. TF는 크게 ‘경영혁신’과 ‘사업혁신’ 두 축으로 구성된다. 총 6개 분과가 경영진을 분과장으로 맡아 운영된다. 기관장은 매월 성과
미국 행정부가 최첨단 인공지능(AI) 모델의 외부 해킹 가능성을 평가하기 위한 사이버 보안 테스트 방안을 확정했다. 최근 오픈AI(OpenAI)와 앤트로픽(Anthropic) 등 미국 주요 AI 기업의 모델이 인간의 공식적인 지시 없이 외부 기관 시스템에 침입한 사례가 드러나 논란이 됐다. 이에 도널드 트럼프 미국 정부가 보다 강도 높은 관리·감독 체계를 마련하려는 움직임으로 보인다. 로이터통신(Reuters)과 악시오스(Axios)에 따르면 백악관은 최신 AI 프론티어 모델의 해킹 능력을 측정하기 위한 테스트 세부 기준을 마련했다. 4일(현지시간) 백악관은 오픈AI, 앤트로픽, 구글, 메타 등 주요 개발사들을 초청해 관련 내용을 논의할 예정이다. 이번 방안은 AI 개발사가 신규 모델을 공식 출시하기 전 최대 30일 동안 연방 정부와 ‘신뢰할 수 있는 파트너’에게 모델을 조기 제공해 보안 취약성을 검증받도록 하는 구조를 담고 있다. 다만 테스트 결과 보고 방식이나 평가 지표 등 구체적 기준은 공개되지 않았다. 이는 성능 벤치마크와 기준 수치가 트럼프 대통령의 행정명령에 따라 ‘기밀’로 지정돼 있기 때문이다. 앞서 미국 대통령은 올해 6월 행정명령을 통해 최첨
개인정보보호위원회의 대규모 과징금 및 시정명령 처분에 불복한 기업들이 잇달아 행정소송에 나서면서 개인정보위와 기업 간 법적 공방이 빠르게 확대되고 있다. 최근 몇 년간 개인정보 유출 사고와 동의 없는 정보 활용 사례에 대한 제재 수위가 높아지고 있다. 개인정보보호의 중요성 강화라는 측면에서 개인정보위의 제재 수위가 높아지고 있지만, 기업들은 정부기관의 처분을 그대로 수용하기보다 법적 대응을 선택하는 흐름이 강화되고 있다. 개인정보위에 따르면 현재 진행 중인 행정소송은 총 17건에 달한다. 이 가운데 6건은 1심에서 개인정보위가 모두 승소했으나 기업들이 항소해 2심이 진행 중이며, 나머지 11건은 1심 심리 단계다. 소송 규모가 가장 큰 사건은 SK텔레콤의 유심(USIM) 정보 유출 사고로, 가입자 2324만여명의 정보가 유출돼 1348억원의 과징금이 부과됐다. SK텔레콤은 올해 1월 처분 취소 소송을 제기해 현재 1심 재판이 이어지고 있다. 2심으로 넘어간 주요 사건도 적지 않다. 메타와 구글은 이용자 동의 없이 외부 행태정보를 수집해 맞춤형 광고에 활용한 혐의로 각각 308억원, 692억원의 과징금을 부과받았다. 두 기업 모두 항소심에서 개인정보위와 다투고
국내 게임사 위메이드가 발행한 스테이블코인 ‘위믹스달러(WEMIX$)’가 또다시 해킹 피해를 입으며 수십억 원대 자산이 유출되는 사고가 발생했다. 지난해 3월 약 90억원 규모의 해킹을 겪은 데 이어 1년여 만의 재발이다. 위메이드 자회사인 위믹스 재단은 27일 공식 홈페이지와 X(옛 트위터)를 통해 “WEMIX$ 관련 스마트 컨트랙트의 관리자 권한이 탈취돼 약 522만5525 WEMIX$가 비정상적으로 발행됐으며, 이 중 상당량이 위믹스 및 USDC.e(USDC를 다른 블록체인으로 옮길 때 생성되는 브리지드 형태의 토큰)로 전환돼 외부로 빠져나갔다”고 밝혔다. 이는 약 76억~77억원 규모에 달하는 금액이다. 이번 사고는 26일 오후 6시 17~18분경 발생한 것으로 파악되고 있다. 위믹스 측에 따르면 공격자는 컨트랙트 오너 권한을 확보해 토큰 발행량을 임의로 조정한 뒤, 새로 발행된 WEMIX$를 위믹스와 USDC.e로 교환했다. 그 이후 브릿지를 통해 이더리움·바이낸스 스마트체인(BSC) 등 외부 네트워크로 이동시키고, ETH·USDT 등으로 재차 스왑해 자산을 분산했다. 온체인 분석가 스펙터(Specter)가 X를 통해 의심 정황을 공개한 뒤 약 4시
암호화폐 지갑 사용자를 노린 새로운 형태의 악성코드 공격이 전 세계적으로 확산하고 있다. 카스퍼스키 글로벌 연구분석팀(GReAT)의 경고에 따르면 ‘오코봇(OkoBot)’이라 불리는 정교한 악성 프레임워크가 1년 이상 활동을 이어오며 지속해서 기능을 확장하고 있다. 특히 이 악성코드는 암호화폐 지갑 애플리케이션 창의 내용을 직접 탈취하고, 지갑 복구용 시드 문구를 빼내기 위해 맞춤형 피싱 화면까지 구현하는 등 사용자 자산을 정밀하게 노린다는 점에서 위협 수준이 매우 높다. 오코봇은 TookPS라는 도구를 이용해 지갑 복구용 시드 문구를 시스템 메모리에서 찾아 외부로 전송한다. 여기에 오코스파이웨어(OkoSpyware) 모듈을 결합해 크로미움 기반 웹브라우저를 실시간으로 모니터링하고, 릴라이드 스틸러(Rilide Stealer)를 포함한 다양한 악성코드를 추가로 배포한다. 카스퍼스키는 현재까지 브라질, 베트남, 캐나다, 멕시코, 튀르키예 등 25개국 이상에서 수백 명의 피해자가 확인됐으며, 피해 규모는 계속 증가하는 추세라고 밝혔다. 오코봇의 구조는 단순한 악성코드가 아닌 ‘프레임워크’에 가깝다. 20개 이상의 악성 페이로드와 임플란트로 구성돼 있으며, 감염된
인공지능(AI) 챗봇이 생물학 무기 제조와 독극물 생산 방법 같은 고위험 질문에 대해 실제로 따라 할 수 있을 만큼 구체적이고 정확한 답변을 제공하고 있는 것으로 알려졌다. 마국 월스트리트저널(WSJ)은 생물학·테러 전문가들이 챗GPT의 대화 기록을 분석한 결과, 일부 답변은 고등학교 생물학 수준만 갖춰도 실행이 가능할 정도로 단순하고 명확했다고 보도했다. 사용자들은 병원체를 에어로졸 형태로 만드는 법, 홍역 바이러스를 변형해 백신 저항성을 갖게 하는 법, 국제협약으로 금지된 독극물 리친 제조법 등을 질문했다. 이러한 질문에 챗봇은 각각 상세한 설명을 제공했다. 오픈AI는 해당 계정을 정지시켰지만, 미국 수사 당국에 신고하지는 않았다. 미국에는 아직 AI 기업이 무기 제조나 대량 살상 행위와 관련된 질문을 제한하거나 보고하도록 강제하는 법적 장치가 마련되어 있지 않기 때문이다. 월스트리트저널은 이러한 법적 공백 속에서 챗GPT뿐 아니라 클라우드, 제미나이 등 주요 AI 챗봇들이 생물학 무기나 독극물 제조·유포 관련 질문에 ‘신뢰할 수 있는 수준의 답변’을 제공하는 사례가 늘고 있다고 지적했다. AI 챗봇이 총기 공격 계획을 돕는다는 우려는 이미 제기됐지만,
유럽연합(EU)은 한국의 개인정보 보호 수준이 자국과 동등하다는 판단을 유지하면서 국내 기업과 연구기관이 앞으로도 별도의 추가 절차 없이 EU 시민의 개인정보를 이전받을 수 있게 됐다. 개인정보보호위원회는 EU 집행위원회가 일반개인정보보호법(General Data Protection Regulation, GDPR)상 한국에 대한 ‘적정성 결정’을 계속 유지하기로 했다고 24일 밝혔다. 이는 2021년 12월 한국이 적정성 결정을 획득한 이후 처음으로 진행된 정기 재검토 결과다. 적정성 결정은 EU가 특정 국가의 개인정보 보호 수준이 EU와 동등하다고 인정하는 제도로, 해당 국가로의 개인정보 이전을 EU 역내 이전과 같게 허용한다. 적정성 결정을 받은 국가에는 표준계약조항(SCC) 체결이나 별도의 보호조치 마련 등 추가 절차가 요구되지 않는다. EU는 적정성 결정 국가가 보호 수준을 유지하고 있는지 최소 4년마다 재검토하며, 이번 한국에 대한 평가 역시 이러한 절차의 하나다. EU 집행위원회는 이번 재검토에서 한국의 개인정보 보호 법·제도, 감독체계, 공공기관의 개인정보 접근 권한 등을 종합적으로 점검했다. 그 결과 한국이 적정성 결정 이후에도 지속해서 높은
국민 대다수가 반도체·배터리·첨단소재 등 핵심기술의 해외유출을 국가경제와 안보를 위협하는 중대한 문제로 인식하고 있으며, 처벌 강화와 경제안보 차원의 대응이 필요하다는 의견이 압도적으로 높은 것으로 나타났다. 한국경영자총협회(경총)가 만 19세 이상 국민 1000명을 대상으로 시행한 ‘핵심기술 해외유출 대응 관련 대국민 인식조사’ 결과를 발표했다. 결과를 보면 응답자의 92.5%가 기술 유출이 우리 경제에 미치는 부정적 영향이 “심각하다”고 평가했다. 특히 ‘매우 심각하다’는 응답이 62.6%로 절반을 크게 웃돌았고, 심각성 평가 평균 점수는 10점 만점에 8.6점으로 집계됐다. 기술 유출 사건을 알고 있다고 답한 비율도 86.5%에 달해, 국민 인식 속에서 기술 유출 문제가 이미 현실적 위협으로 자리 잡았음을 알 수 있었다. 대응 방향에 대한 의견도 명확했다. 응답자의 91.4%는 “미국·중국처럼 경제안보 차원의 법체계를 마련해 대응해야 한다”고 답했다. 하지만 현재 우리의 방식으로 충분하다는 응답은 7.8%에 그쳤다. 경총은 “한국은 기술 보호·육성을 위한 개별 법률에 처벌 규정이 포함된 구조지만, 주요국은 기술유출 억제를 위한 별도 법체계를 갖추고 있다
정부가 개인정보 유출 사고를 은폐하거나 관련 증거를 없앤 기업을 적발하기 위해 신고포상금 제도 도입을 추진한다. 내부 제보 없이는 확인하기 어려운 자료 은닉·폐기 행위를 외부로 드러낼 강력한 유인을 만들겠다는 취지에서다. 특히 조사 결과 수천억원대 과징금이 부과되는 대규모 사고의 경우, 포상금 지급률이 높게 책정되면 신고자에게 수십억~수백억원대 보상이 돌아갈 가능성도 제기된다. 송경희 개인정보보호위원장은 16일 청와대 영빈관에서 열린 ‘2026년 하반기 업무계획’ 보고에서 “자료 은닉·폐기 행위는 내부자가 아니면 알기 어렵다”며 “과징금의 일정 비율을 신고자에게 지급하는 제도를 법제화할 계획”이라고 밝혔다. 개인정보위는 금융위원회와 공정거래위원회의 사례를 참고해 과징금의 최대 30%까지 포상금 지급을 검토 중이다. 앞서 금융위는 올해 불공정거래·회계부정 신고포상금 상한을 폐지하고 과징금의 30%를 기준으로 지급하는 방식으로 제도를 개편했으며, 공정위도 과징금의 최대 10%를 상한 없이 지급하는 방향으로 규정을 바꿨다. 이 대통령도 업무보고 자리에서 신고포상금 제도를 적극 도입해야 한다고 강조했다. 이 대통령은 내부자가 개인정보 유출을 신고할 수 있도록 충분한