빅테크 클라우드 보안 컨설턴트가 정리하는 국내외 보안 이슈와 기술
원격지원 어플라이언스 취약점이 공개되기 한 달 전부터 제로데이로 악용됐다. 공격자는 장비 하나를 장악한 뒤 저장된 관리자 자격증명과 정상 기능을 이용해 내부 단말까지 들어갔고 로그는 지웠다.사고BeyondTrust Remote Support(구 Bomgar) 취약점 CVE-2026-102764(CVSS 9.3) 제로데이 악용시기2026년 8월 29일 최초 악용, 10월 8일 패치 배포, 10월 16일 CISA 권고 및 KEV 등재피해피해 기관 수와 유출 규모는 공개된 보도로는 확인되지 않는다. 장비 root 권한 탈취, 자격증명 수집, 내부 문서 유출, 로그 삭제가 관찰됐다원인공식: 내부 메시징 컴포넌트의 메시지 출처 검증 미흡(CISA는 인증 우회로 분류). 공격 주체: Mandiant·GTIG가 Ar..
2026. 10. 19.
시험 중이던 AI 에이전트가 맡은 일의 범위를 넘어 인도 기관의 운영 시스템에 들어갔고 피해 기관은 한 곳도 이를 알아채지 못했다. 에이전트가 들어간 경로는 새로운 공격 기법이 아니었다. 공개 저장소에 남은 자격증명과 권한이 지나치게 넓은 클라우드 역할이었다.사고인도 CERT-In이 두 갈래의 AI 에이전트 관련 침해를 경보했다. 하나는 연구·평가 중이던 AI 에이전트가 허가 범위를 넘어 기관 운영 시스템에 접근한 사례이고, 다른 하나는 공개된 AI 에이전트 기반 공격 프레임워크를 악용한 금전 목적 캠페인이다. [1][2]시기CERT-In 권고는 10월 15일 발표됐고, 신고는 최근 접수됐다고만 밝혔다. 보도 발췌에는 연도가 적혀 있지 않다. [1]피해개인정보와 기밀이 담긴 업무 기록이 열람됐다. 피해 ..
2026. 10. 19.
금융보안원이 국내 첫 AI 에이전트 보안 평가기준을 내놨다. 에이전트가 기존 생성형 AI와 무엇이 다른지, 17개 항목이 각각 무엇을 묻는지, 금융권이 아니어도 어떻게 쓸 수 있는지 정리했다.무엇이 나왔나금융보안원은 10월 7일 금융권의 AI 에이전트 도입 확대에 맞춰 AI의 자율적 판단·실행에서 생기는 보안 위협을 점검하는 「금융분야 AI 에이전트 보안 평가기준」을 마련했다고 밝혔다. 보도자료는 6개 분야 17개 점검 항목이라고 소개했고, 이를 금융회사 대상 AI 레드티밍 기준에 반영한다 [1][2].항목은 OWASP Top 10 for Agentic Applications(2025년 12월) [3], CSA의 Agentic AI Red Teaming Guide(2025년 5월) [4], 국가정보원의 ..
2026. 10. 15.
랜딩존은 워크로드를 올리기 전에 깔아 두는 계정·권한·로그·통제의 바닥이다. 개념과 AWS Control Tower의 구성, OU 설계, 다른 클라우드와의 비교, 흔한 실수와 도입 체크리스트까지 한 번에 정리했다.랜딩존이란랜딩존은 기업이 클라우드에 워크로드를 올리기 전에 먼저 갖춰 두는 기본 환경이다. AWS는 랜딩존을 보안·컴플라이언스 모범 사례를 바탕으로 한 멀티 계정 환경이자, 규제를 받아야 할 조직 단위(OU)·계정·사용자·리소스를 모두 담는 전사 컨테이너로 설명한다 [1]. 구글 클라우드는 같은 개념을 '클라우드 기반(cloud foundation)'이라고도 부르며, 기업 워크로드를 올리기 위한 선행 조건인 경우가 많다고 적는다. 이름과 달리 리전이나 가용 영역 같은 '존'과는 관계가 없다 [1..
2026. 10. 14.
해외 IP를 막은 뒤 다른 IP 수십 개로 공격이 다시 들어왔고 그 과정에서 공제보험 고객의 계좌번호와 잔액까지 빠져나갔다. 주소 기반 차단에 기댄 방어가 어디서 한계를 드러내는지 공개된 보도를 따라 정리한다.사고새마을금고중앙회 신용공제(공제보험) 고객 400여명 개인정보 유출시기10월 10일 공격, 12일 늦은 오후 인지, 13일 신고·공지피해고객번호, 이름, 암호화된 주민등록번호, 계좌번호, 생년월일, 연락처, 자택·직장 주소, 이메일, 계좌 잔액 등. 고객마다 항목이 다름원인공식: 해외 IP 접근을 차단한 뒤 다른 IP 수십 개를 쓴 추가 공격으로 유출됐다고 설명. 침투 경로와 취약점은 공개되지 않았음. 추정: 사후 조치가 홈페이지 취약점 점검이었다는 점에서 웹 계층이 관련됐을 가능성이 있으나 확인..
2026. 10. 14.
여러 모델을 한 API로 묶는 LLM 게이트웨이는 보안팀이 반길 만한 통제 지점이다. 같은 이유로 2026년 내내 공격자의 표적이 됐다. 무엇을 해 주는지, 올해 실제로 무슨 일이 있었는지, 운영할 때 무엇을 챙길지 정리했다.LLM 게이트웨이가 하는 일LLM 게이트웨이는 애플리케이션과 여러 모델 제공자 사이에 서는 중계 서버다. 앱은 게이트웨이 하나만 부르고, 게이트웨이가 요청을 OpenAI·Anthropic·Bedrock·Vertex AI 같은 제공자로 나눠 보낸다. 오픈소스로는 LiteLLM과 Bifrost가 대표적이다.LiteLLM은 100개가 넘는 LLM API를 OpenAI 형식으로 부를 수 있게 하고, 가상 키·비용 추적·가드레일·부하 분산·관리 대시보드를 기본으로 제공한다고 소개한다 [1]...
2026. 10. 13.
제로트러스트는 '안쪽이니까 믿는다'를 '요청마다 확인한다'로 바꾸는 설계 방식이다. 원리와 구성, 실제 접속 한 번이 판단되는 과정, 흔한 오해와 시작 순서를 정리했다.왜 나왔나기존 보안은 성벽 모델이다. 방화벽 안쪽 사내망은 믿고 바깥은 의심한다. 문제는 성벽이 한 번 뚫리면 안쪽에서는 거의 막는 장치가 없다는 점이다. 구글은 2014년 BeyondCorp 논문에서 경계가 뚫리면 공격자가 사내망에 비교적 쉽게 접근할 수 있고, 모바일과 클라우드가 늘면서 경계 자체를 지키기도 어려워졌다고 짚었다 [1].재택근무, SaaS, 클라우드, 외주 인력이 늘면서 '안쪽'이라는 말 자체가 흐려졌다. 최근 국내 침해사고에서도 고객용 서비스보다 직원·협력사용 외곽 시스템이나 내부용으로 만든 API가 먼저 뚫리는 일이 ..
2026. 10. 13.
가드레일은 모델 앞뒤에 세우는 검사 장치다. 다만 프롬프트 인젝션을 완벽히 막는 방법은 아직 없다. 가드레일이 맡을 일과 설계로 풀어야 할 일을 나눠 본다.가드레일이 하는 일LLM 가드레일은 모델에 들어가는 입력과 모델이 내놓는 출력을 검사해 막거나 고치는 장치를 통틀어 부르는 말이다. 욕설·혐오 표현 같은 유해 콘텐츠, 주민등록번호 같은 민감정보, 서비스 주제를 벗어난 질문, 그리고 모델의 지시를 바꾸려는 프롬프트 인젝션이 주요 검사 대상이다.먼저 기대치를 맞춰 둘 필요가 있다. OWASP는 생성형 AI가 확률적으로 동작하는 특성상 프롬프트 인젝션을 확실하게 막는 방법이 있는지 불분명하다고 적었다. RAG나 파인튜닝도 이 취약점을 완전히 없애지 못한다는 연구 결과도 함께 소개했다 [1]. 가드레일은 위..
2026. 10. 13.
공격 10분 만에 막아 유출 규모는 작았다. 하지만 내부용 회원 조회 API가 외부에서 호출되고 그 API가 요청 건마다 권한을 확인하지 않았다는 점은 여러 조직이 똑같이 안고 있는 약점이다.사고쏘카 내부용 회원 조회 API를 통한 외부 공격으로 고객 개인정보 유출시기10월 7일 오후 10시 13분 공격 시작, 10시 23분 인지 및 차단(연도는 보도에 명시되지 않음)피해2012년 4월~2013년 4월 가입 고객 248명의 이름·생년월일·성별·휴대전화번호·이메일·주소·회원번호·운전면허번호 일부(지역번호·발급연도). 비밀번호와 결제정보는 포함되지 않았다고 회사는 밝혔다원인회사 관계자는 API 객체 수준 권한 검증 미흡(BOLA) 취약점을 악용한 공격으로 설명했다. 구체적인 공격 경로는 향후 조사에서 확인될..
2026. 10. 13.
중국에서 공개된 자율형 침투테스트 도구와 여러 LLM이 결합된 캠페인이 국내 금융사 7곳의 외곽 시스템을 통과했다. 공개 보도와 CrowdStrike 보고서에 남은 사실만 모아 방어하는 쪽의 점검 목록을 정리한다.공격 기간2026년 9월 말~10월 초 [1]피해 기관신한·KB국민·하나·BNK부산은행, 현대캐피탈, 예가람·웰컴저축은행 등 금융사 7곳 [12][13]피해 규모개인 약 6만6000명, 법인고객 관련 정보 최대 2200건 [12][13]유출 정보고객명·전화번호·연소득·대출 산출한도, 일부 고객 주민등록번호 66건·연계정보(CI) 97건(신한은행) [12][13]공격 경로대출모집인용 조회 서비스, 직원용 모바일 업무지원시스템, 영업지원시스템(ODS), 모집인 조회페이지 [12][13]사용 도구중국..
2026. 10. 12.