[IT동아 김예지 기자] 사이버 위협이 일상이 된 시대, 보안은 더 이상 특정 기업만의 문제가 아니라 개인과 사회 전체의 리스크로 확산되고 있습니다. 한 주간 국내외에서 발생한 주요 보안 이슈와 정부 정책, 기업 소식을 살펴봅니다.
서강대 무작위 대입 공격…졸업생까지 개인정보 유출
서강대학교가 외부 공격으로 인한 개인정보 유출 사실을 알렸다. 서강대는 지난 14일 신원 미상의 외부 공격자가 통합 로그인 계정 정보 일부를 탈취한 정황을 포착했다고 밝혔다. 피해 시스템은 홈페이지 관리 서버(CMS)와 구형(레거시) 인증 시스템이다. 공격은 11일 발생했으며, 학교 측은 사흘 뒤인 14일 이상 징후를 감지해 차단 조치에 나섰다. 개인정보 유출 대상에는 재학생과 교직원, 졸업생 등도 포함된 것으로 추정된다.
원인은 비밀번호를 무차별 입력해 뚫는 ‘무작위 대입 공격’으로 확인됐다. 비인가 외부 IP가 이 방식으로 접근 권한을 획득했다. 유출 항목은 학번(사번), 성명, 소속, 이메일 주소, 휴대전화 번호, 암호화된 통합 비밀번호다. 주민등록번호 등 고유식별정보와 민감 학사정보는 유출에서 제외됐다. 한편, 서강 웹메일 비밀번호는 유출된 인증 시스템과 분리된 별도 시스템으로 확인됐다.
서강대는 침해 사실을 인지한 즉시 공격 IP를 차단하고, 해당 서버의 네트워크 차단 및 망분리 등 긴급 조치를 취했고, 모니터링 체계를 강화했다고 밝혔다. 개인정보보호법에 따라 개인정보보호위원회와 교육부에 신고를 마쳤다. 서강대 측은 “타 연계 시스템으로의 추가 피해는 없는 것으로 파악했고, 정밀 포렌식 조사를 통해 최종 유출 규모를 확인 중”이라면서 “이번 사안을 엄중히 받아들이며 재발 방지를 위해 보안 체계를 근본적으로 재점검하겠다”고 밝혔다.
학내 구성원은 학교 홈페이지에서 아이디(학번·사번)와 성명, 생년월일을 입력하면 본인의 유출 여부와 세부 항목을 확인할 수 있다. 학교 측은 “통합 포털(SAINT) 비밀번호가 암호화된 상태로 유출돼 직접 악용될 가능성은 낮으나 만일의 상황에 대비해 즉시 변경해 달라”고 당부했다. 아울러 타사이트에서 동일한 비밀번호를 사용 중인 경우 즉시 교체하고, 출처가 불분명한 문자와 메일로 인한 스미싱 및 피싱에 각별히 주의한다. 관련 안내는 카카오워크와 공식 메일을 통해서만 발송된다.
프랑스 정부기관 노린 해킹 이어져
프랑스 정부기관을 겨냥한 해킹이 연이어 발생하며 국가 안보 차원의 비상이 걸렸다. 프랑스 국세청 격인 재정경부 산하 재정총국(DGFiP)은 2026년 6월 말 시스템에 무단 접근한 공격자에 의해 개인 및 기업 데이터가 추출되는 침해 사고가 발생했음을 공식 인정했다.
프랑스 재정경제부는 지난 13일(현지시간) 해커가 타인의 신원을 도용해 재정총국 시스템에 무단 침입했다고 발표했다. 해커는 개인과 기업에 속한 데이터를 열람 및 추출한 것으로 파악됐다. 당국은 6월 말 접근 정황을 감지해 차단 조치를 취했다고 설명했으나, 사건이 외부에 알려진 계기는 해커의 자백이었다.
더레코드(The Record) 등 외신에 따르면, 프랑스 내 데이터 유출을 추적하는 ‘프렌치브리치스(FrenchBreaches)’가 이번 공격의 배후로 ‘ZeroBytes’라는 해커를 지목했다. ZeroBytes는 내부 서버에 접근해 VPN에 연결한 뒤 내부 도구를 악용해 이름, 납세자 번호, 이메일 주소, 가족관계, 과세 현황 등 60만 명 이상의 정보를 확보했다고 주장했다. 반면, 프랑스 재정총국은 무단 접근과 데이터 추출은 인정하면서도 피해 규모와 탈취된 데이터의 진위 여부에 대해 검증 조사가 진행 중이라며 확답을 유보했다.
한편, 올해 프랑스 정부기관을 향한 공격은 유독 거세다. 지난 4월에는 여권과 주민등록증, 운전면허증 발급을 담당하는 국립보안문서청(ANTS) 홈페이지와, 교육부 학생 계정 관리 시스템이 뚫려 개인정보가 노출된 바 있다. 2월에는 계좌 정보를 보유한 국립은행에서 약 120만 개 계좌 정보가 유출됐다. 해커들이 취약점을 빠르게 찾아내는 만큼, AI 기반 위협 탐지·대응 체계를 강화해 사고 대응 속도를 높여야 한다는 지적이 나온다.
가상자산 과세 안내 메일 사칭 주의보
내년부터 시행되는 가상자산 과세 이슈를 악용한 피싱 메일로 개인정보가 유출되는 사례가 발생하고 있다. 국세청은 지난 14일 ‘가상자산 과세 사전 소명안내’ 등의 제목으로 발송된 메일 내 링크나 첨부파일을 절대 클릭하지 말 것을 당부했다. 소득세법에 따라 2027년 1월 1일부터 가상자산을 양도하거나 대여해 얻은 소득이 기타소득으로 분류돼 과세 대상이 된다. 세금 부과나 소명 제출에 대해 관심이 높아진 시점에서 수신자의 심리적 불안감과 시급성을 노린 전형적인 사회공학적 기법이다.
국세청은 가상자산 과세 안내와 관련해 메일 내 링크 접속을 통한 직접적인 자료 제출이나 소명을 요구하지 않는다고 강조했다. 메일 본문의 버튼이나 링크를 클릭하면 국세청 홈택스와 유사하게 제작된 피싱 사이트로 연결되며, 입력한 개인정보와 인증 정보가 탈취될 수 있다.
국세청이 발송 안내문의 진위 여부는 홈택스 공식 페이지에서 조회할 수 있다. 따라서 출처가 불분명한 메일은 즉시 신고 및 삭제해야 하며, 의심스러운 링크를 이미 누른 경우 경찰청 사이버범죄 신고시스템이나 한국인터넷진흥원(KISA)에 신고해야 한다. 한편, 네이버나 다음 등 주요 포털의 스팸신고센터는 접수된 메일에 대해 IP 분석 등 조치를 취하고 있다.
맨디언트, 이틀 만에 취약점 100개 찾는 AI 에이전트 아키텍처 공개
구글 클라우드 산하 위협 인텔리전스 조직 맨디언트(Mandiant)가 소스코드 취약점을 자동 탐지하는 ‘에이전트 기반 취약점 탐지 하네스(AVDH)’를 공개했다. 하네스는 AI 에이전트의 오작동을 제어하고 관리하는 체계를 뜻한다. 모델의 비결정적 동작으로 발생하는 예측 불가능성을 낮추고 코드 분석 효율성을 향상하는 역할을 한다.
AVDH는 소프트웨어 공급망을 선제 방어하기 위한 멀티 에이전트 AI 파이프라인이다. 맨디언트에 따르면, 탈취된 기업 저장소를 조사하는 최근 사고 대응 조사에서 AVDH는 이틀 만에 실제로 악용 가능한 심각한 취약점 100여 개를 찾아냈다. 도입 이후 10개월 동안 수천만 줄의 코드를 분석해 수만 건의 진단 결과를 냈고, 상당수가 실제 결함으로 확인돼 12건은 CVE 취약점 번호를 할당받았다. 맨디언트는 “AVDH는 빠르고 정밀하게 스캔하고, 표적 공격 시뮬레이션 훈련에서도 우수한 성능을 발휘한다”며, “복잡한 공격 사슬을 규명하는 데 유용함이 검증됐다”고 설명했다.
단순 패턴 매칭 방식의 기존 도구와 달리, AVDH는 분야별 전문 에이전트들이 가설을 세우고 실행 경로를 추적하며 보안 규칙에 따라 결함을 검증한다. 교차 검증 과정을 거친 뒤 최종 종합 에이전트가 위협을 판정하는 구조다. 특히 AI가 선별한 결과라도 인간 전문가가 실제 공격 코드(PoC)를 재현하고, 추가 장치가 있는지 확인한 뒤 정식 취약점으로 공개한다. 맨디언트는 자사의 지속적 코드 모니터링 도구 ‘코드멘더(CodeMender)’와 연동하면 정밀 진단과 상시 감시를 모두 갖춘 이중 방어 체계를 구축할 수 있다고 덧붙였다.
SGA솔루션즈-키페어, PQC 제로트러스트 시장 정조준
양자컴퓨팅 시대의 보안 위협에 대비하기 위한 패러다임의 전환이 본격화되고 있다. 통합 IT 보안기업 SGA솔루션즈는 19일 양자내성암호(PQC) 전문기업 키페어와 ‘PQC 제로트러스트 사업 협력’을 위한 업무협약(MOU)를 체결했다. 양사는 공동 사업 발굴, 영업·마케팅 협력, 판매 채널 연동 등 다각도로 협력한다. SGA솔루션즈의 제로트러스트 플랫폼 ‘SGA ZTA’와 키페어의 PQC 기술을 결합해, 공공·금융·국방 등 분야에서 PQC 제로트러스트 모델을 구체화할 방침이다.
양자컴퓨터가 상용화되면 현재 쓰이는 RSA, ECC 등 기존 공개키 암호 체계는 무력화될 수 있다. 특히 해커들은 암호화된 데이터를 미리 수집한 뒤, 향후 양자컴퓨터가 개발되면 해독하는 ‘선수집·후해독(HNDL)’ 위협이 부각되면서 공공·민간에서는 모두 PQC 전환 움직임을 보이고 있다. 이에 대응해 과학기술정보통신부는 양자를 AI에 이은 미래 성장 동력으로 지정했고, ‘미래성장동력 7대 시드(SEED)’ 프로젝트를 통해 2029년까지 오류정정이 가능한 100큐비트급 국산 양자프로세서(QPU) 확보 및 ‘K-퀀텀 파운드리’ 구축을 추진 중이다.
키페어는 키관리시스템(KMS), 하드웨어보안모듈(HSM), 보안칩 설계, 암호 알고리즘·라이브러리를 아우르는 PQC 전문기업이다. 국가정보원 암호모듈 검증(KCMVP)을 통과했고, 지능형전력계량 인프라(AMI) 공급 실적을 보유했다. 최근 나스닥 상장사 BTQ테크놀로지스의 전략적 투자를 유치한 바 있다.
SGA솔루션즈는 “제로트러스트 환경에서 암호키의 생성·보관·사용 등 전 과정에 걸친 안전성 확보가 필수적”이라고 강조하며, “이번 공동 실증과 사업화를 통해 국내 제로트러스트 시장에 양자내성 보안의 새로운 기준을 제시하겠다”고 밝혔다.
IT동아 김예지 기자 (yj@itdonga.com)
