BoB Newsletter
BoB인들을 위한 뉴스레터를 한 달에 한 번 메일로 받아보세요!
BoB 수료생과 멘토들의 활약 내용, BoB 교육생 및 센터의 소식, 최근 보안 이슈 정리 및
기사 공유, 멘토의 인터뷰 및 기고문 등의 다양한 이야기를 전해드립니다.
|
|
|
🍎 BoB 뉴스레터 7월호 스토리
-
📢 7월 BoB 수료생&멘토 소식
- 🚀 BoB 14기, 꿈의 날개를 펴다!
- 💬 민생회복 소비쿠폰 지급으로 보는 스미싱
- 🗽 미국 AI 국가안보각서(AI NSM): AI 시대 국가안보 전략의 변화
-
⛱️ 여름휴가, 해커에게는 기회의 계절
- 🤖 AI가 바꾸는 보안: 주목할 스타트업 10곳으로 읽는 변화
|
|
|
(2) 🚀 BoB 14기, 꿈의 날개를 펴다!
|
|
|
2025년 6월 25일, 수많은 지원자들 중 엄격한 선발 과정을 통해 BoB(Best of the Best) 14기 교육생이 최종 확정되었다. 본 뉴스레터에서는 새롭게 합류한 교육생들과 멘토진, 그리고 그들의 교육 환경과 일상을 심층적으로 취재하여 소개한다. |
|
|
[▲ BoB 14기 발대식에 참석한 교육생과 주요 관계자들의 기념 촬영 출처 - 보안뉴스] |
|
|
차세대 보안리더 양성 프로그램 'BoB'(Best of the Best) 14기가 교육생들의 뜨거운 열정과 함께 첫발을 내딛었다. 7:1의 치열한 경쟁을 뚫고 선발된 172명의 교육생들은 서울 강남 GS타워 아모리스 역삼에서 개최된 발대식을 통해 보안 전문가로의 여정을 시작했다.
발대식에는 최우혁 과기정통부 정보보호네트워크 정책관, 정대철 대한민국헌정회장, 안철수 국민의힘 의원, 이준석 개혁신당 의원을 비롯한 정보보호 분야의 주요 인사들이 참석해 자리를 빛냈다. 특히 유준상 KITRI 원장은 "BoB는 단순한 교육 프로그램이 아닌, 대한민국 보안 생태계를 이끌어갈 '사람'을 육성하는 플랫폼"이라며 교육생들의 미래에 대한 기대를 표명했다.
이번 14기에는 김태홍, 진필근, 유재욱, 소정기, 유정각, 천승환 등 현업에서 활약 중인 6명의 신규 멘토가 합류해 교육의 질을 한층 더 높일 예정이다. 14기를 대표해 임형천, 강민채 교육생이 진행한 선서는 앞으로 7개월간의 도전적인 여정에 임하는 교육생들의 결의를 다지는 시간이었다.
BoB 14기 교육생들은 내년 2월까지 서울 금천구 BoB 센터에서 디지털 포렌식, 정보보안 컨설팅, 보안 제품 개발 등 실무 중심의 전문 교육을 받게 된다. BoB 뉴스레터에서는 이들이 대한민국 정보보호 산업의 미래를 이끌어갈 차세대 리더로 성장하는 과정을 지속적으로 소개할 예정이다.
|
|
|
[▲ 14기 총동문회 워크숍 레크리에이션 현장 - 사진: 김채영] |
|
|
BoB 14기 사전 워크숍이 6월 28일 총동문회 주관으로 개최되었다. 172명의 신규 교육생 중 약 150여 명이 참석한 이번 행사는 차세대 보안리더로서의 첫걸음을 함께하는 의미 있는 자리였다. 본 워크숍은 총동문회 임원진과 수료생으로 구성된 약 20명의 스태프가 안전하게 인솔하였다.
교육생들은 체계적으로 구성된 레크리에이션 활동을 통해 팀워크를 다지고, 장기자랑과 네트워킹 식사 시간을 거쳐 '보안인의 밤' 행사로 일정을 마무리했다. 특히 '보안인의 밤'에서는 사이버 보안 분야의 현안과 미래 방향성에 대한 진지한 토론이 이어져, 참가자들의 전문성을 한층 더 높이는 계기가 되었다.
취재진이 취재 현장에서 주목한 점은 14기 교육생들의 학업에 대한 열정만큼이나 왕성한 식욕이었다. 행사 다음날 아침식사용으로 비치된 라면이 밤새 소진되는 진풍경이 연출되었는데, 이는 교육생들의 넘치는 에너지와 단결력을 상징적으로 보여주는 장면이었다.
|
|
|
7개월간 진행되는 이번 교육은 총 3단계로 구성되어 있으며, 각 단계별로 차세대 보안 전문가 양성을 위한 체계적인 커리큘럼이 마련되었다.
1단계는 7월부터 8월까지 진행되며, 공통 필수교육과 트랙별 교육으로 나뉜다. 먼저 2주간 80시간에 걸쳐 모든 교육생이 보안 필수기술 및 인성교육을 받게 된다. 이후 6주 동안은 트랙별로 240시간의 실습 위주 교육이 진행된다.
BoB의 각 트랙은 고유한 전통 행사를 통해 교육생들의 실무 역량을 강화하고 팀워크를 다지는 문화를 형성해왔다. 이러한 전통 행사들은 BoB만의 독특한 학습 방식으로 자리 잡았으며, 14기에서도 계승될 예정이다. 취약점 분석 트랙은 'CTF(Capture The Flag)' 대회를 통해 웹, 시스템, 암호학 등 다양한 분야의 보안 문제를 해결하며 실전 감각을 키운다. 보안컨설팅 트랙에서는 실제 기업 환경을 모방한 '가상기업 프로젝트'를 통해 보안 정책 수립부터 컨설팅 제안서 작성까지 실무 경험을 쌓는다. 디지털 포렌식 트랙의 '발표톤'은 자유 주제를 발표하는 경연으로, 개인의 다양한 관심 분야를 동료들과 멘토들 앞에서 공유하는 자리이다. 보안 제품 개발 트랙의 '개발톤'은 제한된 시간 내에 팀 별로 자율적으로 서비스를 기획부터 구현까지 완성하는 활동으로, 창의력과 개발 역량을 극대화한다.
이번 기수에서는 눈에 띄게 달라진 점이 한 가지가 있다. 13기에 비해 인원이 30명 감축 되었다는 점이다. 지원자들과 교육생들, 수료생들 사이에서 다양한 반응이 보였다. 멘토진의 설명에 따르면, 취약점 분석 트랙의 인원 감축은 세 가지 핵심 이유에서 비롯되었다. 첫째, 적은 인원으로 수업 집중도와 전달력을 강화하여 교육 효율성을 높이고자 했다. 둘째, 모든 교육생이 실습에 제대로 참여할 수 있는 환경을 조성하여 실습 참여율을 제고하고자 했다. 셋째, 전공자와 잠재력 있는 인재 중심으로 선발하여 전체 트랙의 역량을 강화하고 교육 수준을 상향 평준화하고자 했다.
2단계는 9월부터 12월까지 약 16주간의 프로젝트 수행 기간이다. 이 기간 동안 교육생들은 팀을 구성하여 실제 보안 문제를 해결하는 프로젝트를 수행하며 실무 역량을 키우게 된다. 지난 13기와 마찬가지로 이번 기수에서도 트랙별로 팀빌딩과 프로젝트를 진행할 예정이다.
마지막 3단계는 1월부터 2월까지로, 심화교육과 그랑프리 경연이 이루어진다. 특히 그랑프리 경연은 신청한 팀에 한해 진행되며, 평가를 통해 선정된 1, 2위 팀에게는 사업화 지원이 제공된다.
BoB의 멘토진은 새롭게 합류한 교육생들에게 응원과 격려의 메시지를 전했다. 특히, 이번에 멘토 역할을 맡은지 10년이 된 신정훈 책임멘토의 사례가 주목할 만하다. 작년 13기 프로젝트 팀은 BoB 프로젝트 최초로 Pwn2Own 2025에 출품하여 Virtualization Category에서 우승함으로써 BoB 교육생들의 실력이 실제 글로벌 환경에서도 충분히 경쟁력이 있음을 입증했다. 신정훈 멘토는 14기 교육생들에게도 국내외 유명 소프트웨어의 취약점을 찾고 패치하는 과정을 통해 버그 헌팅에 대한 흥미를 키우고 오펜시브 보안의 현실을 직접 경험하기를 바란다고 전했다. 나아가 Pwn2Own 2026를 비롯한 국제 대회에 출품하여 좋은 성적과 값진 경험, 그리고 국제적 명성을 얻길 기대한다고 덧붙였다.
보안컨설팅트랙의 김영옥 책임멘토는 "비오비 14기 보안컨설팅은 이번에 새로운 도전과 시도를 계획하고 있다"며 "글로벌 AI 패권 경쟁 속에서 우리 비오비가 수행해야 할 역할과 AI보안의 관점을 정립하여 누구보다 빠르게 AI 시대를 이끌어갈 보안 인재 육성에 중점을 둘 것"이라고 강조했다. 특히 "Agentic AI, Physical AI 시대에 보안적으로 고려해야 할 요소들을 함께 논의하고 관련 프로젝트를 수행함으로써 시대의 흐름을 선도하는 보안컨설팅이 되도록 방향을 잡을 것"이라고 밝혔다.
정승기 책임멘토는 교육생들에게 "치열한 선발 과정을 통해 선택된 여러분은 이미 특별합니다. BoB는 단 한 번뿐인 기회이니 지금 이 순간에 최선을 다하세요. 언젠가 여러분과 사회에서 정보보안 전문가로 다시 만나길 기대합니다"라는 응원의 메시지를 전했다.
|
|
|
BoB 14기 교육은 이제 막 시작 단계에 있다. 교육생들은 앞으로 7개월간의 교육 과정에서 각자의 분야에서 전문성을 키우고 실질적인 프로젝트 경험을 쌓게 될 것이다. 프로젝트 결과물이 실제 산업 현장에서 활용되거나 국제 대회에서 인정받는 사례가 늘어나고 있어, 14기 교육생들의 성과도 기대된다.
각 트랙별 멘토들은 교육생들에게 지속적인 지원과 지도를 약속했으며, 교육생들은 치열한 경쟁을 뚫고 선발된 만큼 교육 과정에 최선을 다할 준비가 되어 있다는 말을 전했다. 뉴스레터 기자단은 앞으로도 14기 교육생들의 활동과 성과를 지속적으로 취재하여 전달할 예정이다.
|
|
|
(3) 💬 민생회복 소비쿠폰 지급으로 보는 스미싱
|
|
|
최근 ‘1인당 25만 원’ 민생회복 소비쿠폰 신청과 지급 시기가 다가오면서 이를 노린 스미싱 스팸 문자가 기승을 부릴 조짐을 보인다. 정부나 카드사, 은행 등으로 속여 지급 대상이나 금액 안내, 카드 사용 승인, 신청 등을 빌미로 한 문자 메시지가 무차별적으로 발송될 것으로 예상된다. 이에 정부는 “민생회복 소비쿠폰과 관련해 인터넷 주소로 바로 연결되는 URL이 포함된 문자 메시지는 일절 발송하지 않는다”며, 의심스러운 문자를 받으면 즉시 삭제하고, 문자 내 URL은 절대 클릭하지 말 것을 당부했다. |
|
|
스미싱(Smishing)은 문자메시지(SMS)와 피싱(Phishing)의 합성어로, 문자메시지를 통해 악성 앱 설치를 유도하거나 개인정보를 탈취해 금전적 이득을 취하는 사기 수법이다. 공격자는 무작위로 전송된 문자 속에 인터넷 주소(URL)를 포함해 사용자가 클릭하도록 유도한다. 이때 사용하는 URL은 단축 주소 서비스나 정상 주소를 모방한 피싱 사이트로, 이용자가 진짜 사이트로 오인하기 쉽다.
스미싱 공격에 사용되는 악성 앱은 주로 크롬, 플레이스토어, 민원24, 우체국 등 사람들이 잘 아는 정상 앱으로 속여 설치를 유도한다. 이들 악성 앱은 과도한 권한을 요구하며, 전화·문자 메시지 관리, 저장소 접근, 기기 관리자 권한까지 요구하는 경우가 많다. 설치 이후에는 직접 악성 행위를 하거나, 추가로 다른 악성 앱 설치를 유도하기도 한다. 예를 들어, 특정 앱 실행 시 ‘업데이트 파일입니다’라는 알림을 띄워 추가 악성 앱을 설치하게 만드는 방식이다.
스미싱 문자의 유형은 매우 다양하다. 지인으로 속여 청첩장이나 초대장을 보내거나, 택배 반송·배송 안내, 공공기관 민원 안내, 범칙금 고지서, 사회적 이슈 관련 동영상, 이벤트 당첨 등의 내용을 활용한다. 최근에는 사회적 관심을 끌 만한 이슈나 감정에 호소하는 메시지로 사용자들의 클릭을 유도하는 경우가 늘고 있다.
|
|
|
스마트폰이 일상에서 필수적인 도구로 자리 잡으면서, 모바일 환경을 노린 스미싱 범죄도 점점 정교해지고 있다.
2024년 기준으로 분석된 스미싱 사례들은 과거 단순한 문자 사기에서 벗어나 사회공학적 기법을 활용하는 방식으로 진화했다.
주요 스미싱 유형
1. 공공기관 사칭
- 민원24, 보험공단, 우체국 등 국민이 신뢰하는 기관 사칭
- 민원 안내, 보험 청구, 택배 배송 알림 등을 명목으로 악성 앱 설치 유도
- 개인정보 탈취 → 계정 탈취 → 기기 감시 → 추가 스미싱 확산까지 이어짐
2. 경조사 사칭
- 중장년층 대상, 돌잔치·청첩장·부고 알림 등 감정 자극
- 구체적 지인·가족 이름 포함, 긴급 클릭 유도로 경계심 무장해제
- 클릭 시 악성 앱 설치 및 개인정보 유출
3. 금전적 이득 유혹
- 젊은 층 대상, 코인·주식 투자 미끼
- 가짜 고객센터, 참여자 사칭(‘바람잡이’) 동원
- 최근에는 SNS ‘좋아요’, 댓글 접촉 → 메신저 친분 쌓기 → 차트 조작 사이트, 투자방 초대 → 금전 이체 유도
4. 성적 만남 사칭
- SNS·메신저에서 음란 대화 유도
- 대화 과정에서 악성 앱 설치 유도
- 호기심·유혹 노출로 금전 및 개인정보 피해
5. 플랫폼 계정 탈취
- 텔레그램 등 메신저 계정 대상
- ‘계정 정지’, ‘정책 위반’ 명목으로 인증 코드 입력 유도
- 공격자 C2 서버로 정보 전송 → 계정 탈취 → 피해자 접근 차단
|
|
|
최근 한국인터넷진흥원(KISA)은 민생회복 소비쿠폰 지급 시기를 노린 스미싱·피싱·보이스피싱 범죄에 선제적으로 대응하기 위해 전사적 대응체계를 가동 중이다.
주요 사칭 수법
-
스미싱
정부24, 지역화폐 앱, 카드사 등으로 속여 ‘대상자’, ‘쿠폰 발급처’, ‘지원금’ 등의 키워드로 문자메시지 내 악성 URL 클릭을 유도
-
피싱 사이트
‘민생회복 소비쿠폰 신청’이나 ‘사용 방법’ 검색 시 상단에 노출된 피싱 사이트나 광고로 접속 유도
-
보이스피싱
유선으로 소비쿠폰 추가 지급, 지급 방법 안내 등을 빙자해 개인정보·금융 정보 요구, 원격제어 앱 설치, 피싱 사이트 접속 유도
KISA 권고 국민 행동 요령
1. 스미싱 의심 문자 수신시
- KISA ‘스미싱확인서비스’ 이용해 정상 메시지 여부 확인
- 문자 내 인터넷주소(URL)는 절대 클릭 금지
2. 의심 문자 신고하기
3. 피해 의심 또는 발생시
4. 민원·상담 필요 시
- KISA 118 사이버민원상담센터(국번 없이 118) 연결
|
|
|
스미싱은 이제 단순한 문자 사기를 넘어선 복합적이고 정교한 범죄 수법으로 자리 잡았다. 공공기관, 가족, 지인, 금융기관, 심지어 사회적 이슈까지 사칭하며 우리의 일상 속 틈을 파고든다. 특히 최근 민생회복 소비쿠폰 지급을 악용한 스미싱 범죄가 급증하고 있는 만큼, 누구나 피해자가 될 수 있다는 경각심이 필요하다.
정부와 관계기관은 스미싱 탐지 및 대응 체계를 고도화하고 있으며, KISA의 스미싱 확인 서비스, 신고 창구, 상담센터 등 다양한 대응 수단도 마련돼 있다. 하지만 무엇보다 중요한 것은 개인의 주의와 실천이다. 의심스러운 문자는 열어보지 않고, 모르는 링크는 클릭하지 않으며, 금융·개인정보는 유선이나 온라인으로 전달하지 않는 습관이 필요하다.
|
|
|
(4)🗽 미국 AI 국가안보각서(AI NSM): AI 시대 국가안보 전략의 변화
|
|
|
1. AI 국가안보각서(AI NSM) 수립 배경 및 목적
|
|
|
2024년 10월 24일, 미국 바이든 정부는 급속도로 발전하는 인공지능(AI)이 국가 안보에 미치는 심각한 영향을 인식하고 이를 전략적으로 대응하기 위한 포괄적인 'AI 국가안보각서(National Security Memorandum on AI, 이하 AI NSM)'를 발표했다. 이 각서의 수립 배경에는 AI 기술의 발전 속도가 이전 기술 혁신과 비교할 수 없을 정도로 빠르며, 예측 불가능한 궤적을 그리고 있다는 점이 주요하게 작용했다. 또한 AI 기술 개발이 주로 민간 부문에서 이루어지고 있다는 특성 때문에 정부와 민간 기업 간의 긴밀한 협력이 필수적이라는 판단이 있었다. 특히 중국과의 글로벌 전략적 경쟁이 치열해지면서 AI 반도체와 같은 핵심 기술의 보호 및 경쟁국으로의 기술 유출 방지를 위한 엄격한 정책적 대응이 필요했다.
바이든 정부는 AI 국가안보각서(AI NSM)를 통해 미국이 기술 혁신의 선두를 유지하면서도 국가 안보 위협을 관리할 수 있는 전략적이고 종합적인 계획을 수립하는 것에 목적을 두었다. 이를 통해 AI 기술이 안보적 위협보다는 기회로 작용할 수 있도록 민관 협력을 기반으로 하는 선제적 정책 대응의 필요성을 강조했다.
|
|
|
AI 국가안보각서(AI NSM)는 AI 기술을 국가 전략의 핵심으로 적극 활용하고 관리하기 위해 명확하고 구체적인 목표와 계획을 수립하였다.
- 국가 안보와 군사력 강화를 위해 AI 기술을 적극 활용하고, 국방력 향상과 전략적 우위 확보를 위한 기술 개발과 적용을 가속화하기로 했다. 이를 위해 국방부와 정보기관 등 국가안보 관련 기관들의 AI 기술 도입과 활용을 확대하였다.
- AI 기술의 안전성과 보안성을 철저히 관리하기 위한 리스크 관리 체계를 구축하였다. 이는 AI 시스템의 오류와 해킹, 악용 등 잠재적 위협 요소에 대비하기 위한 것으로, 연방기관들이 이 위험을 효과적으로 통제하고 관리할 수 있도록 세부 지침을 제공하였다.
- AI 관련 핵심 기술 보호, 특히 반도체 기술을 중심으로 엄격한 수출 통제 정책을 시행했다. 엔비디아와 AMD와 같은 주요 민간 AI 반도체 기업들에 대해 중국과 같은 경쟁국으로의 기술 이전 및 수출 제한을 강력히 실시했다.
- 글로벌 AI 거버넌스 체계 구축과 국제 표준 제정 과정에서 미국의 주도적 역할을 확보하도록 했다. 미국은 국제사회와 협력하여 AI 기술 표준화 및 윤리적 규범 마련에서 영향력을 발휘하고자 했다.
주요 대상은 연방정부의 국무부, 국방부, 재무부, 법무부 등 주요 기관들과 민간 AI, 반도체 등 주요 기업이다. 이들 기관과 기업들은 AI 국가안보각서(AI NSM)에 따라 전략적으로 협력하고 정책적 목표를 달성하기 위한 구체적인 방안들을 실행에 옮기도록 지침을 받았다.
|
|
|
AI 국가안보각서(AI NSM)의 발표는 AI 기술이 단지 기술 발전 차원을 넘어 국제 정치, 경제 및 안보적 측면에서도 주요한 영향력을 가지게 되었음을 의미한다.
- AI 기술의 전략적 활용과 관리 능력이 국가 안보의 핵심 경쟁력으로 인식되면서 기술 보호와 리스크 관리 능력의 중요성이 증대되었다. 특히 중국과의 전략적 경쟁 구도에서 기술 유출 방지 및 전략적 우위 확보가 중요한 과제로 떠올랐다.
- AI 기술이 민간 중심으로 발전하면서 정부의 역할은 감독과 규제 중심에서 민관 파트너십과 전략적 협력의 형태로 진화했다. 이에 따라 정부와 민간 기업 간 자율성과 통제의 균형점을 찾는 것이 중요한 정책적 과제로 부상했다.
- 국제적 차원의 AI 거버넌스 및 표준화 과정에 적극적으로 참여하는 것이 국가 경쟁력 유지에 필수적인 요소로 인식되었다. 미국의 사례는 향후 국제 AI 표준화와 규범 설정 과정에서 각국이 참고할 수 있는 중요한 모델이 되었다.
|
|
|
2025년 트럼프 2기 행정부 출범 이후 미국의 AI 정책 방향은 기존의 바이든 정부와는 다른 양상으로 전환되었다. 트럼프 대통령은 2025년 1월 발표한 ‘미국 인공지능 주도에 대한 장벽 제거 행정명령 제14179호(Executive Order 14179: Removing Barriers to American Leadership in Artificial Intelligence)’를 통해 AI 기술에 대한 규제를 완화하고 혁신 중심의 새로운 AI 계획을 지시했다. 트럼프 행정부는 AI 시스템의 보안과 취약점 관리 강화를 중심으로 하여 국가 안보 측면에서 더욱 구체적인 지침을 제공하고, 일부 AI 반도체 수출 규제를 완화하는 등 보다 유연한 기술 경쟁력을 확보하려고 했다.
정책적으로는 AI 안전성 중심에서 국가 안보 및 사이버 보안 중심으로 전환했으며, 기존 AI Safety Institute를 국가 보안과 표준화 중심의 ’AI 표준 및 혁신 센터(Center for AI Standards and Innovation, CAISI)'로 개편했다.
|
|
|
미국의 AI 전략 변화는 글로벌 AI 시장에 큰 영향을 미치고 있다. 특히 한국을 포함한 전 세계 국가들은 이제 AI 기술 활용에 있어 책임 있는 관리와 민간 융합적 접근 및 국제 표준화 대응에 적극적으로 임해야 한다.
한국 정부는 AI 기술 전략적 관리와 리스크 관리 정책을 명확히 하고, 국제 AI 거버넌스 구축 및 표준화 과정에 선제적으로 참여하여 글로벌 경쟁력을 유지해야 한다. 또한, 자국의 AI 기술 및 플랫폼을 성장시키고 지원하여 글로벌 AI 경쟁에서 성공적으로 자리매김할 수 있도록 국가적으로도 적극적인 지원에 박차를 가해야 할 시점이다.
|
|
|
(5) ⛱️ 여름휴가, 해커에게는 기회의 계절
|
|
|
여름 휴가철이 본격화되면서, 이를 노린 해킹 시도가 해마다 반복되고 있다. 업무 공백이 생기고, 원격 접속과 공공 네트워크 사용이 증가하는 이 시기는 공격자에게 기회의 창이 활짝 열리는 시점이기도 하다.
매년 이맘때면 “휴가철 보안 주의”를 강조하는 기사들이 쏟아진다.
그러나 반복되는 경고에도 불구하고, 사고는 같은 방식으로 다시 발생한다.
공격자는 조직 구성원들의 “설마 이 시기에?”라는 심리를 정확히 파고든다. ‘휴가비 안내’, ‘항공권 취소’ 등으로 위장된 피싱 메일을 보내거나,
카페·공항 등 공공장소에서 업무 기기가 연결된 와이파이를 통해 몰래 침투를 시도한다. 화면 잠금 없이 방치된 노트북, 보안 패치가 적용되지 않은 소프트웨어, 여전히 열려 있는 원격 접속 권한은 해커에게는 너무나도 손쉬운 진입로가 된다.
공격자는 이처럼 작고 사소한 허점을 시작점 삼아 내부 시스템으로 깊숙이 파고들 수 있다. 보안 전문가들은 입을 모아 “이 시기야말로 보안에 가장 민감해야 할 때”라고 항상 경고한다.
|
|
|
1. 보안이 느슨해지는 틈은 작지만, 침투는 깊고 빠르다
|
|
|
화면 잠금 없이 열려 있는 노트북, 최신 보안 패치가 누락된 소프트웨어, 그리고 여전히 열려 있는 원격 접속 권한은 해커에게 있어 완벽한 침입 통로다. 단 한 번의 클릭, 단 한 줄의 허술한 코드가 내부망 전체를 뒤흔드는 계기가 될 수 있다.
특히 피싱 메일은 갈수록 정교해지고 있다. 이메일 주소는 실제 담당자의 것으로 위장되고, 본문 내용도 정상 업무 흐름을 따른다.
‘휴가비 확인’, ‘출장 취소 요청’, ‘연차 승인 파일 첨부’처럼 실제로 조직 내에서 오갈 법한 메시지가 섞여 있기 때문에, 잠시 방심한 직원은 공격 여부를 인지하지 못한 채 파일을 열거나 링크를 클릭하게 된다.
하지만 그때는 이미 늦은 경우가 많다. 일단 침투에 성공한 공격자는 흔적을 남기지 않고 시스템 내부에 머무르며 권한을 수직 상승시키고, 데이터를 외부로 전송하거나, 심지어 내부 이메일을 재활용해 조직 내 추가 침투까지 시도한다.
이처럼 여름철 사이버 공격은 단발성에 그치지 않는다.
‘사전 침투 → 장기 잠복 → 단계적 확산’과 같은 고도화된 방식으로 진행되며, 단순한 실수 하나가 수주 뒤 조직 전체를 마비시키는 결과로 이어질 수 있다.
결국, 공격자는 단순히 ‘쉬는 틈’을 노리는 것이 아니라 그 틈에서 발생할 수 있는 모든 허점을 생각하며 들어온다.
|
|
|
2. 여름휴가철 보안, 조직 전체가 함께 지켜야 할 기본 수칙
|
|
|
이를 예방하기 위해, 다음은 국내 보안 기업이 제시한 ‘휴가 전·중·후 보안 점검 항목’을 재구성한 것이다. 이는 실제 사고를 방지하기 위한 실행 중심의 수칙으로, 조직과 임직원이 함께 실천할 때 실질적인 효과를 발휘할 것이다.
1. 휴가 전: 조직 보안 체계 사전 점검과 기기 정리
[보안담당자]
- 서버, 네트워크, OS, 소프트웨어에 최신 보안 패치 적용
- 취약점 방치를 위한 사전 점검 수행
- 비상 대응 매뉴얼 점검 및 사고 대응 연락망 확보
- 중요 데이터 백업 현황 확인 및 복구 테스트 수행
[임직원]
- 업무용 PC·노트북 전원 완전 종료
- 민감한 문서·메모는 서랍 등 잠금 가능한 공간에 보관
- 중요 파일은 사내 백업 시스템에 저장 (외장 USB 등 개인 저장소 사용 지양)
2. 휴가 중: 실시간 모니터링과 사용자 보안 의식 강화
[보안담당자]
- 이상 접속, 비정상 트래픽, 정책 우회 시도 등 실시간 모니터링 강화
- 백신, 방화벽, EDR 등 주요 보안 솔루션 정상 작동 여부 확인
- 원격 접속 및 해외 IP 접근 설정 점검 및 불필요한 접근 차단
[임직원]
- 공공 와이파이 사용 자제 (특히 카페·공항·호텔 등)
- 업무용과 개인용 기기 분리 사용
- 노트북·스마트폰 화면 잠금 설정 및 자동 잠금 시간 짧게 설정
- ‘연차’, ‘휴가비’, ‘항공권’ 키워드가 포함된 피싱 메일에 주의
- 출처가 불분명한 첨부파일 및 URL은 절대 열지 않기
3. 휴가 후: 복귀 시점의 최종 점검
[보안담당자]
- 휴가 기간 동안의 보안 로그 및 계정 접속 이력 분석
- 이상 징후 발견 시 후속 보안 조치 즉시 시행
[임직원]
- 복귀 즉시 업무용 기기 백신 검사 실시
- 외부에서 사용한 계정의 비밀번호 변경
- 원격 접속 권한이 설정되어 있다면 불필요한 접근은 회수
이처럼 복귀 시점의 점검까지 마쳐야 비로소 휴가철 보안 루틴이 완성된다.
문을 잠그고 떠났다면, 돌아와 다시 확인하는 것도 책임이다. 아무리 기술을 갖춰도, 사람이 허술하면 뚫린다. 결국 해킹은 틈을 노리고, 그 틈은 습관에서 생긴다. 보안을 완성하는 건 결국 사람의 태도와 습관이다.
쉬는 동안에도 시스템은 돌고, 해커는 기다리지 않는다.
|
|
|
(5)🤖 AI가 바꾸는 보안: 주목할 스타트업 10곳으로 읽는 변화
|
|
|
최근 사이버보안 시장은 AI의 양방향, 공격과 방어 모두에서 생태계의 핵심 축으로 작용하는 쪽으로 변화하고 있다.
- 공격 측면에서는, AI로 자동화된 악성코드 제작, 프롬프트 인젝션, 코드 오염 등이 증가하고 있다. 특히 최근에는 환경을 분석해 스스로 공격 경로를 결정하는 '에이전트형 멀웨어'까지 등장해 주목받고 있다.
- 방어 측면에서는, AI 기반의 자동화된 탐지 시스템, 딥페이크 판별, 보안 운영 최적화 등으로 대응 기술이 정교해지고 있다.
즉, AI가 공격자에겐 무기가 되고, 방어자에겐 방패가 되는 시대다. 글로벌 IT 유통 및 기술 산업을 전문적으로 다루는 미국의 대표적인 기술 미디어인 CRN은 이런 맥락 속에서 ‘2025년 주목 스타트업 10선’을 선정했다.
|
|
|
아래는 CRN이 선정한 10개 기업을 GenAI 애플리케이션 보안, 데이터 거버넌스, 딥페이크 대응, 보안 운영 자동화의 카테고리 중심으로 분류·정리한 것이다.
1. GenAI 애플리케이션 보안
생성형 AI가 빠르게 확산되면서, 프롬프트 인젝션이나 데이터 오염 공격 같은 보안 위협이 등장하고 있다. 이에 대응하는 스타트업들이 빠르게 시장을 형성하고 있다.
- Lakera AI는 실시간 프롬프트 공격 탐지와 데이터 오염 방어 기술을 제공하며, 이미 Dropbox 등 주요 기업들이 채택하고 있다.
- Prompt Security는 브라우저, 코딩 보조 도구, Copilot 등 조직 내 다양한 AI 접점 전반에 대한 보안과 거버넌스를 제공하는 플랫폼을 개발하고 있다.
💡 이 두 기업은 Series A 단계로, 제품 완성과 시장 진입 초기 단계에서 기술 검증과 고객 확보를 목표로 성장 중이다.
2. 데이터 보안·거버넌스
기업 내 AI 활용이 본격화되면서, 데이터 위치·접근·활용을 통제하는 DSPM(Data Security Posture Management) 기술이 주목받고 있다.
- Concentric AI는 자율적인 DSPM(Data Security Posture Management) 플랫폼을 제공하며, 문맥 인지 기반으로 데이터를 탐지·분류·모니터링하고 자동으로 대응한다. Microsoft Copilot과 같은 생성형 AI 도구에서의 데이터 흐름까지 포함해 보호 범위를 확장하고 있다.
- Abstract Security는 데이터 패브릭과 분석 플랫폼을 통해 보안 데이터의 흐름을 개선하고 고급 데이터 관리를 지원하는 솔루션을 제공한다.
- Entro Security는 API 키, 인증서, 토큰 등 비인간 ID와 시크릿을 보호하며, 이를 악용한 공격을 실시간으로 탐지·대응하는 플랫폼을 제공한다.
3. 딥페이크·디스인포 대응
딥페이크와 허위 정보는 단순한 개인 위협을 넘어서 국가, 외교, 기업 평판에까지 영향을 미치는 새로운 보안 리스크가 되었다. 따라서 이에 대응하는 것을 목표로 하는 기업도 있다.
- Reality Defender는 이미지, 영상, 음성, 텍스트 등 다양한 콘텐츠를 대상으로 멀티모달 딥페이크 탐지를 수행하는 플랫폼을 제공한다. API를 통해 대규모 콘텐츠를 업로드하고 탐지 기능을 확장할 수 있다.
4. 자동화·사전 대응(Operation)
AI로 인한 공격 고도화에 대응해, 보안 운영에서는 사전 예방과 자동화가 핵심 과제로 떠오르고 있다. 이에 따라서 운영 효율을 높이고 사람의 개입을 줄이고자 한다.
- Seven AI는 생성형 AI를 활용해 사람이 개입하지 않아도 사이버 공격을 탐지하고 목표 기반으로 대응하는 자율적인 보안 대응 플랫폼을 목표로 한다.
- Socket은 백도어, 난독화 코드, 타이포스쿼팅과 같은 위협을 실시간으로 탐지하는 오픈소스 보안 플랫폼을 제공하며, 기존 소프트웨어 구성 분석을 대체하는 솔루션으로 주목받고 있다.
- Sublime Security는 이메일/SaaS 환경에서 발생하는 다양한 공격에 자동으로 적응하는 AI 기반 보안 플랫폼을 제공하며, 빠르게 진화하는 위협에 유연하게 대응할 수 있는 점이 강점이다.
- Tuskira는 보안 메시(security mesh) 아키텍처를 기반으로, 조직 내 다양한 보안 툴을 통합하고 자동화된 보안 통제 평가 및 취약점 분석을 제공하는 AI 기반 위협 방어 플랫폼이다.
|
|
|
1. 자동화의 중요성 대두
AI가 보안에서 가장 강력한 무기가 되는 지점은 자동화다. 공격자는 악성코드를 대규모로 생성하고, 방어자는 이를 실시간으로 분석·대응한다. 이제 AI의 악성코드 생성 속도를 인간이 따라잡기 쉽지 않은 상황에서, 운영 효율을 높이고 사람의 개입을 줄이는 방향은 모두의 공통 과제가 되었다.
2. 데이터 흐름의 재정의
AI 기반 도구들이 업무에 깊숙이 통합되면서 데이터의 흐름과 구조 자체가 변화하고 있다. 이 과정에서 데이터를 '어떻게 보호할 것인가'가 아니라 '어디서 어떻게 흘러가는지를 파악하고, 그에 맞춰 제어할 수 있는가'가 핵심 이슈로 떠오르고 있다.
3. AI 특화 공격과 방어
프롬프트 인젝션이나 코드 오염과 같은 생성형 AI에 특화된 공격은 기존 보안 체계로는 탐지와 대응이 어렵다. 이에 대응하는 솔루션은 전통적인 보안이 아니라, AI의 작동 방식 그 자체에 내재된 위험을 이해하고 제어할 수 있는 방향으로 진화 중이다.
4. 딥페이크·디스인포, 새로운 사이버 위협
딥페이크는 단순히 영상 위조를 넘어 정치, 외교, 기업 이미지에 직결되는 위협이 되었다. 이제 보안은 데이터 무결성뿐 아니라 정보의 진위 판단까지 포함하게 되었다.
|
|
|
4. 맺으며: AI 시대, 보안은 다시 쓰이고 있다
|
|
|
AI 기술이 보안의 위협이자 해결 방법이 되는 시대이다. 프롬프트 인젝션부터 딥페이크, 자동화 공격까지 공격 방식은 빠르게 진화하고 있고, 이를 막기 위한 시도 역시 그 어느 때보다 정교해지고 있다.
이번에 소개한 스타트업들은 단순히 새로운 기술이 아니라, AI 시대에 맞는 새로운 보안 관점과 접근 방식을 제시하고 있다는 점에서 주목할 만하다.
앞으로의 보안은 지금까지 해왔던 형태가 아니라, AI로 인해 계속해서 재정의되고 확장되는 영역이 될 것으로 보인다.
|
|
|
🎉 뉴스레터를 읽고 풀어보는 재미있는 퀴즈! 🎉
|
|
|
아래 객관식 퀴즈의 정답을 구글폼에 입력하시면 추첨을 통해 스타벅스 기프티콘을 드립니다~!!
|
|
|
1. USB 기반 공격을 예방하기 위한 방법으로 언급되지 않은 것은? - 6월호
- A. 데이터 차단 어댑터
- B. 데이터 핀이 제거된 충전 전용 케이블
- C. 공공장소 등 유동인구가 많은 곳에 설치된 충전기 사용
- D. OS 업데이트를 통한 최신 상태 유지
2. AI × 보안 동향 분석으로 본 뉴스레터에 언급되지 않은 것은? - 7월호
- A. 자동화의 중요성 대두
- B. 고전 공격의 재유행
- C. AI 특화 공격과 방어
- D. 딥페이크·디스인포, 새로운 사이버 위협
3. BoB 14기의 신규 멘토님(6인)의 성함을 적어주세요 - 7월호
|
|
|
🚨 BoB 가족들의 소중한 소식을 기다리고 있습니다. 🚨
함께 공유하고 싶은 소식, 수상 내역, 행사
기타 소소한 일상까지 구독자분들의 공유를 기다립니다.
- 함께 만들어가는 BoB 뉴스레터 - |
|
|
|
newsletter.kitribob@gmail.com
Best of the Best 11대 총동문회 뉴스레터팀
서울특별시 금천구 서부샛길 606
뉴스레터 총 구독자 수 : 612명
|
|
|
|
|
