EOL OT·외주 게이트웨이 침투, 인벤토리 32% 공백

3분 만에 읽는 핵심 브리핑

패킷 페이로드가 불필요하다는 사실 자체가 가장 파괴적이다—VPN 트래픽의 크기·방향·타이밍 메타데이터만으로 클라우드 SCADA의 펌프·밸브 물리 프로세스가 교란되는 ICS-Sniper PoC가 확인된 가운데, 이번 주 7건 사고가 핵심 거래 시스템 바깥의 게이트웨이·EOL OT·외주 인프라에서 일제히 착화한 것은 그 바깥과 안의 구분이 구조적으로 존재하지 않았다는 기술적 확인사살이다.
GAO 집계에서 연방 기관 32%는 OT 자산 목록 자체가 부재하고, 68.2%는 원격 연결 보안 통력의 가시성조차 확보하지 못한 채 KISA는 이란 연계 Seedworm의 대형 전자 제조업체 침투를 3개월 뒤 시만텍 5월 보고서로 확인했다. 이 사각지대 위에서 신한 2.5만 건·버거킹재팬 1,118만 건 PII가 139개국 10억 건 피싱 원료로 흡수되는 동안, 현행 방어 체계가 실제로 수행하는 기능은 경계 방어라기보다 '경계의 부재를 일정에 올리는 행정 절차'에 가깝다.
72시간 안에 ASLR 강제와 Junos 17건·Office RCE 30건 패치를 실무 일정에 올리는 것은 최소한의 출발선에 불과하고, 진짜 판단은 탐지 규칙을 누적할 것인가 아니면 실행 경로에 OTAC를 인라인 배치할 것인가의 선택이다—대역외 토큰 검증 지점, AI 에이전트 런타임 데이터 접근 범위, 생체 판정 엔진 배치 위치를 이번 주 안건으로 확정하지 못하면, 그 안건은 경계의 시체를 관에 넣는 의식으로 전락한다.

보안 사고/이슈

핵심은 지켰는데, 핵심 바깥에 붙은 게이트웨이·EOL 장비·외주 인프라가 공격자 관문으로 다 열려 있다

신한은행 M신한 대출모집인 조회 페이지, OK저축은행 대출신청 서비스, 유럽 한 은행의 제3자 운영 외부 게이트웨이, 프랑스 슈퍼마켓의 2016년 단종된 단포스 AK-SC 355 냉장 컨트롤러, 미 연방 파산법원 통지를 전담하는 BAE Systems 단일 인프라—이번 주 사고 7건을 나란히 놓으면, 공격자가 뚫은 지점은 모두 핵심 거래 시스템 한두 바퀴 바깥에 붙은 접점이다. 금융위는 10월 14일 제2차 긴급 상황대응 회의에서 신한은행 사고 전후 16개사·약 10만 건 정보유출을 파악했고, 앞서 555개사 자체점검에서 130개사가 보안패치 미구축, 24시간 관제 부재, 외부 시스템 인증·인가 누락, 다중인증 미도입을 보고했다. 팔로알토네트웍스 유닛42가 공개한 유럽 은행 건에서 공격자는 훔친 계정으로 인증 미흡 게이트웨이를 지나 수개월간 내부망에서 프로토콜 스캔과 관리자 계정 대상 비밀번호 대입을 반복했고, WSUS RCE 최종 침입 시도를 코어텍스 XDR이 막아내기 전까지 탐지·모니터링 공백이 이어졌다. BAE Systems 인프라 한 곳의 보안 사고로 전미 연방 파산법원 대상 통지 발송이 10월 9일부터 멈춘 건, 단일 계약자 의존 구조가 사법 절차 전체를 마비시키는 단일 장애점을 드러낸 실례다. 중국 APT Armory Castle이 BeyondTrust Remote Support CVE-2026-102764(CVSS 9.3)를 zero-day로 악용해 Sawfly 웹셸과 Bareclaw SOCKS5 터널러를 심고 파일 전송 서비스로 내부 문서·소프트웨어 인벤토리를 끌어낸 건, 엣지 리모트 액세스 아플라이언스가 뚫리면 그 안의 관리·전송 도구가 lateral movement 통로로 전환된다는 점을 재확인한 사례다. 이 사고들을 관통하는 구조는, 방어 투자가 핵심 코어에 쏠린 사이 외주·모집인용 페이지, 협력사 관리 게이트웨이, EOL OT 장비, 광고 공급업체 피드, 단일 계약 인프라가 패치·인증·세그멘테이션 없이 네트워크에 그대로 붙어 있었다는 사실이다. 외부 접점 전체를 핵심 시스템과 동일한 인증·세그멘테이션 기준으로 통제하고, EOL OT 장비는 인터넷에서 분리하거나 보안 VPN 경유로만 재접속하도록 격리 구조를 적용해야 한다.

관련 뉴스:
- 데일리시큐 - OK저축은행 고객 250명 정보유출…현재 은행·저축은행·캐피탈 등 총 16개사 침해사고
- 보안뉴스 - 광고가 화면에 뜨는 순간 공격 시작… 알자지라 기기 45대, 칸디루 스파이웨어 표적 돼
- 보안뉴스 - 유럽 은행, 협력사 관리 장비 통해 내부망 뚫려...인증 허술한 외부 게이트웨이 통해
- 데일리시큐 - FBI, 북한 IT 인력 '노트북 팜' 대규모 단속…미국인 조력자 2명 체포
- 보안뉴스 - 프랑스 슈퍼마켓 냉장 설비 공격, 700곳으로 늘어
- securityweek - Chinese APT Exploited BeyondTrust Vulnerability as Zero-Day
- securityweek - BAE Systems 보안 사고로 미 연방 파산법원 BNC 통지 서비스 1주간 중단

10억건 피싱 공급망 적발과 취약점 패치 190건이 같은 주에 겹친 국면

마이크로소프트와 헬스아이색이 플로리다 남부연방지방법원 명령으로 얌스토어·코구이·아이언맨의 도메인을 압수·무력화한 바로 그 패치 윈도우에, F5는 NGINX의 CVE-2026-15176·CVE-2026-93479를 포함한 11개 결함을, Juniper는 Junos OS 150개 이상 결함을 담은 17건의 advisories를 쏟아냈다. 아이언맨은 139개국에 맞춘 미끼 화면 2,335개를 보유하며 미국 내 교통·정부기관을 사칭했고, 리시큐리티가 직접 구매해 실험한 결과 판매자 라이선스 서버에 주기적으로 연결되지 않으면 가동되지 않는 구조를 확인했다. 같은 사이클에서 Office Preview Pane을 통하면 버퍼 오버플로우·off-by-one·use-after-free로 RCE에 도달하는 경로 6건, Word·Excel·Outlook·PowerPoint·SharePoint에 걸친 고위험 RCE 24건이 패치 대상에 올랐고, NGINX의 두 critical 취약점은 인증 없이 crafted HTTP 요청만으로 버퍼 오버플로우를 유발한 뒤 ASLR 비활성 시 RCE로 확장된다. 신한은행에서 해킹 공격이 전화번호·연소득·대출 산출 한도를 포함한 약 2만 5,000명 PII와 주민등록번호 66건·CI 97건을 빼냈고, 버거킹재팬 앱의 10월 2~7일 무단 접속이 이름·전화번호·생년월일·이메일이 한 세트로 묶인 1,118만 건 회원 기록을 빼내갔다. 이 PII 세트가 아이언맨 139개국 미끼 화면의 원료로 흘러 10억건 이상 메시지 발송 물량을 채우는 흐름은, 렌터카 플랫폼의 실물 면허증 사본 160만 장이 비대면 계좌 개설·대포폰 개통에 장기적 원천으로 기능하는 구조와 같은 맥락이다. 리시큐리티 실험이 확인한 바로, 피싱 인프라의 라이선스 서버 단절이 가동 중 캠페인 전체를 동시에 멈추게 하는 효과는 명확하다. NGINX·Junos·Office에 남은 무인증 RCE 경로가 다음 페이로드가 자격증명 없이도 내부에 착륙할 통로를 열어 놓고 있다. 인터넷에 노출된 NGINX 인스턴스의 ASLR 강제 활성화 확인, Junos 17건 advisories에 대한 패치 반영 검증, Office Preview Pane RCE 24건 적용 상태 점검, PII를 단일 앱·단일 서버에 집중 저장하는 구조의 데이터 최소화 재설계 — 이 네 가지가 다음 72시간 안에 실무 일정표에 올라가야 한다.

관련 뉴스:
- 보안뉴스 - 피싱 메시지 10억건 공급처... 마이크로소프트, 중국어권 범죄 장터 3곳 무력화
- 디지털데일리 - 끝나지 않은 라임·ELS 청구서…신한은행, 정보유출까지 겹악재
- 보안뉴스 - 버거킹재팬, 앱 회원 기록 1118만 건 새어 나가
- 보안뉴스 - [카드뉴스] "차 한 번 빌렸을 뿐인데"… 렌터카 플랫폼 털려 면허증 160만 장 유출된 전말
- 보안뉴스 - "사이버 범죄자끼리 싸웠다"... 샤이니헌터스 vs 클롭 다툼 무슨 일?
- 데일리시큐 - [단독] '샤이니헌터스 창립자 Aegis' 계정, 한국 국방부·방첩사 관련 데이터 1TB 30만 달러에 판매 주장글 게시
- 데일리시큐 - 직원 10명에게 보낼 감사자료, 외부 5,857명에…시청자미디어재단 오발송
- securityweek - Microsoft Patches Two Dozen RCE Flaws in Office
- securityweek - OpenAI 내부 AI 모델, 정부 통계 사이트·연구기관 시스템 해킹 및 Sepolia 테스트 토큰 무단 사용 사고 공개
- securityweek - F5, Juniper Networks Patch Critical Vulnerabilities

정부 정책

CID 한 장이 AI 업체의 보안 로그와 마케팅 카피를 법정 증거로 끌어낸다

FTC가 10월 14일 오픈AI와 앤트로픽에 민사조사요구서를 발송해 보안 사고·보호 조치 문서, 마케팅 자료, 개인정보 처리방침을 제출할 것을 요구했고, 경영진 증언 일정까지 잡았다. 미국 일부 주 법무장관들이 오픈AI를 소비자보호법 위반 혐의로 제소했다. FTC는 이 조사 틀을 다른 AI 기업으로도 넓히겠다고 밝혔다. 오픈AI는 "안전은 최우선 과제"라며 FTC와 건설적으로 협력하겠다고 말했다. 제출 대상이 내부 테스트 기록과 대외 마케팅 주장의 근거 문서 전체인 점을 보면, '건설적 협력'은 사실상 문서 서고 전체를 열겠다는 선언이다. 미국과 영국 등 규제 당국이 기존 소비자보호법 권한만으로 자율 운영형 AI 제품을 감시할 수 있는지, 첨단 모델에 별도 감독 체계를 세울 것인지를 놓고 법적 기준이 갈라지는 구간이다. 내부 사고 대응 프로토콜과 마케팅 클레임의 문서화 수준을 증거 등급으로 끌어올리는 구조를, 모델 배포 전 검증 파이프라인에 내장해야 한다.

관련 뉴스:
- 디지털데일리 - 미국 규제당국, 오픈AI·앤트로픽에 조사요구서…AI 안전·개인정보·광고 점검

Seedworm은 2월 27일 대형 제조사 내부망에 들어왔고 KISA는 시만텍 5월 보고서에야 알았다—500억 관제·직권조사·보안 AI가 그 3개월 공백을 메우는지 2026년이 가른다

8565건 사이버침해 중 중소기업이 6991건(81.6%)을 떠안고, 시스템 해킹 신고가 2021년 283건에서 2025년 1441건으로 5배 이상 뛴 국감 데이터가 확인한 구조는, 해커가 AI를 무장한 채 방어 체계를 구식 방패로 상대하는 비대칭이다. 이란 정보당국 연계 Seedworm이 2025년 2월 20~27일 국내 대형 전자 제조업체 내부망에 침투한 사실을 시만텍이 5월 보고서로 공개했을 때 KISA는 해당 사고를 파악하지 못했고, 과기정통부는 내년도 정부안에 중소기업 보안관제 예산을 약 30억에서 약 500억으로 편성해 약 2900개사 지원 대상을 넓히면서, 10월 1일 침해사고조사위원회 직권조사 체계를 가동해 미신고까지 직접 조사하는 통로와 9월부터 개발에 착수한 보안 특화 AI 파운데이션 모델의 내년 실전 투입을 병행했다. 과기정통부가 스마트정보통신건물인증 업무처리 지침을 개정해 10월 1일부터 지능형 홈네트워크 보안점검 기준을 강화했고, 조치 이행 기한 내 결과보고서를 제출하지 않으면 인증기관이 인증을 취소하고 신청인이 입주자 등 이해관계인에게 지체 없이 통지하며, 심사 수수료를 도급·하도급업자에게 전가한 경우 36개월 이내 인증 신청을 제한하는 구조가 홈IoT·세대단말기·무선 홈네트워크 기기·단지네트워크장비·단지서버까지 포괄한다. 직권조사와 AI 파운데이션 모델이 Seedworm급 내부망 침투를 3개월 뒤 외부 보고서에 의존하지 않고 KISA 자체 관제에서 탐지하는 수준으로 전환했는지, 500억 관제 예산이 2900개사를 넘어선 중소기업 내부망 세그먼트와 빌딩 IoT 인프라에 관제 센서와 탐지 체계를 구축했는지 2026년 실측 데이터로 검증해야 한다.

관련 뉴스:
- 디지털데일리 - 해커는 AI 무장, 방어는 구식 방패… 방어체계 구축 시급 [2026 국감]
- 정보통신신문 - 보안점검 기준 강화…조치 계획 지키지 않으면 인증 취소

기술 동향

패킷 타이밍 하나로 물문을 여는 공격이 온 데, 예산은 21% 깎였다

UBC 연구진이 SWaT 수처리 테스트베드에서 VPN 암호화 패킷의 크기·방향·타이밍만 분석해 페이로드 패킷을 투하하고, 깨끗한 물 펌프 시작을 15분 늦추고 밸브를 의도 대비 9분 이상 열어둔 ICS-Sniper PoC를 공개하며, 클라우드 호스팅 SCADA에서 네트워크 경로 장악이 물리 프로세스에 직접 닿는 경로를 실증했다. 이 공격 구조가 물리적 손실로 번진 전례를 보면, 2025년 4월 노르웨이 수력 댐에서 해커가 수문을 열어 4시간간 물을 방류했고, 2026년 10월 프랑스에서 해커가 공용 인터넷을 타고 슈퍼마켓 수백 곳의 냉장·냉동 제어 장비에 침입해 신선·냉동 식품 대량 폐기를 초래했으며, 올해 9월에는 국내 지자체가 운영하는 수자원 시스템에 원격 접속 시도가 들어간 이력이 있다. 싱가포르 CSA 청장은 SICW 2026에서 AI가 OT 시스템 매뉴얼 해독과 공격 경로 파악을 자동화해 OT 공격의 진입장벽을 낮췄다고 짚었고, XBOW 연구진이 GPT-5.6 Sol 보조로 6일 만에 3개 버그를 결합한 Chrome 풀체인 익스플로잇을 만들어 Windows 기계를 탈취하는 데 들어간 컴퓨트 비용은 $40,000, Google이 지급한 버그 버스는 $250,000이었다. 공격 단가가 4만 달러로 수렴하는 구도에서, 국내 5대 은행은 우리은행 615억 6,600만 원(전년 대비 -21.7%), 신한은행 405억 9,100만 원(-10.4%)으로 정보보호 예산을 감축 편성했고, Bank of America는 Anthropic Mythos 같은 프런티어 AI가 발견한 자체·벤더 소프트웨어 취약점 수정에 2분기 중 1,000명 외부 계약 인력을 투입해 3,000명 규모 내부 팀을 보강하고 3분기 비용에 '수억 달러 이상'을 추가하고 있다. OT 물리 계층이 VPN 메타데이터만으로도 교란되는 구간에서, 클라우드 SCADA 세그먼트를 펌프·밸브·배수 같은 물리 프로세스 단위로 재분할하고 VPN 게이트웨이 앞 패킷 크기·방향·타이밍 이상 탐지를 물리 안전성 KPI에 직접 바인딩하는 네트워크 아키텍처를 재설계해야 한다.

관련 뉴스:
- 디지털데일리 - AI 해커, 국가 기반시설 노린다…싱가포르 보안청장 "OT 위협 현실로"
- 데일리시큐 - 박대출 의원 "우리은행 21.7%·신한은행 10.4% 감액…5대 은행 정보보호 예산 공개"
- securityweek - In Other News: ICS-Sniper Attack, Hacking XWorm Malware Operators, $250k Chrome Exploit

기업·투자·행사

프런티어 AI 접근권·63억 달러 플랫폼 통합·FHE 인프라가 겹쳐지며 보안 운영 전제가 동시에 바뀌는 국면

프루프포인트가 Varonis를 주당 49.75달러(종가 대비 52% 프리미엄), 약 63억 달러 전액 현금으로 인수하며 2027년 상반기까지 Atlas의 AI 인벤토리·포스터 관리·런타임 가드레일·컴플라이언스 리포팅을 단일 data and AI security 플랫폼으로 묶고 고객 조직 1만6000곳 이상을 하나의 통제 체계로 흡수한다. 티오리(데프콘 CTF 9회 우승, DARPA AI 사이버 챌린지 3위)는 앤트로픽 CVP와 오픈AI 데이브레이크 양쪽 인증을 확보해 모의해킹 플랫폼 진트의 소스코드·바이너리 분석과 실서비스 침투 테스트에 AI 에이전트 추론을 적용하고 오탐률을 낮추며 고위험 취약점 발견 속도를 단축하는 구조를 가동한다. AI스페라는 도쿄 시큐리티 데이즈에서 Criminal IP 위협 인텔리전스를 AI와 결합한 AITEM을 내세워 인터넷 공개 자산, 취약점, 실제 위협 활동, 다크웹 유출 정보를 하나의 리스크 우선순위 엔진으로 연결하고, 디사일은 2026~2030년 7개 산학연 국책과제에서 완전동형암호 기반 연합학습으로 모델 업데이트를 암호화해 전달하고 복호화 없이 집계하는 피지컬 AI 보안 계층을 설계한다. 데이터 접근·AI 거버넌스·오펜시브 연구 역량이 각각 M&A 통합, 공급자 승인 체계, 암호화 인프라로 쪼개지는 국면에서, AI 에이전트가 민감 데이터에 직접 접근·작업하는 런타임 맥락을 기존 이메일·클라우드 보안 경계 밖으로 확장하고, 자산 인벤토리에 위협 인텔리전스 피드를 결합해 노출 리스크를 우선순위화하는 보안 운영 아키텍처를 재설계해야 한다.

관련 뉴스:
- 데일리시큐 - AI스페라, '시큐리티 데이즈 폴 2026 도쿄' 참가...AITEM으로 일본 시장 공략
- 디지털데일리 - 티오리, 오픈AI 이어 앤트로픽 '보안 특화 AI' 프로그램 참여
- 데일리시큐 - 티오리 '진트', 앤트로픽 '사이버 검증 프로그램' 합류
- 데일리시큐 - 디사일로, 피지컬 AI 보안 국책과제 참여…완전동형암호 기반 데이터·모델 보호 기술 개발
- 보안뉴스 - 티오리, 앤트로픽 CVP 합류로 '진트' 오펜시브 보안 엔진 고도화
- 데일리시큐 - 연세대 바른ICT연구소, 아시아 전문가들과 AI 개인정보보호 과제 논의
- securityweek - Proofpoint Inks $6.3 Billion All-Cash Deal to Acquire Varonis
- 디지털데일리 - 프루프포인트, 63억달러에 바로니스 인수…데이터·AI 보안 플랫폼 통합

10만건 유출 뒤 예산 2배 격차—2차 피싱이 보안 투자 구조를 가른다

2026년 정보보호 예산에서 KB국민이 860억7500만원, 신한이 405억9100만원을 배정해 454억8400만원 격차를 벌린 가운데, 금융권 16개 회사가 약 10만건의 개인정보를 유출했고, 그 데이터로 빗썸 피해자의 이름·연락처·과거 주문 내역을 앞세운 사기범이 가짜 로그인 화면에서 인증정보를 탈취하거나 원격제어 앱을 설치하는 2차 금융사기가 유통 중이다. 신한이 정보보호 예산을 전년 452억9400만원에서 10.4% 삭감했고, IT 예산 내 비중은 9.1%로 5대 은행 최저다. 유출 데이터가 2차 사기 재료가 되는 구조에서 초기 대응 예산과 피해자 사후 차단 예산이 따로 쓰이면, 가짜 로그인 화면 한 장이 다중 인증 한 번을 무력화시킨다. 피해자 접속 경로를 공식 앱·검증 도메인 직접 진입으로 강제하고, 서비스별 자격증명 분리·단말 격리(인터넷 차단 후 안전 기기에서 비밀번호 변경 및 출금 내역 확인) 절차를 상시 운영 예산에 편성해야 한다.

관련 뉴스:
- 디지털데일리 - 5대 은행 정보보호 예산 KB 최대…신한 꼴찌 [2026 국감]
- 디지털데일리 - "금융보안 정보 한눈에"…금보원, 대표 홈페이지 새 단장
- 데일리시큐 - "유출 피해 보상해준다"는 연락 주의…빗썸, 2차 금융사기 예방 캠페인
- 디지털데일리 - "안전한 의료 환경 구축"…스패로우-병원정보보안협회, 보안 강화 협력
- 데일리시큐 - 병원정보보안협회–스패로우, 병원 정보시스템 취약점 개선 협력
- 보안뉴스 - 병원정보보안협회-스패로우, 병원 정보시스템 보안 수준 향상 MOU 체결
- 보안뉴스 - 이노뎁-로보티즈AI, 자율주행 순찰로봇 기반 이동형 AI 관제 사업 추진
- 보안뉴스 - [Global Security TOP 100] 타이(Tai) 하이크비전코리아 사장, "관란 AI 기반 AIoT 플랫폼으로 산업 디지털 전환 확대"
- 보안뉴스 - 에프에스티코리아, 신사옥 준공과 함께 제네텍 'UEC' 공개… 체험형 통합보안 허브 구축
- 보안뉴스 - AI 정보 유출부터 랜섬웨어까지 원스톱... 세이퍼존, 중앙아시아 시장 공략 본격화
- 보안뉴스 - 아우토크립트, 제32회 2026 ITS 세계총회서 차량 보안 성과 공개
- 데일리시큐 - 아우토크립트, 강릉 ITS 세계총회서 차량 사이버보안 기술 발표

기업 솔루션 및 기술

AI가 코드를 돌리고 PLC를 움직이는 그 순간, 탐지 화면은 이미 늦은 숫자다

퍼플렉시티가 SPACE를 오픈소스로 공개하면서 일일 수백만 개 작업환경 운영 데이터, 상용 대비 3~5배 빠른 생성 속도, 독립 실행 검증 108건 전 호스트 접근 0건을 한꺼번에 내놓은 것은, 에이전트 코드 격리 설계가 업계 공통 벤치마크 기준으로 굳어졌다는 뜻이다. 센스톤이 OTAC(One-Time Authentication Code)를 기반으로 비인가 제어 명령이 PLC에 도달하기 전에 차단하는 실행 전 통제(Pre-execution Control)를 국책 과제에서 구현하려는 방향도 이 지점을 겨냥한다. GAO 조사에서 연방 기관 22곳 중 7곳(32%)이 OT 자산 목록조차 없었고 68.2%가 원격 연결 장치 보안 통제 가시성을 확보하지 못한 상태에서, 7월 말 미네소타 수자원 시설 30여 곳이 인터넷에 노출된 PLC를 통한 동시 공격으로 IP 변경·비밀번호 설정에 막혀 정당한 작업자 접근조차 원천 차단되는 물리적 마비로 번졌다. K-water가 센스톤 OTAC TAG를 기존 PLC 앞단에 인라인 배치해 펌웨어 변경 없이 사용자별 인증과 IEC 62443 감사 로그를 현장에 입증한 구조가, 레거시 설비 교체 없이 실행 경로를 통제하는 지금의 실무 축이다. 실행 경로를 물리적 경로 단위로 매핑하고 그 경로에 OTAC 같은 단방향 인증 토큰을 인라인으로 박아 명령 단위 차단을 구현하는 구조를, 탐지 규칙을 쌓는 작업보다 먼저 세워야 한다.

관련 뉴스:
- 디지털데일리 - 퍼플렉시티, 에이전트 실행환경 'SPACE' 소스코드 공개
- 보안뉴스 - 센스톤, 과기정통부 피지컬AI 보안 과제에서 'OT 구간 보안' 기술 개발 맡는다
- 디지털데일리 - 센스톤, 피지컬AI 보안 국책과제 참여…OT 구간 '실행 전 통제' 기술 개발
- 보안뉴스 - 미 연방기관 32% '기초 자산 목록'조차 없어... 한계 부딪힌 글로벌 OT 보안

인증·탐지·수정의 신뢰 경계가 중앙 서버에서 단말과 대역외로 동시에 밀려나고 있다

Passwordless Alliance가 ITU-T X.1280 기반 워드프레스 플러그인 'Passwordless X1280'을 무료로 배포하고, 이 플러그인이 표준 훅만으로 워드프레스 코어 파일을 건드리지 않고 로그인 화면(wp-login.php)에서 패스워드를 입력·전송하지 않는 대역외 스마트폰 Face ID·지문 승인을 붙이도록 설계했기에, 전 세계 웹사이트의 40% 이상과 CMS 시장 약 60%를 점유하는 워드프레스 환경에서 별도 개발 비용 없이 패스워드리스 인증 전환을 적용할 수 있게 됐다. 오픈AI가 16일 서울 웨스틴 파르나스에서 CISO급 60여명을 초청해 '데이브레이크'를 공개하며, 자사 AI 모델과 코딩 도구 코덱스를 연결해 취약점 탐지→격리 실행 환경에서 악용 가능성 검증→수정안 생성→효과 확인의 순환 루프를 돌리는 '디펜스 팩토리' 운영 모델을 제시했고, AI 에이전트가 접근하는 데이터 범위와 수정안 적용·중요 판단에 대한 인간 감독 경계를 사전에 설정할 것을 권고했다. 샌즈랩은 싱가포르 테크 위크에서 '페이크체크'로 원본 얼굴 이미지를 외부 서버에 전송하지 않고 사용자 기기 내부에서 위·변조 징후와 판단 근거를 분석하는 온디바이스 구조를 시연했다. 세 건이 공통으로 가리키는 지점은, 인증·탐지·판정 각 단계에서 민감 데이터가 중앙 서버를 경유하는 기존 신뢰 경계를 제거하거나 AI가 다루는 데이터 범위를 격리 실행 환경으로 압축하는 방향으로 아키텍처를 재설계하는 작업이다. 실무 관점에서는 기존 IDaaS·VAPT·eKYC 파이프라인에서 "서버에 데이터를 올려 검증한다"는 전제 하나하나를 뽑아내고, 대역외 승인 토큰 검증 지점·AI 에이전트의 데이터 접근 스키마·생체 판정 엔진의 배치 위치를 각각 재정의하는 설계를 진행해야 한다.

관련 뉴스:
- 보안뉴스 - 패스워드리스 얼라이언스, 워드프레스용 무료 'Passwordless X1280' 배포
- 디지털데일리 - 오픈AI, 국내 기업 보안 임원 대상 방어 전략 공유
- 데일리시큐 - 샌즈랩, 싱가포르서 온디바이스 AI 위·변조 탐지 기술 시연
- 데일리시큐 - 오픈AI, 국내 CISO 대상 사이버 방어 전략 공유…"실제 위험 감소가 핵심"

Security Desk 노트

"경계가 죽었다"는 진단은 진부하고, 진부는 그 시체 위에 MFA를 걸치고 자산 인벤토리를 찍어내며 3개월 뒤 타사 보고서로 침투를 확인한 것을 "관제 공백"이라 명명하는 일이다. 이번 주 사고 7건이 일제히 핵심 시스템 바깥의 게이트웨이·EOL OT·외주 인프라에서 착화한 건 우연이 아니라, 그 '바깥'과 '안'을 가르는 구조가 처음부터 존재하지 않았다는 확인사살이며, ASLR 비활성 NGINX 한 대가 무인증 착륙 통로로 남아 있고 VPN 패킷 메타데이터가 페이로드 없이 물리 밸브를 돌리고 가짜 로그인 화면 한 장이 다중 인증을 통째로 무력화하는 국면에서, OT 자산 목록을 32%가·원격 연결 가시성을 68.2%가 확보하지 못한 채 2.5만 명·1,118만 건 PII가 139개국 10억 건 피싱 원료로 흡수되는 동안 방어 체계가 실제로 수행하는 기능은 "경계"가 아니라 "경계의 부재를 일정에 올리는 행정 절차"다. 72시간 패치, ASLR 강제, OTAC 인라인 배치, 대역외 토큰 재정의—이 문장들이 "구조 전환"이라는 명목으로 의사결정 안건에 또다시 올려지는 한, 경계의 시체는 영원히 관 속에 들어갈 것이다.

📢 SecurityDesk 인사이트 운영 정책
최신 보안 동향을 생성형 AI 기술의 도움을 받아 독자적인 분석을 통해 인사이트가 제공됩니다.
기사 제목과 링크는 정보 공유의 목적으로 인용되었으며, 기사 원문에 대한 저작권은 각 언론사에 있습니다. 상세 내용은 반드시 [관련 뉴스] 링크를 통해 원문 기사에서 확인하시기 바랍니다.