시큐리티팩트

• 한화비전 전망 ‘2026년 5대 영상보안’ 트렌드

  [시큐리티팩트=김상규 기자] 인공지능(AI)이 필수 기술로 자리 잡으면서 2026년에는 영상보안의 방식과 체계가 새롭게 재편될 전망이다. 한화비전이 이와 관련해 새해 주목해야 할 5가지 영상보안 트렌드'를 4일 발표했다. 이 회사가 제시한 5대 트렌드는 △AI 에이전트와의 협업 △지능형 디지털 트윈(Digital Twin) △하이브리드 아키텍처(Hybrid Architecture) △신뢰할 수 있는 데이터 △지속가능한 보안이다. AI는 이제 단순 보조 도구를 넘어 스스로 상황을 분석하고 초기 대응을 지원하는 'AI 에이전트' 역할을 할 전망이다. AI 에이전트는 복잡한 현장 상황을 분석해 초기 대응을 실행하는 것은 물론 관제 요원에게 가장 효과적인 후속 조치를 제안한다. AI 에이전트의 도움으로 요원의 상황 분석과 의사결정에 속도가 붙으면 현장 대응이 빨라진다. 이에 관제 요원은 AI 에이전트가 제공하는 분석 결과와 인사이트를 바탕으로 보다 신속하고 정확한 의사결정을 내릴 것으로 보인다. ‘지능형 디지털 트윈’의 활약도 주목된다. AI 카메라와 출입 통제 장치, 사물인터넷(IoT) 센서, 환경 센서 등으로 수집한 정보를 통해 스스로 문제를 지각하고 해결하는 가상 공간의 탄생이 눈앞으로 다가왔다. 무엇보다 사람의 개입 없이 자율적으로 운영되는 공간은 관제 시스템의 혁신을 크게 앞당길 것으로 기대된다. 클라우드와 온프레미스(On-Premise) 환경을 자유롭게 오가는 ‘하이브리드 아키텍처’에도 관심이 모인다. 하이브리드 시스템을 도입하면 실시간 모니터링 등 핵심 기능은 온프레미스에서, 대규모 데이터 분석 및 비즈니스 인텔리전스 도출은 클라우드에서 수행하여 효율성과 보안을 모두 확보할 수 있다. 신뢰할 수 있는 AI 및 데이터 품질의 중요성 역시 높아질 것으로 보인다. AI 기술이 보편화 됨에 따라 "불량한 데이터는 곧 불량한 결과로 이어진다"는 원칙 아래 AI 성능 향상을 위한 데이터의 신뢰성과 품질 확보가 최우선 과제로 떠오르고 있다. 이에 장면(Scene)에 대한 입체적인 거리 정보를 판단하는 자동 캘리브레이션 기술 등을 통해 인식된 데이터의 신뢰도를 높이려는 노력이 강화될 전망이다. 이런 흐름 속에 한화비전은 영상의 왜곡을 최소화하는 AI 기술 개발에 사활을 걸고 있다. AI 카메라의 듀얼 NPU(신경망처리장치) 기반 칩셋은 AI 분석에 최적화된 영상을 확보할 수 있도록 돕는다. AI 서버 수요 증가로 전력 소비가 폭증하면서 ‘지속가능한 영상보안’도 핵심 가치로 자리 잡고 있다. 이에 영상보안 업계는 고화질 및 고성능 AI 분석 기능 개발과 함께 전력 소비 최소화에 집중한다. 한화비전은 AI 기반 와이즈스트림(WiseStream) 기술을 통해 데이터 압축 효율을 극대화했다. 이 기술은 영상의 관심·비관심 영역을 분리해 중요도에 따라 압축률을 조절한다. 이러한 트렌드는 AI 기술이 영상보안 산업의 핵심 기반으로 자리 잡으며 산업 전반의 패러다임을 전환하는 근본적인 변화를 예고한다. 한화비전 관계자는 “2026년은 AI가 영상보안 산업의 새로운 표준으로 거듭나는 한 해가 될 것”이라며 “신뢰할 수 있는 데이터를 기반으로 하이브리드 솔루션을 제공해 글로벌 AI 영상보안 시장을 선도해 나갈 것”이라고 말했다.

• 통신·금융·행정망까지… 2025년 한국을 휩쓴 대규모 해킹 사태 TOP 6

  [시큐리티팩트=최석윤 기자] 2025년은 재앙이었다. 'IT 강국'이라는 간판은 처참하게 깨졌다. 통신망이 뚫리고, 안방에서 쓰는 쇼핑앱이 털렸다. 심지어 국가 행정망까지 무너져 내렸다. 인공지능(AI)으로 무장한 해커들은 더 똑똑해졌는데, 우리의 방패는 너무나 낡았다. 기본을 지키지 않은 대가는 혹독했다. 기업과 기관들은 "죄송하다"며 고개를 숙였다. 하지만 엎질러진 물이었다. 국민의 사생활은 발가벗겨졌고, 국가 시스템의 신뢰는 바닥을 쳤다. 숫자는 거짓말을 하지 않는다. 금전적 피해, 유출 규모, 마비된 시간까지. 2025년 한국을 공포로 몰아넣은 최악의 해킹 사건 6가지를 되짚어본다. 이것은 단순한 사건 일지가 아니다. 우리가 잊지 말아야 할 경고장이다. 1. "당신이 뭘 샀는지 다 안다": 쿠팡 결제 정보 유출 11월, 전 국민이 쓰는 앱 쿠팡이 뚫렸다. 충격은 생활 깊숙이 파고들었다. 약 3370만 명의 고객 개인정보가 무단으로 유출됐다. 내가 무엇을 샀고, 어디로 보냈는지 해커가 다 알게 된 것이다. 단순 유출로 끝나지 않았다. 해커들은 훔친 정보를 이용해 기가 막힌 피싱 문자를 보냈다. "고객님, 주문하신 냉장고 배송 주소가 맞나요?" 너무나 구체적인 문자에 사람들은 의심 없이 링크를 눌렀다. 쿠팡은 이 사태를 수습하느라 진땀을 뺐다. 고객 센터는 불통이 됐고, 대응 비용으로만 100억 원 이상이 깨졌다. 무엇보다 '로켓배송'으로 쌓아 올린 신뢰가 무너졌다. 고객들은 불안감에 앱을 지웠고, 그 여파는 쿠팡의 매출 그래프를 짓눌렀다. 2. 국가의 '열쇠'가 도둑맞았다: 정부 인증서 해킹 사건 가장 충격적인 사건은 단연 정부 행정망 해킹이다. 범인은 무려 3년이나 우리 시스템 안에서 놀았다. 2022년 9월부터 2025년 7월까지, 공무원 650명의 '행정전자서명 인증서'가 소리 없이 빠져나갔다. 단순한 정보 유출이 아니다. 이 인증서는 공무원이 국가 시스템에 접속하는 '만능열쇠'다. 집에서 일하겠다고 열어둔 원격 근무 시스템이 화근이었다. 보안은 허술했고, 감시는 없었다. 결과는 참담했다. 국가 행정 시스템에 대한 국민의 믿음은 산산조각 났다. 대가는 비쌌다. 정부는 부랴부랴 기존 인증 체계를 뜯어고치기로 했다. 생체 정보를 더한 복합 인증으로 바꾸는 데 드는 돈만 500억 원이 넘는다. 게다가 구멍 난 인증서를 폐기하고 새로 발급하느라 3개월간 행정 공백이 이어졌다. "기본적인 내부 통제만 있었어도 막을 수 있었다"는 전문가들의 지적이 뼈아프게 다가온다. 2. 1등 통신사의 추락: SKT 유심·고객 정보 유출 "설마 1등 기업이 뚫리겠어?" 2025년 4월말 그 설마가 사람을 잡았다. 국내 1위 통신사 SKT가 해킹에 무릎을 꿇었다. 유출 정보 2690만건. 유출된 것은 이름과 전화번호뿐만이 아니었다. 스마트폰의 신분증이라 불리는 '유심(USIM)' 정보까지 털렸다. 시장은 냉정했다. 사고 직후 주가는 15%나 곤두박질쳤다. 창사 이래 처음으로 분기 적자라는 성적표를 받아들었다. 추정 손실액만 1500억 원. 피해 고객들의 이탈을 막기 위해 쏟아부은 보상금과 마케팅 비용 탓이다. 대응은 굼떴다. 정보가 새 나가는지도 모르다가 2주가 지나서야 경위를 파악했다. 원인은 허무했다. 관리자 계정 관리가 엉망이었고, 중요 정보는 암호화조차 제대로 안 돼 있었다. 거대 통신사의 보안 의식이 구멍가게 수준이었다는 사실에 국민들은 분노했다. 3. 지갑이 털렸다: 롯데카드 금융 정보 유출 2025년 9월. 불안이 현실로 됐다. 롯데카드에서 297만 명의 정보가 털렸다. 이번엔 진짜 돈이 위험했다. 카드 번호는 물론이고 유효 기간, 심지어 뒷면의 CVC 코드까지 해커의 손에 넘어갔다. 온라인 결제의 빗장이 통째로 풀린 셈이다. 실제 피해가 속출했다. 누군가 내 카드로 긁은 8억 원이 공중으로 사라졌다. 범인들은 서버의 낡은 취약점(CVE-2017-10271)을 집요하게 파고들었다. 보안 패치 한 번만 제때 했어도 막을 수 있는 공격이었다. 탐지까지 4개월이 걸렸다. 그동안 해커는 제집 드나들듯 서버를 휘젓고 다녔다. 뒤늦게 카드 재발급 대란이 일어났다. 한 달 동안 창구는 마비됐고, 금융권의 신뢰는 바닥을 뚫고 지하로 내려갔다. 5. 보이지 않는 덫: 가짜 기지국 무단 결제 이번에도 9월이었다. 해킹이 진화했다. 이제는 컴퓨터 화면 밖에서 공격이 들어온다. K-통신사를 노린 공격은 섬뜩했다. 해커들은 '가짜 기지국(IMSI 캐처)'이라는 장비를 들고 거리로 나섰다. 내 휴대폰이 진짜 기지국인 줄 알고 가짜 장비에 접속하는 순간, 정보는 빨려 들어갔다. 피해자 5561명의 고유 식별 번호가 털렸다. 소액 결제로 돈이 대거 빠져나갔다. 금액은 크지 않았지만, 충격은 컸다. 기존의 방화벽으로는 막을 수 없는 물리적 공격이었기 때문이다. 범인을 잡기도 힘들었다. 가짜 기지국을 차에 싣고 이동하는 해커를 추적하느라 한 달을 허비했다. 통신사는 부랴부랴 200억 원을 들여 보안 시스템을 뜯어고쳤다. 디지털 보안만 신경 쓰다 뒤통수를 세게 맞은 격이다. 6. 멈춰버린 서점: YES24 랜섬웨어 악몽 지난 6월 9일 새벽, 국내 최대 온라인 서점 YES24가 암흑천지로 변했다. 랜섬웨어 공격이었다. 화면은 먹통이 됐고, 서버는 인질로 잡혔다. 책을 사려던 고객들은 발길을 돌려야 했다. 서비스가 멈춘 시간은 120시간. 꼬박 5일이다. 하루 매출 10억 원이 증발했다. 총 50억 원의 손실, 여기에 데이터 복구 비용까지 더하면 피해액은 눈덩이처럼 불어난다. 더 끔찍한 건 데이터 소실이다. 복구에 안간힘을 썼지만, 전체 데이터의 2%는 영구적으로 사라졌다. 누군가의 독서 기록이, 귀중한 정보가 영원히 지워진 것이다. 백업조차 제대로 되어 있지 않았던 보안 불감증이 부른 참사였다. 2026년, 우리는 무엇을 해야 하는가 2025년의 악몽은 우리에게 명확한 숙제를 남겼다. 해답은 멀리 있지 않다. 바로 '기본'이다. 수천억 원의 피해를 낸 사고들의 원인은 허무할 정도로 단순했다. 비밀번호 관리를 안 했거나, 보안 업데이트를 미뤘거나, 암호화를 하지 않았다. 아무리 좋은 AI 보안 솔루션을 사다 놓으면 뭐 하나. 문단속을 안 하는데. 이제는 바뀌어야 한다. 보안은 비용이 아니라 생존이다. AI로 무장한 해커들은 24시간 우리의 빈틈을 노린다. 2026년, 또다시 '소 잃고 외양간 고치는' 뉴스를 보고 싶지 않다면, 지금 당장 기본부터 다시 점검해야 한다. 그것만이 유일한 살길이다.

• 암호화폐 '피와 눈물' 보고서… 붕괴, 해킹, 내부자 사기—베테랑들의 잔혹한 기억

  [시큐리티팩트=최석윤 기자] 암호화폐 시장은 보복 반등 없이 혹독한 시기를 지나고 있다. 비트코인은 9만 달러 아래로, 이더리움은 2800달러 선까지 떨어졌다. 하지만 이 정도 변동성은 경험 많은 투자자들에게 큰 문제가 되지 않는다. 그들은 더 큰 폭풍을 견뎌냈다. 더 잔혹한 숙청을 경험했다. 과거를 돌아보면, 그들에게 시장은 그저 무심한 "뭐가 그렇게 대단한가?"라는 반응으로 돌아올 뿐이다. 하지만 그들이 겪었던 과거의 상처는 생생하다. 거래소는 한순간에 무너졌다. 이른바 ‘내부 정보’는 투자자들을 파멸로 이끄는 함정이었다. 심지어 믿었던 지인에게 제거되기도 했다. 이들은 폭풍을 통과해 살아남은 암호화폐 베테랑들이다. 2일(현지 시각) BitGet는 그들의 이야기를 통해 억대 손실을 안긴 기억할 만한 사례들과 그들이 얻은 생존 전략을 정리했다. 스타트업 창업가 마이크: 거래소 파산과 내부 정보의 배신 2018년 암호화폐 분야에 입문한 마이크는 현재 스타트업 창업가다. 그는 여러 차례의 불장과 약장을 겪으며 수많은 함정에 빠졌다. 그에게 가장 깊은 상처를 남긴 두 번의 실패가 있었다. 첫 번째는 2019년이었다. 그는 더 높은 수익을 얻고자 했다. 비트코인(BTC), 이더리움(ETH), 테더(USDT) 등을 다른 곳보다 높은 수익을 약속한 자산 관리 상품에 투자했다. 1년 후, 해당 거래소는 무너지고 도망쳤다. 이 거래소는 거래 채굴의 선구자 중 하나였던 'Fcoin'이다. 그때 그는 대학을 갓 졸업했다. 칸막이 방에서 살며 힘들게 돈을 모았다. 하룻밤 사이에 1.5 BTC와 20 ETH를 잃었다. 당시에는 큰돈이 아닐 수 있다. 그러나 지금 가치로 환산하면 100만 달러(약 14억 원)가 넘는 금액이다. 두 번째는 2020년에 벌어졌다. 그는 업계 친구에게서 특정 알트코인이 곧 바이낸스에 상장된다는 정보를 들었다. 이 소중한 내부 정보를 놓치고 싶지 않았다. 그는 두 비트코인을 팔아 알트코인에 올인했다. 당시 비트코인 한 개 가격은 약 1만 달러였다. 결과는 참담했다. 그가 비트코인을 판 후 가격이 4만 달러까지 치솟았다. 그가 투자한 알트코인은 오히려 70% 하락했다. 알트코인은 결국 바이낸스에 상장되었다. 하지만 그때는 이미 큰 의미가 없었다. 마이크는 이제 내부 제보에 극도로 조심한다. 그는 그 정보가 이미 가격에 반영된 것인지 의심한다. 더 나쁘게는 그냥 가짜 뉴스일 수 있다고 생각한다. Fcoin과 FTX의 붕괴는 많은 이들을 충격에 빠뜨렸다. 그는 현재 극심한 위험을 피하기 위해 콜드 월렛을 사용한다. 모든 자산을 암호화폐 시장에 두지 않는다. 미국 주식, 금, 법정화폐 예금으로 자산을 분산한다. 세상에 100% 안전한 것은 없다. 다각화만이 블랙스완 사건의 영향을 줄여준다. 이 모든 경험을 거치면서 그는 자신만의 투자 논리를 확립했다. 그는 유동성이 어디서 오는지 살핀다. 이번 사이클에서는 미국 달러 시장의 고위험 유동성에서 자금이 나온다. 이 때문에 비트코인과 미국 주식시장 간의 상관관계가 커지고 있다. 비트코인은 본질적으로 유동성 위험 선호도의 최전선에 있다. 또한, 그는 프로젝트의 장기적인 추세에 집중한다. 특히 팀과 창업자의 내적 동기와 비전을 중요하게 본다. 돌이켜보면, 그는 어린 자신에게 이렇게 말해줄 것이다. “조심스럽고 한 걸음씩 나아가라.” 동시에 그는 “업계의 미래를 믿으라”고 말할 것이다. 그리고 올바른 방향, 즉 비트코인을 축적하는 방향으로 더 용감하고 대담해지라고 조언할 것이다. 블록포커스 창립자 핀: 해커와 계약 포지션의 냉혹함 암호화폐 에이전시 블록포커스의 창립자인 핀의 기억은 생생하다. 2018년 4월 28일, 그는 처음으로 비트코인을 사기 위해 후오비에 돈을 입금했다. 그때는 USDT가 무엇인지도 몰랐다. 첫 투자는 실패했다. 그는 비트코인으로 BTM 코인을 샀다. 한 달 만에 가치의 80%를 잃었다. 2,000위안(약 40만 원)만 남았다. 첫 실패가 그를 막지는 못했다. 오히려 새로운 문을 열어주었다. 2020년 초, 그는 공식적으로 암호화폐 분야에서 일하기 시작했다. 수년 동안 두 가지 큰 손실이 그를 괴롭혔다. 첫 번째는 2022년 4월 말에 발생했다. 보안 인식 부족과 예방 조치 소홀이 원인이었다. 그의 지갑이 해킹당했다. 도난당한 것은 대부분 APX 토큰이었다. 이 토큰은 나중에 '아스터(Aster)'가 되었다. 당시 60만 달러(약 8억 3천만 원) 이상의 가치가 있었다. 도난당하지 않았다면 지금쯤 경제적으로 자유로웠을 것이다. 두 번째 손실은 올해 10월 11일 대규모 청산 때였다. 계약 포지션이 최저가로 청산되어 큰 손실을 입었다. 그는 전문 트레이더가 아니었다. 도박처럼 포지션을 열었다가 정확하게 청산당했다. 이 외에도 그는 프로젝트 팀의 함정에 빠진 적이 있다. 작년, 그는 1억 달러 미만으로 평가된 프로젝트에 투자했다. 올해 출범 당시 기업 가치는 40억 달러로 정점을 찍었다. 10% TGE 잠금 해제에 합의했지만, 약속은 지켜지지 않았다. 팀은 이를 내년으로 연기했다. 환불 협상도 통하지 않았다. 그는 이때 투자자들이 종종 약하고 무력한 위치에 있다고 느꼈다. 그럼에도 불구하고 핀은 암호화폐가 다른 곳보다 돈을 벌기 쉬운 산업이라고 생각한다. 그는 이 분야에 머무르는 것이 편하다. 일과 삶의 균형을 찾을 수 있는 순환이다. 앞으로 그는 열심히 일하고, 계약을 피하며, 스키를 더 많이 타고 싶다고 말한다. '디스컨스트럭터' 비욘드: 북한 해커의 정교한 공격을 받다 트위터에서 '디스컨스트럭터'로 알려진 비욘드(Beyond)는 2021년 대학 1학년 때 암호화폐에 처음 발을 들였다. 2021년 4월 20일, 그는 도지코인(DOGE)이 1달러를 돌파할 거라는 영상에 휩싸였다. 그는 1만 위안(약 180만 원)을 입금하고 계약 포지션을 개설했다. 그날 밤 바로 청산당했다. 대학 신입생에게는 몇 달치 생활비였다. 너무 힘들어서 2023년 초까지 암호화폐를 멀리했다. 이후 비문(Inscriptions)이 인기를 끌면서 다시 참여했고 수익을 올렸다. 그는 경제적 매력 때문에 암호화폐를 주된 진로로 삼기로 결정했다. 그는 '디스컨스트럭터'로서의 자유로운 삶을 즐긴다. 하지만 이 세계에 오래 머물수록 함정을 피할 수 없다. 가장 기억에 남는 경험은 작년 8월 10일이었다. 유명 벤처 캐피털 회사 직원인 척하는 누군가가 그를 초대했다. 그는 시장에서 돈 벌기가 어려워지자 다른 것을 시도하려 했다. 그는 텔레그램으로 그들과 대화를 시작했다. 모든 것이 합법적으로 보였다. 그는 신뢰할 수 있는 플랫폼에서 그들의 정보를 확인했다. 20명 이상의 공통 친구도 있었다. 그는 완전히 그들을 신뢰했다. 그들이 구글 미팅 초대를 보내자 기꺼이 수락했다. 하지만 그가 플랫폼에 접속해 링크를 클릭하자마자 온체인 자산이 모두 삭제되었다. 그의 모든 에어드롭 계정, Web2 소셜 계정까지 도난당했다. 손실은 참담했다. 나중에 알고 보니 그들은 북한 해커 그룹이었다. 또 다른 실수는 장면 이익을 현금화하지 않은 것이다. 인스크립션이 활발했을 때, 그는 ETHI 토큰을 발견했다. ETHI는 토큰당 3달러에서 4,000달러까지 올랐다. 이는 그의 투자 논리를 입증하는 듯했다. 하지만 그는 인스크립션 기술을 믿었기에 매달렸다. 결국 자산이 0으로 떨어지는 것을 지켜봤다. 이 경험은 암호화폐 분야의 엄청난 부의 효과를 엿보게 해줬다. 또한 순환을 존중하라는 것을 상기시켜 주었다. 어떤 이야기도 영원히 지속되지 않는다. 그는 가능하면 이익을 챙기라고 조언한다. 진정으로 믿을 만한 것은 비트코인뿐이라고 강조한다. 그는 현재 자신의 선택에 감사하며 미래에 대해 자신감을 가지고 있다. 충거: 지인의 계략에 사기를 당하다 충거는 '리샤오라이의 재정적 자유로 가는 길' 강의에서 암호화폐를 처음 접했다. 그의 첫 투자는 비트코인이 아니라 EOS였다. 그는 암호화폐에 오기 전 전통적인 금융 분야에서 일했다. 2~3년 주식을 보유한 후 50% 수익에 만족했었다. 하지만 온체인 알트코인이 몇 주 만에 10배 이상 오르거나 0에 도달하는 것을 봤다. 그는 이 모험가의 게임에 매료되었다. 그의 가장 깊은 문제는 시장 손실이 아니었다. 지인에게 사기를 당한 것이었다. 가장 기억에 남는 큰 손실은 특정 프로젝트에서 온 것이 아니다. 누군가를 신뢰했고, 그를 신뢰한 다른 사람들까지 함께 그 구덩이로 끌어들인 것이었다. 암호화폐 업계 초기에, 모두가 여전히 '감상적'이었다. 특히 충거처럼 단순하고 충성심을 중시하는 사람들은 더욱 그랬다. 친구가 그를 거래에 끌어들였다. 그는 또 다른 친구들을 데려왔다. "아는 사람이 소개했다"는 이유로 모두가 경계를 풀었다. 하지만 10번 중 9번은 '프로젝트', '스타트업', '블록체인'으로 위장한 사기였다. 본질적으로 폰지 코인이나 베이퍼웨어에 불과했다. 결국 프로젝트는 중단되었고, 자금은 사라졌으며, 관계도 손상되었다. 이 손실로 수백만 달러를 잃었다. 그는 프로젝트 팀에 연락해 권리를 옹호하려 했다. 하지만 돈은 사라졌다. 관계는 회복될 수 없었다. 남은 것은 실망뿐이다. 그 후 그는 엄격한 규칙을 세웠다. 특히 자신이 완전히 이해하지 못하는 투자에는 절대 다른 사람을 끌어들이지 않는다. 잘못되면 자신의 돈뿐만 아니라 관계, 평판, 감정까지 위험에 빠뜨리기 때문이다. 그 비용이 너무 크다. 비록 여러 번 함정에 빠졌지만, 그는 이 공간을 떠나지 않을 것이다. 이 게임은 심한 사교 없이도 참여할 수 있는 글로벌 게임이다. 올바른 방향으로 가기만 하면 라운드마다 레벨업할 수 있다. 그는 이것이 자신이 즐기는 라이프스타일이라고 말한다. 충거는 이제 비교적 완성된 투자 논리 시스템을 갖췄다. 그는 자신의 논리에 따라 충분히 노력했는지, 시스템을 얼마나 더 최적화할 수 있는지, 더 많은 사람들에게 서비스할 수 있는 제품으로 만들 수 있는지에 대해 고민한다. 암호화폐 투자 생존자들이 던지는 핵심 교훈 6가지 암호화폐 투자자들은 모두에게 영향을 미치고 싶어 한다. 프로젝트 팀은 그들의 이야기를 믿길 원한다. KOL(Key Opinion Leader)은 그들의 업계를 따라가길 원한다. 여러 집단은 감정에 휘둘리길 원한다. 하지만 생존자들은 다음과 같은 중요한 교훈을 제시한다. 1. 중앙화된 시스템에 대한 맹신은 위험하다: 거래소 파산(Fcoin, FTX)은 언제든 발생할 수 있는 '블랙스완'이다. 자산을 콜드 월렛에 보관하고, 자산 분산 투자를 통해 위험을 극단적으로 줄여야 한다. 2. '내부 정보'는 사냥꾼의 미끼다: 소위 '곧 상장될 코인' 정보는 이미 가격에 반영되었거나, 투자자를 '수확(Harvest)'하기 위한 가짜 뉴스일 가능성이 높다. 3. 순환을 존중하고 이익을 현금화하라: 시장은 영원히 상승하지 않는다. 아무리 확신하는 토큰이라도 끝까지 매달리지 말고, 가능할 때 이익을 실현해야 한다. 비트코인만이 장기적으로 진정으로 믿을 만한 자산이라는 것이 베테랑들의 공통된 의견이다. 4. 보안이 최우선이다: 북한 해커 그룹처럼 정교한 공격은 신뢰할 수 있는 플랫폼과 공통 친구를 위장한다. 링크를 클릭하거나 알 수 없는 플랫폼에 접속하기 전에 온체인 자산을 보호하는 조치를 취해야 한다. 5. 신뢰를 담보로 투자하지 마라: 지인이나 친구가 추천하는 투자에 절대 다른 사람을 끌어들이지 마라. 돈을 잃는 것보다 관계, 평판, 감정을 잃는 비용이 훨씬 크다. 6. 스스로 논리를 세워라: 어떤 '권위'를 무조건적으로 믿는 것을 멈춰야 한다. 스스로 시장을 분석하고, 자신만의 투자 논리를 세워야 한다. 그 전에는 그저 다른 사람의 시스템 속 NPC(Non-Player Character)일 뿐이다. ---------------- 면책 조항: 이 기사는 암호화폐 투자자들의 경험을 바탕으로 작성되었으며, 투자 결정을 위한 참고 자료가 아닙니다. 모든 투자는 본인의 책임하에 신중하게 이루어져야 합니다.

• 쿠팡 초대형 정보 유출, 수준급 보안인증∙ 보안인력도 ‘무용지물’

  [시큐리티팩트=김상규 기자] 쿠팡이 수준급의 보안 인증과 보안 인력을 확보했음에도 초대형 고객 정보 유출 사고가 발생한 것을 두고 여러 말이 나오고 있다. 쿠팡은 지난달 29일 고객 계정 약 3천370만개 정보가 유출됐다고 발표하면서 이름과 이메일, 전화번호, 주소, 일부 주문정보 등의 개인 정보가 유출됐다고 밝혔다. 3일 쿠팡이 자사 프라이버시센터 홈페이지에 공개한 자료에 따르면 회사는 정보보호·개인정보보호 관리체계(ISMS-P)를 비롯해 ISO/IEC 27001(정보보호경영시스템)·27701(개인정보보호관리체계)·27017(클라우드 보안 관리체계), APEC·Global CBPR, PCI DSS, ePrivacy(프라이버시) 등 7개의 국내외 보안·프라이버시 인증을 갖추고 있다. ISMS-P 인증은 과학기술정보통신부와 개인정보보호위원회가 공동으로 운영하는 국내 유일의 정보보호·개인정보보호 관리체계 인증 제도다. ISO/IEC 27001은 국제표준화기구(ISO)와 국제전기기술위원회(IEC)가 제정한 정보보호 관리체계 국제표준이다. 약 90개 항목에 대한 심사를 통과해야 인증을 받을 수 있을 만큼 고난이도 인증이다. APEC·Global CBPR은 개인정보를 국제 기준에 따라 안전하게 처리하고 국경 간 전송 요건을 충족했음을 검증하는 인증이다. ePRIVACY 인증은 웹사이트의 개인정보 보호 법규 준수와 안전한 처리 여부를 평가하는 제도다. 이 밖에 PCI DSS는 신용카드 회원 데이터 보호 강화를 위해 마련된 국제 결제 데이터 보안 표준이다. 쿠팡은 보안 인력도 수준급 규모를 자랑한다. 브랫 매티스 쿠팡 최고정보보안책임자(CISO)에 따르면 사내 보안 조직에 약 200명의 인력이 근무하고 있다. 한국인터넷진흥원(KISA) 정보보호 공시상 네이버(130여명), 카카오(90여명)보다 많고 SK텔레콤(220여명)과 비슷한 수준이다. 그럼에도 초대형의 고객 정보 유출 사고가 발생하며 최고 수준의 보안 인증도, 수준급 규모의 보안 인력도 무용지물로 전락했다. 무용지물로 만든 건 ‘우수한 보안 인증’도 ‘최고급 인력’도 아닌 바로 ‘부실한 내부 관리 체계’였다. 지금까지 나온 보도와 발표를 종합하면 전직 직원에 의해 정보가 유출된 것으로 전해졌다. 지난해 12월 퇴사한 내부자가 예전 보유했던 키(Key)로 시스템에 접근했다. 쿠팡 측은 "내부 프라이빗 사이닝 키(서명 키)가 유출됐으며 이 키로 서명된 위조 액세스 토큰으로 API 인증이 가능해졌다"고 시인했다. 서명 키는 시스템이 "정상 사용자가 맞다"고 판단하도록 토큰에 전자서명을 붙이는 데 쓰는 내부 비밀키를 말한다. 즉 공격자가 훔친 서명 키로 직접 출입증(토큰)을 발급해 정상적인 사용자인 척 시스템을 드나든 것이다. 이와 관련해 전문가들은 인증 제도가 기업의 보안 체계 성숙도를 일정 수준 보증하는 역할을 하지만, 내부자 통제·접근권한 관리 같은 '실질적 리스크'는 별도의 관리 체계를 요구한다고 지적한다. 인증 취득을 통해 '보안 수준을 충족했다'는 외형을 갖추는 것과 실제 사고를 막는 것은 별개라는 것이다. 과방위 소속 최수진 의원(국민의힘)은 "IT 인력을 많이 불러놓고 보안이 철저한 척했던 것은 다 가식이었나"라며 "내부 관리를 못 하고 있다는 건 아주 심각한 문제"라고 지적했다. 한편 이 와중에 쿠팡의 주요 경영진이 주식을 대규모로 매도한 사실이 알려지며 ‘쿠팡 고객의 공분’을 사고 있다. 3일 미국 증권거래위원회(SEC) 공시에 따르면 지난달 쿠팡의 주요 임원들은 보유 주식 매도를 잇따라 신고했다. 프라남 콜라리 전 부사장은 지난달 17일 쿠팡Inc 주식 2만 7388주를 매도했다. 매각 가치는 77만 2000달러(약 11억 3000만원)였다. 거랍 아난드 쿠팡 최고재무책임자(CFO)도 지난달 10일 쿠팡 주식 7만 5350주를 주당 29달러에 매도했다고 신고했다. 쿠팡 측은 “보고된 주식 매도는 지난해 12월 8일에 채택한 ‘Rule 10b5-1’ 거래 계획에 따라 이뤄진 것”이라며 “해당 계획은 주로 특정 세금 의무를 충족하기 위해 마련된 것”이라고 설명했다. Rule 10b5-1은 일종의 거래 계획이다. 내부자가 비공개 중요 정보와 무관하게 사전에 정해둔 일정·조건에 따라 자동으로 주식을 매도·매수할 수 있도록 하는 제도다. 쿠팡 측의 해명에도 불구하고 일각에선 대규모 개인정보 유출 와중에 쿠팡의 주요 전현직 임원들이 보유 주식을 처분한 것은 부적절한 게 아니냐는 의견이다.

• 메르세데스-벤츠, 또 대규모 정보 유출… "법률·고객 기밀 포함"

  [시큐리티팩트=최석윤 기자] 메르세데스-벤츠 USA(MBUSA)가 최근 다크웹에서 해커의 대규모 데이터 유출 주장으로 다시 한번 보안 논란의 중심에 섰다. 지난 2024년 깃허브 서버 관리 부주의로 소스코드가 통째로 유출될 뻔한 사건이 발생한 지 채 2년도 되지 않은 시점이다. 1일(현지 시각) 사이버시큐리티뉴스 보도에 따르면, 이번 유출 주장에는 민감한 법률 방어 전략과 고객 개인 정보가 포함되어 있어, 기업의 장기적인 법적 안정성 및 금융 사기 위험에 대한 심각한 우려를 낳고 있다. "법률 방어 전략, 5천 달러에 판매 중"…충격 주장 'zestix'라는 이름의 해커는 이날 다크웹 포럼에 메르세데스-벤츠 USA의 기밀 정보 18.3GB를 판매한다고 게시했다. 가격은 단돈 5000 달러(약 730만 원)였다. 해커는 이 데이터가 법률 및 고객 데이터라고 주장했다. 이 유출은 미국 48개 주의 진행 중이거나 종료된 소송 파일들을 포함한다. 여기에는 메르세데스-벤츠의 모든 법률 방어 전략이 담겨 있었다. 외부 변호사 청구율과 합의 정책도 노출된 것으로 알려졌다. 이 주장을 포착한 보안 업체 ThreatMon은 이를 심각하게 분석했다. 이번 유출은 특히 소비자 보증 청구에 대한 회사의 법적 인프라를 직접 겨냥한 것으로 보인다. 구체적으로 매그너슨-모스 보증법, 송-베벌리 소비자 보증법 관련 자료가 포함됐을 가능성이 높다. 이 법들은 소비자를 보호하는 중요한 법이다. 유출된 아카이브는 포괄적이라고 전해진다. 운영 법률 데이터와 함께 고객의 개인 식별 정보(PII)도 모두 포함된다고 한다. 공급망 취약점, 대기업의 아킬레스건 되다 이번 사건은 메르세데스-벤츠의 직접적인 서버를 노린 것이 아니다. 법률 업무를 처리하는 제3자 법률 공급업체의 취약점을 이용한 것으로 추정된다. 이는 공급망 취약점이 대형 기업에게 얼마나 지속적인 위험을 초래하는지 다시 한번 부각시킨다. 유출된 데이터에는 '기밀 MBUSA 템플릿/양식'도 있었다. 방어적 법적 전략의 노출은 진행 중인 소송에 장기적인 파장을 미칠 수 있다. 더욱 심각한 문제는 '신규 공급업체 설문지 양식'에 은행 정보가 포함되었다는 주장이다. 이는 기업 이메일 유해(BEC) 공격이나 금융 사기로 이어질 수 있다. 자동차 제조사의 공급업체 네트워크를 겨냥한 금융 사기 가능성이 제기된다. 메르세데스-벤츠 USA와 법률 대리인인 버리스 & 맥콤버 LLP는 데이터의 진위를 공식적으로 확인하지 않고 있다. 보안 분석가들은 최근 제조사와의 보증 분쟁에 연루된 고객들에게 경고했다. 이들은 신용 보고서를 모니터링해야 한다. 또한 사건 파일을 참조하는 피싱 시도에 대해 특히 경계할 것을 권고하고 있다. 2024년 소스코드 유출 사고로 이미 홍역 이번 유출 주장은 메르세데스-벤츠가 불과 2년 전 겪었던 또 다른 심각한 보안 사고를 상기시킨다. 2024년 1월 30일, 사이버 보안 연구소 레드헌트 랩스는 메르세데스-벤츠의 심각한 데이터 유출 사고를 공개했다. 연구원들은 정기적인 인터넷 검색 도중 우연히 발견했다. 한 메르세데스-벤츠 직원의 개인 키(Private Key)가 공개 깃허브에 실수로 노출된 상태였다. 이 인증 토큰은 회사의 내부 깃허브 엔터프라이즈 서버에 무제한 액세스 권한을 부여했다. 노출된 리포지토리에는 기밀 소스코드가 통째로 담겨 있었다. 지적 재산과 연결 문자열(데이터베이스 접속 정보)이 포함되어 있었다. 클라우드 액세스 키, 청사진, 설계 문서 등도 노출되었다. 이는 회사 내부의 모든 것이 해커에게 넘어갈 수 있는 잠재적 위험을 의미했다. 레드헌트 랩스는 즉시 메르세데스-벤츠에 경고했다. 회사는 신속하게 대응하여 노출된 토큰을 취소했다. 공개 리포지토리도 제거했다. 조사 결과, 해당 토큰은 2023년 9월 말부터 온라인에 노출되었다. 무단 액세스 기간이 꽤 길었던 것으로 드러났다. 그러나 메르세데스 측은 노출된 데이터에 대한 제3자의 액세스 여부를 확인하는 기술적 능력이 있는지에 대해 답변을 거부했다. 메르세데스-벤츠는 과거 2021년에도 클라우드 저장소 유출 사고를 겪은 바 있다. 당시에는 약 1000명의 고객 정보가 의도치 않게 노출되었으나, 이번 2025년 사건은 훨씬 더 광범위하고 민감한 기업 기밀을 포함한다는 점에서 우려가 크다.

• [긴급 체크: 쿠팡 해킹] 내 집 주소가 피싱의 무기... '지금 당장' 해야 할 4가지 방어 수칙

  [시큐리티팩트=최석윤 기자] 대한민국이 완전히 발가벗겨졌다. '로켓배송'의 편리함 뒤에 숨겨져 있던 보안의 둑이 터졌다. 국내 최대 이커머스 기업 쿠팡에서 발생한 3370만 개 계정 정보 유출 사태는 단순한 해킹 사고가 아니다. 이는 대한민국 디지털 경제의 취약성을 적나라하게 드러낸 '디지털 재난'이다. 국민 대다수의 실명, 주소, 전화번호가 통째로 털렸다. 사실상 전 국민의 개인정보가 '공공재'가 되어버린 셈이다. 이번 사태는 2011년 네이트 해킹 이후 최대 규모다. 하지만 그 성격은 훨씬 더 치명적이다. 쇼핑 데이터는 개인의 라이프스타일과 거주 동선까지 파악할 수 있는 '민감 정보의 집합체'이기 때문이다. 우리는 왜 속수무책으로 털렸는가. 그리고 발가벗겨진 개인은 이제 무엇을 해야 하는가. 기존 보도들이 놓친 '쿠팡 게이트'의 구조적 문제와 실질적인 생존 매뉴얼을 심층 분석한다. 쿠팡의 '5개월 침묵'... 관제 시스템은 죽어 있었다 가장 충격적인 것은 유출 규모보다 '인지 시점'이다. 쿠팡은 최초 4500개 유출을 발표했다가, 당국의 조사 후 3370만 개로 정정했다. 무려 7500배의 차이다. 이는 단순한 집계 오류가 아니다. 쿠팡의 보안 관제 시스템이 내부 데이터의 대량 이동을 전혀 감지하지 못했다는 자백이나 다름없다. 해킹 시점은 올해 6월로 추정된다. 쿠팡이 이를 인지한 것은 11월이다. 5개월이다. 그 긴 시간 동안 해커들은, 혹은 정보를 빼돌린 누군가는 대한민국 국민의 안방 주소를 마음대로 들여다봤다. "제3자의 비인가 접근"이라던 초기 해명은 "해외 서버를 통한 침입"으로 바뀌었다. 급기야 내부 직원을 형사 고소했다. 내부자의 소행이든 외부의 공격이든 결론은 하나다. 연 매출 30조 원을 바라보는 거대 기업의 보안 시스템이 '자동문' 수준이었다는 것이다. 고객이 신고하기 전까지 기업은 까맣게 몰랐다. 이것은 사고가 아니라 직무 유기다. '보안 공백'의 그림자... 내 정보는 이미 중국에 있다? 이번 사건을 단순한 기업 범죄로 봐선 안 된다. 전문가들은 '지정학적 데이터 안보' 관점에서 접근해야 한다고 경고한다. 여당 과방위원들이 지적했듯, 최근 일련의 대형 해킹 배후에는 '적성 국가'나 그 지원을 받는 해커 그룹이 존재하는 경우가 많다. 쿠팡의 데이터는 왜 위험한가. 여기엔 단순한 연락처가 아닌 '배송지 정보'가 있다. 우리 집 현관 비밀번호, 가족의 이름, 주로 구매하는 물품(취향), 거주지 이동 경로가 포함된다. 이 정보가 해외, 특히 보이스피싱 조직의 본거지인 중국 등지로 넘어갔을 때의 파괴력은 상상을 초월한다. 기업들은 비용 절감을 위해 보안 투자를 미룬다. 정부의 과징금은 기업 매출에 비하면 '껌값'이다. SK텔레콤이 2,700만 명 정보를 털리고도 건재하듯, 기업들은 '보안 투자비보다 과징금이 싸다'는 계산을 끝냈을지도 모른다. 이 도덕적 해이가 대한민국을 '글로벌 해커들의 맛집'으로 만들었다. 생존 매뉴얼... "비번 바꾸면 끝이 아니다" 쿠팡 측은 "결제 정보는 안전하니 별도 조치는 필요 없다"고 안내했다. 틀렸다. 이것은 매우 무책임한 발언이다. 범죄자들은 결제 정보를 직접 훔치는 대신, 확보한 주소와 전화번호를 조합해 '사회공학적 해킹(Social Engineering)'을 시도할 것이다. 소비자는 이제 스스로를 지켜야 한다. 뻔한 비밀번호 변경을 넘어선, 구체적이고 실질적인 대응책이 필요하다. △ '크리덴셜 스터핑' 방어, 비밀번호 대청소 해커들은 쿠팡 아이디와 비번을 다른 사이트(네이버, 카카오, 금융앱)에 무차별 대입한다. 이를 '크리덴셜 스터핑'이라 한다. 행동 요령: 쿠팡과 아이디/비번을 똑같이 쓰는 모든 사이트의 비밀번호를 즉시 변경하라. 특히 주거래 은행과 주요 메일 계정은 필수다. 모든 사이트에 '2단계 인증(2FA)'을 설정하라. 이것만이 뚫린 비번을 막을 최후의 방패다. △ '맞춤형 스미싱' 구별법... "택배 기사도 의심하라“ 이제 스미싱 문자는 정교해진다. "김쿠팡 고객님, 서초대로 12길 배송지 오류입니다"라고 온다. 내 이름과 주소를 정확히 알기에 속을 수밖에 없다. 행동 요령: 문자 메시지에 포함된 URL(인터넷 주소)은 절대, 무슨 일이 있어도 클릭하지 않는다. 배송 문제는 무조건 쿠팡 공식 앱을 켜서 확인한다. 해외 발신 번호나 '070' 번호, 혹은 일반 휴대전화 번호로 온 'URL 포함 문자'는 100% 사기다. △ '통신사 소액결제' 차단, 금전 피해 원천 봉쇄 내 정보로 알뜰폰을 개통하거나 소액결제를 시도할 수 있다. 행동 요령: 통신사 고객센터 앱에서 '소액결제 차단' 혹은 '한도 0원' 설정을 하라. 명의도용 방지 서비스인 '엠세이퍼(Msafer)'에 가입하여 내 명의로 몰래 개통되는 휴대전화나 인터넷 가입을 실시간으로 감시하고 차단해야 한다. △ 탈퇴 전 정보 내역 캡처 등) 확보 개인은 약하다. 하지만 뭉치면 기업을 움직일 수 있다. 행동 요령: 개인정보분쟁조정위원회에 분쟁 조정을 신청하라. 소송보다 빠르고 비용이 들지 않는다. 향후 진행될 수 있는 집단 소송 카페나 커뮤니티 동향을 주시하며 증거(탈퇴 전 정보 내역 캡처 등)를 확보해 두는 것도 좋다. 예고된 참사... '데이터 주권'을 되찾아야 할 시간 쿠팡 사태는 예고된 참사였다. 편리함을 위해 개인정보를 무한정 제공해 온 우리 사회에 울리는 거대한 경종이다. 기업은 "죄송하다"는 사과문 한 장으로 끝낼 일이 아니다. 징벌적 손해배상제 도입 등 기업이 파산할 수도 있다는 공포를 느낄 정도의 강력한 법적 제재가 뒤따라야 한다. 국민의 개인정보는 기업의 자산이 아니다. 보호받아야 할 인권이다. 지금 대한민국은 디지털 세상에서 발가벗겨졌다. 옷을 다시 입혀줄 주체는 결국, 각성한 소비자와 강력한 법의 철퇴뿐이다.

실시간 시큐리티 기사