공유자전거 및 전동킥보드 큐알 코드를 악용한 큐싱

도심에서 자주 이용하는 따릉이, 공유자전거 및 전동킥보드의 큐알 코드를 이용한 해킹이 증가하고 있다. 중장년층이 많이 피해를 보는 보이스피싱과 달리 QR코드를 많이 활용하는 청년층이 주로 당하는 게 특징이다. 방법은 다양하지만 기존 큐알코드에 해킹 사이트 또는 앱을 설치 유도하는 큐알코드를 덮는 '큐싱'이 확산되고 있다. 23년 온라인 보안 공격 가운데 17%가 이 큐싱 방식으로, 한 해 전보다 60%가량 증가했다. 해킹 방법 공유자전거 및 전동킥보드 사용 큐알코드에 가짜 큐알코드를 덮어서 악성 앱을 설치 세미나장 등의 행사장에서 이젤 안내판을 통하여 가짜 경품 큐알코드로 접속 유도하여 개인정보 탈취 악성 앱을 설치하게 하거나 개인정보를 입력하게 해서 돈을 가로채는 방식 예방책 큐알코드를 찍기전에 덧댄 ..

공모주 신청 문자를 통한 개인정보 탈취

안랩에 따르면, 실제 상장이 예정된 특정 기업의 청약 가능한 공모주가 있다는 내용과 함께 악성 URL을 포함한 문자를 발송하여 수신자의 개인정보 탈취 시도가 있다고 한다. 해킹 방법 본문에는 ‘사전신청 할인’이나 ‘선착순’ 등 자극적인 표현을 사용해 사용자의 악성 URL 접속을 유도 ‘XXX(기업명) 코스피 3월 중순 상장 공모가 14,000원 6,000원 사전신청 선착순’과 같은 방식 URL을 클릭하면 ‘특별공모 신청하기’라는 피싱 페이지로 연결 사용자가 해당 페이지 내 정보입력 칸에 이름과 전화번호를 입력하면 이 정보는 공격자의 서버로 전송

악성코드 숨긴 AI/ML 모델을 활용한 해킹

오픈소스 AI/ML 모델이 증가하면서 AI 플랫폼에서 심각한 취약점도 다수 발견되고 있다. ML플로우(MLflow), 클리어ML(ClearML), 허깅페이스(Hugging Face)와 같은 오픈소스 플랫폼에서 초고위험도 취약점이 발견되었다. 특히 , 허킹페이스에서 악성 코드가 숨겨진 AI/ML 모델이 100개 이상 발견되었다. 해당 모델은 시스템 제어권 탈취, 서버 내 저장 파일 삭제, 백도어 설치, 원격에서 코드 실행과 같은 심각한 악성행위를 할 수 있는 취약점이어서 주의가 필요하다. 악성코드가 사용된 모델은 파이토치가 95%, 텐서플로우가 5% 를 차지 공격 기법 ComPromptMized : 공격자는 쿼리와 데이터에 코드를 삽입함으로써 이러한 애플리케이션이 생성 AI 서비스 또는 검색 증강 생성(R..

크립토카멜레온 - 암호화페 플랫폼 해킹툴

최근 비트코인 등의 암호화페 가격이 급등하면서 암호화폐 플랫폼을 겨냥한 해킹이 증가하고 있다. 그 중에 크립토카멜레온이라는 피싱을 위한 키트(도구 세트)가 주목을 받고 있다. 크립토카멜레온 이란 고도화 된 피싱 전략을 도와주는 도구 소셜엔지니어링 도구에는 개인적으로 접근할 수 있게 해 주는 텍스트 메시지와 음성 콘텐츠를 포함 유명한 기업들의 고객 지원 센터를 사칭할 수 있게 하거나 정상적인 웹 페이지들을 간단하게 흉내 낼 수 있도록 해주는 도구 에이치캡챠(hCaptcha)라는 도구도 활용 : 파밍 자동 분석하는 도구를 회피하는 도구 피해 사례 고객 지원 담당자를 사칭한 음성 콘텐츠로 싱글사인온 옥타(Okta) 인증 플랫폼 사용자 ID와 비밀번호 탈취 바이낸스(Binance)와 코인베이스(Coinbase)..

개인정보보호책임자 CPO 지정 요건

2025.3.15 부로 CPO 지정 요건 제도가 시행 근거 개인정보보호법 제31조에 따라 개인정보처리자(개인정보 취급 기관 및 기업)는 개인정보 처리에 관한 업무를 총괄하고 책임지는 CPO를 지정 지정요건 공공기관 4급 이상 민간기업 대표 또는 임원 대상 연간 매출액 또는 수입이 1,500억원 이상 기업 100만명 이상의 정보주체 보유한 기업과 기관 5만명 이상의 민감정보 또는 고유식별정보를 보유한 기업과 기관 재학생 수 2만명 이상 대학교 ( 대학원 재학생 수 포함) 상급종합병원 공공시스템 운영기관 단, 순환보직 등으로 자격요건 적용이 곤란한 중앙행정기관, 자치단체, 각급 학교는 제외 자격요건 개인정보보호 경력, 정보보호 경력, 정보기술 경력을 합해 총 4년 이상 보유해야 하고, 그중 개인정보보호 경력..

진화되는 피싱

가족 사칭한 피싱 범죄가 증가하고 형태도 보이스 피싱 뿐만 아니라, 스미싱, SNS 피싱 등 다양화 되고 있음 피싱 범죄는 휴대전화를 내 소지한 신분증만으로도 비대면 휴대전화 개통을 할 수 있어 문제 예방책 문구와 인터넷 주소만 달려 문자가 발송됐을 시 첨부된 인터넷 주소를 자세히 확인 신분증과 관련된 모든 자료를 휴대전화 내 삭제하는 것이 가장 안전 Case 1 신모씨(61)는 자녀 휴대전화 액정이 파손돼 임시로 휴대전화를 대여받아 번호가 다르다는 내용의 문자를 받았다. 이어 현재 딸이 새로운 휴대전화를 개통하려 했으나 신분증을 소지하고 있지 않아 급하게 ‘엄마 신분증과 통장 사본이 필요하다’는 연락에 아무런 의심 없이 보내줬던 것. 이후 피싱 범죄인가 의심이 돼 딸에게 전화를 걸어 확인한바 아무 이상..

딥페이크를 활용한 해킹

딥페이크, 얼굴 스와핑 기술을 활용한 해킹 사건 개요 영국에 본사를 두고 홍콩에 지사를 둔 다국적 기업에서 발생 지사 재정 업무 직원은 업무 중 CFO 로 부터 자신을 대신하여 긴급한 거래 한 건을 처리 요청하는 메시지를 받음 직원은 메시지를 무시했으나 일정 시간이 흐른 후 CFO로 부터 화상 컨퍼런스 콜이 들어옴. CFO와 다른 동료들이 함께 회의에 참여하고 있었고 회의에 접속한 후 간단히 인사를 나눴다. 미티에엇 CFO가 다시 한 번 송금 건을 처리해달라고 요청했고 미팅이 끝난 후 2550만 달러의 돈을 15번에 나누어 요청한 계좌로 송금 얼마 뒤 모든 것이 사기임이 밝혀짐 해킹 기술 얼굴 스와핑 도구를 활용하여 실시간으로 얼굴과 목소리를 변조하여 대상을 속임 AI의 발전에 따라 다크웹에서 손쉽게 도..

글로벌 정보보안솔루션

국산 정보보안솔루션 (2023)