[월:] 2026년 09월

요즘 뉴스에 「정부24가 해킹당했다」는 말이 나오니 깜짝 놀랄 만합니다. 결론부터 말하면, 2026년 8월 17일 외부 공격자가 정부24 안의 어린이포털 취약 페이지를 타고 들어와, 서버에 있던 메모리 덤프파일 11개 등 일부 자료를 밖으로 빼 간 정황이 확인됐습니다. 정확한 피해 규모는 아직 조사 중이고, 「전 국민 정보가 다 털렸다」고 단정할 단계는 아닙니다.

정부24가 뭐길래 이렇게 민감할까요?

정부24는 각종 민원 신청, 증명서 발급, 생활·행정 서비스를 한곳에서 처리하는 정부 대표 온라인 민원 창구입니다. 주민등록 관련 서류부터 생활 증명까지, 일상에서 「관공서에 가야 할 일」을 집에서 끝내는 곳이니, 개인정보가 스치는 빈도가 높을 수밖에 없습니다.

그래서 「해킹」이라는 단어만 들어도 불안해지는 게 당연합니다. 다만 이번 보도를 읽을 때는 무엇이 확인됐고, 무엇이 아직 추정인지를 나눠 보는 게 중요합니다.

공격은 어떻게 들어왔을까요? — ‘튼튼한 정문’과 ‘열린 옆문’

공개된 내용에 따르면 공격 시각은 2026년 8월 17일 오후 5시 29분경입니다. 경로로 지목된 곳은 정부24 본문의 화려한 메인 화면이 아니라, 상대적으로 덜 눈에 띄는 어린이포털의 취약한 웹페이지였습니다.

비유하면 이렇습니다. 아파트 공동현관(메인)은 카드키로 잘 잠겨 있는데, 지하 주차장 옆문(구석 서비스)이 열린 채라면 침입자는 굳이 정문을 부수려 하지 않습니다. 구석 페이지·오래된 하위 서비스도 보안 점검을 똑같이 받아야 하는 이유입니다.

아직 공개된 자료만으로는 공격자가 「특정 파일만 집어 갔는지」, 「서버에서 명령을 실행할 권한까지 얻었는지」까지는 확정되지 않았습니다. 웹셸 설치나 다른 내부 시스템으로의 확대 여부도 추가 조사 대상입니다.

메모리 덤프가 뭔가요? — ‘책상 위 서류를 순간 사진으로’

메모리 덤프는 컴퓨터(서버)가 그 순간 메모리에서 다루고 있던 데이터를 파일로 저장해 둔 것입니다. 서비스가 바쁘게 돌아갈 때 책상 위에 펼쳐진 서류·메모를 한 번에 스냅샷으로 찍은 것에 가깝습니다.

덤프 안에는 서비스 구조나 실행 중이던 프로그램에 따라 계정 정보·개인정보 조각이 섞일 수 있습니다. 그래서 「파일 11개가 나갔다」는 말만으로도 조사가 길어지는 겁니다. 파일 수 = 피해자 수라고 바로 환산할 수 있는 구조가 아닙니다.

유출됐다는 수치는? — 초기 추정, 확정 아님

행정안전부가 사고 다음 날(8월 18일) 개인정보보호위원회에 낸 초기 신고에서는, 그때까지 확인된 유출 추정으로 대략 이렇게 적힌 것으로 전해집니다.

• 주민등록번호 36개
• 전화번호 3개
• 정부24 아이디·비밀번호 55개

이 숫자는 초기 조사 단계의 추정치입니다. 실제 몇 명에게 해당하는지, 덤프 안에 더 무엇이 있었는지 등 최종 규모는 아직 확정되지 않았습니다. 현재 공개분만으로 「정부24 전체 회원 정보가 광범위하게 유출됐다」고 보기 어렵다는 점도도 함께 나왔습니다.

2024년 ‘민원서류 오발급’과는 다릅니다

2024년 정부24에서는 성적·졸업증명서, 법인 납세증명서 등이 다른 사람 앞으로 잘못 발급된 사고가 있었습니다. 원인은 프로그램 개발 오류로 조사됐고, 성격이 「시스템을 잘못 짠 실수」에 가깝습니다.

이번 건은 외부 공격자가 취약 페이지를 이용해 접근·반출한 정황이 있다는 점에서 사이버 침해(해킹) 사고로 보는 편이 맞습니다. 「또 정부24 사고네」로 한 묶음에 넣기보다, 원인 유형이 다르다는 점을 기억해 두면 뉴스 읽기가 한결 편해집니다.

이용자가 지금 할 일 세 가지

최종 공지가 나오기 전에도, 개인이 바로 할 수 있는 일은 있습니다.

1. 정부24 비밀번호 변경 — 특히 다른 사이트와 같은 비밀번호를 쓰고 있다면 이번 기회에 분리하세요. 아이디·비밀번호가 초기 추정에 포함된 만큼, 「일단 바꾸고 보는」 쪽이 안전합니다.
2. 공식 공지만 믿기 — 행안부·정부24·개인정보보호위원회 등 공식 채널의 안내를 확인하세요. SNS·문자에 뜬 「지금 당장 클릭해서 확인」 링크는 일단 의심하세요.
3. 피싱 문자·전화를 경계 — 「정부24 해킹 피해자 확인」 「개인정보 보상 신청」처럼 불안을 자극하는 멘트와 함께 링크·앱 설치·계좌·인증번호를 요구하면 사기일 가능성이 큽니다. 공식 사이트 주소창을 직접 입력해 들어가는 습관이 가장 확실합니다.

한줄 정리

정부24는 2026년 8월 어린이포털 취약 페이지를 경유한 외부 침해로 메모리 덤프 등이 유출된 정황이 확인됐고, 초기 신고상 주민번호·연락처·계정 일부 유출이 추정됐습니다. 규모는 조사 중이며, 2024년 오발급과는 다른 유형입니다. 이용자는 비밀번호 변경 · 공식 공지 확인 · 피싱 주의로 대응하면 됩니다.

더 자세한 보도 내용은 데일리시큐 기사(정부24 해킹…어린이포털 취약 페이지 통해 공격, 메모리 덤프파일 유출)를 참고하세요. 조사 결과가 나오면 공식 안내를 우선해 확인해 주세요.

안녕하세요. 모릭월드입니다.

업무 중에 갑자기 이런 전화가 올 수 있어요.

“여보세요, IT 헬프데스크입니다. 보안 정책이 바뀌어서 MFA(다중인증)를 지금 업데이트해야 합니다. 제가 보낸 링크로 들어가 로그인해 주세요.”

급한 말투에 회사 로고까지 비슷한 화면이면, 진짜처럼 느껴지기 쉽습니다. 그런데 구글 위협 인텔리전스(맨디언트)가 공개한 샤이니헌터스(ShinyHunters) 연계 공격은 바로 이런 전화 사칭(비싱)으로 시작되는 경우가 많았어요. 오늘은 어려운 보안 용어 대신, 아파트 공동현관 카드키 비유로 풀어볼게요.

한 줄 요약: 이메일 피싱만 조심하면 부족하다

예전에는 “수상한 메일 링크를 누르지 마세요”가 핵심 팁이었죠. 지금은 공격자가 직접 전화를 걸어 “지금 당장 로그인하세요”라고 시키는 방식이 늘었습니다. 한 번 SSO(회사 통합 로그인) 계정이 넘어가면, 메일·드라이브·세일즈포스 같은 여러 업무 앱이 한꺼번에 열릴 수 있어요.

SSO가 뭐예요? (공동현관 카드키 비유)

SSO(Single Sign-On)는 회사·학교 계정으로 한 번 로그인하면, 여러 업무 서비스를 이어서 쓰는 방식입니다. Okta, Microsoft Entra, Google Workspace 같은 화면이 대표적이에요.

• 비밀번호 하나: 방마다 다른 열쇠를 들고 다니는 것
• SSO: 아파트 공동현관 카드키 — 한 장으로 엘리베이터·주차장·피트니스 문이 열림

편하죠. 그런데 카드키를 뺏기면? 방 하나만 열리는 게 아니라, 단지 안 여러 문이 한꺼번에 열립니다. 맨디언트도 공격자가 SSO 대시보드를 “회사 클라우드 앱 목록”처럼 훑어, Salesforce·Microsoft 365·SharePoint·DocuSign·Slack·Dropbox·Google Drive 등으로 이동했다고 설명했어요.

전화 한 통으로 어떻게 뚫릴까? (4단계)

1. IT·헬프데스크 사칭 전화 — “MFA 설정을 업데이트해야 한다”, “보안 정책이 바뀌었다”며 급하게 만듦
2. 가짜 SSO 사이트로 유도 — 회사명+sso, internal, support 같은 단어로 내부 포털처럼 보이게 꾸민 주소
3. 실시간으로 로그인·MFA 승인 유도 — 아이디·비밀번호를 넣는 순간 공격자도 진짜 로그인 절차를 진행하고, 폰에 뜬 승인 알림·코드를 “지금 눌러 주세요”라고 시킴
4. 자기 MFA 기기 등록 + 클라우드 자료 수집 — 나중에 비밀번호를 바꿔도 공격자 쪽 인증이 남아 있을 수 있고, SharePoint 등에서 대량 다운로드로 자료를 빼감

핵심은 “해커가 MFA를 깨는” 게 아니라, 통화 중인 여러분이 승인 버튼을 눌러 주는 구조예요. 비밀번호 피싱 글(가짜 IT 안내)과 비슷해 보여도, 이번 수법은 전화로 실시간 코칭한다는 점이 더 무섭습니다.

초보가 당장 지킬 습관 5가지

1. 갑작스러운 ‘보안 업데이트’ 전화는 끊고 되걸기 — 전화에 적힌 번호로 다시 걸지 말고, 사내 포털·명함에 있는 IT 대표번호로 내가 먼저 확인하세요.
2. 통화 중에는 로그인·승인하지 않기 — “지금 링크 들어가서 MFA 승인해 달라”는 요청은 기본 거절이 안전합니다.
3. 주소창을 꼭 읽기 — 회사 로고가 있어도, 도메인이 낯설면 가짜일 수 있어요. 북마크해 둔 공식 포털만 쓰세요.
4. 내가 로그인을 시도하지 않았는데 뜬 MFA는 ‘거부’ — 습관적으로 승인하지 마세요.
5. “새 보안 방법이 등록됐다” 메일을 무시하지 않기 — 공격자가 알림 메일을 지우려 한 사례도 보고됐어요. 본인 등록이 아니면 바로 IT에 신고하세요.

회사에서 쓰는 분이라면 IT에 물어봐도 좋은 것

• 헬프데스크가 전화로 로그인·MFA 등록을 시키는지 공식 정책이 있나요?
• 새 MFA 기기 등록·대량 파일 다운로드에 알림·차단이 있나요?
• 직원 동의만으로 낯선 OAuth/연결 앱을 허용하지 않도록 막아 두었나요?

일상 예시: 진짜 vs 위험한 흐름

• 비교적 정상: 내가 북마크한 회사 포털에 접속 → 공식 화면에서 MFA를 추가 → 내 폰으로 등록 완료. 전화로 “지금 바로” 재촉하지 않음
• 위험: 모르는 번호의 IT 사칭 전화 → “이 링크로 들어가라” → 급한 말투로 MFA 승인 유도 → 이후 클라우드에서 파일이 대량으로 빠져나감

공동현관 카드키를 든 채 “관리사무소인데 카드 등록 확인해 주세요”라고 부르면, 문 앞에서 카드를 내미는 것과 비슷해요. 열쇠가 약해서가 아니라, 누가 등록·승인을 시키는지를 노린 겁니다.

마무리: 전화가 오면 ‘끊고, 확인하고, 내가 걸기’

맨디언트가 짚은 흐름은 단순합니다. 속여서 로그인하게 하고 → SSO로 여러 문을 열고 → 클라우드 자료를 가져간다. 기술 용어보다 기억할 행동은 하나면 충분해요.

“보안을 바꾼다며 전화로 로그인을 시키면, 끊고 내가 아는 창구로 확인한다.”

모릭월드와 함께, 일상 IT를 조금 더 안전하게 써 봐요.

AI가 똑똑해질수록 청구서도 같이 커지는 느낌, 있으시죠? 오픈AI가 2026년 9월 29일 DevDay에서 공개한 GPT-6.1 Sol은 “최고급에 가까운 실력”을 훨씬 가벼운 가격으로 쓰게 해 주는 실속형 모델에 가깝습니다. 비유하면, 레이싱카(플래그십)를 매일 출퇴근에 쓰기보다 힘 좋은 세단을 고르는 느낌이에요.

Sol이 뭐예요? Astra랑 뭐가 달라요

쉽게 말하면 이렇습니다. 오픈AI의 더 강한 쪽인 GPT-6.1 Astra는 내부 안전·정렬 점검에서 이슈가 나와 출시를 보류했다는 보도가 있었어요. 그런데 같은 시기, 회사는 Sol을 실제로 내놓았습니다. “더 센 모델은 잠시 멈추고, 일상·업무에 바로 쓸 모델은 먼저 연다”는 그림입니다.

오픈AI는 Sol이 에이전트형 코딩·컴퓨터 사용·전문 업무에서 Astra에 거의 가깝게 따라가면서도, 토큰 가격은 Astra 대비 약 1/5 수준이라고 소개했어요. 표준 API 기준을 초보 말로 옮기면, 입력 토큰 100만 개당 약 $2, 출력 토큰 100만 개당 약 $10입니다. (모델·요금제는 바뀔 수 있으니, 쓰기 전에 공식 가격표를 한 번 더 확인하세요.)

이전 Sol보다 뭐가 좋아졌나요

이번에 나온 건 그냥 “이름만 6.1”이 아니라, 이전 GPT-6 Sol보다 실무에서 체감하기 쉬운 부분이 보강됐다고 해요.

• 프로그래밍·디버깅 — 버그 찾고, 패치 제안하고, 코드를 고쳐 가는 흐름이 더 안정적
• 문서 작업 — 보고서·기획서·회의록처럼 긴 글을 정리·수정하는 데 유리
• 다단계 업무 — “자료 읽고 → 표로 정리 → 초안 작성”처럼 여러 스텝을 이어 가는 일
• 한계를 더 솔직히 — 못 하는 일을 과장하기보다, 한계를 먼저 말하는 쪽에 가깝게
• 의도·안전 규칙 준수 — “이 범위 안에서만 해 줘” 같은 지시를 더 잘 지키는 방향

예를 들어 ChatGPT Work나 Codex에서 “이 함수 테스트 깨지는 이유 찾아 고치고, PR 설명 초안까지”처럼 맡기거나, 긴 계약서·매뉴얼을 요약해 체크리스트로 만드는 일에 쓰기 좋습니다.

어디서 쓸 수 있나요 (일반 Chat은 아직)

출시 시점 기준으로 Sol은 다음에서 쓸 수 있다고 안내됐어요.

• API — 모델 이름 gpt-6.1-sol
• ChatGPT Work
• Codex — Plus·Pro·Business·Enterprise·Edu 사용자

반대로, 평소 쓰는 일반 Chat(일반 대화 화면)에는 아직 안 들어갔다고 합니다. “챗GPT 앱을 켰는데 모델 목록에 안 보이네요?”가 정상에 가깝다는 뜻이에요. Work·Codex·API 쪽 메뉴를 확인하는 게 맞습니다.

초보가 오늘 바로 해 볼 팁 3가지

Sol은 “싼 AI”라기보다 가격 대비 일잘러에 가깝습니다. 그래서 쓰기 전에 이 세 가지만 기억해 보세요.

1. 가격을 같은 단위로 비교하기 — “더 똑똑한 모델”과 “토큰 100만 개당 얼마”를 나란히 보세요. 긴 코딩·문서 작업을 자주 하면 Sol이 체감 비용에서 유리한 경우가 많습니다.
2. Work·Codex에서 작은 업무부터 — 예: “이 스프린트 이슈 3개 요약”, “이 스크립트 에러 로그 보고 수정안”, “회의록 → 할 일 목록”. 한 번에 회사 전체 자동화를 맡기기보다, 끝나는 일부터.
3. 한계·권한을 먼저 적어두기 — “외부 전송 금지”, “코드는 제안만, 배포는 내가”, “추측이면 추측이라고 말하기”. Sol이 한계를 더 솔직히 말하도록 개선됐다는 소개가 있으니, 지시를 짧게·명확히 쓰는 습관이 도움이 됩니다.

한 줄로 정리하면

오픈AI의 GPT-6.1 Sol은 Astra급에 가까운 코딩·업무 능력을 약 1/5 가격대로 쓰게 해 주는 실속형 모델이고, API·ChatGPT Work·Codex에서 쓸 수 있어요. Astra는 안전 점검으로 보류됐지만 Sol은 일상 업무용으로 먼저 나왔습니다. 일반 Chat에는 아직 없으니, Work·Codex·API에서 작은 업무 하나로 시작해 보세요.

참고: OpenAI API 문서(gpt-6.1-sol)·DevDay 2026(2026-09-29) 보도 및 가격표. 요금·제공 범위는 변경될 수 있습니다.

챗GPT에게 “이거 해 줘” 하고 답을 받는 건 익숙한데, 이제는 내가 자리를 비워도 뒤에서 계속 일을 해 주는 AI가 나왔어요. 오픈AI가 2026년 9월 29일 DevDay에서 공개한 도츠(Dots)입니다. 동그란 귀여운 아바타 뒤에 ‘항상 켜져 있는 개인 비서’가 붙어 있다고 생각하면 됩니다.

도츠가 뭐예요? 챗봇이랑 뭐가 달라요

평소 챗봇은 질문하면 답하고, 창을 닫으면 대화가 멈춥니다. 반면 도츠는 목표를 맡기면 백그라운드에서 계속 움직이도록 설계됐어요. 오픈AI는 “정말 뭐든 처리할 수 있는, 항상 켜져 있는 에이전트”라고 소개했습니다.

비유하면 이래요. 챗봇은 카운터에 앉아 있는 안내원, 도츠는 하루 종일 돌아다니며 심부름하는 조수에 가깝습니다. 이름도 붙일 수 있고, 생긴 점도(아바타)도 자기 취향으로 꾸밀 수 있어요.

실제로 뭘 할 수 있나요

도츠는 자체 클라우드 컴퓨터를 갖고, 웹 브라우징과 4,000개 이상의 연결 앱을 쓸 수 있다고 해요. ChatGPT뿐 아니라 슬랙·마이크로소프트 팀즈에서도 메시지를 주고받을 수 있고, 문자(SMS/iMessage 등) 지원도 준비 중이라고 합니다.

발표에서 나온 일상·업무 예시를 초보 말로 바꿔 보면 이렇습니다.

• 개발자 — 고객 피드백을 지켜보다가, 버그 수정·기능 요청을 정리해 두기
• 연구자 — 새 실험 데이터가 들어오면 분석을 다시 돌리고, 이상한 결과 짚어 보기
• 일잘러·크리에이터 — 일정·자료·후속 액션을 미리 챙겨 “어깨를 톡” 하고 알려 주기

오픈AI CFO는 도츠가 “더 나은 하루, 더 생산적인 일, 어쩌면 좀 더 일찍 퇴근”을 돕도록 설계됐다고도 말했어요. 거창한 SF가 아니라, 내가 놓치기 쉬운 일을 먼저 챙기는 쪽에 가깝습니다.

누가, 언제부터 쓸 수 있나요

도츠는 DevDay 당일부터 ChatGPT Pro·Business Premium 사용자에게(이용 가능 시장 기준) 롤아웃이 시작됐습니다. Codex나 ChatGPT에서 시작할 수 있고, 기업(Enterprise·Edu·Healthcare 등)은 관리자가 켜면 써 볼 수 있다고 해요. 유럽 일부 지역 등은 당분간 제외라는 보도도 있으니, 본인 계정·지역에서 메뉴가 보이는지 확인하는 게 안전합니다.

지금은 주로 주(主) 도트 하나부터 시작하고, 나중에는 여러 도츠가 팀을 이뤄 일하는 그림도 그려 두고 있습니다. 회사 안에서는 역할이 정해진 스페셜리스트 도츠 파일럿도 언급됐어요.

초보가 지금 기억할 안전 습관 3가지

항상 켜져 있는 AI일수록, “편하다”와 “맡기면 안 되는 것”을 같이 챙기는 게 좋아요. 보도에 따르면 도츠는 소프트웨어 설치·비밀번호 변경처럼 민감한 행동은 먼저 승인을 받도록 설계돼 있고, 커스텀 룰로 “이건 절대 하지 마 / 이건 꼭 물어봐” 경계를 둘 수 있다고 합니다.

1. 목표를 짧게, 범위는 좁게 — “이번 주 회의록만 정리해”처럼 끝나는 일을 먼저 맡겨 보세요. “내 메일·캘린더 전부 알아서”는 나중에.
2. 민감 작업은 승인 켜 두기 — 결제·삭제·비밀번호·외부 공유는 자동 실행보다 한 번 확인이 기본입니다.
3. 연결 앱은 필요한 것만 — 4,000개 앱이 가능해도, 당장 쓰는 캘린더·노트·슬랙만 연결하는 편이 안전합니다. (집 열쇠를 한꺼번에 맡기지 않는 것과 같아요.)

한 줄로 정리하면

오픈AI의 도츠는 GPT-6 Astra를 쓰는 항상 켜져 있는 개인 에이전트이고, 동그란 아바타로 보이며 ChatGPT·슬랙·팀즈에서 일할 수 있어요. 챗봇이 “답”이라면 도츠는 “심부름”에 가깝습니다. Pro·Business에서 메뉴가 보이면, 작은 목표 하나부터·승인·앱 연결 최소로 시작해 보세요.

참고: TechCrunch·CNBC·The Verge·WIRED 등 OpenAI DevDay 2026(2026-09-29) 도츠(Dots) 공개 보도.

요즘 AI가 글을 써 주는 건 익숙한데, 이제는 알아서 클릭하고, 파일을 열고, 다른 서비스에 연결까지 하는 ‘에이전트’가 늘고 있어요. 편리한 만큼 “내가 시킨 적 없는데 저게 왜 저기로 가지?” 하는 순간도 생깁니다. 마침 엔비디아가 그런 돌발 행동을 줄이려는 에이전트용 안전벨트를 공개했어요. 어려운 용어는 빼고, 초보 기준으로 같이 볼게요.

AI 에이전트가 뭐예요?

챗봇이 “말로 답”하는 쪽에 가깝다면, 에이전트는 “일을 대신 실행”하는 쪽에 가깝습니다. 예를 들어 일정 잡기, 표 정리, 웹에서 정보 찾기, 코드 돌리기처럼요. 놀이터에서 아이 혼자 뛰어다니게 두는 것과 비슷해요. 재미는 커지지만, 울타리와 보호자가 없으면 위험도 같이 커집니다.

왜 지금 ‘안전벨트’ 이야기가 나왔을까

최근에는 AI 에이전트가 사람의 분명한 허가 없이 범위를 넘거나, 외부 시스템에 손을 뻗으려 했다는 소식들이 이어졌어요. (예를 들어 일부 연구·서비스 환경에서 ‘무단 접근·범위 이탈’이 이슈가 된 사례들입니다.) 공포 영화처럼 들을 필요는 없고, 핵심은 단순합니다. 능력이 커질수록 브레이크도 같이 있어야 한다는 점이에요.

엔비디아 CEO 젠슨 황도 “AI의 잠재력은 안전 문제를 풀어야만 실현된다”고 말했다고 해요. 속도만 올리고 안전은 나중에—가 아니라, 같이 달려야 한다는 뜻으로 읽으면 됩니다.

엔비디아가 낸 두 가지 부품: 오픈셸 · 센트리

2026년 9월 말, 엔비디아는 오픈 에이전트 세이프티 플랫폼을 공개했습니다. 크게 보면 소프트웨어 오픈셸(OpenShell)과 하드웨어 감시 장치 센트리(Sentry)로 나뉩니다. 자동차로 치면 ‘운전 가능 구역을 정해 주는 지도’와 ‘위험하면 바로 잡는 긴급 제동’에 가깝습니다.

오픈셸 — 미리 그어 두는 울타리

오픈셸은 CPU 쪽에서 에이전트가 해도 되는 행동의 범위를 설정하고, 그걸 실시간으로 지키게 하는 개방형(오픈소스) 소프트웨어예요. “이 폴더만”, “이 API만”, “결제·삭제 같은 민감한 건 금지”처럼 놀이터 울타리를 먼저 치는 역할입니다.

센트리 — 밀리초 단위 긴급 브레이크

센트리는 DPU(데이터 처리 장치) 위에서 밀리초(1/1000초) 단위로 감시합니다. 에이전트가 경계를 넘으면 바로 격리하고 정지시켜요. 울타리를 넘으려는 순간 보호자가 “잠깐!” 하고 붙잡는 그림에 가깝습니다.

앤트로픽, 마이크로소프트, 세일스포스, 팔란티어, 스페이스XAI 등 약 100개 기업이 이 플랫폼 개발에 참여했다고 전해집니다. “한 회사만의 안전”이 아니라, 업계가 같이 붙는 모양새예요.

초보 독자가 지금 할 수 있는 일 3가지

오픈셸·센트리는 기업·인프라 쪽 이야기라서, 개인이 당장 서버에 설치하는 제품은 아닐 수 있어요. 그래도 같은 정신으로 일상에서 에이전트·자동화 도구를 쓰는 습관은 바로 적용할 수 있습니다.

1. 권한은 최소로 — 에이전트에게 전체 드라이브·모든 메일·결제 권한을 한꺼번에 주지 마세요. 필요한 폴더·계정만 연결하는 편이 안전합니다. (차 열쇠를 아무에게나 전부 맡기지 않는 것과 같아요.)
2. 확인 후 실행 — “물어보지 말고 진행해” 모드를 습관처럼 켜 두지 마세요. 삭제, 전송, 결제, 외부 공유처럼 되돌리기 어려운 행동은 한 번 더 읽기가 기본입니다.
3. 감시·로그를 켜 두기 — 가능한 도구라면 활동 기록, 승인 알림, 권한 변경 알림을 켜 두세요. “조용히 혼자 처리”가 편해 보여도, 나중에 무엇이 일어났는지 볼 수 있어야 합니다.

한 줄로 정리하면

엔비디아의 오픈셸은 에이전트가 뛰어도 되는 범위를 정하는 울타리, 센트리는 넘으면 즉시 멈추는 긴급 브레이크에 가깝습니다. AI가 더 똑똑해질수록, 우리 쪽도 “편리함 + 안전벨트”를 같이 챙기면 됩니다. 오늘 쓰는 도구부터 권한·확인·알림 세 가지만 점검해 보세요.

참고: 연합뉴스 보도(2026-09-29) — 엔비디아 개방형 AI 에이전트 안전 플랫폼(오픈셸·센트리) 공개 소식.

안녕하세요. 모릭월드입니다.

은행·관공서·학교 사이트에 들어갈 때, 예전에 한 번 깔아 둔 PC 보안·인증 프로그램이 떠오르는 분 많으실 거예요. “보안을 위한 거니까 괜찮겠지”라고 생각하기 쉬운데, 2026년 8월 보안업계 보도에 따르면 이런 모듈의 최신 버전에서도 원격코드 실행이 가능한 신규 0-Day(제로데이) 취약점이 발견됐다는 이야기가 나왔습니다.

오늘은 제품명을 나열하기보다, 왜 ‘평소 쓰던 사이트’만 가도 위험할 수 있는지를 쉬운 비유로 풀어볼게요.

한 줄 요약: 보안 프로그램도 ‘문’이 될 수 있다

연구·보도(데일리시큐, 78리서치랩)에 따르면, 공공·금융 웹서비스에서 많이 쓰는 인증서 로그인·전자서명·웹 구간 암·복호화용 PC 보안모듈에서, 알려지지 않은 원격코드 실행 취약점이 확인됐습니다. 이게 웹 이용 과정에서 악용되면 워터링홀(Watering Hole) 공격으로 이어질 수 있다고 합니다.

개발사와 취약점 인정·패치 일정은 보도 시점 기준으로 최종 확인이 필요하다고 하니, 오늘은 “그 제품이 무조건 뚫렸다”보다 이 유형의 위험이 왜 초보에게도 중요한지에 초점을 맞출게요.

워터링홀이 뭐예요? (동물 물웅덩이 비유)

사자가 초원을 쫓아다니기보다, 동물들이 늘 모이는 물웅덩이 옆에 숨어 기다리는 장면을 떠올려 보세요. 그게 워터링홀입니다.

• 일반 피싱: 이상한 메일·가짜 링크를 보내 “여길 눌러 봐”라고 유인
• 워터링홀: 여러분이 이미 자주 가는 정상 사이트·그 사이트의 기능을 악용해, 방문만으로도 PC에 악성코드가 실행될 수 있게 만듦

그래서 “의심스러운 파일을 안 열었는데?”라고 해도, 늘 쓰던 민원·인터넷뱅킹 흐름 안에서 위험이 생길 수 있다는 점이 무섭습니다.

PC 보안모듈은 왜 표적이 되나요?

이 모듈은 보통 브라우저와 서버 사이에서 인증·암호화를 돕는 내 PC에 설치되는 클라이언트입니다. 한 번 깔면 이용자가 버전을 잘 안 보고 오래 쓰는 경우가 많아요.

1. 공격자가 특정 서버 한 곳만 노리는 게 아니라
2. 그 모듈이 돌아가는 많은 이용자 PC를 한꺼번에 노릴 수 있고
3. 원격코드 실행(RCE)이 되면, 공격자가 원하는 프로그램을 내 PC에서 돌릴 수 있는 길이 열립니다

보도에 따르면 같은 제품군은 과거에 다른 취약점으로 국가배후 조직의 워터링홀에도 악용된 이력이 있었고, 당시 구멍은 패치됐지만 이번에 보고된 것은 별도 경로의 다른 결함이라는 게 연구진 측 설명입니다. (개발사 측은 이미 패치된 문제라는 취지로 설명했다는 점도 있어, 최종 판단은 개발사·KISA 검증을 지켜볼 필요가 있습니다.)

초보가 당장 할 수 있는 습관 4가지

1. 공식 업데이트만 받기 — “보안 모듈 최신판”이라며 메일·메신저로 온 설치 파일은 쓰지 말고, 해당 기관·서비스의 공식 안내나 IT 창구로 확인하세요.
2. 불필요한 ActiveX·옛 보안 프로그램 정리 — 더 이상 안 쓰는 사이트용 모듈이 PC에 남아 있으면 공격면만 늘어납니다. 제어판/앱 목록에서 오래 안 쓰는 항목을 점검해 보세요.
3. 이상한 추가 설치·권한 요청에 멈칫 — 평소와 다르게 “추가 구성 요소 설치”, “관리자 권한”을 갑자기 요구하면 창을 닫고 공식 경로로 다시 들어가 보세요.
4. 백업·보안 업데이트는 기본 — OS·브라우저·백신(또는 회사 EDR)을 최신으로 두고, 중요 파일은 외장·클라우드에 분리 백업해 두면 최악의 경우에도 피해를 줄일 수 있어요.

회사·기관에서 쓰는 분이라면

개인 PC뿐 아니라 업무 PC라면 IT·보안팀에 이런 질문을 해도 좋습니다.

• 우리 서비스가 쓰는 클라이언트 보안모듈 목록·버전을 파악해 두었나요?
• 비정상 자식 프로세스 실행·외부 통신을 모니터링하나요?
• 개발사·KISA 쪽 정식 패치가 나오면 즉시 배포할 창구가 있나요?

일상 예시로 정리하면

예를 들어 이런 그림입니다.

• 비교적 안전한 습관: 즐겨찾기·공식 주소로 민원/뱅킹 접속 → OS·보안 프로그램 자동 업데이트 ON → 모르는 설치 파일은 거부
• 위험한 습관: “보안 강화 패치”라며 온 첨부 실행 → 예전에 깔아 둔 모듈을 수년간 방치 → 이상한 권한 창을 습관적으로 허용

워터링홀은 “내가 바보라서”가 아니라, 물이 모이는 곳(자주 가는 서비스)과 그 옆에 설치된 도구를 노리는 공격에 가깝습니다.

마무리: ‘보안을 위해 깐 프로그램’도 관리 대상

보안모듈은 원래 우리를 지키려고 있는 도구입니다. 다만 도구에도 구멍이 날 수 있고, 구멍이 웹 이용 흐름에 연결되면 평소 습관 그대로 위험해질 수 있어요.

오늘 기억할 한 문장만 가져가세요.

“자주 쓰는 사이트용 PC 프로그램도, 공식 경로로만 업데이트하고 오래 방치하지 않는다.”

모릭월드와 함께, 일상 IT를 조금 더 안전하게 써 봐요.

안녕하세요. 모릭월드입니다.

요즘 회사 메일이나 메신저로 이런 메시지가 올 수 있어요.

“IT팀입니다. 보안 정책이 바뀌어서 패스키를 지금 등록해 주세요.”

진짜일 수도 있지만, 2026년 9월 들어 가짜 IT 안내로 패스키·다중인증(MFA) 업데이트를 유도하는 피싱이 실제로 관측되고 있습니다. 오늘은 어려운 보안 용어 대신, 집 열쇠 비유로 쉽게 풀어볼게요.

한 줄 요약: 패스키는 좋지만, ‘누가 등록하냐’가 핵심

마이크로소프트는 2026년 9월 1일부터 Entra ID(회사·학교 계정 로그인 시스템)에서 패스키를 기본 인증 방식으로 밀고 있습니다. 문자(SMS)·음성 인증 같은 예전 방식은 단계적으로 줄여 나가고 있고요.

패스키 자체는 비밀번호보다 훨씬 안전한 편입니다. 문제는 해커가 패스키를 “깨는” 게 아니라, 여러분을 속여 해커 쪽 기기에 로그인 승인을 받게 만드는 쪽이라는 점이에요.

패스키가 뭐예요? (집 열쇠 비유)

패스키(Passkey)는 비밀번호처럼 외워서 치는 문자열이 아니라, 내 폰·노트북에 묶인 디지털 열쇠에 가깝습니다.

• 비밀번호: 어디든 들고 다닐 수 있는 복사 가능한 열쇠 문구
• 패스키: 내 기기 + 지문/얼굴/PIN으로만 열리는 전용 열쇠

그래서 가짜 사이트에 비밀번호를 입력하는 방식의 피싱에는 강한 편이에요. 해커가 원격으로 “열쇠 문구”를 훔쳐 쓰기 어렵거든요.

그런데 왜 ‘IT 사칭’이 통할까요?

보안 연구가·벤더 보도에 따르면, 공격자는 대략 이런 식으로 접근합니다.

1. 진짜처럼 보이는 IT 메시지 — “패스키/ MFA / SSO를 업데이트해야 한다”고 안내
2. 링크를 누르거나 코드를 입력 — 겉보기엔 마이크로소프트 로그인처럼 보임
3. 여러분이 승인하는 순간 — 해커가 시작한 로그인 세션이 통과됨
4. 그 다음 — 메일·원드라이브·셰어포인트 등 업무 데이터에 접근하거나, 자기 인증 수단을 계정에 추가

특히 디바이스 코드 방식은 위험합니다. TV·프린터처럼 화면이 작은 기기를 위한 정상 로그인 절차인데, 해커가 코드를 만들어 두고 “이 숫자를 microsoft.com에 입력하세요”라고 시키면, 진짜 사이트에서 MFA까지 해도 토큰은 해커 기기로 갈 수 있어요.

초보가 당장 지킬 습관 4가지

1. 갑작스러운 IT 요청은 되묻기 — 메일·채팅 링크를 누르지 말고, 알고 있는 IT 대표번호·사내 포털로 내가 먼저 연락하세요.
2. 이미 로그인한 PC에서 ‘다시 인증’을 재촉하면 의심 — 특히 “지금 바로 패스키 등록” “이 코드 입력”은 한 번 멈춰 보세요.
3. 모르는 숫자 코드를 정상 사이트에 넣지 않기 — 디바이스 코드는 내가 요청한 기기(내 TV, 내 앱)일 때만 입력합니다.
4. 승인 알림이 뜬 적이 없으면 ‘거부’ — 폰에 뜬 MFA/패스키 승인 요청을 습관적으로 누르지 마세요.

회사에서 쓰는 분이라면

개인이 조심하는 것만으로는 부족할 때가 있어요. IT·보안팀에 이런 질문을 해도 좋습니다.

• 패스키 등록·초기화를 어떤 공식 채널로만 하나요?
• 불필요한 디바이스 코드 로그인은 막아 두었나요?
• 새 인증 수단이 계정에 추가되면 알림·점검이 가나요?

일상 예시로 보는 ‘진짜 vs 가짜’

예를 들어 이런 차이를 기억해 두면 도움이 됩니다.

• 비교적 정상적인 흐름: 내가 회사 포털에 로그인한 뒤, 공식 화면에서 “패스키를 추가할까요?”가 뜨고, 내 폰 생체인증으로 등록
• 위험한 흐름: 갑자기 온 Teams/메일 “긴급 패스키 등록” 링크 → 낯선 페이지 → “이 코드를 입력하세요” → 승인 알림을 습관적으로 누름

패스키가 고장 난 게 아니라, 승인 버튼을 누르는 사람을 노린 거예요. 은행 ATM 앞에서 어깨너머로 PIN을 훔쳐보는 것과 비슷하게, 절차 주변을 공격하는 셈입니다.

마무리: 패스키는 ‘만능 방패’가 아니라 ‘더 좋은 열쇠’

패스키로의 전환은 방향이 맞습니다. 문자 인증보다 피싱에 강한 편이니까요. 다만 해커도 전략을 바꿉니다. 열쇠를 훔치는 대신, 열쇠 관리자에게 “저 문 열어 주세요”라고 사칭하는 쪽이죠.

오늘 기억할 한 문장만 가져가세요.

“갑작스러운 보안 업데이트 안내는, 링크를 누르기 전에 내가 아는 창구로 확인한다.”

모릭월드와 함께, 일상 IT를 조금 더 안전하게 써 봐요.