공격받는 AI 시스템: Gemini Chrome 익스플로잇, Copilot DLP 공백과 NIS2 클라우드 공격 급증

Chrome의 치명적인 Gemini AI 취약점은 EU AI Act의 공백을 드러냅니다. Microsoft Copilot의 예정된 DLP 변경은 GDPR 위험을 키우고, Google Cloud의 공격 양상은 소프트웨어 취약점 악용 중심으로 이동해 NIS2 대응에도 영향을 줍니다. 러시아 국가 지원 세력의 메신저 계정 탈취에는 유럽 규제 체계에 따른 즉각적인 사고 보고가 필요합니다.

🔴 CVE-2026-0628: Gemini AI Chrome 취약점과 EU AI Act에 미치는 영향

이 취약점은 갈수록 중요해지는 규제 문제의 핵심을 찌릅니다. 소비자 제품에 내장된 AI 시스템이 공격 경로로 바뀌고 있습니다. 2025년 2월 집행 단계에 들어간 EU AI Act에 따라 AI 시스템 제공자는 제품 수명 주기 전체의 보안에 명시적인 책임을 집니다.

규제 체계에 미치는 영향

☁️ Google Cloud 공격 양상의 변화: 소프트웨어 결함이 자격 증명을 제치고 최대 공격 경로로 부상

새로운 연구에 따르면 공격자가 Google Cloud 환경을 침해하는 방식에 근본적인 변화가 나타났습니다. 소프트웨어 취약점 악용이 취약한 자격 증명을 추월해 주요 초기 접근 경로가 됐습니다. 이 변화는 NIS2가 의무화한 취약점 관리 프로그램에 중대한 영향을 미칩니다.

수년간 클라우드 보안은 강력한 비밀번호, MFA, 최소 권한과 같은 ID 및 접근 관리에 집중했습니다. 이러한 통제는 여전히 필수적이지만 공격 표면은 달라졌습니다. 위협 행위자는 이제 주로 클라우드 워크로드 안의 패치되지 않은 소프트웨어 구성 요소, 잘못 구성된 API, 취약한 서드파티 통합을 노립니다.

NIS2 취약점 관리 의무

NIS2 제21조에 따라 필수 및 중요 기관은 "취약점 처리 및 공개"를 핵심 사이버 보안 위험 관리 조치로 시행해야 합니다. 최근의 클라우드 공격 추세로 이 요구 사항은 그 어느 때보다 중요해졌습니다.

• 지속적인 취약점 스캔 — NIS2는 사후 패치에 그치지 않고 선제적인 식별을 요구합니다
• 위험 기반 우선순위 지정 — CVSS 점수만으로는 부족하며 익스플로잇 가용성과 자산 중요도도 반영해야 합니다
• 패치 관리 기한 — 인터넷에 노출된 클라우드 서비스의 치명적 취약점은 신속히 해결해야 합니다
• 서드파티 구성 요소 추적 — SBOM(Software Bill of Materials)은 사실상 NIS2 컴플라이언스 도구로 자리 잡고 있습니다

🤖 Microsoft Copilot DLP 변경: 압박받는 GDPR 데이터 보호

Microsoft는 2026년 4월로 예정된 Copilot의 DLP(Data Loss Prevention) 통제 변경을 발표했습니다. 이번 변경은 Copilot이 기밀 또는 제한 등급 파일과 상호작용하는 방식을 바꾸므로 컴플라이언스 담당자는 지금부터 주의를 기울여야 합니다.

핵심 우려는 다음과 같습니다. 폭넓은 파일 접근 권한을 가진 AI 어시스턴트가 의도치 않게 개인정보를 노출·요약·전송할 수 있으며 그 과정에서 기존 DLP 정책을 무력화할 수 있습니다. Copilot이 기밀 HR 문서를 읽고 내용을 회의 요약에 포함할 수 있다면 해당 데이터 처리는 GDPR에 따른 원래의 법적 근거 범위를 벗어날 수 있습니다.

주요 GDPR 영향

• 목적 제한(제5조 제1항 b호): 한 가지 목적으로 수집된 데이터를 Copilot이 양립할 수 없는 다른 목적으로 처리할 수 있습니다
• 데이터 최소화(제5조 제1항 c호): AI 어시스턴트는 본질적으로 특정 작업에 필요한 범위보다 더 많은 데이터를 처리합니다
• 적법한 처리 근거(제6조): 직원 또는 고객 데이터를 AI로 자동 처리할 때는 법적 근거를 다시 평가해야 할 수 있습니다
• DPIA 의무(제35조): 민감정보를 대규모로 AI 처리하면 의무적인 개인정보 영향평가가 필요할 가능성이 큽니다

🕵️ 러시아 국가 지원 세력의 Signal·WhatsApp 탈취: NIS2 사고 보고 요건 발동

네덜란드 정보기관 AIVD는 러시아 국가 지원 세력이 정부 관계자와 핵심 인프라 종사자의 Signal 및 WhatsApp 계정을 탈취하고 있다고 공식 경고했습니다. 이 캠페인은 기기 연결 기능을 악용해 암호화된 대화를 사용자 몰래 복제합니다.

이는 단순한 정보기관 차원의 우려가 아니라 직접적인 규제상 결과를 초래하며 여러 유럽 규제 체계의 적용을 받습니다.

규제상 보고 의무

즉각적인 조치

• 조직용 Signal 및 WhatsApp 계정에 연결된 모든 기기를 감사하십시오
• 기기 연결을 제한하는 모바일 기기 관리(MDM) 정책을 시행하십시오
• 메신저 플랫폼 침해를 NIS2 사고 대응 플레이북에 포함하십시오
• 기기 연결을 유도하는 사회공학 수법을 인식하도록 임직원을 교육하십시오

🎣 Microsoft Teams 피싱과 가짜 AI 확장 프로그램: DORA 및 EU AI Act의 공급망 보안

동시에 나타난 두 가지 위협은 협업 도구와 AI 브랜드 소프트웨어의 공격 표면이 계속 넓어지고 있음을 보여줍니다.

Microsoft Teams 피싱 캠페인은 A0Backdoor 악성코드를 유포하며 주로 금융 서비스와 의료 기관을 노립니다. 두 분야는 각각 DORA와 NIS2의 직접적인 규제 대상입니다.

가짜 AI 브라우저 확장 프로그램은 정상적인 AI 도구로 위장해 자격 증명, 브라우징 데이터, 세션 토큰을 훔칩니다. 공격자는 AI 브랜드에 대한 사용자의 신뢰를 악용해 공식 브라우저 확장 프로그램 스토어에서 악성코드를 배포합니다.

규제 체계의 교차점

• DORA(제9조 — 보호 및 예방): 금융 기관은 “비정상 활동을 신속히 탐지”할 수 있는 체계를 구현해야 합니다. Teams를 통한 악성코드 유포는 ICT 보안 정책에서 다뤄야 합니다
• EU AI Act(제5조 — 금지된 관행): 직접적인 금지 대상은 아니더라도 사용자를 속여 악성코드를 설치하게 하는 가짜 AI 도구는 기만적 AI 관행에 대한 우려에 해당할 수 있습니다
• EU AI Act 공급망: 서드파티 AI 도구를 통합하는 조직은 출처를 검증해야 합니다. AI 어시스턴트로 위장한 가짜 확장 프로그램은 공급망 침해에 해당합니다
• NIS2(제21조 — 공급망 보안): 기업 환경에서 사용하는 브라우저 확장 프로그램은 디지털 공급망의 일부이므로 위험 평가가 필요합니다

🎯 컴플라이언스 담당자를 위한 실행 항목

1. CVE-2026-0628을 즉시 패치하십시오 — Chrome을 업데이트하고 브라우저 확장 프로그램을 감사한 뒤 EU AI Act 위험 관리 기록에 남기십시오
2. 클라우드 취약점 관리를 다시 평가하십시오 — 공격이 소프트웨어 결함 악용 중심으로 이동한 만큼 NIS2 취약점 처리 프로그램도 자격 증명 중심 통제를 넘어 발전해야 합니다
3. Copilot DLP 변경에 대비하십시오 — 4월 전에 DPIA를 수행하거나 갱신하고 GDPR에 따른 민감도 레이블과 AI 접근 범위를 검토하십시오
4. 메신저 탈취에 대비해 사고 대응 절차를 갱신하십시오 — 국가 지원 세력의 Signal·WhatsApp 침해는 NIS2 보고 대상 사고입니다. 24시간 이내 조기 경보 역량을 확보하십시오
5. 협업 도구 공급망을 강화하십시오 — Teams 피싱과 가짜 AI 확장 프로그램에는 DORA를 준수하는 탐지 체계와 EU AI Act 공급망 검증이 필요합니다