2016년 3월 3일 목요일

레터피싱 신종사기 - 취업 희망자를 두 번 울리는 가짜 공문서 피싱


카페 > 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2225

레터피싱 신종사기
취업 희망자를 두 번* 울리는 가짜 공문서 피싱 (Phishing) !

* 가짜 공문서를 이용하여
① 취업을 시켜준다고 속이고
② 개인정보를 탈취


1 피해사례

□ 최근 취업난이 가중되고 있는 점을 악용하여, 구직자에게 접근하여 가짜 공문서를 보내주면서 금융감독원의 하청을 받아 계좌추적 등의 업무를 수행하는 회사라고 속이고,

◦ 구직자에게 “회사에 취직을 하고 싶으면 신분증등 개인정보를 보내라”라는 상담이 금융감독원「불법사금융피해 신고센터」(국번없이 ☎1332)에 접수되어 주의를 요망

------------------------------- <민원상담 내용 요지> -------------------------
---------------------------------------------------------------------------
① ◦◦회사는 금융감독원 업무를 하청 받은 회사로서 구직자를 동 회사에 채용시켜 준다고 거짓으로 접근하여,
② 채용후 담당업무는 불법대출혐의자의 신용조사나 계좌추적을 하거나 해당자로부터 불법자금을 회수하는 업무를 준다고 속임 (보이스피싱에 해당)
* 이 과정에서 금융감독원의 가짜 공문서를 구직자에게 보내 ○○회사가 마치 금감원의 업무를 수행하는 것처럼 믿게 함 (자료 붙임)
③ 구직자가 보이스피싱 인출책 역할을 하도록 하면서, 피해 자금을 회수해 오면 건당 30만원의 수수료를 지급한다고 함
➃ 구직자는 이러한 취업을 유혹하는 꾀임에 빠져 본인의 신분증, 이력서, 주민등록등본 등을 보이스피싱 사기범에게 전달
-------------------------------------------------------------------------------------------------------------------



2 시사점

□ 그 동안 보이스피싱은 주로 검찰, 경찰, 금융회사 등을 사칭하면서 피해자의 예금을 특정계좌로 이체시키는 수법뿐만 아니라,
◦ 피해자로 하여금 현금을 인출하여 냉장고등에 보관하라고 한 후, 이를 직접 편취하는 방법 등을 사용하였으나
◦ 최근에는 검찰·경찰을 사칭하면서 가짜 출석요구서 등을 피해자에게 보내 믿음을 갖게 하는 레터피싱(Letter-phishing) 사례도 발생*
* 검찰을 사칭하여 금융사기 등에 연루된 계좌를 조사한다고 하면서 가짜 출석 요구서를 발송한 레터피싱 사례가 있었음 (‘15.8.11자 보도)

□ 이번과 같이 금융감독원의 가짜 공문서를 보내주고 계좌추적 업무를 하청받은 회사라고 사칭하는 사례는 처음 발생한 것으로서
◦ 최근 금융감독원의 “그놈 목소리” 공개 등 각종 보이스피싱 예방대책에 따라 보이스피싱 사기 행각이 점점 어려워지자,
◦ 취업을 미끼로 구직자를 현혹하여 개인정보를 탈취하고 불법적으로 유통시키며, 구직자에게는 보이스피싱 피해자금을 회수해오도록 하는 등 조직원으로 악용하려는 이중 효과를 노린 것으로 판단됨


3 유의 및 당부사항

1) 우편물 등을 받은 경우에는 발송자 주소, 발송인, 전화번호 등을 꼼꼼히 확인하여 가짜 문서가 아닌지 각별히 주의

금융감독원을 사칭하면서 각종 사건조사 문의 등을 빙자하여 전화를 유도하거나문서를받은경우에는반드시 그 내용을 확인(국번없이 ☎1332)

* 금융감독원은 어떠한 경우에도 계좌추적 등의 업무를 다른 회사나 법인에 위탁하지 않음

 2) 금융사기가 의심되면, 경찰서(☎112)에 신고하거나 금감원 콜센터(국번없이 ☎1332)로 문의하시기 바람

3) 보이스피싱 예방을 위해서는 금감원・경찰청이 공동 운영하는 “보이스피싱 지킴이”(http://phishing-keeper.fss.or.kr) 사이트에서 그놈 목소리를 들어보고 피해유형, 사기수법 등을 사전에 인지하여 적극 대응할 필요

◦ 또한 보이스피싱 등 금융사기 실제사례 등을 녹취하셨을 경우 “보이스피싱 지킴이” 사이트에 올려주시면 피해예방 및 수사 참고자료로 활용하는데 도움이 될 것임


☞ 본 자료를 인용하여 보도할 경우에는 출처를 표기하여 주시기 바랍니다.(http://www.fss.or.kr)


2016년 3월 2일 수요일

클라우드 보안 관련 동향 (금융보안원)

카페 > 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2223



클라우드 보안 관련 동향

□ 개요

o 미래창조과학부는 2016년 1월 클라우드 컴퓨팅법 관련 고시 제정 추진을 위한‘클라우드 품질·성능 기준과 정보보호 기준 고시 공청회'를 개최함

※ 클라우드 관련 주요 정책 추진 현황
    ☞ 클라우드컴퓨팅 발전 및 이용자보호에 관한 법률 제정·시행('15.9.28)
    ☞ 클라우드 품질,성능 기준 과 정보보호 기준 고시안 공청회('16.1.22)
    ☞ 클라우드 품질,성능 기준 과 정보보호 기준 고시 예정('16.4.1)

o 본 보고서에서는 공청회에서 발표된 정보보호 기준 고시안과 관련된 주요 내용 조사

□ 주요 내용

o (제정 취지)「클라우드 컴퓨팅법」제23조에 따른 정보보호에 관한 기준을 제시하여, 이용자 신뢰도 향상 및 서비스 제공자의 보안수준 제고

[참고 : 클라우드 컴퓨팅법 제23조 2항]
 제23조(신뢰성 향상) 제2항: 미래창조과학부장관은 클라우드컴퓨팅서비스의 품질
성능에 관한 기준 및 정보보호에 관한 기준 을 정하여 고시하고, 클라우드컴퓨팅서비스 제공자에게 그 기준을 지킬 것을 권고할 수 있다.

o (기본 방향) 정보보호에 필수적인 조치 사항을 클라우드서비스 사업자에게 제공하고 자발적인 보호조치를 유도하여 정보보호 수준 향상을 도모함

o (구성 내용) 클라우드서비스 제공자에게 권고하는 관리적, 물리적,기술적 조치 사항과 공공기관 추가 조치사항으로 총 14개 부문, 118개통제항목으로 구성됨

- 관리적, 물리적, 기술적 조치 사항이 미국, 유럽 등 해외 클라우드 보안인증기준1)과 부합하도록 기준을 마련
- 공공기관 추가 조치사항의 경우, 도입 제품의 CC인증, 시스템 및 데이터위치를 국내로 한정, 민간용 클라우드 서비스 영역과 분리, 암호화 수단은 검증필2) 국가표준 암호화 기술 제공 등 공공기관의 민간 클라우드 이용에 필요한 보안인증제 운영을 위해 구성

1) 해외의 주요 인증기준으로는 FedRAMP(미국), MTCS(싱가폴), 클라우드 정보보안 감사제도(일본), UK G-Cloud(영
국), ASD CCSL(호주)가 있다.
2) 국가 및 공공기관 정보보호제품을 공급하기 위해서 필수로 획득하여야 하는 암호모듈의 안전성과 구현 적합성 검증
제도

<클라우드 정보보호 기준(안)>
 구분
 주요 내용
 관리적 조치  정보보호 정책 및 조직, 인적보안, 자산관리, 서비스 공급망관리,
침해사고 관리, 서비스 연속성 관리, 준거성
 물리적 조치  물리적 보호구역 지정 및 보호, 정보처리 시설 및 장비보호
 기술적 조치  가상화 보안, 접근통제, 네트워크보안, 데이터 보호·암호화, 시스템
개발 및 도입보안
 공공기관 추가 조치사항  보안서비스 수준협약, 도입전산장비 안전성, 물리적 분리, 이중화 및
백업체계 구축, 암호화 기술 제공, 보안관제 제반환경 지원
※ 자료 : 미래창조과학부

o (활용 방안) 민간 클라우드 컴퓨팅 서비스 제공자가 정보보호 기준을 준수하는지 요청하는 경우 전문기관(KISA)를 통해 시험·평가를 실시하고, 공공기관에서 보안인증제를 통해 안전한 민간 클라우드 도입을 보장

□ 결론
o 클라우드 정보보호 기준을 기반으로 향후 보안인증제가 시행 되면, 공공부문을 시작으로 클라우드 서비스 도입이 활성화 될 것으로 기대

o 다만, 서비스 제공자 및 수요자의 의견 수렴을 통해 클라우드 도입 활성화에 걸림돌이 될 수 있는 부분(CC인증 필요, 물리적 분리 등)에 대해서는 지속적인 검토 필요

 
o 금융권에서도 공공부문 클라우드 도입 활성화에 발맞춰, 서비스 제공자의 정보보호 수준 평가 결과를 서비스 도입 시 활용 할 수 있을 것으로 기대

OpenSSL (DROWN, CacheBleed) 에 대한 보안 업데이트


카페 > 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2222
 

OpenSSL (DROWN, CacheBleed) 에 대한 보안 업데이트


□ 개요o 3월 1일(현지시간) 오픈SSL은 SSLv2 규격(Protocol)에 대한 긴급 업데이트 발표[1]
o SSL 취약점을 이용한 신종 공격 방식인 DROWN, CacheBleed에 대한 보안 업데이트 등
- DROWN(Decrypting RSA with Obsolete and Weakened eNcryption)
- CacheBleed: 인텔 프로세서의 Cache-bank 충돌로 인한 정보 노출을 이용한 부채널 공격
 
□ 영향 받는 사용자
- OpenSSL 1.0.2 사용자: 1.0.2g로 업데이트
- OpenSSL 1.0.1 사용자: 1.0.1s로 업데이트
 
□ 업데이트 내용
o SSLv2 프로토콜 비활성화 기본 설정 및 SSLv2 EXPORT 암호화 제거 등
 
□ 취약점 내용 및 권고 사항o DROWN: 낡고 취약한 암호화를 통한 RSA 복호화
- RSA(Rivest Shamir Adleman): 공개키 암호화 알고리즘의 하나


CVEs 심각도 내용 비고
CVE-2016-0800 높음 SSLv2를 이용한 TLS에 대한 프로토콜 간 공격 DROWN
CVE-2016-0705 낮음 DFB, 발생 빈도 낮음  
CVE-2016-0798 낮음 SRP 데이터베이스에서의 메모리 누수  
CVE-2016-0797 낮음 널 포인터 역참조 및 힙 커럽션  
CVE-2016-0799 낮음 고정 메모리 이슈  
CVE-2016-0702 낮음 부채널 공격 CacheBleed
CVE-2016-0703 높음 분할 정복 알고리즘  
CVE-2016-0704 보통 Bleichenbacher 공격  
 
□ 용어 설명
o DFB(Double-Free Bug): 힙 오버플로우에 기반을 둔 공격으로, 원하는 위치의 메모리를 사용하기 위한 방법
o 널 포인터 역참조(Null Pointer Dereference): 널 포인터에 임의의 값을 대입하여 발생하는 에러
o 힙 커럽션(Heap Corruption): 동적 할당한 크기보다 더 큰 영역에 접근함으로써 발생하는 에러
o 부채널 공격(Side Channel Attack): 알고리즘의 약점을 찾거나 무차별 공격을 하는 대신 암호 체계의 물리적인 구현 과정의 정보를 기반으로 하는 공격 방법
o 분할 정복 알고리즘(Divide-and-conquer): 그대로 해결할 수 없는 문제를 작은 문제로 분할하여 문제를 해결하는 방법
o Bleichenbacher 공격: RSA 암호화 메시지 내용을 점차적으로 노출하기 위한 공격
 
[참고사이트]
[1] 
https://www.openssl.org/news/secadv/20160301.txt

핀테크 환경에서 금융권 특허 동향


카페 > 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2221



핀테크 환경에서 금융권 특허 동향


개요

핀테크 시대에 신기술을 적용한 새로운 금융서비스 경쟁 환경을 맞이하면서 기존의 반도체, 전기기계, ICT기업 위주의 특허권 확보 필요성이 금융권으로 확대됨에 따라,

◦ 본 보고서에서는 금융권 및 핀테크 기술 분야 특허 현황(정량 분석), 특허분쟁 사례를 알아보고, 최근 글로벌 금융시스템의 새로운 기회로 주목받고 있는 블록체인 기반 특허 기술에 대해 조사·분석함

핀테크환경에서 금융권 특허 동향 ~

탈레스 하드웨어 기반 암호화 키 관리 솔루션(HSM )



탈레스(Thales)
하드웨어 보안 모듈(Hardware Security Module, HSM)




제품 및 데모서비스 신청 :
뉴딜코리아 솔루션사업팀 ( 070-7867-3721, ismsbok@gmail.com)


















첨부 : 제품별  카탈로그


제품 및 데모서비스 신청 :
뉴딜코리아 솔루션사업팀 ( 070-7867-3721, ismsbok@gmail.com)


DB암호화 키 관리 서버 - 디아모 키매니저(D'Amo Key Manager)


DB 암복호화 키 관리 서버  - 디아모 키매니저(D'Amo Key Manager)


제품소개


제품 및 데모서비스 신청 :
뉴딜코리아 솔루션사업팀 ( 070-7867-3721, ismsbok@gmail.com)



                                

D’Amo KMS는 중요한 고객 데이터의 안전한 보호를 위하여 국내 및 국제표준에 의거하여 암호화 키를 안전하게 관리, 보호하는 제품으로 키 관리 전용 Appliance장비나 Virtual환경으로 제공됩니다.
D’Amo KMS는 국정원 DB암호제품보안요구사항 만족제품(CC인증 획득)으로 고객에게 최상의 보안성과 성능을 제공합니다.


제품기능


강력한 키 관리 및 관리자 인증

별도의 H/W를 통한 강력한 키 관리
PKI를 이용한 보안관리자 인증
보안관리자와 DBA의 권한 분리로 암호화 데이터에 대한 이중 접근제어 지원

다양한 알고리즘 및 환경 지원 (유연성 및 확장성)

국내외 표준 암호화 알고리즘 지원(RSA, 3DES, AES, SEED, ARIA, SHA 등)
다양한 DBMS 지원(Oracle, Altibase, MSSQL, DB2 등)
다양한 Application 개발 환경 지원 (C, Java 등)
이 기종 DBMS간 데이터 연동 시 데이터 암호 키가 다른 경우도 안전하게 연동 가능
관리 대상 DBMS 추가 시 D’Amo SCP Agent 설치만으로 기존 암호화 관리체계에 통합 가능

높은 관리 편의성

직관적인 GUI 및 CLI 제공
콘솔을 통한 정책 설정 및 로그/시스템현황 확인

네트워크 트래픽 분산 및 구간 암호화

네트워크 채널 본딩 적용으로 트래픽 분산 기능 지원
네트워크 구간 암호화로 네트워크 스니핑 등의 위험에 대한 안정성 확보


제품특징


국내 및 국제 표준에 의거한 Key Lifecycle Management

중앙집중적 키 관리 및 감사

안전한 키 분배 및 접근

GUI로 간편한 키 정책 설정


제품 스펙 및 구성


D’Amo KMS Agent

Application Server, DB Server 등에 구성되어 D’Amo KMS와의 통신, 이벤트처리를 담당하는 Agent

D’Amo KMS Appliance

암복호화를 위한 키 통합관리 및 정책관리
Agent 인증을 통한 권한제어

D’Amo KMS Console

GUI 방식 관리도구
Two-Level의 관리자 역할에 따른 기능 구분
시스템현황 확인
키 정책 및 감사 로그 확인

제품구성도


제품스펙


Model KMS
100
KMS
1200
KMS
1200-R
KMS
2200
KMS
2200-R
Type 1U 2U 2U 2U 2U
SSD - 128 GB 128 GB 128 GB 128 GB
HDD 500 GB 1 TB 1 TB*2 2 TB 2 TB*2
Memory 4 GB 8 GB 8 GB 16 GB 16 GB
출처 : http://cafe.naver.com/rapid7/2218


2016년 3월 1일 화요일

폰트 저작권 제대로 알고 이용하기



카페 > 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2216

최근 폰트 저작권관련 문의가 많이 있어 '폰트 저작권 제대로 알고 이용하기' 를 첨부하오니 저작권에 위반되는 사례가 없도록 각별한 주의 바랍니다.

학교를 비롯한 교육기관의 폰트 및 각종 저작권 관련 문의는

 가. 뉴딜코리아 컨설팅 사업부 (070-7867-3721, ismsbok@gmail.com)


 나. 온라인 자동상담시스템(
www.copyright.or.kr/customer)을

이용하여 주시기 바랍니다.

첨부 : 폰트 저작권 제대로 알고 이용하기