🔐 1. TLS/SSL 인증서 유효기간 및 검증 데이터 단축 – 한국 기준

국제적 추세에 따라 국내에서도 인증서 유효기간과 검증 데이터 재사용 기간이 단계적으로 단축됨.

📉 국내 기준 일정 정리표

📌 이로 인해 인증서 갱신 주기 증가 및 관리 복잡성 상승
👉 기업은 자동화된 인증서 수명 주기 관리 필요성 증가

⚠️ 2. 양자컴퓨팅(PQC) 대응 필요성

• 양자 컴퓨터의 발전으로 기존 암호(RSA, ECDSA 등)의 보안성 약화 예상
• 미국 NIST는 양자내성암호(PQC) 표준 알고리즘 선정 → 정부기관 적용 권장
• 2030년까지 기존 암호 알고리즘 단계적 폐기 예정
• 가트너: 2029년 기존 암호는 더 이상 안전하지 않다고 전망

🔐 한국 기업도 2029년까지 PQC 기반 인증 체계 전환 필요

🧾 3. SBOM(Software Bill of Materials) 중요성

• 미국: 2021년부터 정부 조달 소프트웨어에 SBOM 의무화
• EU: 2027년 사이버복원력법(CRA) 시행 예정 → SBOM 도입 의무화

🔍 SBOM은 공급망 보안 및 구성 투명성 확보 핵심 수단

✅ 결론

국내외적으로 인증서 유효기간 단축과 PQC 전환은 시간이 아닌 의무로 다가오고 있음.
기업은 ▲자동화된 인증서 관리, ▲PQC 준비, ▲SBOM 체계 도입 등 다각적 보안 대응 전략이 요구됨.

https://www.boannews.com/media/view.asp?idx=137413

🛡️ 티파니앤코 개인정보 유출 사고 개요

• 사고 발생일: 2025년 4월 8일
• 사고 인지일: 2025년 5월 9일
• 유출 경로: 글로벌 고객 데이터를 관리하는 제3자 플랫폼의 무단 접근
• 유출 정보: 고객의 이름, 주소, 전화번호, 이메일 주소, 내부 고객 ID, 구매 이력 등
• 금융정보 유출 여부: 금융정보(예: 결제 카드 정보)는 유출되지 않음
• 공식 공지: 티파니앤코 코리아는 웹사이트에 별도의 공지를 게시하지 않았으며, 일부 구매 이력이 있는 고객에게만 이메일로 개별 통지함 알파비즈+4X (formerly Twitter)+4Korea Joongang Daily+4Nate News+3메디컬투데이+3Nate News+3

🔍 디올과의 유사 사건 비교

디올은 2025년 1월 26일에 발생한 고객 정보 유출 사고를 5월 7일에 인지하고, 5월 10일에 한국인터넷진흥원(KISA)에 보고하였습니다. 이러한 지연된 보고는 정보통신망법상 24시간 이내 보고 의무를 위반한 것으로 지적받았습니다. 티파니앤코 역시 사고 인지 후 공식적인 웹사이트 공지가 없고, 일부 고객에게만 통지한 점에서 유사한 비판을 받고 있습니다.

⚠️ 소비자 및 보안 전문가의 우려

LVMH 그룹 산하 브랜드에서 연이어 발생한 개인정보 유출 사고는 그룹 전체의 데이터 보안 체계에 대한 신뢰를 저하시켰습니다. 특히, 여러 브랜드가 동일한 제3자 플랫폼을 통해 고객 데이터를 관리하고 있을 가능성이 제기되면서, 다른 브랜드에서도 유사한 사고가 발생할 수 있다는 우려가 커지고 있습니다.

https://www.chosun.com/economy/industry-company/2025/05/26/KVCOAUWKSFCJLDWG52OBK5CKLA/

🔹 1. 금융 클라우드 환경의 특성과 보안 필요성

• 금융 산업은 고객 신뢰, 규제 환경 등으로 인해 디지털 전환이 느리고 보수적임.
• 그러나 인터넷은행·테크핀 등의 등장으로 클라우드 전환 가속화.
• 금융 서비스는 고객 금융정보까지 포함하는 고도의 민감정보를 다루므로, 보안이 핵심.

🔹 2. 금융 클라우드 환경 보안의 중요성

• 클라우드는 효율성과 유연성 측면에서 장점이 많지만, 민감한 금융 데이터가 저장·처리됨.
• 컴플라이언스 측면에서 준수해야 할 대표적 기준:
  • 전자금융감독규정
  • 클라우드컴퓨팅법
  • 금융클라우드이용보고
  • PCI-DSS (결제 카드 데이터 보안 표준)

🔹 3. 금융 클라우드 보안 위협 대응을 위한 핵심 요소 4가지

① 잘못된 설정(Misconfiguration) 방지

• 클라우드 보안 사고의 50%가 설정 오류에서 발생.
• IAM(계정 및 권한관리) 오류, Public 설정 등으로 인한 유출 방지 필요.
• 대응 방안:
  • 제로 트러스트(Zero Trust) 정책 도입
  • MFA(다요소 인증) 활용

② 데이터 암호화

• 주민등록번호, 계좌번호, 카드번호 등 민감정보는 저장/전송 모두 암호화 필요.
• 암호화 키는 KMS(Key Management Service) 등으로 안전하게 관리.
• S3와 같은 저장소의 민감정보 검사도 주기적으로 실시.

③ 실시간 모니터링 및 로그 관리

• 실시간 위협 탐지 및 경고 시스템 구축 (예: AWS CloudWatch)
• 보안 이벤트를 선별적으로 대응할 수 있는 운영 최적화 필요.

④ 현실적인 사고 대응 계획 수립

• 탐지-보고-복구 체계 마련 및 정기적 훈련(최소 연 1회) 필수.
• 금융 종사자 대상 보안 교육과 숙지도 병행해야 함.

🔹 4. 전반적인 제언

• 보안은 기업과 고객의 신뢰를 지키는 기반 조건임.
• 금융기관은 기술·정책·운영 전방위에서 보안 전략을 지속 업데이트해야 함.
• 보안 우선순위를 유지하고 미래 위협에 대비한 전략적 접근 필수.

🔹 5. 필자 소개

• (주)트래블월렛 CISO/CPO
• 한국정보공학기술사회 AI전략위원회 위원
• NCS 정보보호 학습모듈 집필자
• 자격: 정보관리기술사, ISMS-P 심사원, AI산업컨설턴트, PMP 등

https://www.boannews.com/media/view.asp?idx=137397

1. AI와 개인정보: 공존 가능한가?

• AI의 본질적 딜레마: 개인을 식별하지 않아도 개인을 이해하려면 막대한 데이터가 필요하며, 이는 필연적으로 개인정보를 포함할 수밖에 없음.
• AI 기반 프라이버시 침해 사례는 300종 이상 보고되었고, 계속 증가 중.

2. 현행법으로 AI 규제는 한계

• 빠른 기술 진화와 지속적인 응용 사례 출현으로 인해 기존 개인정보 보호 체계나 법제도로는 AI를 효과적으로 규제할 수 없음.
• AI를 규제하는 것은 "사회의 진화를 통제하려는 시도"가 될 수 있음.

3. AI 기술 특성과 프라이버시의 충돌

• 기존 개인정보 침해는 정형화된 처리 방식에서 발생 → 피해 양상이 비교적 제한적.
• AI는 비정형 데이터, 대규모 수집, 학습 기반 분석 등으로 기존 체계와 비교할 수 없는 규모와 방식의 침해 발생 가능.
• AI는 데이터 최소 수집 원칙을 지킬 수 없음 → 더 많은 데이터가 필요하고, 이는 개인정보 포함 가능성 높임.

4. AI 기술 발전의 맥락

• AI는 알파고가 등장하기 전인 1950년대부터 이론적 연구가 시작, 2010년대부터 실질적인 성장을 시작.
• 신약 개발 등 분야에서 5년 걸릴 실험을 수개월로 단축시키는 등 시간과 밀도 모두를 압축함.
• AI는 기존 데이터의 일반화와 달리 맥락을 보존해 응용함 → 맥락 기반의 침해 가능성.

5. 규제가 아닌 유연한 접근이 필요

• AI의 프라이버시 위험은 기술과 함께 통합적으로 해석해야 하며, 단독으로 격리해 규제할 수 없음.
• EU도 강한 규제에서 ‘성장과 투자’ 중심으로 전환하고 있음.
• 책임 주체 분배, 유연한 원칙 기반 법제 설계, 미래 변화 수용 가능한 규범이 중요.

6. 결론: 공존을 위한 준비

• 인공지능은 이미 유의미한 조언과 의사결정 보조를 수행하고 있음.
• 규제 일변도의 접근보다, 충분한 시간과 조심스러운 접근, 그리고 공존 방안 마련을 사회 전체가 고민해야 할 시점임을 강조.

이진규 CISO는 "AI와의 공존 방안을 함께 고민하자"는 메시지로 발표를 마무리하며, 기술 발전과 인권 보호의 균형을 위한 사회적 논의의 필요성을 강하게 시사했습니다.

https://www.boannews.com/media/view.asp?idx=137402

1. RMF(Risk Management Framework)의 개요

• 정의: 조직이 직면한 사이버 위협을 구조적으로 식별, 분석, 완화하는 체계적 접근 방식.
• 필요성: 국방, 금융, 의료, 에너지 등 국가 기반 인프라의 보안 위협이 국가 안보와 직결됨.
• 기술환경 변화: 빠른 기술 발전과 위협 증가에 따라 위험관리는 선택이 아닌 필수.

2. 국제 RMF 동향

(1) 미국 NIST RMF

• 개발 배경: 2014년 미국 NIST가 개발, 연방정부와 군, 민간 기업까지 적용 가능.
• 특징:
  • 조직별 특성과 환경을 고려한 유연성.
  • 7단계 구성: 준비 → 시스템 분류 → 보안통제항목 선정 → 구현 → 평가 → 인가 → 모니터링
  • 준비 제외 6단계는 정보체계 생애주기 동안 반복 수행.

(2) 기타 국제 표준

3. 국내 RMF 동향

(1) 국방부의 K-RMF

• 출발: 2020년부터 국방부 주도로 개발.
• 시행: 2024년 하반기 시작, 2026년부터 전면 시행 예정.
• 배경: 미국 DoD가 동맹국에 RMF 적용 요구.
• 6단계 구성: 보안분류 → 통제항목 선정 → 구현 → 평가 → 인가 → 모니터링.
• 특징: 무기체계 수명주기 전 과정에 적용, 북한 등 위협에 대응한 맞춤형 체계.

(2) 민간 확산 노력

• 한국정보보호학회 RMF 연구회: ‘위험관리 및 보안 평가 워크숍’ 개최로 산·학·연·군 확산 노력.
• 곽진 교수(아주대): "K-RMF는 국내 보안 기업의 글로벌 경쟁력 향상 기회."
• TTA AI신뢰성센터: 과기정통부 지원으로 GPAI(범용 AI) 위험관리 프레임워크 연구 수행.
  • ISO 31000 기반, 확장성과 국제 호환성 고려.

4. RMF의 발전 방향

(1) 기술 융합 및 확장성

• AI, 클라우드, 블록체인 등 신기술과 융합 가능.
• 우주보안 적용 연구: 러-우 전쟁 사례에서 확인된 기술 안보의 중요성.

(2) 국제 표준과의 조화

• 과제: K-RMF의 국제적 상호운용성 확보 필요.
• 방향: NIST, ISO 등과의 조화 추구.

5. 결론 및 전망

• RMF는 전략 도구:
  • 단순 규제 준수를 넘어 조직 회복력 강화 및 지속 성장 지원.
• 한국의 기회:
  • K-RMF 기반 보안 생태계 구축 시 국내 보안 기업의 글로벌 진출 발판 마련.
• 필수 조건:
  • 산·학·연·군 협력
  • 국제 표준 조화
  • 국내 특화 체계 구축 및 기술 연구 지속

🔍 핵심 문장 요약

위험관리 프레임워크는 디지털 시대 조직의 생존을 위한 핵심 전략이며, K-RMF는 한국형 보안관리 체계로서 국내외 보안 수준 향상과 보안 산업 성장의 발판이 될 것이다.

https://www.boannews.com/media/view.asp?idx=137410

CVE-2025-22457은 Ivanti의 Connect Secure, Policy Secure, ZTA Gateways 및 Pulse Connect Secure 제품에서 발견된 치명적인 스택 기반 버퍼 오버플로우 취약점입니다. 이 취약점은 인증되지 않은 원격 공격자가 악의적인 코드를 실행할 수 있게 하며, 실제로 악용 사례가 보고되었습니다.

🔍 주요 정보 요약

• 취약점 설명: 스택 기반 버퍼 오버플로우로 인해 인증되지 않은 원격 공격자가 악의적인 코드를 실행할 수 있습니다.
• 영향을 받는 제품 및 버전:
  • Ivanti Connect Secure: 22.7R2.5 및 이전 버전
  • Pulse Connect Secure (지원 종료): 9.1R18.9 및 이전 버전
  • Ivanti Policy Secure: 22.7R1.3 및 이전 버전
  • ZTA Gateways: 22.8R2 및 이전 버전 
• 패치 정보:
  • Ivanti Connect Secure: 22.7R2.6
  • Policy Secure: 22.7R1.4
  • ZTA Gateways: 22.8R2.2

🛡️ 공격자 및 악용 사례

이 취약점은 중국과 연계된 것으로 추정되는 사이버 스파이 그룹 UNC5221에 의해 악용되었습니다. 이들은 Ivanti Connect Secure 장비를 대상으로 다음과 같은 악성 소프트웨어를 배포했습니다:

• TRAILBLAZE: 메모리 내에서만 실행되는 드로퍼로, 추가 악성 코드를 로드합니다.
• BRUSHFIRE: SSL/TLS 트래픽을 가로채는 수동 백도어로, 특정 문자열이 감지되면 암호화된 페이로드를 실행합니다.
• SPAWNSLOTH: 로그를 조작하여 관리자에게 공격 흔적을 숨깁니다.

이러한 공격은 주로 Connect Secure 장비에서 관찰되었으며, Policy Secure 및 ZTA Gateways에서는 아직 보고되지 않았습니다.

🛠️ 대응 및 권고 사항

1. 즉시 패치 적용: 해당 장비를 최신 버전으로 업데이트하여 취약점을 제거하십시오.
2. 무결성 검사: Ivanti의 Integrity Checker Tool(ICT)을 사용하여 시스템의 무결성을 확인하십시오.
3. 공장 초기화: 침해가 의심되는 경우, 장비를 공장 초기화하고 클린 이미지를 사용하여 재설치하십시오.
4. 네트워크 모니터링 강화: 비정상적인 LDAP 쿼리나 VPN 장비에서의 의심스러운 활동을 감지하기 위해 네트워크 트래픽을 모니터링하십시오.
5. 자격 증명 변경: 관리자 및 서비스 계정의 비밀번호를 변경하고, 불필요한 계정을 비활성화하십시오.

이 취약점은 CISA의 Known Exploited Vulnerabilities(KEV) 목록에 포함되어 있으며, 이에 따라 미국 연방 기관은 2025년 4월 11일까지 대응 조치를 완료해야 했습니다. 

조직에서는 Ivanti의 보안 권고를 참고하여 신속하게 대응하고, 지속적인 모니터링과 보안 강화 조치를 취하는 것이 중요합니다.

https://note.com/josys0901/n/n7e1dec232a37

https://www.cvedetails.com/cve/CVE-2025-22457/

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2025-22457&field_date_added_wrapper=all&field_cve=&sort_by=field_date_added&items_per_page=20&url=

https://www.techradar.com/pro/security/ivanti-patches-serious-connect-secure-flaw

CVE-2025-24813은 Apache Tomcat에서 발견된 치명적인 원격 코드 실행(RCE) 취약점으로, 2025년 3월 10일에 공개되었습니다. 이 취약점은 특정 조건 하에서 인증 없이 악의적인 사용자가 서버에 악성 파일을 업로드하고 이를 실행시켜 시스템을 장악할 수 있게 합니다.

🔍 취약점 개요

• 취약점 이름: CVE-2025-24813
• 영향을 받는 버전:
  • Apache Tomcat 9.0.0.M1 ~ 9.0.98
  • Apache Tomcat 10.1.0-M1 ~ 10.1.34
  • Apache Tomcat 11.0.0-M1 ~ 11.0.2
• CVSS v3.1 점수: 9.8 (치명적)
• 공격 조건:
  • DefaultServlet의 쓰기 권한이 활성화되어 있어야 함 (기본값: 비활성화)
  • Partial PUT 요청이 허용되어 있어야 함 (기본값: 활성화)
  • Tomcat의 파일 기반 세션 저장소를 기본 위치에서 사용하고 있어야 함
  • 취약한 Java 역직렬화 라이브러리가 포함되어 있어야 함

⚙️ 취약점 작동 방식

1. 공격자는 Base64로 인코딩된 악성 Java 직렬화 페이로드를 포함한 PUT 요청을 서버에 전송하여 세션 파일로 저장합니다.
2. 이후, 공격자는 JSESSIONID 쿠키를 통해 해당 세션 파일을 참조하는 GET 요청을 보내어 Tomcat이 해당 파일을 역직렬화하도록 유도합니다.
3. 역직렬화 과정에서 악성 코드가 실행되어 공격자가 서버를 제어할 수 있게 됩니다.

🛡️ 대응 방안

• 업데이트 권장 버전:
  • Apache Tomcat 9.0.99 이상
  • Apache Tomcat 10.1.35 이상
  • Apache Tomcat 11.0.3 이상
• 임시 대응책:
  • DefaultServlet의 쓰기 권한을 비활성화합니다.
  • Partial PUT 요청을 비활성화합니다.
  • 파일 기반 세션 저장소 대신 메모리 기반 저장소를 사용하거나, 세션 저장 위치를 변경합니다.
  • 취약한 역직렬화 라이브러리를 제거하거나 최신 버전으로 업데이트합니다.

🚨 현재 상황

공개된 이후, CVE-2025-24813은 실제 공격에 활용되고 있으며, 미국, 일본, 멕시코, 한국, 호주 등 여러 국가에서 악용 시도가 관찰되었습니다. CISA는 이를 "Known Exploited Vulnerabilities Catalog"에 추가하여 연방 기관에 즉각적인 조치를 권고하고 있습니다.

🔗 추가 정보 및 참고 자료

• Apache Tomcat 공식 보안 공지
• NVD 상세 정보
• GitHub PoC 코드

https://note.com/josys0901/n/n7e1dec232a37

https://www.cvedetails.com/cve/CVE-2025-24813/

https://www.akamai.com/blog/security-research/march-apache-tomcat-path-equivalence-traffic-detections-mitigations

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=cve-2025-24813&field_date_added_wrapper=all&field_cve=&sort_by=field_date_added&items_per_page=20&url=

🧩 1. 개요

• 공격 대상: 국내 PC방 환경, 특히 관리 프로그램이 설치된 PC
• 공격자 활동 시점: 2022년부터 활동, 2024년 하반기부터 본격적으로 PC방 대상 공격 개시
• 초기 침투 방식: 명확하지 않음
• 주요 악성코드:
  • Gh0st RAT (원격제어)
  • T-Rex CoinMiner (채굴)
  • Patcher, Downloader, KillProc 등 보조 악성코드

🔍 2. 공격 정황

• PC방 관리 프로그램의 메모리 패치 또는 클라이언트 기능을 악용하여 악성코드 유포
• Gh0st RAT은 주로 드로퍼 형태로 유포되며, Themida, MPRESS 등으로 패킹됨
• 클라이언트 측에서도 Gh0st RAT 드로퍼를 설치하는 로그 발견됨
  → 시스템 감염의 지속성 확보 시도로 추정됨

🛠️ 3. 악성코드 구성 요소

📌 3.1. Gh0st RAT

• 중국 C. Rufus Security Team 제작, 소스코드 공개됨
• 파일 제어, 키로깅, 스크린 캡쳐 등 기능 수행
• 메모리 내에서 서비스로 등록되어 C&C와 통신
• 기존 “Gh0st” 문자열 대신 **“Level”**이라는 시그니처 문자열 사용
  → 탐지 회피 목적 추정

🔍 주요 해석 내용

1. 시작 마법 값 (Magic Number)

• 4D 5A
• ASCII로 MZ → 이는 DOS 헤더의 시그니처이며, PE 파일의 시작을 나타냅니다.
• MZ는 MS-DOS 초기 개발자 Mark Zbikowski의 이니셜입니다.

2. "This program cannot be run in DOS mode"

• 우측 ASCII 해석에 보면 "This program cannot be run in DOS mode." 라는 문구가 보입니다.
• 이는 PE 파일의 DOS Stub 영역입니다.
  → 이 프로그램이 DOS 환경에서 실행될 수 없고, Windows 환경에서 실행되어야 한다는 것을 의미합니다.
• DOS Stub은 PE 파일이 Windows가 아닌 환경에서 실행될 경우 출력되는 메시지입니다.

3. 파일 내부 오프셋

• 예: 0001C4C0, 0001C4D0 등은 파일 내 위치(오프셋)을 의미합니다.
• 이 위치들은 헥사 데이터가 파일 내에서 어느 주소에 위치하는지를 알려줍니다.

💡 요약하면

이 이미지는 Windows 실행 파일(PE 파일)의 헤더 부분을 헥사 에디터로 열어서,

• MZ 시그니처를 통해 PE 파일임을 확인하고,
• ASCII 영역에 "This program cannot be run in DOS mode"라는 메시지가 존재함으로써 정상적인 Windows용 실행 파일임을 보여줍니다.

🔍 1. 시그니처 문자열이란?

**시그니처 문자열(Signature String)**은 다음을 의미합니다:

악성코드나 C&C(Command & Control) 통신에서 식별 가능한 고유 문자열로, 보안 솔루션이나 분석가들이 이를 통해 공격 도구를 식별하거나 분류하는 데 사용됩니다.

예:

• 유명 RAT(Remote Access Trojan)인 Gh0st RAT는 C&C 패킷에 "Gh0st"라는 문자열이 포함되어 있어 탐지에 활용됩니다.
• 이러한 문자열은 네트워크 트래픽 캡처(pcap)나 메모리 덤프 등에서도 눈에 띄게 드러납니다.

🤔 2. 왜 “Gh0st” 대신 “Level”을 썼을까?

🔸 [1] 탐지 회피 목적

• "Gh0st"라는 문자열은 너무 널리 알려져 있어, 거의 모든 보안 솔루션에 탐지 시그니처로 등록돼 있음.
• "Level"처럼 무해하거나 일반적인 단어를 쓰면 트래픽 필터링/침입 탐지 우회 가능성이 높아짐.
  • 예: "Level"은 게임, 앱 설정, 로그 등에서 흔히 보일 수 있는 단어.

🔸 [2] 포렌식 분석 회피

• 분석가들이 문자열 검색 시 "Gh0st"를 기준으로 분석하는 경우가 많기 때문에, 다른 문자열 사용 시 연관성을 끊는 효과가 있음.
• 즉, 공격자가 만든 툴이 기존 Gh0st RAT의 변형이라도, 포렌식에서 그것이 드러나지 않게 만듦.

🔸 [3] 변형 또는 새로운 변종임을 시사

• Gh0st의 파생 또는 커스텀 빌드일 수 있으며, 자신만의 커뮤니케이션 식별자로 "Level"을 설정했을 가능성.
• 이는 공격자 그룹이 도구를 맞춤 제작했음을 나타냄.

🔸 [4] 심리적 혼란 유도

• 분석 과정에서 단순한 문자열이므로 정상 트래픽으로 오인하거나 로그에서 눈에 잘 띄지 않음.
• 방어자의 **인지 부조화(heuristic confusion)**를 유도.

🧠 요약: 공격자의 의도는?

"Gh0st"처럼 널리 알려진 문자열을 쓰면 쉽게 탐지되므로, 이를 피하기 위해 "Level"이라는 평범하고 덜 의심스러운 문자열을 사용한 것.

이는 보안 탐지 회피, 분석 회피, 맞춤형 악성코드 도구 개발, 위협 그룹의 정체 은폐를 위한 전형적인 APT 전략 중 하나입니다.

📌 3.2. Patcher

• 관리 프로그램의 특정 프로세스 메모리 패치
• 이전엔 WAV 파일명을 사용했으나, 현재는 cmd.exe로 위장
• 특정 상황에서 Gh0st RAT 드로퍼 실행 유도

📌 3.3. Downloader

• 역할: Gh0st RAT, CoinMiner, KillProc 등 악성코드 추가 설치

📌 3.4. T-Rex CoinMiner

• XMRig(모네로) 대신 T-Rex 사용
  → GPU 성능 높은 PC방 특성에 최적화
• 채굴 대상: 이더리움 계열, 레이븐코인 등
• 설치 경로 예시 (관리 프로그램 업데이트 시 변경됨):
• scss
  %ProgramFiles(x86)%\Windows NT\mmc.exe %ProgramFiles(x86)%\Windows NT\mtn.exe %ProgramFiles(x86)%\Windows NT\syc.exe %ProgramFiles(x86)%\Windows NT\syn.exe %ProgramFiles(x86)%\Windows NT\tnt.exe

📌 3.5. KillProc

• 경쟁 채굴 프로그램 및 차단 솔루션 종료
• 종료 대상 예시: phoenixminer.exe, mine.exe, miner.exe, chrome.exe, cmd.exe, svchost.exe, pms.exe, po4.exe, scse.exe, notice.exe, geekminer.exe 등

📎 4. IoC (침해 지표)

🔹 MD5 해시

• 04840bb2f22c28e996e049515215a744
• 0b05b01097eec1c2d7cb02f70b546fff
• 142b976d89400a97f6d037d834edfaaf
• 15ba916a57487b9c5ceb8c76335b59b7
• 15d6f2a36a4cd40c9205e111a7351643

🔹 악성 URL

• http[:]//112[.]217[.]151[.]10/config[.]txt
• http[:]//112[.]217[.]151[.]10/mm[.]exe
• http[:]//112[.]217[.]151[.]10/pms[.]exe
• http[:]//112[.]217[.]151[.]10/statx[.]exe
• http[:]//121[.]67[.]87[.]250/3[.]exe

🔹 C&C 및 유포 관련 IP

• 103[.]25[.]19[.]32
• 113[.]21[.]17[.]102
• 115[.]23[.]126[.]178
• 121[.]147[.]158[.]132
• 122[.]199[.]149[.]129

✅ 5. 대응 권고사항

• PC방 관리 프로그램 및 OS 최신 업데이트 필수
• 보안 솔루션 실시간 감시 및 최신 DB 유지
• 관리자 및 운영자는 IoC 기반 정기 점검 필요
• 사전 대응 강화를 통한 조기 탐지 필요

https://asec.ahnlab.com/ko/88147

📌 사건 개요

• 유출 기관: 경기도평택교육지원청
• 유출 시점: 2024년 5월 23일경
• 유출 경위: 공문 이메일 발송 시, ‘2024년 하반기 지방공무원 전보 내신 제출 안내’ 공문에 지방공무원 인사기록이 포함된 첨부파일을 실수로 발송
• 유출된 개인정보 항목: 주민등록번호, 이름, 연락처 등
• 유출 인원: 500여명

📌 기관 대응 및 문제점

• 대응 조치:
  • 첨부파일 삭제 요청
  • 유출 대상자에게 개별 사과문 발송
• 비판 사항:
  • 홈페이지 공지 미이행: 관련 법령상 공지사항 게시가 필요함에도 불구하고, 이를 누락하고 개별 통지에 그침

📌 보안 전문가들의 지적

1. 더열심히 김성훈 CISO:
   • DLP 솔루션을 활용해 개인정보 포함 문서의 첨부 자체를 차단할 수 있는 정책 적용 가능
   • 유출 원인으로는
     • 보안 솔루션 미비
     • 보안정책 미적용
     • 개인정보보호 담당자 부재
     • 업무 절차 미준수 등을 지적
2. 위즈코리아 김훈 부문장:
   • 개인정보 파일 관리 규정 강화 및 직원 교육 필요
   • 추가 보안 조치:
     1. 접근 제어 강화
     2. 파일 암호화
     3. PC 보안 제품 도입
     4. 공문 발송 시스템 내 개인정보 자동 검출 기능 필요
3. 리니어리티 한승연 대표:
   • 담당자 실수로 인한 유출은 빈번
   • 대응책:
     • 개인정보 처리 담당자 식별 체계 마련
     • 관련 사고 사례와 처벌 수위 교육 포함 필요

📌 요약 포인트

• 단순 실수가 대규모 유출로 이어진 사건
• 기술적·관리적 보호조치 부족이 본질적 원인
• 공개 고지 미이행 등 절차적 대응도 부적절
• 보안 솔루션과 예방 체계 개선 필요성이 강하게 제기됨

https://www.boannews.com/media/view.asp?idx=130056

🧨 [요약]

🕒 사건 진행 시간대별 요약

⚖️ 법적 쟁점: 정보통신망법 위반

• 정보통신망법 제48조의3:
  ▶ 침해사고 발생 사실을 **“인지한 시점부터 24시간 이내”**에 과기정통부 또는 KISA에 의무 신고해야 함.
• SKT는 최소 17시간 ~ 최대 45시간 지연 신고
  → 법 위반 소지 확실
  → KISA 역시 “신고 지연은 규정 위반”이라 명확히 확인

📉 유심 보호 미가입자 보안 취약성

• SKT가 운영 중인 유심 보호 서비스 미가입 시:
  • 📵 단말기를 끄거나 비행기 모드로 전환하면
    → 해커가 유심 정보로 복제폰 생성, 주도권 탈취 가능
  • 🔛 단말기가 켜져 있는 상태라면 비교적 안전
• 유심 보호 서비스 가입자는 이러한 위험에 노출되지 않음

📌 핵심 위험 요약

🏛️ 정치권 반응

• 국민의힘 최수진 의원:
• “해킹 사고 후 소비자 불안이 커지고 있다.
  국회 차원에서 피해 확산 방지와 재발 방지 대책 마련에 나서겠다.”

📌 정리 한 줄 요약

SKT는 해킹 사실을 인지하고도 24시간 이내 신고 의무를 어겼으며,
유심 보호 서비스 미가입자들은 복제폰 위험에 노출될 수 있어
소비자 보호 및 법적 대응이 시급한 상황이다.

https://www.yna.co.kr/view/AKR20250424072400017

1. 기본 정보

2. 기술적 특징 요약

🔥 요약: "아무것도 열려 있지 않은 것처럼 보이지만, 내부는 뚫려 있다."
→ 전통적인 방화벽, IDS, 포트 스캐닝으로는 탐지 거의 불가.

3. 국내 통신망 위협 전망

🛡️ 향후 필요한 대응 전략

트렌드마이크로의 보고서에 따르면, BPFDoor는 고도로 은밀한 리눅스 기반 백도어로, 주로 아시아 및 중동 지역의 통신, 금융, 소매 산업을 표적으로 삼고 있습니다. 이 악성코드는 Berkeley Packet Filter(BPF)를 활용하여 방화벽을 우회하고 탐지를 회피하며, '매직 패킷'을 통해 활성화됩니다.

BPFDoor의 주요 특징

• BPF 기반 통신 감시: BPFDoor는 커널 수준에서 네트워크 패킷을 필터링하여, 특정 매직 바이트 시퀀스를 포함한 패킷을 감지하면 활성화됩니다. 이러한 방식은 방화벽 규칙을 우회하고, 포트 스캔에도 탐지되지 않도록 합니다.
• 은폐 및 지속성: 프로세스 이름 변경, 포트 리스닝 비활성화, 메모리 상에서의 실행 등 다양한 기법을 통해 탐지를 회피하며, 장기간 시스템에 머무를 수 있습니다.
• 다양한 통신 프로토콜 지원: TCP, UDP, ICMP를 통한 명령 제어를 지원하여, 다양한 네트워크 환경에서도 유연하게 작동합니다.

새로운 컨트롤러의 발견

트렌드마이크로는 최근 BPFDoor와 연계된 새로운 컨트롤러를 발견하였습니다. 이 컨트롤러는 다음과 같은 기능을 제공합니다:

• 역방향 셸 생성: 감염된 시스템에서 공격자에게 역방향 셸을 열어, 원격 제어를 가능하게 합니다.
• 연결 리디렉션: 특정 포트로의 연결을 리디렉션하여, 추가적인 시스템 침투를 시도합니다.
• 활성 상태 확인: 백도어의 활성 상태를 확인하여, 지속적인 제어를 유지합니다.

이 컨트롤러는 하드코딩된 매직 시퀀스와 비밀번호를 사용하며, 공격자는 이를 수동으로 설정할 수 있습니다. 또한, 연결 시 암호화를 지원하여 통신의 보안을 강화합니다.

공격 대상 및 활동

BPFDoor는 주로 다음 국가의 산업을 표적으로 삼고 있습니다:

• 대한민국: 통신 산업
• 홍콩: 통신 산업
• 미얀마: 통신 산업
• 말레이시아: 소매 산업
• 이집트: 금융 산업

이러한 공격은 주로 리눅스 서버를 대상으로 하며, 다양한 경로를 통해 악성코드를 숨기고 있습니다.

방어 및 탐지 방법

BPFDoor의 탐지를 위해 다음과 같은 방법을 고려할 수 있습니다:

• 네트워크 패킷 모니터링: 특정 매직 시퀀스를 포함한 패킷을 감지하여, 비정상적인 활동을 탐지합니다.
• 시스템 프로세스 감시: 비정상적인 프로세스 이름 변경이나 포트 리스닝 비활성화 등의 행위를 모니터링합니다.
• 보안 솔루션 활용: 트렌드마이크로의 TippingPoint 침입 방지 시스템 및 Deep Discovery Inspector와 같은 보안 솔루션을 활용하여, BPFDoor의 활동을 탐지하고 차단할 수 있습니다.

"버클리 패킷 필터(Berkeley Packet Filter, BPF)"에서 **"버클리(Berkeley)"**는 **캘리포니아 대학교 버클리 캠퍼스(UC Berkeley)**를 의미합니다. 이 기술은 1992년에 UC 버클리의 연구자들이 개발했기 때문에 그 이름이 붙은 것입니다.

그렇다면 "버클리 패킷"이란 게 실제로 존재하느냐?

• 아니요. "버클리 패킷"이라는 특정한 종류의 패킷은 존재하지 않습니다.
• 여기서 "버클리"는 단지 이 필터링 기술의 출처를 의미하고, "패킷 필터"는 네트워크 패킷을 검사해서 걸러내는 기술을 의미합니다.

BPF의 정의와 역할

• **BPF(Berkeley Packet Filter)**는 커널 레벨에서 작동하는 고성능 패킷 필터링 메커니즘입니다.
• 원래는 tcpdump나 wireshark 같은 패킷 캡처 도구에서 원하는 네트워크 패킷만 효율적으로 골라내기 위해 설계되었습니다.
• 나중에는 **eBPF(extended BPF)**로 확장되어, 리눅스 커널에서 보안 정책, 모니터링, 트레이싱 등을 위한 강력한 플랫폼으로 발전했습니다.

요약하면, "버클리 패킷 필터"라는 이름은 UC 버클리에서 개발한 필터링 기술이라는 의미일 뿐이며, "버클리 패킷"이라는 특별한 패킷이 존재하는 것은 아닙니다.

매직 시퀀스(Magic Sequence) 또는 **매직 바이트(Magic Bytes)**는 다음과 같은 역할을 하는 특정한 고정 바이트 패턴을 의미합니다.

🔐 1. 일반적 정의

• **특정한 조건이나 동작을 트리거(trigger)**하기 위해 사용하는 사전에 정의된 바이트 조합입니다.
• 네트워크, 파일 포맷, 악성코드, 리버싱 등 다양한 분야에서 사용됩니다.

🧰 2. 사용 예시별 의미

📡 네트워크 / 악성코드

• 백도어나 트로이 목마는 대기 상태에 있다가 특정 "매직 시퀀스"가 들어온 패킷을 감지하면 활성화됩니다.
• 예: "0xCAFEBABE" 같은 시그니처가 들어오면 쉘을 열거나 명령을 수신하도록 설계됨.

📁 파일 포맷

• 파일 시작 부분의 **매직 바이트(Magic Bytes)**로 파일 포맷을 식별함.
• 예:
  • PNG 파일: 89 50 4E 47 0D 0A 1A 0A
  • PDF 파일: %PDF-

🧪 리버싱 / 취약점 악용

• 버퍼 오버플로우 등에서 특정한 값을 넣어 동작을 확인하는 데 사용.
• 예: 0x41414141 (AAAA)로 덮었을 때 동작 변화가 있는지 확인

🚨 보안에서 중요한 이유

• 탐지 회피: 매직 시퀀스는 일반 트래픽 속에 숨겨져 있어 IDS/IPS가 탐지하기 어렵습니다.
• 은밀한 명령 통신: 공격자만 아는 시퀀스를 통해 시스템을 원격 제어할 수 있습니다.
• 디지털 포렌식: 악성코드나 백도어의 흔적을 찾는 데 중요한 단서가 됩니다.

✅ 요약

매직 시퀀스는 '특정 행동을 유발하는 비밀 신호'로서, 정보보안에서는 이를 통해 악성 동작이 트리거되거나 시스템이 활성화되도록 설계되어 있습니다.

원래의 의도는 식별이나 편의성이지만, 공격자에게는 탐지 회피와 은폐 수단이 됩니다.

Red Menshen은 중국을 기반으로 한 고급 지속 위협(APT) 그룹으로, BPFDoor라는 맞춤형 백도어를 사용하여 아시아, 중동, 미국 등지의 통신, 정부, 교육, 물류 부문을 대상으로 사이버 스파이 활동을 수행해 왔습니다.

🛡️ Red Menshen의 주요 특징

• 다양한 명칭: 이 그룹은 Earth Bluecrow, Red Dev 18, DecisiveArchitect 등으로도 알려져 있습니다.
• 주요 타깃: 통신사, 정부 기관, 교육 기관, 물류 회사 등 다양한 산업 분야를 대상으로 활동하며, 특히 리눅스 및 솔라리스 시스템을 중심으로 공격을 수행합니다.
• 사용 도구: BPFDoor 외에도 Mangzamel, Gh0st RAT 등의 맞춤형 악성코드와 Mimikatz, Metasploit 등 오픈 소스 도구를 활용하여 공격을 수행합니다.
• 공격 인프라: 공격 명령은 종종 대만에 위치한 라우터를 통해 제어되는 VPS를 통해 전달되며, 이를 통해 감염된 시스템과의 통신을 유지합니다.

🕵️ BPFDoor와의 연관성

Red Menshen은 BPFDoor라는 백도어를 통해 감염된 시스템에 대한 원격 제어를 수행합니다. BPFDoor는 **Berkeley Packet Filter(BPF)**를 활용하여 네트워크 트래픽을 감시하고, 특정한 매직 시퀀스를 포함한 패킷을 감지하면 활성화됩니다. 이를 통해 방화벽을 우회하고 탐지를 회피하며, 역방향 셸 생성, 포트 리디렉션, 활성 상태 확인 등의 기능을 수행합니다.

🎯 활동 시간대 및 패턴

• 활동 시간: Red Menshen의 활동은 주로 월요일부터 금요일까지, UTC 기준 01:00~10:00 사이에 집중되어 있으며, 이는 중국의 표준 근무 시간대와 일치합니다.
• 지속성: BPFDoor는 시스템에 장기간 은밀하게 존재하며, 탐지를 회피하는 다양한 기법을 사용합니다.
• 악성코드 경로: /tmp/zabbix_agent.log , /bin/vmtoolsdsrv , /etc/sysconfig/rhn/rhnsd.conf 등

📌 요약

Red Menshen은 중국 기반의 APT 그룹으로, BPFDoor 백도어를 활용하여 다양한 산업 분야를 대상으로 사이버 스파이 활동을 수행합니다. 이들은 고급 기술과 은밀한 작전으로 감염된 시스템을 장기간 통제하며, 방화벽 우회 및 탐지 회피 기법을 통해 보안 시스템을 무력화합니다.

정보보안 또는 네트워크 분야에서 **매직 패킷(Magic Packet)**은 주로 원격에서 컴퓨터를 켜는 데 사용되는 특수한 형식의 데이터 패킷을 의미합니다. 이 개념은 Wake-on-LAN(WoL) 기술과 밀접하게 연관되어 있습니다.

🔌 1. 매직 패킷(Magic Packet)이란?

"매직 패킷"은 특정 MAC 주소를 여러 번 반복하는 형식으로 구성된 데이터 패킷이며, 이를 통해 네트워크 상에서 꺼져 있는 컴퓨터를 원격으로 켤 수 있습니다.

📡 2. 구조

매직 패킷은 다음과 같은 구조를 가집니다:

• FF FF FF FF FF FF : 브로드캐스트 프리앰블 (모든 네트워크 카드가 수신하도록)
• MAC 주소를 16번 반복 : 해당 컴퓨터의 네트워크 카드가 자신의 패킷인지 확인

🛠️ 3. 용도

🚨 4. 보안 위협

• 우회 수단: 보안 솔루션이 일반적으로 포트 기반으로 필터링하는 것을 악용해, 매직 패킷에 명령을 숨겨 백도어를 작동시킬 수 있음 (예: BPFdoor, ShadowPad 등).
• 정보 유출 트리거: 특정 패턴의 매직 패킷을 전송해 악성코드의 데이터를 전송하게 유도할 수 있음.

🔐 정보보안에서의 차이점

✅ 요약

매직 패킷은 네트워크를 통해 시스템을 깨우거나(정상적인 WoL 용도), 악성 행위를 트리거하는 데 사용되는 특별한 형식의 패킷입니다. 보안 환경에서는 이러한 패킷을 탐지 및 분석하는 것이 중요합니다.

🔒 역방향 셸과 Well-known 포트의 위험성

💡 현재 시나리오

• **공격자는 22번 포트(SSH)**를 통해 역방향 셸 세션을 요청합니다.
• 22번 포트는 Well-known 포트이고, 많은 서버에서 열려 있음.
• 해당 포트를 통해 BPFDoor 같은 악성코드는 암호화된 통신을 위장하여 쉽게 탐지 회피 가능.

📉 왜 Well-known 포트 사용이 위험한가?

1. 탐지 회피에 용이

• 22번, 443번 등은 정상 트래픽이 많아 IPS/IDS가 예외 처리하는 경우가 있음.
• 악성코드가 이 포트를 사용하면 탐지 우회 가능성↑.

2. 허용된 포트만 사용하면 방화벽 우회 가능

• 방화벽이 차단하지 않는 포트를 이용하면,
  • 역방향 연결이 쉽게 이루어짐
  • 공격자가 내부망에 접속하지 않고도 시스템 제어 가능

3. 암호화된 통신은 내용 분석이 어려움

• 역방향 셸이 SSH를 위장하거나 실제 SSH 프로토콜을 사용할 경우,
  • 보안 장비가 내부 명령어를 파악하기 어려움
  • SSL/TLS의 경우에도 DPI(Deep Packet Inspection)를 우회할 수 있음

🛡️ 방어자의 관점: "공격자를 귀찮게 만들어라"

보안의 현실은 "완벽한 방어"가 아니라 "공격자가 포기할 만큼 귀찮게 만드는 것"입니다.

✔ 실무적 방어 전략

✅ 결론

Well-known 포트를 악용한 역방향 연결은 탐지 회피에 매우 효과적인 공격 방식이며, 이를 고려한 보안 설계가 필수적입니다.
**"공격자를 귀찮게 만드는 보안"**은 현실적인 접근이며, 이런 포인트를 사전에 고려하는 것이 매우 뛰어난 방어 전략입니다.

이미지와 설명에 나온 BPFDoor 공격의 초기 트리거 메커니즘은 다음과 같은 구조로 이해하면 됩니다:

🧠 시나리오 요약: "컨트롤러가 BPFDoor를 깨우는 과정"

1. BPFDoor가 설치된 리눅스 시스템은 평소엔 조용히 대기 중입니다.
   • TCP 포트를 열지도 않고, 백도어처럼 티도 안 냄.
   • 그러나 내부에서는 **BPF(Berkeley Packet Filter)**로 들어오는 패킷을 분석하고 있음.
2. 공격자가 특정한 패턴을 가진 패킷을 보냄
   • 예시: TCP 포트 0x5293 (21011번) → 이건 매직 포트로 설정됨.
   • 패킷 내용에 "justrobot"이라는 비밀번호를 심음.
   • BPFDoor는 이런 조건의 패킷이 들어오면 "아, 이건 나한테 보내는 명령이구나" 하고 인식함.
3. 패킷을 감지한 BPFDoor가 활성화됨
   • 역방향 셸을 연결하거나, 다음 단계 명령을 기다리는 상태로 전환됨.

🔍 이미지 속 정보 요약

🔐 왜 이게 위험한가?

• BPFDoor는 포트를 열지도 않고, 패킷만 듣고 있다가 특정 매직 시퀀스/비밀번호를 감지하면 동작함.
• 보안 장비가 일반 TCP 트래픽으로 인식해 탐지 못함.
• 이 방식은 은폐성, 지속성, 탐지 회피에 매우 효과적임.

✅ 쉽게 비유하자면

"문도 창도 없는 건물에 몰래 귀를 대고 있다가, 특정 암호('justrobot')가 들리면 몰래 문이 열려버리는 구조입니다."

https://www.trendmicro.com/ko_kr/research/25/d/bpfdoor-hidden-controller.html

카스퍼스키의 최신 '2025 랜섬웨어 현황 보고서'에 따르면, 인공지능(AI)의 악용으로 인해 랜섬웨어 위협이 더욱 정교하고 광범위하게 확산되고 있습니다. 특히 AI 기반 랜섬웨어 그룹인 펑크섹(FunkSec)의 부상은 이러한 추세를 대표적으로 보여줍니다.

📊 글로벌 랜섬웨어 동향 요약

• 감염률 증가: 2024년 전 세계 사용자 중 랜섬웨어 피해를 입은 비율은 0.44%로, 전년 대비 0.02%p 상승했습니다. 이는 공격이 대량 유포보다는 특정 고가치 타깃을 중심으로 이루어졌기 때문입니다.
• 지역별 피해율:
  • 중동: 0.72%
  • 아시아태평양(APAC): 0.6%
  • 아프리카: 0.41%
  • 라틴아메리카: 0.33%
  • 독립국가연합(CIS): 0.32%
  • 유럽: 0.28%
• 조직 대상 공격 증가: 카스퍼스키 긴급 대응팀(GERT)이 대응한 조직 대상 사이버 공격 중 41.6%가 랜섬웨어와 관련되어, 전년 대비 8.3%p 증가했습니다.

🤖 AI 기반 랜섬웨어의 부상: 펑크섹(FunkSec)

• AI 활용: 펑크섹은 대형 언어 모델(LLM)을 활용하여 AI 생성 코드와 주석을 포함한 랜섬웨어를 개발, 탐지를 어렵게 만들었습니다.
• 이중 갈취 전략: 데이터 암호화와 탈취를 동시에 수행하는 이중 갈취(double extortion) 전술을 사용하여 피해 기업에 압박을 가했습니다.
• 저비용 고빈도 공격: 전통적인 랜섬웨어 그룹이 수백만 달러를 요구하는 반면, 펑크섹은 적은 금액을 자주 요구하는 전략을 통해 빠르게 피해자를 늘렸습니다.

🧠 AI의 악용 사례 및 확산

• 다크웹 LLM 도구: 다크웹에서 판매되는 사이버 범죄용 LLM을 통해 누구나 쉽게 악성코드, 피싱, 사회공학 공격을 수행할 수 있게 되었습니다.
• 자동화된 공격: 로봇 프로세스 자동화(RPA)와 로우코드(LowCode) 기술의 확산으로 AI 기반 복사·붙여넣기 공격 자동화가 가능해졌습니다.

🔮 2025년 랜섬웨어 전망

• 비전통적 취약점 악용: Akira 랜섬웨어 그룹은 웹캠을 이용해 엔드포인트 탐지 및 대응 시스템을 우회하는 등 비전통적 취약점을 악용한 공격을 시도하고 있습니다.
• 공급망 및 IoT 기기 대상 공격 증가: 공급망, IoT 기기, 스마트 가전 등 새로운 공격 표면을 대상으로 한 공격이 증가할 것으로 예상됩니다.
• 양자 내성 암호화 도입: 일부 랜섬웨어 그룹은 양자 컴퓨팅에 대비한 양자 내성 암호화를 도입하여, 향후 복호화 시도를 더욱 어렵게 만들고 있습니다.

🛡️ 대응 전략 및 권고 사항

• 취약점 관리: 운영체제, 소프트웨어, 드라이버의 최신 보안 패치를 적용하여 BYOVD(Bring Your Own Vulnerable Driver) 공격을 방지해야 합니다.
• 엔드포인트 및 네트워크 보안 강화: 고급 탐지 및 대응(EDR) 솔루션을 도입하고, 네트워크 분할을 통해 lateral movement를 제한해야 합니다.
• 백업 및 교육: 오프라인 또는 변경 불가능한 백업을 유지하고, 정기적인 피싱 대응 훈련을 통해 직원의 보안 인식을 높여야 합니다.
• 사전 대응 계획 수립: 사이버 공격 발생 시 신속하게 대응할 수 있도록 사전 대응 계획을 수립하고, 정기적으로 점검 및 업데이트해야 합니다.

https://www.boannews.com/media/view.asp?idx=137357

https://www.kaspersky.com/blog/ransomware-trends-2025-and-5-new-reasons-not-to-pay/53386