취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 15일 목요일 기준
기업기업들이 피싱(사기성 이메일) 모의훈련을 평가할 때 '직원이 링크를 클릭했느냐'만 보는 방식은 보안 수준을 잘못 파악하게 만들 수 있다는 연구 결과가 나왔습니다. 648개 기업, 12만 명 이상의 데이터를 분석한 결과, 클릭 여부보다 자격증명(아이디·비밀번호) 입력 여부와 의심 메일 신고율을 함께 봐야 실제 회복탄력성을 측정할 수 있습니다. 훈련 초반 6개월간 클릭률이 오히려 오를 수 있는데, 이는 직원이 나빠진 게 아니라 훈련 난이도가 높아졌기 때문일 수 있습니다. 직원이 의심 메일을 보안팀에 신고하면 비슷한 공격 메일을 조직 전체에서 제거할 수 있어, 신고율이 중요한 지표가 됩니다. 또한 부서별로 위험 프로필이 다르므로 조직 전체 평균만으로는 어느 팀에 추가 교육이 필요한지 알 수 없습니다.
자세히 보기
기업중국 AI 기업들이 앤트로픽의 AI 모델 '클로드'에서 핵심 능력을 무단으로 대규모 추출하려 한 사실이 공식 보고서를 통해 드러났습니다. '증류 공격'이란 고성능 AI 모델의 사고 과정을 대량으로 수집해 자체 모델 학습에 활용하는 방식으로, 이번에는 약 2억 건의 대화가 관련된 것으로 확인됐습니다. 알리바바와 연계된 캠페인이 가장 규모가 컸으며, 5월부터 7월 사이 하루 최대 300만 건의 요청이 쏟아졌습니다. 공격자들은 번역 요청 등으로 질문을 위장해 클로드가 내부 사고 흔적을 드러내도록 유도하는 우회 기법을 사용했습니다. 이번 사례는 AI 모델이 새로운 지식재산 탈취의 표적이 될 수 있음을 보여주며, AI 서비스를 운영하는 기업의 사용 패턴 모니터링과 이상 탐지의 중요성을 일깨웁니다.
자세히 보기
기업캐노니컬(Canonical)이 널리 쓰이는 리눅스 배포판 Ubuntu 24.04 LTS의 다섯 번째 포인트 릴리스(Ubuntu 24.04.5 LTS)를 출시했습니다. 이번 릴리스에는 여러 보안 취약점 수정과 고위험 버그 패치가 새 설치 이미지에 통합되어 있어, 신규 설치 시 별도의 대량 업데이트 없이 바로 최신 보안 상태를 갖출 수 있습니다. Kubuntu, Xubuntu, Ubuntu MATE 등 9개 파생 버전도 함께 업데이트되었습니다. 기존에 Ubuntu 22.04 LTS를 사용 중인 사용자는 업데이트 관리자를 통해 24.04.5로 무료 업그레이드할 수 있습니다. 다만 이번 릴리스 노트에는 구체적인 CVE 번호나 버그 ID가 명시되지 않아, 특정 패치 여부를 컴플라이언스(규정 준수) 목적으로 확인하려면 별도 릴리스 노트를 직접 조회해야 합니다.
자세히 보기
중요기업한국 정부가 개인정보 보호법을 대폭 개정해 2026년부터 반복적·중대한 개인정보 침해에 대한 과징금 상한을 매출액의 3%에서 최대 10%로 올렸습니다. 반면 사전에 보안 인력·예산·설비에 투자한 기업은 과징금을 최대 40%까지 깎아주는 인센티브도 함께 도입해, 기업이 사고 이후 수습보다 사전 예방에 투자하도록 유도합니다. 특히 CEO(최고경영자)를 개인정보 처리·보호의 최종책임자로 법에 명시해, 보안사고가 발생하면 실무진뿐 아니라 경영진의 관리·감독 의무 이행 여부까지 따질 수 있게 됐습니다. CPO(개인정보 보호책임자)는 이사회에 보안 현황을 보고하고, 일정 규모 이상 기업은 CPO 변경 시 이사회 의결 및 개인정보위 신고가 의무화됩니다. 기업 보안팀은 이번 개정에 맞춰 예방 투자 근거 문서화, 경영진 보고 체계 정비, CPO 역할 재정립을 서둘러야 합니다.
자세히 보기
중요기업2026년 9월 11일부터 개정 개인정보 보호법이 시행되면서 국내 개인정보 보호 규제가 대폭 강화됩니다. 가장 큰 변화는 과징금 상한이 전체 매출액의 3%에서 최대 10%로 올라간다는 점으로, 반복·중대 위반이나 1,000만 명 이상 피해 사고 시 적용됩니다. CEO가 개인정보 보호의 최종 책임자로 법에 명시되어, 사고 발생 시 경영진이 직접 책임을 지게 됩니다. 반대로 보호 예산·인력·설비에 투자한 기업은 과징금을 감경받을 수 있어, 사전 예방 투자가 실질적인 리스크 관리 수단이 됩니다. 올해 상반기 개인정보 유출 신고가 이미 432건으로 작년 연간 수준에 근접한 만큼, 기업들의 신속한 대응 체계 정비가 시급합니다.
자세히 보기
기업'Mantax Otax'라는 새로운 안드로이드(Android) 악성코드가 랜섬웨어(파일을 암호화한 뒤 돈을 요구하는 악성 프로그램)와 스파이웨어(정보를 몰래 빼가는 악성 프로그램) 기능을 동시에 갖추고 발견됐습니다. 이 악성코드는 Google Play 공식 스토어 외부에서 배포되는 악성 APK(앱 설치 파일) 형태로 퍼지며, 설치 후 접근성 서비스 권한을 이용해 기기를 광범위하게 장악합니다. Android 9 이하 구형 기기에서는 파일을 암호화하고, 모든 버전에서 문자·OTP(일회용 비밀번호)·WhatsApp·Telegram 대화 등 민감한 정보를 탈취합니다. 추가로 피해자에게 반복 팝업·점프스케어 이미지·원격 음성 메시지 등 협박성 괴롭힘 기능도 포함되어 있습니다. Android Play Protect를 최신 상태로 유지하면 이미 탐지·차단되며, 공식 스토어 외부 APK 설치를 삼가는 것이 핵심 예방책입니다.
자세히 보기
중요기업마이크로소프트가 2026년 9월 패치 화요일에 배포한 누적 업데이트를 설치하면 Windows Server 2019, 2022, 2025에서 원격 데스크톱 서비스(RDS, 원격으로 서버에 접속하는 기능)가 몇 시간 뒤 갑자기 중단되는 문제가 발생하고 있습니다. 기존 세션이 끊기지 않거나 새 접속이 아예 불가능해지며, 서버를 강제 재부팅해야만 복구되는 사례도 보고되고 있습니다. 원인으로는 RDP 서비스와 로컬 세션 관리자(LSM) 사이의 교착 상태(deadlock)가 의심되지만, 마이크로소프트는 아직 공식 확인이나 해결책을 내놓지 않은 상태입니다. 업데이트를 롤백하면 원격 데스크톱 기능은 복구되지만, 이번 달 보안 패치까지 함께 제거되므로 보안 공백이 생기는 딜레마가 있습니다.
자세히 보기
기업Microsoft가 2026년 9월 패치 화요일에 배포한 Office 보안 업데이트(KB5002914)가 일부 사용자의 Excel에서 복사-붙여넣기와 수식 드래그 기능을 망가뜨리고 있습니다. Excel 2016부터 2024까지, MSI 및 Click-to-Run 설치 방식 모두에서 문제가 확인됐으며, 팀 전체가 업무에 차질을 빚는 사례도 나왔습니다. 영향을 받은 사용자들은 해당 업데이트를 제거하거나 이전 빌드로 되돌리면 정상 작동이 복원된다고 보고했습니다. 현재 Microsoft의 공식 해결책은 나오지 않은 상태로, 보안 패치를 유지하면서 구형 실행 파일로 교체하는 방법은 안정성·보안 문제를 야기할 수 있어 권장되지 않습니다.
자세히 보기
중요기업이번 주 보안 뉴스 모음집에는 기업 보안 담당자가 즉시 확인해야 할 사안들이 여럿 포함되어 있습니다. 가장 주목할 항목은 안드로이드 9월 보안 패치로, 200개의 취약점 중 CVE-2026-28662(Wi-Fi를 통해 아무런 사용자 조작 없이 원격으로 코드를 실행할 수 있는 심각한 결함)가 포함되어 있어 기업 내 안드로이드 기기 전체에 즉시 업데이트를 배포해야 합니다. 중국어 사용자로 추정되는 공격자가 Claude Code·Qwen·DeepSeek 같은 AI 도구를 활용해 정부·금융 시스템 침투를 자동화한 캠페인도 공개됐으며, 이는 AI 기반 사이버 공격이 실전에 사용되고 있음을 보여줍니다. 또한 BigBear 2.0이라는 서비스형 피싱(PhaaS) 플랫폼이 40개국 이상의 461개 조직을 표적으로 삼아 MFA(다중 인증)를 우회하고 세션 쿠키를 탈취했으며, Google의 합법적 서비스 6종을 경유한 다단계 피싱 캠페인도 발견됐습니다. 랜섬웨어 연계 공격(EtherRAT→TukTuk→The Gentlemen 랜섬웨어), 가짜 쇼핑몰 119,000개 운영, npm 악성 패키지 13종 등 다양한 위협이 동시에 진행 중입니다.
자세히 보기
기업구글이 안드로이드에서 비밀번호와 패스키(암호 없이 로그인할 수 있는 인증 자격증명)를 별도 파일 없이 다른 비밀번호 관리 앱으로 바로 옮길 수 있는 기능을 공개했습니다. 기존에는 비밀번호를 내보낼 때 암호화되지 않은 텍스트 파일을 거쳐야 했고, 패스키는 아예 이전이 불가능했습니다. 이제 새 앱 안에서 '가져오기'를 선택하면 안드로이드가 기존 앱과 직접 연결해 몇 초 안에 이전을 완료합니다. 현재 지원 앱은 Google Password Manager, 1Password, Bitwarden, Dashlane 네 가지입니다. 지원되지 않는 앱을 쓰는 경우에는 여전히 파일 내보내기 방식만 가능하며, 패스키는 이전되지 않습니다.
자세히 보기
기업마이크로소프트(MS)가 AI를 이용해 100만 건 이상의 금융 사기 이메일을 발송한 대규모 공격 캠페인을 발견했습니다. 공격자는 여러 기업의 CEO·CFO 등 경영진을 사칭하고, 서비스나우(ServiceNow)의 가짜 연간 구독 송장을 덧붙여 회계·지급 담당 직원이 약 5만 달러를 공격자 계좌로 이체하도록 속였습니다. AI를 활용해 수신자별 맞춤형 이메일을 자동 제작하고, 가짜 이메일 대화까지 삽입해 의심을 피하도록 정교하게 설계됐습니다. 이메일 주소와 발신자 표시 이름이 일치하지 않거나 'ACH Payment' 같은 금융 키워드가 제목에 들어가는 등 몇 가지 탐지 단서가 있습니다. MS는 Microsoft Defender for Office 365, ZAP(Zero-hour Auto Purge) 등 다계층 보호 기능 활용과 이메일 인증 설정을 권고했습니다.
자세히 보기
중요기업신원 확인 전문 기업 IDScan이 해커에 의해 고객 데이터가 무단 접근된 사실을 공식 확인했습니다. 유출된 데이터베이스에는 미국·캐나다 운전면허증 스캔본 1억 5,300만 건 이상이 포함되어 있으며, 이는 다크웹 플랫폼 "Nexus"를 통해 판매되고 있었습니다. IDScan의 서비스는 렌터카 업체, 소매점, 금융기관, 총기 판매점 등 다양한 기업들이 신분증 확인 용도로 사용해 왔습니다. 현재 FBI가 수사에 착수했고 IDScan은 제3자 전문가를 고용해 피해 범위를 조사 중입니다. 피해 가능성이 있는 개인에게는 무료 신용 모니터링 및 신원 보호 서비스가 제공됩니다.
자세히 보기