취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 15일 목요일 기준
기업한국에서 10월 1일부터 불법 광고성 스팸을 발송하거나, 자신의 서비스가 스팸 전송에 악용되는 것을 막지 않은 사업자에게 관련 매출액의 최대 6%를 과징금으로 부과하는 제도가 시행됩니다. 방송미디어통신위원회가 정보통신망법 시행령 개정안을 의결한 것으로, 기존 과태료 제재만으로는 반복적인 불법스팸을 억제하는 데 한계가 있다는 판단에 따른 조치입니다. 특히 스팸이 보이스피싱(전화 사기)·스미싱(문자 사기) 등 금전 피해 범죄의 출발점이 될 수 있다는 점이 강조됐습니다. 과징금 산정 시에는 위반의 고의성, 수신자 사전 동의 절차 준수 여부, 수신 거부 기능 제공 여부 등이 종합적으로 고려됩니다. 이메일·문자 마케팅을 운영하는 기업은 수신 동의 체계와 스팸 악용 방지 조치를 10월 시행 전에 점검해야 합니다.
자세히 보기
중요기업미국 사이버보안 기관(CISA)과 NSA, FBI가 공동 권고문을 발표했습니다. 중국 AI 기업들이 '지식 증류(knowledge distillation)'라는 기법을 대규모로 활용해 Claude, GPT, Gemini, Grok 등 미국의 주요 AI 모델의 능력을 무단으로 복제해왔다는 내용입니다. DeepSeek, 알리바바, Moonshot AI 등 여러 중국 기업이 수억 건의 API 요청을 통해 수십억 개의 데이터 토큰을 추출했으며, 이 활동은 중국 정부의 인지 하에 이루어진 것으로 평가됩니다. 이들은 지역 제한을 우회하기 위해 'API 대리 서버(transfer station)'라는 회색 시장을 이용하고 다수의 프리미엄 계정을 분산 운용하는 방식으로 탐지를 피했습니다. CISA는 AI 서비스 제공사들에게 즉각적인 탐지·대응 조치를 촉구했습니다.
자세히 보기
중요기업미국 NSA(국가안보국), CISA(사이버보안·인프라보안청), FBI가 공동으로 중국 AI 기업들이 Anthropic Claude, OpenAI GPT, Google Gemini, Grok 등 미국 최상위 AI 모델에서 수십억 개의 데이터를 산업 규모로 무단 추출했다고 경고했습니다. DeepSeek, Moonshot AI, Alibaba, MiniMax 등의 기업들이 VPN·프록시·우회 계정 등을 이용해 지리적 접근 제한을 뚫고 이용약관을 위반하며 이 작업을 수행했습니다. 중국 기업들은 자사 AI 모델 개발 비용과 기간을 크게 줄이기 위해 이 기법을 핵심 전략으로 활용하고 있습니다. 기업 보안 담당자는 AI API 키와 서비스 계정이 이런 악용의 표적이 될 수 있으며, 고객·파트너에게 발급한 AI 접근 권한도 노출 위험이 있음을 주의해야 합니다.
자세히 보기
중요기업구글이 Chrome 브라우저에서 실제로 악용되고 있는 제로데이 취약점(CVE-2026-87491)을 포함해 총 230개의 보안 결함을 수정한 업데이트를 배포했습니다. 이 취약점은 Chrome의 JavaScript 엔진인 V8에서 발생하는 '범위 초과 쓰기(Out-of-bounds write)' 버그로, 공격자가 특수하게 제작된 웹 페이지를 통해 샌드박스(격리된 보안 영역) 안에서 임의 코드를 실행할 수 있습니다. 구글은 이미 실제 공격에 활용되는 익스플로잇이 존재한다고 공식 확인했습니다. 이번 업데이트로 구글은 올해만 총 7건의 Chrome 제로데이를 패치하게 됐으며, WebGL과 Cast 컴포넌트의 심각도 높은 취약점 5개도 함께 수정됐습니다. Chrome 사용자와 Edge, Brave 등 Chromium 기반 브라우저 사용자는 즉시 최신 버전으로 업데이트해야 합니다.
자세히 보기
중요기업마이크로소프트가 2026년 9월 패치 화요일(Patch Tuesday)에 역대 최다 수준의 보안 패치를 배포했으며, 이 중 두 개의 취약점(CVE-2026-81963, CVE-2026-85880)은 이미 공격자들이 실제로 악용한 제로데이(zero-day, 패치 전에 먼저 공격에 사용되는 취약점)입니다. 두 취약점 모두 낮은 권한의 사용자가 Windows 시스템의 최고 권한(SYSTEM)을 탈취할 수 있게 해주며, 랜섬웨어 유포 등에 악용될 가능성이 높아 즉각적인 패치 적용이 필요합니다. 또한 과거 대규모 인터넷 웜을 유발했던 'SigRed'의 후계격으로 불리는 DNS 취약점(CVE-2026-69730)을 포함해 20개의 워머블(wormable, 사용자 개입 없이 네트워크를 타고 자동 전파되는) 취약점도 발견돼 각별한 주의가 요구됩니다. Kerberos 인증 우회 취약점(CVE-2026-69676)은 도메인 사용자 계정 하나만 탈취하면 도메인 컨트롤러(기업 네트워크의 핵심 서버)에서 원격으로 코드를 실행할 수 있어 매우 위험합니다. Windows 누적 업데이트를 적용하면 위 취약점들을 한 번에 모두 수정할 수 있으니, 보안 담당자는 지금 즉시 업데이트를 진행해야 합니다.
자세히 보기
중요기업Google가 Chrome 브라우저에서 실제로 악용되고 있는 제로데이 취약점 CVE-2026-87491을 포함해 총 230개의 보안 취약점을 수정했습니다. 이 취약점은 Chrome의 자바스크립트 엔진인 V8에서 발생하는 '경계 밖 쓰기(Out-of-Bounds Write)' 버그로, 공격자가 특별히 조작된 웹 페이지를 통해 원격으로 임의 코드를 실행할 수 있습니다. Google은 이미 야생에서 악용 사례가 존재한다고 공식 확인했으며, 수정 버전(Chrome 153.0.8010.36/37)을 배포 중입니다. 이번 취약점은 2026년 한 해에만 Google이 패치한 일곱 번째 Chrome 제로데이입니다. Chrome 사용자와 기업 담당자는 즉시 브라우저를 최신 버전으로 업데이트해야 합니다.
자세히 보기
중요기업F5 BIG-IP APM(기업 네트워크 접근을 통제하는 장비)을 침해한 악성코드가 PHP 웹 셸을 디스크가 아닌 메모리에 삽입해 일반적인 파일 검사를 우회하는 사실이 Sophos의 분석을 통해 확인됐습니다. 이 악성코드는 CVE-2025-53521(CVSS 9.8점, 인증 없이 원격 코드 실행 가능)을 악용하며, F5는 2026년 3월 이 취약점이 실제 공격에 사용됐다고 공식 확인했습니다. 공격자는 Apache 웹 서버 프로그램 자체를 변조해, PHP가 특정 스크립트를 메모리에 불러올 때 웹 셸을 끼워 넣기 때문에 디스크 파일을 검사해도 이상이 없어 보입니다. 패치는 2025년 10월에 이미 공개됐으나, 패치 이전에 침해된 장비는 업그레이드 후에도 악성코드가 남아 있을 수 있어 반드시 별도의 무결성 점검이 필요합니다. 공격 주체는 아직 특정되지 않았으며, 장비 업그레이드 이미지까지 감염시켜 다른 시스템으로 전파되도록 설계된 것으로 분석됐습니다.
자세히 보기'Nightmare Eclipse'라는 익명의 보안 연구자가 Microsoft Defender를 대상으로 한 "ShieldCrash"라는 제로데이(패치가 존재하지 않는 취약점) 익스플로잇을 공개했습니다. 이 취약점을 악용하면 공격자가 Windows 최고 권한인 SYSTEM 권한을 획득할 수 있어, 사실상 시스템 전체를 장악할 수 있습니다. 해당 익스플로잇은 마이크로소프트가 2026년 9월 패치 화요일 보안 업데이트를 배포한 직후 공개되었습니다. Microsoft Defender는 수억 대의 Windows 기기에 기본 탑재된 보안 소프트웨어로 영향 범위가 매우 넓습니다. 기업 보안 담당자는 해당 취약점의 패치 포함 여부를 즉시 확인하고, 포함되지 않았다면 마이크로소프트의 공식 대응을 주시해야 합니다.
자세히 보기
중요기업보안 연구자 'Chaotic Eclipse'가 Microsoft Defender의 이전 취약점(CVE-2026-69414, 별칭 ShieldBreak)에 대한 패치를 우회할 수 있는 새로운 개념 증명(PoC) 코드를 공개했습니다. 이 새 취약점은 'ShieldCrash'라 불리며, 최신 Windows가 설치된 시스템에서도 SYSTEM 권한(운영체제에서 가장 높은 권한)으로 임의의 파일을 읽을 수 있음을 보여줍니다. 지원되는 모든 Windows 데스크톱 버전이 영향을 받으며, Microsoft Defender를 비활성화한 시스템은 영향을 받지 않습니다. Microsoft는 지난 패치(Malware Protection Engine 1.1.26080.3)가 문제를 완전히 해결하지 못했다는 지적을 받았으며, 자동 업데이트가 활성화된 시스템은 별도 조치 없이 엔진 업데이트를 받을 수 있습니다. 같은 연구자가 CrowdStrike, Kaspersky, Avast, NVIDIA 제품의 취약점 PoC도 잇따라 공개하고 있어 보안팀의 주의가 필요합니다.
자세히 보기
중요기업SAP가 자사 핵심 제품들에서 발견된 다수의 심각한 보안 취약점에 대한 패치를 배포했습니다. 그 중 가장 위험한 CVE-2026-44756은 CVSS 최고점인 10.0을 기록한 취약점으로, SAP 커널의 Extended Passport(EPP) 처리 과정에서 발생하는 메모리 손상 문제입니다. 이 취약점은 로그인 없이 인터넷을 통해 악용할 수 있으며, 공격 성공 시 데이터베이스 비밀번호·세션 데이터·전체 비즈니스 데이터 탈취와 함께 연결된 모든 SAP 시스템으로의 침투가 가능합니다. 특히 SAP의 계정 잠금·권한 통제 같은 기존 보안 설정은 이 공격 경로를 막을 수 없어 즉각적인 패치 적용이 필수입니다. 현재까지 실제 악용 사례는 보고되지 않았으나, 취약점의 심각성으로 인해 인터넷에 노출된 시스템부터 우선 패치할 것이 권고됩니다.
자세히 보기
기업텐센트의 주작랩(Zhuque Lab)이 AI 시스템 전용 오픈소스 보안 스캐너 'AI-Infra-Guard'를 공개했습니다. 이 도구는 Ollama, vLLM, ComfyUI 같은 AI 서비스를 식별하고 1,600개 이상의 알려진 취약점(CVE)을 검사하며, MCP 서버와 에이전트 기능의 위험도도 평가합니다. 그러나 도구 자체에 로그인 기능이 없어 인터넷에 직접 노출할 경우 스캐너가 보유한 모든 AI 모델의 API 키가 외부에 노출될 수 있다는 심각한 위험이 있습니다. 또한, 악의적인 MCP 서버를 스캔할 때 '간접 프롬프트 인젝션(모델이 읽는 콘텐츠 안에 몰래 명령을 숨기는 공격)' 위협이 존재하며, 이를 완전히 차단하는 방법은 아직 없습니다. 이 도구를 사용하는 보안 담당자는 스캔 결과를 맹신하지 말고, 반드시 역방향 프록시(nginx 등)와 방화벽 규칙으로 접근을 통제해야 합니다.
자세히 보기
기업대폭 강화된 개인정보보호법(개보법)이 11일부터 시행됩니다. 핵심 변화는 두 가지로, 첫째로 개인정보 유출 등 중대한 침해 행위에 대한 과징금 상한이 기존 매출액의 3%에서 최대 10%로 크게 올라갑니다. 둘째로 CEO가 개인정보 보호의 최종 책임자로 명시되어, 보안이 더 이상 실무 부서만의 문제가 아닌 최고경영진의 핵심 경영 리스크로 격상됩니다. 보안 인력·예산·설비에 적극 투자한 기업에는 과징금을 최대 40%까지 감경해 주는 인센티브도 도입되어, 기업들이 보안을 '비용'이 아닌 '투자'로 바라보도록 유도합니다. 최근 통신·플랫폼·금융·OTT 등 분야에서 대형 개인정보 유출 사고가 잇따르고, 해킹에 의한 유출 신고가 4년 만에 5배 가까이 늘어난 상황에서 나온 강력한 제도 개편입니다.
자세히 보기