취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
이 범위에서 지금 주목할 이슈
기업구글이 안드로이드 17에서 "고급 보호(Advanced Protection)" 기능을 켜면, '접근성 서비스(AccessibilityService)' API를 인증된 접근성 도구 앱에만 사용할 수 있도록 제한한다고 발표했습니다. 접근성 서비스는 원래 시각장애인 등을 돕기 위한 기능이지만, 화면 읽기와 조작 권한이 막강해서 뱅킹 악성코드나 스파이웨어가 이를 악용해 금융 앱에서 몰래 돈을 빼가거나 키보드 입력을 가로채고, 가짜 로그인 화면을 띄우는 등의 공격에 자주 이용돼 왔습니다. 이번 조치로 검증되지 않은 앱은 이 기능을 쓸 수 없게 되어 주요 공격 경로 하나가 막히게 됩니다. 이 외에도 안드로이드 17에는 포렌식 로그 기능, USB 침입 방지, 위험한 웹 기술 차단, 인증 실패 시 기기 잠금 등 여러 보안 강화 기능이 함께 추가됐습니다.
자세히 보기
기업개정된 정보통신망법과 시행령이 10월 1일부터 시행됩니다. 이제 중기업을 넘는 대기업 등은 정보보호 최고책임자(CISO)를 일반 직원이 아니라 반드시 임원으로 지정해야 합니다. 또한 침해사고가 발생하면 국민 생활에 큰 영향을 줄 수 있는 통신사나 대형 사업자를 대상으로 '강화인증'이라는 더 엄격한 보안 인증이 새로 생기고, 정부의 시정명령을 어기거나 반복적으로 보안사고를 낸 기업에는 매출액 기준으로 이행강제금과 과징금을 물립니다. 이번 조치는 작년 잇따른 대형 침해사고를 계기로 기업의 보안 책임을 강화하기 위해 마련됐습니다.
자세히 보기
중요기업정보통신망법 개정안과 시행령이 12월 1일부터 시행되면서, 기업의 정보보호최고책임자(CISO)가 임원급으로 격상됩니다. 고의나 중대한 과실로 침해 사고를 반복해서 일으킨 기업은 관련 매출의 최대 3%에 달하는 과징금을 물어야 합니다. 정부의 시정명령이나 자료 제출 요구에 응하지 않으면 매일 평균 매출액의 0.02%씩 이행강제금이 부과됩니다. 일정 규모 이상의 통신사와 정보통신서비스 제공자는 정보보호 관리체계(ISMS) 인증 심사가 강화되어 현장 심사도 함께 받게 됩니다. 이는 작년 잇따른 대형 침해사고 이후 정부가 발표한 '범부처 정보보호 종합대책'을 법과 제도로 뒷받침하기 위한 조치입니다.
자세히 보기
중요기업정부가 기업의 보안 책임을 크게 강화한 개정 정보통신망법과 시행령을 10월 1일부터 시행합니다. 이제 정보보호 최고책임자(CISO)는 임원급으로 지정해야 하고, CISO가 위원장인 정보보호위원회를 만들어 보안 예산과 인력 같은 중요한 사항을 심의해야 합니다. 매출 규모가 큰 통신·IT 서비스 기업이나 최근 침해사고를 겪은 기업은 더 까다로운 정보보호 관리체계(ISMS) 인증을 받아야 합니다. 고의나 중과실로 침해사고를 반복하면 관련 매출액의 최대 3%까지 과징금을 물릴 수 있고, 정부의 시정명령을 어기면 매일 매출액의 0.02%씩 이행강제금이 부과됩니다. 결국 보안을 실무 부서 일이 아니라 경영진이 직접 챙겨야 할 책임으로 만든 것이 이번 개정의 핵심입니다.
자세히 보기
기업구글이 크롬북에 들어가는 운영체제인 크롬OS의 지원을 2034년까지 이어가겠다고 발표했습니다. 지원 기간 동안에는 정기 업데이트뿐 아니라 보안 패치도 계속 제공됩니다. 학교나 기업이 이미 도입한 크롬북 장비를 당장 교체하지 않아도 되도록 하려는 조치로 풀이됩니다. 다만 실제 자동 업데이트 종료 시점은 제품 출시일에 따라 달라서, 일부 구형 기기는 이미 지원이 끝났거나 2030년에 끝나는 반면 최근 출시 제품은 2034년 이후에도 지원받을 수 있습니다.
자세히 보기
기업AI 에이전트(사람 대신 자율적으로 작업을 수행하는 AI 프로그램) 도입이 빨라지면서 기업들이 기존 보안·거버넌스 체계를 근본적으로 다시 짜야 하는 상황에 놓였습니다. 직원들이 회사 몰래 AI 도구를 사용하는 '섀도 AI' 문제가 과거 섀도 IT보다 10배 규모로 번지고 있으며, 이 과정에서 고객 개인정보나 사내 기밀이 외부 AI 시스템으로 유출될 위험이 커지고 있습니다. 128개 기업 임원 154명을 인터뷰한 AWS의 'Reimagine 2026' 보고서는, AI 사용 기업 중 '책임 있는 AI 활용 방침'을 문서화한 곳은 24%, 데이터 거버넌스 전략을 갖춘 곳은 10%에 불과하다고 밝혔습니다. 전문가들은 AI 에이전트에 부여하는 자율권을 처음부터 크게 주지 말고, 신뢰가 쌓인 뒤 단계적으로 확대하며 보안 통제는 에이전트 바깥에서 설정하라고 권고합니다.
자세히 보기
기업Canonical이 Ubuntu 커널의 보안 패치(CVE 수정) 배포 주기를 개편해, 기존 4주·2주 주기를 통합하여 사실상 매주 새 커널을 배포하는 체계로 전환합니다. 취약점이 공개된 후 24~48시간 내 임시 완화책을 제공하고, 정식 패치는 2주 주기 내에 릴리즈됩니다. 더 빨리 패치를 적용하고 싶은 조직은 Canonical의 인증 테스트가 완료되기 전인 `-proposed` 채널에서 릴리즈 후보(RC) 빌드를 가져올 수 있지만, 이 경우 검증되지 않은 빌드에서 발생하는 문제는 해당 조직이 직접 감수해야 합니다. Ubuntu 서버를 운영하는 보안·인프라 담당자는 이 새 주기에 맞춰 패치 관리 계획을 업데이트할 필요가 있습니다.
자세히 보기
기업추석 연휴를 앞두고 한국인터넷진흥원(KISA)과 금융보안원이 기업과 개인에게 사이버 위협 대비를 강력히 권고했습니다. 연휴 기간에는 보안 담당자 부재로 인해 침해사고가 발생해도 대응이 늦어질 수 있어, 공격자가 랜섬웨어를 퍼뜨리거나 내부 시스템에 오래 숨어 있을 가능성이 높아집니다. 특히 택배·공공기관 사칭 스미싱(문자 메시지를 이용한 피싱 사기)과 AI 기술을 악용한 '딥보이스' 사기가 기승을 부리며, 명절 포함 달에는 보이스피싱 범죄가 평시보다 32.5% 급증한 통계도 있습니다. 기업은 API 인증, 클라우드 접근 키, 다중인증(MFA), 백업 분리 등 5대 보안 항목을 연휴 전에 반드시 점검하고 비상연락체계를 정비해야 합니다. 개인은 문자 속 링크를 함부로 누르지 않는 것이 가장 기본적인 예방법입니다.
자세히 보기
기업아일랜드 데이터보호위원회(DPC)가 구글 아일랜드 법인이 이용자 위치정보를 처리하는 방식이 유럽 개인정보보호법(GDPR)을 위반했다고 판단하고 약 6000억원(4억 300만 유로)의 과징금을 부과했습니다. 조사 결과 구글은 위치정보를 어떻게 쓰는지 이용자에게 충분히 설명하지 않았고, 필요 기간보다 오래 보관한 것으로 드러났습니다. 위치정보는 단순한 현재 위치를 넘어 생활 패턴·관심사까지 드러낼 수 있는 민감한 정보로, 이용자가 본인의 데이터가 광고 등에 활용된다는 사실을 인지하지 못한 채 통제권을 잃을 수 있었다는 것이 DPC의 판단입니다. 구글은 6개월 안에 위치정보 처리 방식을 개선하라는 명령도 함께 받았습니다. 이번 제재는 개인정보 처리 투명성과 보관 기간 준수가 GDPR 핵심 의무임을 재확인하는 사례입니다.
자세히 보기
기업Google가 유럽 개인정보 보호법(GDPR)을 위반했다는 이유로 아일랜드 데이터보호위원회(DPC)로부터 €403 million(약 6,000억 원)의 벌금을 부과받았습니다. 문제가 된 기능은 웹·앱 활동 기록, 위치 기록, 위치 정확도 세 가지로, 2018년 5월부터 2020년 2월 사이 사용자의 위치 데이터를 불충분하게 고지하고 필요 이상으로 오래 보관했다는 것이 핵심입니다. 이용자들은 자신의 위치 정보가 광고 타겟팅이나 관심사 추론에 활용된다는 사실을 제대로 안내받지 못했습니다. Google은 2019년 이후 자동 삭제 기능 도입 등 관행을 개선했다고 밝혔으나, DPC는 이것이 충분한지 공식 입장을 내놓지 않았습니다. 기업 컴플라이언스 담당자는 이번 사례를 통해 개인정보 처리 목적 고지, 보유 기간 최소화, 투명성 확보가 규제 리스크 관리의 핵심임을 재확인할 필요가 있습니다.
자세히 보기
