TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

통신/IT · 개인정보 유출 뉴스

필터총 9건초기화
매체전체
국내 매체329ZDNet Korea108데일리시큐81보안뉴스79전자신문 보안61
해외 매체560The Hacker News244BleepingComputer171Help Net Security145
분야
전체기업553공공127금융78통신/IT69의료13제조8기타29교육/연구11
토픽
취약점·패치35정책·규제10개인정보 유출9악성코드5랜섬웨어3AI 보안2계정 탈취1공급망1피싱·사기1기타2

주요 뉴스

이 범위에서 지금 주목할 이슈

중요보안뉴스

메일함 대신 서버 노렸다... 짐브라 취약점 악용 공격, 인증 비밀값까지 털어

이메일·협업 솔루션 '짐브라(Zimbra)'의 취약점(CVE-2026-73570)을 악용한 공격이 발견됐습니다. 공격자는 로그인 없이도 서버에 명령을 실행할 수 있는 이 취약점을 이용해 메일 서버에 여러 개의 백도어(웹셸)를 심고, 서버 전체의 인증 비밀값을 통째로 빼냈습니다. 개별 사용자의 메일함 비밀번호가 아니라 서버 차원의 인증 키와 이중인증(2FA) 비밀값까지 탈취해 다른 서버로 옮겨 다니며 피해를 확산시킨 것이 특징입니다. 일부 사례에서는 메일함 데이터를 통째로 외부 클라우드 저장소로 빼내려는 시도도 있었습니다. 이 취약점은 이미 실제 공격에 악용된 것이 확인되어 미국 정부도 긴급 조치를 지시한 만큼, 짐브라를 쓰는 기업은 즉시 패치하거나 임시 조치를 해야 합니다.

2026. 10. 01.
BleepingComputer

DIVD, Zammad 제로데이 취약점이 AI 주도 네트워크 침해를 가능케 했다고 밝혀

The Hacker News

OpenAI, 민감정보 유출 문제로 안전 연구원 3명과 결별

BleepingComputer

GitHub 공개 저장소에서 유효한 계정 정보 54만 3,000여 건 노출

Help Net Security

전직 미군, AT&T·Snowflake 데이터 탈취 가담 혐의로 70개월 선고

전체 목록

통신/IT
BleepingComputer·2026. 09. 28.

미군 병사, 기술·통신사 10곳 갈취 혐의로 징역 70개월 선고

미군 현역 병사였던 21세 Cameron John Wagenius(별명 'kiberphant0m')가 2023년 4월부터 2024년 12월까지 AT&T, Verizon 등 최소 10개 미국 기술·통신 기업을 해킹하고 갈취한 혐의로 징역 70개월을 선고받았습니다. 그는 공범들과 함께 자체 제작한 SSH 무차별대입(brute force) 해킹 도구로 기업 네트워크 로그인 정보를 훔쳤고, 훔친 데이터를 BreachForums, XSS.is 같은 범죄 포럼에 공개하겠다고 위협하며 최소 100만 달러를 갈취하려 했습니다. 일부 데이터는 실제로 판매되었고 SIM 스와핑 등 추가 사기에도 악용되었습니다. 이번 사건은 Snowflake 클라우드 저장소를 노린 대규모 해킹 캠페인과도 연결되어 있으며, 그 여파로 AT&T, Ticketmaster, Santander 등 수억 명의 고객 정보가 유출된 바 있습니다.

자세히 보기
#AI#MFA#SaaS
통신/IT
전자신문 보안·2026. 09. 27.

가비아, 외부 해킹으로 고객정보 2998명 유출…"사고 인지 직후 경로 차단"

국내 도메인·웹호스팅 서비스 기업 가비아가 외부 해커의 공격으로 고객 2,998명의 개인정보가 유출되는 사고를 겪었습니다. 공격자는 가비아 웹 서비스의 외부 요청 검증(입력값을 제대로 확인하지 않는 취약점)이 부족한 부분을 노려 내부 시스템에 무단 접근했습니다. 유출된 정보는 성명, 아이디, 이메일, 휴대전화번호이며, 비밀번호는 유출되지 않았습니다. 가비아는 사고 인지 후 약 80분 내에 접근 경로를 차단하고 취약점을 조치했으며, KISA(한국인터넷진흥원)와 개인정보보호위원회에 신고해 합동 조사 중입니다. 유출된 아이디를 이용한 다른 사이트 계정 도용(크리덴셜 스터핑) 피해가 우려되므로 가비아 이용자는 즉시 비밀번호를 변경할 것을 권장합니다.

자세히 보기
#KISA#개인정보#개인정보 유출
통신/IT
Help Net Security·2026. 09. 21.

구글, 위치 추적 관련 GDPR 위반으로 4억 300만 유로 과징금 부과

아일랜드 개인정보보호위원회(DPC)가 구글에 4억 300만 유로(약 6,360억 원)의 과징금을 부과했습니다. 구글이 사용자의 위치 데이터를 처리하는 방식이 유럽 개인정보보호법(GDPR)을 위반했다는 이유입니다. 문제가 된 기능은 '웹 및 앱 활동', '위치 기록', '위치 정확도' 세 가지로, 구글이 사용자 동의나 투명한 안내 없이 위치 정보를 광고 등에 활용한 것이 핵심입니다. 구글은 위치 데이터를 필요 이상으로 오래 보관한 것도 지적받았으며, 6개월 안에 처리 방식을 규정에 맞게 고쳐야 합니다. 기업 담당자라면 자사 서비스의 위치·개인정보 처리 방식도 GDPR 기준에 맞는지 점검할 필요가 있습니다.

자세히 보기
#개인정보#개인정보보호법#규제
통신/IT
BleepingComputer·2026. 09. 11.

Surfshark VPN, 내부 테스트 서버·프록시 서버 해커 침해 사실 공개

VPN 서비스 업체 Surfshark가 내부 테스트 서버가 설정 오류로 인터넷에 노출되어 해커에게 무단 접근당했다고 공개했습니다. 노출된 서버에는 서비스 설정, 빌드 관련 자격증명(시스템 접근에 사용하는 비밀 정보), 시스템 바이너리 일부, 코드 이력이 포함되어 있었으나 고객 개인정보나 VPN 트래픽에는 영향이 없었습니다. 콘텐츠 접근성 최적화를 위한 별도 프록시 서버도 침해되었지만, 해당 서버에는 민감한 사용자 데이터가 없었습니다. 회사는 8월 31일 이상 활동을 감지하여 9월 2일 차단하고 9월 5일 복구를 완료했으며, 내부 자격증명 교체 및 추가 보안 조치를 시행했습니다. Surfshark 사용자는 별도 조치가 필요하지 않지만, 의심스러운 연락이나 활동에 주의하는 것이 권장됩니다.

자세히 보기
#AI#개인정보#브라우저