TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 15일 목요일 기준

← 뉴스 홈으로

개인정보 키워드 뉴스

중요기업

The Hacker News·2026. 09. 17.

Gyazo 침해 사고, 2,362만 건 이용자 레코드·4억 9,000만 건 이미지 메타데이터 노출

일본 교토에 본사를 둔 Helpfeel이 운영하는 이미지 공유 서비스 **Gyazo**가 해킹을 당해 약 2,362만 건의 이용자 계정 정보와 4억 9,000만 건의 이미지 메타데이터가 유출됐습니다. 공격자는 이미지 업로드 서버의 취약점을 이용해 시스템에 임의 명령을 실행(RCE)하고 데이터베이스에 접근했습니다. 유출된 정보에는 이메일 주소, 비밀번호 해시, 세션 ID, 이미지 URL을 구성하는 고유 이미지 ID 등이 포함되어 있어, 비공개 설정된 이미지까지 제3자가 열람했을 가능성을 배제할 수 없습니다. Helpfeel은 2025년 9월 11일 밤 이상 활동을 감지하고 9월 12일 새벽 접근 경로를 차단·취약점을 패치했으며, 9월 15일 일본 개인정보보호위원회에 신고했습니다. Gyazo 이용자는 즉시 비밀번호를 변경하고, 동일한 비밀번호를 사용하는 다른 서비스의 비밀번호도 바꿔야 합니다.

카카오게임즈, 140명 개인정보 유출... "악용 위험 낮다"

카카오게임즈에서 140명의 이용자 개인정보가 외부로 유출되는 사고가 발생했습니다. 유출된 정보는 파트너스 서비스의 타사 식별코드·아이디, RINK 서비스의 자사 식별코드와 국가코드이며, 비밀번호는 유출되지 않았습니다. 회사 측은 비정상적 외부 접근을 확인한 즉시 해당 경로와 계정을 차단하고 보안 강화 조치를 취했습니다. 개인정보보호위원회 등 관계기관에 신고하고 외부 보안 전문기관과 함께 원인 조사를 진행 중입니다. 피해 이용자에게는 의심스러운 비밀번호 변경 요청이나 출처 불명 링크·첨부파일을 주의하도록 권고했습니다.

일본 디지털청, VPN 구멍으로 24만명분 정보 새어나가

일본 정부 디지털청에서 약 24만 6000건의 개인정보가 외부로 유출됐습니다. 공격자는 VPN(가상사설망) 제품의 취약점(보안 구멍)을 악용해 직원 계정을 통해 정부 파일 서버에 몰래 접근했습니다. 유출된 정보에는 이름, 이메일 주소, 전화번호 등이 포함되며, 주민번호나 금융 계좌 정보는 포함되지 않았습니다. 디지털청은 침해를 발견한 직후 해당 서버의 외부 접속을 차단하고 공격에 사용된 직원 계정을 정지했습니다. 이번 사고는 공개된 VPN 취약점이 패치 전에 실제 공격에 활용된 사례로, 빠른 취약점 대응의 중요성을 보여줍니다.

AI 에이전트가 개인정보 침해 공격 수행…스페인 AEPD 첫 신고

스페인 개인정보보호청(AEPD)이 AI 에이전트를 공격 도구로 사용한 개인정보 침해 사건을 처음으로 공식 접수했습니다. 공격자는 AI 에이전트에 목표를 지시했고, 에이전트는 스스로 취약점을 찾아 시스템에 침투한 뒤 개인정보와 결제 기록에 접근했습니다. AI가 완전히 새로운 공격 방식을 만든 것이 아니라, 기존 해킹 단계(취약점 탐색→로그인→내부 이동→데이터 탈취)를 훨씬 빠르고 자동화된 방식으로 수행한 점이 핵심입니다. 이로 인해 기존 보안관제 시스템이 대응할 시간이 크게 줄어들 수 있다는 경고가 나왔습니다. 국내 기업과 공공기관도 계정 이상 징후, 취약점 탐색, 데이터 접근을 개별 사건이 아닌 하나의 공격 흐름으로 묶어 탐지하는 체계를 점검할 필요가 있습니다.

#AI #AI 에이전트 #개인정보

중요기업

BleepingComputer·2026. 09. 17.

스페인, AI를 활용한 첫 번째 데이터 탈취 공격 사례 보고

스페인 데이터보호기관(AEPD)이 LLM(대형 언어 모델) 기반 AI 에이전트를 이용한 사이버 공격 신고를 접수했습니다. 공격에 사용된 AI 에이전트는 스스로 취약점을 찾아내고 시스템에 로그인한 뒤, 개인정보를 수정하고 재무 문서(인보이스)에 접근했습니다. AEPD는 AI가 새로운 종류의 위협을 만들어내는 것은 아니지만, 공격의 속도·규모·적응력을 크게 높이고 방어자의 대응 시간을 극단적으로 줄인다고 경고했습니다. 과도한 권한이 부여된 계정·API 키·토큰이 악용될 경우, AI 에이전트는 기계 속도로 여러 서비스를 연쇄 침투할 수 있습니다. 기업은 기존 수동 공격 기준으로 설계된 인시던트 대응 절차를 AI 속도에 맞게 전면 재검토해야 합니다.

#AI #AI 에이전트 #API 키

중요기업

BleepingComputer·2026. 09. 17.

스페인 개인정보보호기관, AI 기반 데이터 침해 신고 최초 접수

스페인 개인정보보호기관(AEPD)이 AI 에이전트를 이용한 사이버 공격으로 인한 개인정보 침해 신고를 처음으로 접수했습니다. 공격에 사용된 AI 에이전트는 스스로 취약점을 탐색하고, 시스템에 로그인한 뒤 개인 데이터를 수정하고 재무 문서에까지 접근했습니다. AEPD는 AI가 새로운 위협을 만들어 내는 것은 아니지만, 공격의 속도·규모·적응력을 크게 높이고 방어자의 대응 시간을 줄인다고 경고했습니다. 기존 수동 공격을 전제로 설계된 대응 절차로는 AI 자율 에이전트의 동시다발적 공격에 대응하기 어렵습니다. 기업들은 디지털 신원·자격증명 보안을 강화하고, 탐지·차단·대응 체계를 자동화하는 방향으로 보안 모델을 즉시 재검토해야 합니다.

ISMS-P 인증심사 강화…현장심사·취약점 점검 확대

한국의 개인정보보호위원회가 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증심사 방식을 서류 위주에서 현장 직접 검증 중심으로 바꾸는 법령 개정안을 2026년 9월 16일부터 입법예고했습니다. 가장 큰 변화는 침해사고나 개인정보 유출이 발생한 기업에 대해 전문 기술인력이 현장에서 취약점 진단과 모의침투(해커처럼 직접 시스템을 공격해 허점을 찾는 테스트)를 수행할 수 있게 된다는 점입니다. 또한 개인정보 처리 규모가 크거나 사회적 파급력이 큰 기업에는 더 엄격한 보호 기준이 적용될 수 있는 근거도 마련됩니다. ISMS-P 인증 의무 대상 기업이 인증 취소를 받더라도 재취득 준비 기간 1년 동안 과태료 부과가 유예되는 규정도 새로 생깁니다. 의견 제출 기한은 10월 26일까지이며, 연내 고시 개정을 통해 제도 전반을 강화할 예정입니다.

뤼튼·테슬라코리아·딥시크·오픈AI·나이키, 개인정보 처리방침 후속 점검서 미흡 확인

개인정보보호위원회(개인정보위)가 2025년 개인정보 처리방침 평가에서 '미흡' 판정을 받은 기업들을 대상으로 후속 점검을 실시했습니다. 점검 결과, 뤼튼테크놀로지스·테슬라코리아·딥시크·오픈AI(OpenAI)·나이키(Nike) 5개 사업자가 여전히 개인정보 관련 이용자 문의에 제대로 응하지 않거나, 영어·중국어로만 답변하는 등 미흡한 부분이 확인됐습니다. 특히 해외 사업자들이 국내 이용자 민원 대응을 위해 지정한 '국내대리인'이 형식적으로만 운영되는 문제가 드러났습니다. 개인정보위는 해당 기업들에 권리행사 창구를 실질적으로 개선하도록 권고했으며, 앞으로도 처리방침 이행 여부를 지속 점검할 방침입니다.

#AI #개인정보 #개인정보위

중요기업

The Hacker News·2026. 09. 16.

Google, 제한적 표적 악용 징후 속 Pixel 모뎀 취약점 패치 배포

Google의 Pixel 스마트폰에 내장된 셀룰러 모뎀(휴대전화 통신 칩)에서 심각한 보안 취약점(CVE-2026-58704, CVSS 8.0)이 발견되었으며, 실제 제한적인 표적 공격에 이미 악용되고 있는 것으로 확인되었습니다. 이 취약점은 인접한 네트워크에서 사용자의 별도 조작 없이도 공격자가 더 높은 권한을 획득할 수 있게 해주는 권한 상승(privilege escalation) 공격을 허용합니다. Google은 이번 2026년 9월 업데이트에서 해당 취약점을 포함해 총 110개의 보안 취약점을 수정했으며, RCE(원격 코드 실행) 및 권한 상승 취약점이 다수 포함되어 있습니다. 보안 패치 레벨 2026-09-05 이상으로 업데이트하면 모든 취약점이 해결되므로, Pixel 기기 사용자는 즉시 최신 버전으로 업데이트할 것을 강력히 권고합니다.

#CVSS #RCE #개인정보

기업

ZDNet Korea·2026. 09. 16.

쿠팡, '개인정보 유출' 1인당 10만원 배상안 거부

쿠팡에서 지난해 11월 약 3,367만 명의 개인정보가 유출되는 사고가 발생했습니다. 피해 소비자들이 집단분쟁조정을 신청한 결과, 한국소비자원 소비자분쟁조정위원회는 쿠팡이 1인당 10만 원을 배상해야 한다는 조정안을 내렸습니다. 그러나 쿠팡은 이 조정안을 수용하지 않겠다고 서면으로 통보했습니다. 쿠팡 측은 이미 1조 6,850억 원 규모의 자발적 보상안을 이행했고 추가적인 2차 피해도 확인되지 않았다는 점을 거부 이유로 들었습니다. 조정안이 거부됨에 따라 피해자들은 별도의 소송 등 법적 절차를 통해 배상을 요구해야 할 상황이 됐습니다.

#개인정보 #개인정보 유출 #규제

공공

전자신문 보안·2026. 09. 16.

[IT메가비전 2026] "AI 보안도 국가 경쟁력"…정부, '약한 고리' 보완 시급

한국 정부 주요 부처 관계자들이 AI 시대 사이버 보안 강화를 위한 정책 과제를 논의했습니다. 과기정통부는 중소기업의 낮은 보안 역량이 향후 3~5년간 가장 위험한 약한 고리라고 지목하며, 기업 간 협력과 지원 확대 필요성을 강조했습니다. 행정안전부는 공공기관 간 보안 역량 격차를 줄이기 위해 사이버보안 실태점검 대상을 현행 400개에서 약 1,500개 기관으로 확대하고 정보보호 인력도 늘릴 계획이라고 밝혔습니다. 개인정보보호위원회는 AI 에이전트(사용자 대신 여러 시스템에 자동으로 접근하는 AI 소프트웨어)가 개인정보를 무단 수집하거나 악성 지시에 따라 외부로 전송할 위험이 있다고 경고하며, 최소 권한 부여와 활동 로그 관리 체계를 갖춰야 한다고 강조했습니다. 연말까지 AI 에이전트 관련 개인정보 보호 안내서를 발간할 예정입니다.

#AI #AI 보안 #AI 에이전트

중요기업

BleepingComputer·2026. 09. 16.

Google, Pixel 기기 대상 안드로이드 제로데이 취약점 적극 악용 확인 후 패치

Google가 2026년 9월 Pixel 기기용 보안 패치를 배포하며 총 110개의 취약점을 수정했습니다. 이 중 CVE-2026-58704라는 제로데이 취약점(패치 전에 이미 실제 공격에 악용된 취약점)이 표적 공격에 활발히 사용되고 있어 즉각적인 주의가 필요합니다. 이 취약점은 모뎀(Modem) 구성 요소의 코드 논리 오류로 발생하며, 같은 네트워크에 접근할 수 있는 공격자가 사용자의 별도 행동 없이도 기기의 권한을 높일 수 있습니다. Pixel 사용자는 설정 메뉴를 통해 즉시 업데이트를 적용해야 합니다.

#AI #RCE #개인정보

이전11 / 20다음