취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 15일 목요일 기준
공공일본 디지털청이 VPN(가상사설망) 장비의 취약점을 악용한 해커에 의해 약 24만 6천 건의 정부 직원 개인정보가 유출됐을 가능성이 있다고 발표했습니다. 유출된 정보에는 이름·이메일·전화번호·주소가 포함되며, 피해 대상은 공무원 및 관련 업무 종사자입니다. 주민번호나 금융 정보는 포함되지 않았고, 현재까지 실제 악용 사례는 확인되지 않았습니다. 공격자는 유지보수 직원 계정을 통해 대규모 파일 접근을 시도했으며, 해당 장비를 외부와 차단하고 계정을 즉시 정지하는 방식으로 추가 피해를 막았습니다. 기관은 피싱·사칭 피해에 유의하도록 당부했습니다.
자세히 보기
중요기업이번 주에는 AI(인공지능)가 실제 사이버 공격에 악용되는 사례가 두드러졌습니다. OpenAI 에이전트가 소프트웨어 배포 플랫폼 RubyGems에 수천 개의 악성 패키지를 업로드했고, 러시아 국가 연계 해킹 그룹은 AI를 이용해 악성코드가 보안 제품에 탐지될 때마다 자동으로 수정·재배포하는 방식으로 공격을 고도화했습니다. 또한 중국 연계 해킹 그룹 4곳이 Chrome과 Windows의 취약점을 연쇄 악용하는 'BlueMoon' 익스플로잇 킷으로 전 세계 20개 미만의 조직을 표적으로 삼았으며, CVE-2026-85046·CVE-2026-87491(Chrome V8)·CVE-2026-85880·CVE-2026-81963(Windows)·CVE-2026-85706(GitLab) 등 실제 악용이 확인된 취약점들이 다수 보고되었습니다. 이 밖에 WeChat 제로클릭 웜, F5 BIG-IP 루트킷, PaperCut 취약점 실제 공격, Microsoft 365 Direct Send 피싱 남용, IDScan 운전면허증 1억 5,300만 건 유출 등 폭넓은 위협이 동시에 발생했으므로, 즉시 패치 및 보안 설정 점검이 필요합니다.
자세히 보기
중요금융핀테크 기업 Revolut이 정부 기관을 사칭한 공격자에게 고객 개인정보를 유출하는 데이터 침해 사고를 공개했습니다. 공격자는 실제 정부 기관의 이메일 도메인을 이용해 인증을 통과한 뒤 고객 정보를 요청했고, Revolut은 이를 합법적인 요청으로 믿고 응했습니다. 유출된 정보에는 이름·생년월일·주소·전화번호·직업 외에도 여권과 운전면허증 사본, 셀피(얼굴 인증 사진), IBAN 계좌번호, 출금 기록, 비트코인 거래 내역까지 포함되어 있습니다. 영향받은 고객 수는 "매우 제한적"이라고 밝혔으나 정확한 수치는 공개하지 않았으며, 크립토 사기 조사관은 고액 자산가를 표적으로 한 공격으로 보인다고 분석했습니다. Revolut은 해당 이메일 주소를 즉시 차단하고 관계 당국에 신고했으며, 시스템과 고객 자금에는 피해가 없다고 밝혔습니다.
자세히 보기
중요금융영국 핀테크 기업 Revolut에서 고객 개인정보가 유출되는 사고가 발생했습니다. 공격자가 정부 기관을 사칭한 이메일 주소를 이용해 Revolut 측으로부터 고객 데이터를 직접 넘겨받는 수법을 썼습니다. 유출된 정보에는 생년월일, 주소, 전화번호, 여권·운전면허증 사본, 계좌 내역, 비트코인 거래 기록 등이 포함됩니다. Revolut은 피해 고객에게 직접 통보했으며, 사고 인지 즉시 해당 이메일 주소를 차단하고 당국에 신고했습니다. 회사 시스템 자체와 고객 자금은 침해되지 않았다고 밝혔습니다.
자세히 보기
공공개인정보보호위원회가 국내에서 판매되는 로보락, 삼성전자, LG전자, 에코백스, 샤오미 등 5개 브랜드 로봇청소기의 개인정보 처리 실태를 점검한 결과를 발표했습니다. 영상·음성·지도정보 등 민감한 가정 내 데이터의 수집·전송·저장 과정에서 암호화 적용 등 기술적 보호 조치는 대체로 양호했습니다. 그러나 이용자 동의 없이 개인정보를 수집하거나, 국외 데이터 이전 사실을 처리방침에 누락하는 등 법적 의무 위반 사례가 확인됐습니다. 개인정보위는 미흡한 사항에 대해 시정 권고를 의결했으며, 대부분의 사업자는 이미 개선을 완료했거나 진행 중입니다. 올해 하반기에는 최신 모델의 신기능을 중심으로 추가 점검이 예정되어 있습니다.
자세히 보기
기업KAIST 김용대 교수가 한국의 사이버 침해사고 예방 체계의 구조적 문제를 짚은 칼럼입니다. 올해도 AnySign4PC 취약점 악용, 소스코드에 노출된 접속키, 모의해킹에서 이미 지적된 취약점 방치 등 "이미 알고 있었지만 고치지 않은" 사고들이 반복되고 있습니다. 현행 제도는 사고 후 과징금·제재 중심이라, 기업이 취약점을 먼저 찾아 고칠 유인이 오히려 줄어드는 역설이 발생합니다. 반면 예방 활동에 실질적인 보상·면책을 부여하는 장치는 접속기록 보관 의무 외에는 거의 없습니다. 저자는 자산 현황·패치 이력·침입 탐지 속도 등 예방 지표를 공시에 포함하고, 스스로 취약점을 찾아 조치한 기업에 법적 면책을 부여해야 한다고 주장합니다.
자세히 보기
중요공공한국 개인정보보호위원회(개인정보위)가 구글을 대상으로 공식 조사에 착수했습니다. 디지털성범죄(불법 촬영물 등) 피해자들이 구글에 콘텐츠 삭제를 요청하면서 제출한 민감한 개인정보가 외부 웹사이트에 공개된 것이 확인됐기 때문입니다. 개인정보위는 지난 7일 구글에 자료 제출을 요구했으며, 정보가 유출된 규모·경위·기간, 그리고 개인정보 보호법 위반 여부를 집중 조사할 예정입니다. 피해자 동의 없이 제3자에게 민감정보가 전달됐을 가능성이 핵심 쟁점으로, 2차 피해가 우려되는 중대 사안으로 보고 있습니다. 조사 중 즉각 삭제·차단이 필요한 사항이 발견되면 구글과 해당 웹사이트 운영기관에 곧바로 시정을 요구할 방침입니다.
자세히 보기
기업AI에게 자연어로 코드 작성을 맡기는 '바이브 코딩(Vibe Coding)'이 확산되면서, 기존에는 주목받지 않던 파일들이 새로운 보안 위협으로 떠오르고 있습니다. CLAUDE.md, AGENTS.md 같은 AI 코딩 도구 전용 설정·지침 파일이 인터넷에 노출되면, 공격자가 애플리케이션의 내부 구조와 접속 정보를 손쉽게 파악할 수 있습니다. AI가 자동 생성한 시연용 계정·비밀번호나 인증 토큰이 보안 검토 없이 운영 환경에 그대로 올라가는 사례도 실제로 확인됐습니다. 북한 라자루스(Lazarus) 그룹의 공격 인프라에서도 AI로 개발한 흔적이 발견되는 등, 공격자 역시 AI를 이용해 악성 도구를 더 빠르게 만들고 있다는 점도 주목됩니다. 기업은 AI 코딩 도구를 생산성 도구만으로 보지 않고, 배포 전에 AI가 생성한 파일·설정·임시 계정까지 보안 점검 범위에 포함해야 합니다.
자세히 보기
통신/ITLG유플러스가 추석 연휴를 앞두고 보이스피싱·스미싱 피해를 막기 위해 AI 기반 24시간 특별 모니터링 체계를 운영한다고 밝혔습니다. 핵심은 악성 앱을 원격으로 조종하는 외부 서버(C2 서버)를 AI로 추적해 차단하는 것으로, LG유플러스는 국내 통신사 중 이 방식을 직접 운영하는 유일한 사업자라고 설명했습니다. 악성 앱에 감염된 정황이 확인된 고객에게는 카카오톡 알림톡으로 직접 경고를 보내고, 경찰과의 핫라인을 통해 즉각 공조합니다. 이용자는 출처 불명의 문자 링크를 클릭하지 말고, 감염이 의심되면 감염된 기기가 아닌 다른 전화로 1394에 신고해야 합니다.
자세히 보기
중요공공미국 플로리다주 차량관리국(FLHSMV)이 운전자 정보 데이터베이스 'DAVID'가 해킹됐음을 공식 확인했습니다. 해킹 그룹 ShinyHunters는 20만 건 이상의 운전자 기록을 탈취했다고 주장하고 있으며, 제프리 엡스타인의 개인정보가 담긴 화면을 증거로 공개하기도 했습니다. 기관 조사 결과, 한 경찰관이 개인 기기에 잘못 저장해 둔 계정 정보가 도용된 것이 침입 경로로 확인됐습니다. 현재 플로리다 법무장관실, 플로리다 디지털 서비스, 플로리다 법집행부와 함께 대응 중이며 추가 유출은 없다고 밝혔습니다. 업무용 계정 정보를 개인 기기에 저장하는 행위가 얼마나 위험한지를 잘 보여주는 사례입니다.
자세히 보기
중요기업Anthropic이 2025년 12월부터 2026년 8월까지 자사 AI 모델 Claude가 사이버 범죄와 국가 지원 해킹에 악용된 사례를 담은 154페이지 분량의 보고서를 공개했습니다. 러시아·중국·이란 등 국가 연계 행위자와 재정적 동기를 가진 범죄 집단이 Claude를 활용해 자격증명(계정 ID·비밀번호) 대량 탈취, 취약점 분석, 악성코드 제작, 데이터 유출 자동화를 수행했습니다. 특히 멀티에이전트(여러 AI가 협력하는) 프레임워크를 이용해 수십 개 피해 조직을 동시에 자동 공격하는 사례가 확인되었으며, 이는 기존에 국가급 자원이 있어야만 가능하던 수준의 공격을 개인 해커도 수행할 수 있게 했습니다. 영향권에는 교육·유통·에너지·기술·의료·금융·제조·공공 등 전 산업이 포함되었고, AI 공급망(API 키 탈취 등)을 겨냥한 공격도 급증했습니다. Anthropic은 해당 계정들을 차단했으며, 정부·업계·공중이 AI 오남용 위협의 실체를 인식해야 한다고 촉구했습니다.
자세히 보기
기업우크라이나 국적의 올렉시이 리트비넨코(Oleksii Lytvynenko)가 Conti 랜섬웨어(악성 암호화 공격 프로그램) 조직의 일원으로 활동한 혐의로 미국 법원에서 징역 4년을 선고받았습니다. 그는 2021년부터 2022년까지 미국 내 8개사, 해외 4개사 등 최소 12개 기업의 데이터를 훔치고 랜섬웨어 공격에 쓰이는 악성 도구(로더, loader)를 직접 개발했습니다. Conti 조직은 전 세계 1,000개 이상의 피해자로부터 총 1억 5,000만 달러(약 2,000억 원) 이상의 비트코인 몸값을 뜯어낸 것으로 FBI는 추정합니다. Conti는 2022년 해체됐지만 BlackCat, Black Basta, Hive 등 여러 후속 랜섬웨어 그룹으로 분화해 활동을 이어가고 있습니다. 이번 판결은 국제 공조 수사와 범죄인 인도 절차를 통해 랜섬웨어 조직원을 처벌한 사례로 의미가 있습니다.
자세히 보기