취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
기업무신사가 운영하는 이커머스 플랫폼 29CM에서 지난달 30일 약 15만 9,000건의 개인정보가 유출되는 사고가 발생했습니다. 이 사고의 여파로 무신사는 이달 18일 예정이었던 자체 테크 컨퍼런스 '무신사 패턴 '26'을 내년 상반기로 연기했습니다. 개인정보 유출(개인의 이름·연락처·주소 등 민감한 정보가 외부에 노출되는 사고)이 발생한 직후 대규모 기술 행사를 강행하기 부담스러웠던 것으로 풀이됩니다. 기업 보안 담당자 입장에서는 이커머스 플랫폼에서도 대규모 개인정보 유출이 발생할 수 있음을 보여주는 사례로 주목할 필요가 있습니다.
자세히 보기
기업국내 OTT 서비스 티빙에서 개인정보 유출 사고가 발생했으며, 피해를 입은 이용자를 대상으로 2026년 9월 7일부터 30일까지 보상 신청을 받고 있습니다. 보상 내용은 사이버 금융사기 피해를 최대 300만 원까지 보장하는 해킹·피싱 안심보험 1년 무료 가입, 3개월간 프리미엄 시청 기능, 티빙 포인트 50P(약 5,000원 상당) 등입니다. 탈퇴 회원도 재가입을 통해 보상을 신청할 수 있으며, 보상은 10월 6일부터 순차 지급될 예정입니다. 이번 사고는 기업이 외부 서비스에 저장된 고객 개인정보가 침해될 경우 어떤 후속 대응을 해야 하는지를 보여주는 사례입니다.
자세히 보기
기업하이브의 팬 플랫폼 '위버스'에서 약 42만 명의 회원 개인정보가 유출되는 사고가 발생했습니다. 유출된 정보에는 내부 식별번호와 구매 관련 정보(결제 수단, 금액, 일시 등)가 포함됐습니다. 외부 제보자가 보안 취약점을 한국인터넷진흥원(KISA)에 신고했고, 위버스컴퍼니는 즉시 API(외부와 데이터를 주고받는 통로) 접근 제어를 강화하고 KISA에 침해사고를 신고했습니다. 회사 측은 유출된 정보만으로는 결제 위조나 부정 이체가 어렵다고 밝혔으나, 불법 접근한 외부 행위자에 대해 법적 책임을 묻겠다고 경고했습니다.
자세히 보기
공공개인정보보호위원회(개인정보위)가 2027년도 예산안을 역대 최대 규모인 996억원으로 편성했습니다. 특히 개인정보 유출·침해 사실을 신고한 사람에게 지급하는 신고포상금으로 94억원이 새로 반영되어, 내부 은폐·축소 행위를 조기에 적발하는 데 활용될 예정입니다. 기업 보안 담당자 입장에서는 개인정보 침해 사고에 대한 정부의 감시와 조사 역량이 한층 강화된다는 점을 주목해야 합니다. 예방체계 구축, 디지털 포렌식, AI 환경에서의 개인정보 보호 등 전방위적인 투자가 이뤄지며, 위반 시 내부 고발을 통한 적발 가능성도 높아집니다.
자세히 보기
기타영국의 3개 공항(맨체스터, 런던 스탠스테드, 이스트미들랜즈)을 운영하는 맨체스터 에어포츠 그룹(MAG)이 사이버공격을 받아 약 870만 명의 고객 정보가 외부에 유출됐습니다. 공격자는 주차·라운지·패스트트랙 예약 및 와이파이 가입 정보가 저장된 시스템에 무단 접근해 이메일 주소, 전화번호, 차량 등록번호, 우편번호 등을 탈취했습니다. 금융정보(은행 계좌·결제카드)는 해당 시스템에 저장되어 있지 않아 노출되지 않았으며, 항공편 운항과 공항 운영에는 영향이 없었습니다. 공격자는 금전을 요구했으나 MAG가 지급을 거부한 것으로 알려졌고, 랜섬웨어로 시스템을 암호화한 공격은 아니었습니다. MAG는 피해 고객에게 이메일로 사고 사실을 알리고, 유출된 정보를 악용한 피싱(가짜 이메일·문자) 공격에 주의하도록 당부했습니다.
자세히 보기
중요공공독일 베를린 시 행정망이 랜섬웨어 조직 '리시다(Rhysida)'의 공격을 받아 실제 데이터가 외부로 유출된 사실이 확인됐습니다. 공격자는 약 5.79TB, 144만 개 파일을 탈취했다고 주장하며 30비트코인(BTC)의 몸값을 요구했지만, 베를린 시장은 "협박에 굴복하지 않겠다"고 선언했습니다. 유출된 자료에는 이름·이메일·IBAN(국제은행계좌번호)·비밀번호·인사기록·급여정보는 물론 상수도 관련 중요 인프라 보안 평가 자료까지 포함됐다고 공격자 측은 주장하고 있습니다. 리시다는 2023년부터 정부·의료·교육·제조·IT 분야를 대상으로 '데이터를 먼저 빼낸 뒤 몸값을 요구하는' 이중 협박 방식을 써온 조직입니다. 현재 베를린 경찰·검찰·독일 연방정보보안청(BSI)이 공조 수사 중이며, 행정 시스템은 보안점검 후 복구됐습니다.
자세히 보기
중요기업국내 OTT 서비스 티빙에서 대규모 개인정보 유출 사고가 발생했으며, 민관합동조사단이 조사 결과를 발표했습니다. 중복 포함 약 3,954만 개 계정의 이용자 정보와 함께 소스코드 등 기술자산 약 30GB가 외부로 유출됐습니다. 공격자는 개발자 접속키를 탈취해 개발환경에 침투한 뒤, 소스코드에 평문으로 저장된 운영환경 접속키를 확보해 실제 이용자 DB까지 접근했습니다. 비밀번호는 일방향 암호화로 복호화가 불가능하지만, 휴대전화 번호·이메일 주소 일부는 암호화키가 함께 유출되어 복호화가 가능한 상태입니다. 현재까지 스미싱·보이스피싱 등 2차 피해나 다크웹 유통 정황은 확인되지 않았으나, 정부는 티빙에 보안 체계 개선을 요구하고 과태료를 부과할 예정입니다.
자세히 보기
중요공공Thomson Reuters의 법원 사건 관리 소프트웨어인 C-Track이 2026년 3월부터 6월 말까지 비인가 접근을 당했습니다. 미국 11개 주, 미국령 버진아일랜드, 캐나다 온타리오 주의 법원 24곳 이상이 영향을 받았으며, 이름·사회보장번호(SSN)·운전면허번호·생년월일·의료 정보 등 민감한 개인정보가 유출됐을 수 있습니다. 특히 일부 법원에서는 봉인(비공개) 처리된 법원 문서의 기밀 정보도 영향을 받았을 가능성이 제기되고 있습니다. Thomson Reuters는 6월 30일 침해를 발견했으나 공개 통보는 9월 2일에야 이루어졌고, 현재 노스다코타 주를 중심으로 형사 수사가 진행 중입니다. 피해 규모·접근 방법·배후는 아직 밝혀지지 않았습니다.
자세히 보기
기업Plex가 자사 미디어 서버(Plex Media Server)와 데스크톱 클라이언트에서 여러 보안 취약점이 발견되었다며 사용자들에게 즉시 업데이트를 촉구했습니다. 아직 CVE(취약점 공식 번호)가 부여되지 않은 새로운 취약점들은 Plex Media Server 1.43.2 이하 버전에 영향을 미치며, Plex는 이를 해결한 1.43.3 버전과 Plex Desktop 1.115.0을 이미 배포한 상태입니다. 과거에도 Plex 관련 취약점이 실제 공격에 악용된 사례가 있는데, 2022년 LastPass 대규모 개인정보 유출 사고가 Plex의 원격코드실행(RCE) 취약점을 통해 시작되었다는 점에서 이번 경고의 심각성을 알 수 있습니다. Plex가 특정 취약점 해결을 이유로 사용자에게 직접 이메일을 보내는 것은 매우 드문 일로, 그만큼 중요한 보안 문제임을 시사합니다. 현재 패치가 공개되어 있으므로 영향을 받는 버전 사용자는 즉시 업데이트해야 합니다.
자세히 보기
중요기업국내 OTT 서비스 티빙(TVING)에서 약 3954만 개의 계정 정보가 유출되는 대규모 개인정보 침해 사고가 발생했습니다. 공격자는 개발자의 접속키(API 키) 하나를 탈취한 뒤, 소스코드에 평문으로 저장된 운영 서버 접속키를 연달아 확보해 실제 서비스 데이터베이스까지 침투했습니다. 이름·생년월일·휴대전화번호·이메일 등 70종의 정보가 유출됐으며, 일부는 암호화키와 함께 빠져나가 사실상 평문 유출과 같은 상태였습니다. 특히 2024년 모의해킹에서 이미 접속키 하드코딩 문제가 발견됐음에도 개선이 이루어지지 않았고, 첫 번째 이상 탐지 후에도 공격자의 우회 공격을 막지 못해 '기본 보안 통제의 총체적 실패'라는 평가를 받고 있습니다. 과기정통부는 24시간 내 신고 의무 위반을 이유로 최대 3000만 원의 과태료를 부과할 예정이며, 개인정보보호위원회의 추가 조사도 진행 중입니다.
자세히 보기
기업국내 온라인 동영상 서비스(OTT) 티빙에서 고객 개인정보가 유출되는 사이버 침해사고가 발생했으며, 민관합동조사단이 조사 결과를 발표했습니다. 티빙은 공식 사과와 함께 피해 고객에게 1인당 최대 300만원을 보상하는 안심보험을 포함한 보상 패키지를 발표했습니다. 재발 방지를 위해 2030년까지 정보보호 투자를 이전 5년 대비 약 4배로 늘리고, 보안 전문인력도 현재의 3배 수준으로 확충할 계획입니다. 보안 원칙은 제로 트러스트(모든 접근을 기본적으로 신뢰하지 않고 매번 검증하는 보안 개념)로 전환하며, AI 기반 실시간 탐지·자동 대응 체계도 도입합니다.
자세히 보기
중요의료암 치료 기기 전문 헬스테크 기업 Novocure가 8월 중순 사이버 공격을 받아 1,400명 이상의 미국 암 환자 데이터와 직원 연락처 정보가 외부에 노출됐습니다. 공격자는 환자 ID 번호에는 접근했지만 대부분의 환자 이름은 노출되지 않았고, 미국 서부 지역 50명 미만의 환자는 이름과 의료 제공자 정보까지 유출된 것으로 확인됐습니다. 이 공격은 ShinyHunters라는 해킹 그룹이 범행을 자처하며 33GB 분량의 파일을 유출했으며, 이 그룹은 최근 Oracle PeopleSoft 제로데이 취약점을 악용한 100곳 이상의 침해 사고와도 연루된 바 있습니다. Novocure 측은 의료 기기 및 운영 시스템은 정상적으로 작동 중이라고 밝혔으나, 랜섬웨어 협상 여부에 대해서는 아직 공식 입장을 내놓지 않았습니다. 이 사건은 최근 수백만 명의 환자 정보가 유출된 CareCloud, McKesson 등 일련의 의료 분야 사이버 공격과 맥락을 같이합니다.
자세히 보기