취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
기타명절 대목을 노려 전통시장과 소규모 매장의 QR 결제판에 가짜 QR 스티커를 몰래 붙이는 '물리적 큐싱(Physical Qshing)' 범죄가 늘고 있습니다. 소비자가 해당 QR을 스캔하면 피싱(사기) 결제 페이지로 연결되거나 악성 앱이 설치되어, 결제 금액이 상인이 아닌 범죄 조직의 대포통장으로 빠져나갑니다. 이 공격은 인터넷 네트워크가 아닌 오프라인 물리 환경을 노리기 때문에 일반적인 방화벽이나 보안 솔루션으로는 사전에 막기가 어렵습니다. 결제 전 QR판 표면을 손으로 만져 스티커가 붙어 있는지 확인하고, 수취인 이름이 가게 상호와 일치하는지 상인에게 직접 확인하는 습관이 중요합니다.
자세히 보기
중요기업EvilTokens는 2026년 2월 등장한 피싱 대행 서비스(PhaaS, 피싱 공격을 구독 방식으로 판매하는 플랫폼)로, 전 세계 10,000개 이상 조직에서 Microsoft 계정 12,000개 이상을 탈취했습니다. 이 플랫폼은 '디바이스 코드 피싱'이라는 기법으로 다중 인증(MFA)을 우회해 인증 토큰을 훔치고, AI를 이용해 침해된 메일함에서 임원 서신·이체 정보 등 고가치 데이터를 자동으로 찾아냈습니다. Microsoft 디지털 범죄 수사팀(DCU)과 법집행기관이 공조해 인프라를 압수하고 영국에서 운영자 2명을 체포했으나, 완전한 서비스 차단은 아니어서 위협은 여전히 존재합니다. 피해 조직은 도매·건설·금융·부동산·교육·의료 등 다양한 업종에 걸쳐 있으며, 침해 계정의 97.5%가 기업 도메인 소속이었습니다. 조직은 불필요한 디바이스 코드 인증을 비활성화하고 FIDO2 보안 키 같은 피싱 저항성 인증 방식으로 전환해야 합니다.
자세히 보기
중요기업가트너(Gartner) 조사에 따르면, 최근 12개월 동안 CISO(최고정보보호책임자)의 41%가 음성 통화에서, 36%가 화상 통화에서 딥페이크(AI로 만든 가짜 음성·영상)를 이용한 사회공학 공격을 경험했습니다. 공격자들은 이메일, 전화, 화상회의, 협업 도구를 넘나들며 복합적으로 사람을 속이고 있어, 단순히 "가짜를 구분하는 교육"만으로는 방어가 어렵습니다. 실제로 2024년 홍콩에서는 한 직원이 딥페이크 화상회의에 속아 2,500만 달러(약 330억 원)를 이체하는 사고가 발생했습니다. 가트너는 계정 복구·권한 승인·결제 등 위험도 높은 업무에 피싱 저항성 인증과 다채널 검증 절차를 도입할 것을 권고합니다. AI 생성 콘텐츠 탐지 기술만으로는 갈수록 정교해지는 딥페이크를 따라잡기 어렵기 때문에, 조직 전체의 인증 및 대응 체계를 재정비하는 것이 시급합니다.
자세히 보기
기업CSC가 IP(지식재산권) 법률 전문 고위 임원 300명을 대상으로 조사한 2026년 보고서에 따르면, 기업을 노리는 온라인 사칭·피싱·도메인 악용 위협이 빠르게 늘고 있습니다. 특히 링크드인(LinkedIn)에서 가짜 CEO 계정이 구직자에게 접근해 개인정보를 빼내는 임원 사칭 공격이 보고되고 있습니다. AI 기술이 확산되면서 로고·목소리 등 디지털 자산을 정교하게 위조하는 것이 훨씬 쉬워졌고, 응답자의 90%가 AI로 인해 IP 침해 빈도가 증가했다고 답했습니다. 2026 FIFA 월드컵을 앞두고 'FIFA'가 포함된 제3자 도메인 65,590개가 등록된 사례처럼, 대형 이벤트를 악용한 사기 캠페인도 지속되고 있습니다. 기업 보안·법무·IT 담당자는 임원 사칭, 브랜드 위조, AI 기반 피싱에 대한 모니터링 체계를 강화할 필요가 있습니다.
자세히 보기
중요기업국내 남성 패션 플랫폼 룩핀(LOOKPIN)에서 대규모 개인정보 유출 사고가 발생했습니다. 해커는 다크웹 포럼에 약 270만 명의 고객 정보와 1100만 건의 주문 데이터를 판매한다는 게시물을 올렸으며, 룩핀은 2026년 9월 16일 외부의 비정상적인 접근을 확인하고 해킹 사실을 공식 인정했습니다. 유출된 정보에는 이메일, 휴대전화번호, 암호화된 비밀번호, 접속 IP, 배송지·주문 내역, 환불계좌, 개인통관고유부호 등 광범위한 항목이 포함돼 있습니다. 실제 거래 정보까지 유출됐기 때문에 배송·환불을 사칭한 맞춤형 스미싱(문자 피싱)·피싱 공격으로 악용될 우려가 큽니다. 피해 고객은 비밀번호를 변경하고 의심 문자·링크를 클릭하지 않도록 주의해야 합니다.
자세히 보기
기업보안기업 Akamai가 30일간 전 세계 고객 트래픽을 분석한 결과, ChatGPT 등 AI 크롤러들이 단순히 웹페이지를 읽는 것을 넘어 로그인·장바구니·결제 같은 실제 거래 동작을 유발하는 'POST 요청'을 대량으로 보내고 있음이 확인됐습니다. 이커머스가 해당 AI 봇 POST 요청의 44.8%, 여행 업종이 30%를 차지했습니다. 또한 AI 모델과 외부 서비스를 연결하는 표준 규약인 MCP(Model Context Protocol)가 새로운 공격 표면으로 부상하고 있으며, 인증 없이 접근 가능한 서비스와 개인정보 노출 위험이 지적됐습니다. 기업 보안 담당자는 자사 로그에서 AI 봇의 행동 유형을 직접 확인하고, 봇 탐지 및 트랜잭션 모니터링 체계를 갖춰야 할 시점입니다.
자세히 보기
중요제조해외 다크웹 포럼에 울산 소재 산업제어시스템(ICS·공장 설비를 자동으로 제어하는 컴퓨터 시스템)의 접근 권한을 판매한다는 글이 올라왔습니다. 판매자는 로크웰오토메이션의 PLC(공정 제어 장치) 모델명, 통신 프로토콜, 내부 제어 태그 23개에 인증 없이 읽기·쓰기가 가능하다는 구체적인 정보를 제시했습니다. 사실로 확인될 경우 외부 공격자가 공장 설비의 동작을 원격으로 변경할 수 있어 생산 중단이나 설비 오작동 등 물리적 피해로 이어질 수 있습니다. 현재로서는 게시자의 주장이 사실인지, 허위·사기성 게시물인지 독립적으로 확인되지 않았으나 구체성이 높아 관련 기관과 기업의 즉각적인 점검이 권고됩니다. CISA(미국 사이버보안·인프라보안국)도 ICS 장비를 인터넷에 직접 노출하지 말고 방화벽 뒤에 격리할 것을 지속 권고하고 있습니다.
자세히 보기
기업사기꾼들이 단돈 249달러짜리 웹사이트 제작 툴킷을 이용해 연간 최대 2,000달러짜리 가짜 AI 구독 서비스를 판매하는 사기 네트워크가 발견됐습니다. 이 사이트들은 GPT-6 Astra, PixAI 등 실존하는 AI 서비스 이름을 도용하고, 진짜 Google 로그인 화면을 연결해 이용자들이 정식 서비스로 착각하게 만듭니다. Malwarebytes는 이런 방식으로 구축된 사이트 100개 이상을 확인했으며, 모두 동일한 개발자 정보와 파일 구조를 공유해 단일 운영자나 연계 집단의 소행으로 추정됩니다. Google 로그인이 성공했다고 해서 그 서비스가 신뢰할 수 있다는 뜻은 아니며, 실제로 구독 비용을 지불한 후 환불이나 분쟁 해결이 매우 어렵습니다. 사이트 URL이 원하는 제품의 공식 주소와 일치하는지 반드시 직접 확인하는 것이 중요합니다.
자세히 보기
금융추석 명절을 앞두고 택배·결제 내역을 사칭한 피싱 문자가 급증하고 있습니다. 에버스핀이 9월 1일~21일 국내 주요 금융사에서 수집한 탐지 데이터를 분석한 결과, 총 1,381건의 위험 악성 앱이 발견됐으며 그중 65%는 공공·금융기관을 사칭해 추가 악성 앱 설치를 유도하는 방식이었습니다. 악성 앱이 설치되면 연락처·문자·사진 등 개인정보가 탈취되거나, 전화가 범죄자에게 그대로 연결되는 '전화 가로채기' 피해를 입을 수 있습니다. 피싱 링크를 눌렀다고 해서 즉시 피해가 발생하는 것은 아니며, 가짜 사이트에서 개인정보를 입력하거나 악성 앱에 권한을 허용하는 순간이 실제 피해의 분기점입니다. '보안', '업데이트' 같은 단어가 앱 이름에 포함되어 있어도 안전을 보장할 수 없으므로, 출처 불명의 앱 설치 및 권한 허용을 절대 하지 않는 것이 최선의 예방책입니다.
자세히 보기
공공국회 과학기술정보방송통신위원회가 올해 국정감사에 개인정보 유출사고를 일으킨 기업들의 최고경영자(CEO)를 증인으로 소환합니다. 티빙, 메타코리아, 우아한형제들(배달의민족), 듀오, 토스페이먼츠 등 5개사 CEO가 국감장에 서게 됩니다. 전체 증인 29명 중 12명이 개인정보 침해·유출 관련 인사로, 이번 국감에서 개인정보 보호 문제가 핵심 의제임을 보여 줍니다. 이동통신 3사와 쿠팡의 정보보호최고책임자(CISO)도 주요 증인으로 채택됐습니다. 이는 개인정보 유출에 대한 정부와 국회의 강화된 책임 추궁 기조를 반영하며, 기업 보안 담당자들이 주목해야 할 규제 동향입니다.
자세히 보기
기업이커머스 플랫폼 BigCommerce에 연동된 제3자 앱 Ribon의 인증 키가 탈취되어, 공격자가 여러 온라인 쇼핑몰에 악성 스크립트를 심고 고객 개인정보에 접근하는 사건이 발생했습니다. 피해는 2026년 9월 13일부터 17일 사이에 발생했으며, 유출된 정보에는 고객 성명·이메일·전화번호·배송 주소가 포함됩니다. BigCommerce 플랫폼 자체가 뚫린 것은 아니며, 결제 카드 정보와 비밀번호는 별도 저장되어 피해를 면했습니다. BigCommerce는 이상을 확인한 즉시 해당 앱을 제거하고 피해 판매자들에게 통보했으며, 수백 개의 쇼핑몰이 영향을 받았을 가능성도 제기되고 있습니다. 이번 사건은 제3자 앱의 API 인증 키 관리가 얼마나 중요한지를 보여주는 공급망(supply chain) 침해 사례입니다.
자세히 보기
기타FBI(미국 연방수사국)가 경찰관·연방 요원을 사칭해 피해자를 협박하는 보이스피싱 사기에 대한 경보를 업데이트했습니다. 2025년 1월부터 2026년 7월까지 신고된 피해액만 16억 달러(약 2조 원)를 넘었습니다. 사기범들은 체포·기소 위협, 배심원 불출석, 면허 만료 등의 명목으로 선불카드·암호화폐·현금 송금 방식의 즉각적인 납부를 요구합니다. AI 기술까지 활용해 속임수가 더욱 정교해지고 있으며, 의료인·이민자·유학생 등 특정 집단을 노린 맞춤형 수법도 확인됩니다. 실제 정부 기관은 전화·문자로 결제를 요구하거나 개인정보를 묻지 않으니, 이런 연락을 받으면 공식 채널로 직접 확인해야 합니다.
자세히 보기