취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
기업카카오게임즈에서 140명의 이용자 개인정보가 외부로 유출되는 사고가 발생했습니다. 유출된 정보는 파트너스 서비스의 타사 식별코드·아이디, RINK 서비스의 자사 식별코드와 국가코드이며, 비밀번호는 유출되지 않았습니다. 회사 측은 비정상적 외부 접근을 확인한 즉시 해당 경로와 계정을 차단하고 보안 강화 조치를 취했습니다. 개인정보보호위원회 등 관계기관에 신고하고 외부 보안 전문기관과 함께 원인 조사를 진행 중입니다. 피해 이용자에게는 의심스러운 비밀번호 변경 요청이나 출처 불명 링크·첨부파일을 주의하도록 권고했습니다.
자세히 보기
기업미국 법무부(DoJ)가 수십만 건의 DDoS(분산 서비스 거부) 공격에 사용된 불법 서비스 'NightmareStresser'의 도메인 2개를 압수했습니다. NightmareStresser는 겉으로는 '서버 부하 테스트 도구'를 표방했지만, 실제로는 돈을 받고 원하는 대상에게 DDoS 공격을 대신 해주는 '부터(booter)' 서비스였습니다. 2022년부터 전 세계 교육기관·정부기관·게임 플랫폼 등을 대상으로 수십만 건의 공격에 활용됐으며, 가입자만 56만 6천 명이 넘을 정도로 규모가 컸습니다. 이번 조치는 전 세계 DDoS 범죄 인프라를 해체하기 위한 국제 공조 작전 'Operation PowerOFF'의 일환으로, FBI·캐나다 기마경찰(RCMP) 등이 참여했습니다. 지금까지 이 작전을 통해 100개 이상의 도메인이 압수되고 12명이 기소됐습니다.
자세히 보기
기업스페인 개인정보보호청(AEPD)이 AI 에이전트를 공격 도구로 사용한 개인정보 침해 사건을 처음으로 공식 접수했습니다. 공격자는 AI 에이전트에 목표를 지시했고, 에이전트는 스스로 취약점을 찾아 시스템에 침투한 뒤 개인정보와 결제 기록에 접근했습니다. AI가 완전히 새로운 공격 방식을 만든 것이 아니라, 기존 해킹 단계(취약점 탐색→로그인→내부 이동→데이터 탈취)를 훨씬 빠르고 자동화된 방식으로 수행한 점이 핵심입니다. 이로 인해 기존 보안관제 시스템이 대응할 시간이 크게 줄어들 수 있다는 경고가 나왔습니다. 국내 기업과 공공기관도 계정 이상 징후, 취약점 탐색, 데이터 접근을 개별 사건이 아닌 하나의 공격 흐름으로 묶어 탐지하는 체계를 점검할 필요가 있습니다.
자세히 보기
중요금융KREMLIN이라는 멀웨어 툴킷이 Chrome과 Edge 브라우저에 사용자 승인 없이 악성 확장 프로그램을 강제로 설치합니다. 이 멀웨어는 브라우저가 민감한 설정을 보호하는 데 쓰는 암호화 키를 빼내어 무결성 검사(위변조 여부를 확인하는 절차)를 통째로 속이는 방식을 사용합니다. 설치된 확장 프로그램은 비밀번호·쿠키·세션 토큰을 탈취하고 키로깅(입력 내용 기록), 스크린샷 캡처, HTTP 요청 가로채기까지 수행합니다. 2025년 5월부터 활동 중인 브라질 기반 조직이 12개 은행을 사칭한 가짜 문서로 피해자를 유인하며, 현재까지 1,515개 시스템 감염이 확인되었습니다. Elastic Security Labs가 멀웨어의 안티샌드박스 도메인을 선점 등록해 현재 캠페인은 차단된 상태이며, 침해지표(IOC)와 공격 기법을 공개했습니다.
자세히 보기
중요기업Mandiant와 Google 위협 인텔리전스 그룹(GTIG)이 발표한 보고서에 따르면, 기업에서 활용하는 AI 에이전트가 새로운 사이버 보안 위협의 경로가 되고 있습니다. 공격자들은 AI를 이용해 취약점을 찾고, AI 개발 도구(코딩 보조 AI, 보안 스캐너 등)에 악성 명령을 몰래 심는 '프롬프트 인젝션(AI에게 의도하지 않은 명령을 내리는 공격)' 기법을 활용하고 있습니다. 실제로 한 기업에서는 AI 에이전트가 오작동으로 1시간도 안 되어 1만 5천 건 이상의 API 호출을 반복해 약 5만 달러(한화 약 7천만 원)의 클라우드 요금이 발생하기도 했습니다. 공격자가 없어도 통제 미흡만으로 심각한 피해가 생길 수 있는 만큼, AI 사용 범위와 접근 권한에 대한 명확한 거버넌스와 기술적 통제가 필요합니다. 기업은 AI 소프트웨어 공급망 전반에 걸쳐 보안을 강화하고, AI 에이전트의 행동을 실시간으로 모니터링해야 합니다.
자세히 보기
기타나이지리아 기반의 악명 높은 사이버범죄 조직 Black Axe의 핵심 지도자 5명이 남아프리카공화국에서 체포된 후 미국으로 송환되어 전신사기(Wire Fraud) 및 자금세탁 혐의로 기소됐습니다. 이들은 2011년부터 2021년까지 SNS와 온라인 데이팅 앱을 통해 미국 피해자들에게 접근해 로맨스 사기와 선불금 사기를 저질렀으며, 송금을 거부하는 피해자에게는 민감한 사진 유포 등의 협박을 가했습니다. 유죄 판결 시 최대 42년의 징역형에 처할 수 있습니다. 지난달에는 국제 공조 작전 'Operation Jackal IV'를 통해 22개국 법집행 기관이 협력해 관련자 58명을 추가 체포하는 등 이 조직에 대한 글로벌 단속이 이어지고 있습니다. 1977년 나이지리아에서 창설된 Black Axe는 3만 명 이상의 등록 회원을 둔 세계 최대 규모의 사이버범죄 조직 중 하나입니다.
자세히 보기
중요금융롯데카드에서 고객 297만 명의 개인 신용정보가 해킹으로 유출된 사고로, 금융당국이 내린 1.5개월 영업정지 처분이 9월 15일 종료됐습니다. 금융감독원 조사 결과 보안 패치 미적용, 주민등록번호와 비밀번호 암호화 미이행, 백신 소프트웨어 미설치 등 기본적인 보안 의무 위반이 확인됐고, 로그 파일에 개인정보가 평문으로 기록돼 있었습니다. 금융위원회와 개인정보보호위원회는 각각 50억 원, 96억 2천만 원의 과징금을 부과했습니다. 해킹으로 인한 정보유출을 이유로 금융회사가 업무정지를 받은 것은 이번이 처음으로, 금융권 전체에 보안관리 책임을 강화하는 선례가 됐습니다. 9월 11일부터는 개정 개인정보보호법이 시행돼 반복·고의 유출 시 전체 매출액의 최대 10%까지 징벌적 과징금이 부과될 수 있습니다.
자세히 보기
중요기업이번 주에는 AI(인공지능)가 실제 사이버 공격에 악용되는 사례가 두드러졌습니다. OpenAI 에이전트가 소프트웨어 배포 플랫폼 RubyGems에 수천 개의 악성 패키지를 업로드했고, 러시아 국가 연계 해킹 그룹은 AI를 이용해 악성코드가 보안 제품에 탐지될 때마다 자동으로 수정·재배포하는 방식으로 공격을 고도화했습니다. 또한 중국 연계 해킹 그룹 4곳이 Chrome과 Windows의 취약점을 연쇄 악용하는 'BlueMoon' 익스플로잇 킷으로 전 세계 20개 미만의 조직을 표적으로 삼았으며, CVE-2026-85046·CVE-2026-87491(Chrome V8)·CVE-2026-85880·CVE-2026-81963(Windows)·CVE-2026-85706(GitLab) 등 실제 악용이 확인된 취약점들이 다수 보고되었습니다. 이 밖에 WeChat 제로클릭 웜, F5 BIG-IP 루트킷, PaperCut 취약점 실제 공격, Microsoft 365 Direct Send 피싱 남용, IDScan 운전면허증 1억 5,300만 건 유출 등 폭넓은 위협이 동시에 발생했으므로, 즉시 패치 및 보안 설정 점검이 필요합니다.
자세히 보기
중요기업Microsoft가 두 가지 사이버 공격 캠페인을 공개했습니다. 첫 번째는 생성형 AI를 활용해 CEO를 사칭한 이메일로 100만 건 이상의 금융 사기를 시도한 사건이고, 두 번째는 '패스키(Passkey) 업데이트'를 빙자해 직원을 속여 마이크로소프트 클라우드 계정을 탈취하는 공격입니다. 두 번째 공격에서 해커들은 피해자의 개인 전화번호로 IT 헬프데스크를 사칭해 연락한 뒤 가짜 사이트로 유도해 계정을 장악하고, 이후 SharePoint·OneDrive·이메일 등에서 대규모로 데이터를 빼냈습니다. 공격자들은 자신의 다중 인증(MFA) 수단을 피해자 계정에 등록해 지속적인 접근 권한을 유지했기 때문에, 피해자가 비밀번호를 바꿔도 계속 접속할 수 있었습니다. 조직 내 금융 담당자와 일반 직원 모두 표적이 될 수 있으므로, MFA 등록 내역 모니터링과 Graph API 사용 행위 분석이 시급합니다.
자세히 보기
기업미국 NSA·CISA·FBI 세 기관이 공동 사이버보안 권고문(AA26-251A)을 발표하며, 딥시크·문샷AI·알리바바 등 중국 AI 기업 6곳이 Claude·GPT·Gemini·Grok 같은 미국 대형 AI 모델에서 수십억 개의 토큰을 무단으로 뽑아내 자사 모델 훈련에 사용했다고 지목했습니다. 주목할 점은 이 권고문이 '증류(distillation, 큰 모델의 출력을 학습 데이터로 삼아 다른 모델을 만드는 기법)' 행위를 단순 약관 위반이 아닌 MITRE ATLAS(AI 공격 기법 분류체계)에 매핑된 공격으로 격상시켰다는 것입니다. 또한 AI 제공사에게 의심 계정에는 몰래 성능을 낮춘 응답을 제공하되, 그 사실을 해당 사용자에게 알리지 말라고 권고해, 정상적으로 API를 사용하는 기업 고객도 영문도 모른 채 품질 저하를 겪을 수 있는 위험이 생겼습니다. 기업 실무자는 자체 회귀 테스트 세트를 구성하고, API 경로를 단순화하며, 계정을 개인 인증 단위로 분리하는 대응이 필요합니다.
자세히 보기
기업기업에서 AI 도구 사용이 늘면서 보안관제(SOC)에 새로운 유형의 경보가 폭발적으로 증가하고 있습니다. 분석된 AI 관련 경보의 94.1%는 오탐(실제로는 위협이 아닌 정상 행동)이었고, 5.8%는 실질적 보안 위험, 0.02%만 실제 공격이었습니다. 가장 큰 위협은 AI가 직접 침해를 일으키는 것이 아니라, 개발자들이 AI 에이전트를 권한 확인 없이 실행하는 설정(--yolo 등)이나, OAuth를 통해 외부 AI 서비스에 기업 데이터를 공유하는 것처럼 '조용한 노출'이 쌓이는 것입니다. 보안팀은 AI 정상 행동을 오탐하는 구식 탐지 규칙을 먼저 조정하고, 권한 우회 설정·무단 터널·위험한 OAuth 허용 여부를 선제적으로 점검해야 합니다.
자세히 보기
중요기업러시아·중국 국가지원 해킹 그룹과 금전적 동기를 가진 ShinyHunters 일당이 Anthropic의 Claude AI를 악용해 대규모 사이버 공격을 벌였습니다. ShinyHunters 소속 공격자는 AI의 도움으로 180만 개의 안드로이드 앱(APK)을 자동으로 분석해 하드코딩된 비밀 정보를 추출하고, 34시간 만에 2,100개 이상의 Azure AD(마이크로소프트 기업 계정 인증 시스템) 토큰을 탈취했습니다. 러시아의 Midnight Blizzard는 탐지될 때마다 자동으로 다시 만들어지는 악성코드를 Claude로 개발했으며, 중국어권 그룹 GTG-10007은 AI로 자율 취약점 연구 워크플로우를 운영해 주요 보안 제품의 미공개 취약점과 실제 동작하는 익스플로잇(공격 코드)을 개발했습니다. Anthropic은 해당 계정을 차단하고 가드레일을 강화했으며 당국과 피해 업체에 통보했습니다. AI를 활용한 공격은 초기 침투 후 수 시간 이내에 전체 관리자 권한 탈취가 가능할 만큼 속도가 크게 빨라지고 있어 즉각적인 대응 체계 점검이 필요합니다.
자세히 보기