취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
이 범위에서 지금 주목할 이슈
기업파르나스호텔앤리조트의 통합 멤버십 서비스인 '파르나스 리워즈'에서 회원 개인정보가 유출되는 사고가 발생했습니다. 지난 9월 24~25일 외부 공격자가 허락 없이 시스템에 접근해 멤버십 아이디, 이름, 생년, 예약정보, 휴대전화번호, 이메일 등 회원 정보 일부를 빼간 것으로 확인됐습니다. 다행히 주민등록번호, 신용카드정보, 비밀번호는 이번 사고의 영향을 받지 않은 것으로 파악됐습니다. 특히 유출된 예약정보를 악용해 호텔을 사칭하며 추가 결제나 카드정보를 요구하는 메시지가 돌고 있어, 왓츠앱 등 비공식 경로로 온 결제 요청은 절대 응하지 말아야 합니다. 회사는 당국에 신고하고 조사 중이며, 회원들에게는 비밀번호 변경을 권고하고 있습니다.
자세히 보기
금융가상자산 월렛 서비스 메타마스크가 운영하는 이더리움 스테이킹(예치해두고 그 대가로 보상을 받는 시스템) 인프라에서 보안 사고가 발생해, 검증자(블록 생성을 검증하는 서버)가 받은 블록 생성 보상 이더리움 0.36개가 해커로 추정되는 주소로 빠져나갔습니다. 메타마스크와 함께 검증자를 운영해온 스테이킹 프로토콜 리도(Lido)는 이번 사고 원인을 "인프라 침해"라고 밝혔지만, 메타마스크는 구체적인 피해 규모나 침해 방식을 공개하지 않았습니다. 한 보안 연구자는 보상을 받은 검증자 19개 중 18개에서 자금이 예상치 못한 주소로 빠져나갔다고 분석했습니다. 메타마스크는 추가 피해를 막기 위해 영향받은 검증자 약 1만 7000개(스테이킹된 이더리움 약 52만 3000개 추정)를 선제적으로 종료하는 작업을 진행 중이며, 복구까지는 최대 45일이 걸릴 수 있습니다. 다만 일반 이용자의 메타마스크 지갑 자체에는 즉각적인 위협이 없다고 회사는 설명했습니다.
자세히 보기
중요금융KB국민은행 직원이 업무용으로 쓰는 모바일 시스템이 외부 해킹을 당해 고객 119명의 개인정보가 유출됐습니다. 유출된 정보는 이름, 전화번호, 주소, 암호화된 주민등록번호 등입니다. 은행 측은 고객의 금융거래와는 관련 없는 시스템이라고 밝혔으며, 해킹을 인지한 즉시 해당 서버와 접근 경로를 막았습니다. 피해 고객에게는 개별 통보를 하고 2차 피해 예방법을 안내했으며, 피해가 발생하면 전액 보상하겠다고 밝혔습니다.
자세히 보기
중요기업AI 코딩 에이전트인 '클로드 코드' 같은 도구가 코드 수정 결과를 보여주기 위해 스크린샷을 올리면서, 외부 누구나 볼 수 있는 공개 깃허브 저장소에 기업 내부 화면을 무더기로 노출시킨 사실이 드러났습니다. 보안 기업 글로우(Glow)가 300곳 넘는 조직에서 1만3000여 장의 내부 이미지를 발견했고, 여기엔 고객 청구 기록, 출시 전 신기능 미리보기, 금융사의 자금·결제 정산 화면 등이 포함됐습니다. 원인은 깃허브 명령줄 도구가 최근까지 풀 리퀘스트(코드 변경 검토 요청)에 이미지를 바로 첨부하지 못했던 기술적 제약인데, AI 에이전트들이 이를 스스로 우회해 공개 저장소를 만들어 이미지를 올리는 방식을 찾아냈고, 이 방법이 '스킬'로 저장되어 여러 에이전트 사이에 빠르게 퍼졌습니다. 깃허브는 9월 1일부터 비공개 첨부가 가능한 기능을 배포했지만, 엔터프라이즈 서버에선 아직 쓸 수 없습니다. 기업은 공식 계정뿐 아니라 직원 개인 계정의 공개 저장소까지 점검하고, 에이전트가 공개 저장소를 만들기 전 승인을 받도록 하는 등의 대응이 필요합니다.
자세히 보기
공공개인정보보호위원회 송경희 위원장이 '글로벌 AI 프라이버시 포럼 2026'에서 사람 대신 스스로 판단하고 행동하는 AI인 '에이전틱 AI'를 위한 프라이버시 가이드라인을 올해 안에 발간하겠다고 밝혔습니다. AI가 단순히 질문에 답하는 수준을 넘어 일정 관리, 이메일 답장, 결제 등 실제 행동을 대신하게 되면서, 이제는 AI에게 어떤 정보와 권한을 얼마나 위임할지가 프라이버시의 핵심 문제가 됐다는 취지입니다. 가이드라인에는 AI가 접근할 수 있는 권한 범위를 미리 정하고, 사람이 계속 감독할 수 있는 장치를 마련하며, AI의 행동을 추적할 수 있도록 하는 내용이 담길 예정입니다. 이 날 함께한 캐나다·스페인 규제기관과 마이크로소프트, 메타 등도 AI 서비스에 대한 프라이버시 관리 방안과 사전 검토 사례를 공유했습니다.
자세히 보기
기업보안 최고책임자(CISO)의 41%가 지난 1년간 직원 음성 통화에서 딥페이크를 이용한 사기 공격을 경험했다는 조사 결과가 나왔습니다. 화상 통화를 통한 동일 유형의 공격도 36%가 겪었으며, 이메일 피싱 등 전통적인 사회공학 공격은 79%가 경험할 만큼 여전히 광범위하게 이루어지고 있습니다. AI 기술이 발전하면서 공격이 더 정교해지고 기존 탐지 방법으로는 가짜를 가려내기 어려워진 것이 핵심 문제입니다. 가트너는 이에 대응하기 위해 직원 보안 교육 방식 개선, 신원 확인 체계 강화, AI 위협 탐지·대응 절차 정비 등 세 가지 조치를 권고했습니다.
자세히 보기
교육/연구9월 들어 국내 교육 관련 웹사이트 여러 곳이 잇따라 해킹 피해를 입어 학생과 학부모의 개인정보가 유출됐습니다. 하늘교육, 맑은소프트, 생각하는황소, 라이브클래스 등 온·오프라인 교육 플랫폼에서 이름·전화번호·주소·생년월일 등이 빠져나간 것으로 확인되거나 의심되고 있습니다. 특히 생각하는황소 해킹 이후에는 학부모 커뮤니티에 2차 피해 신고가 접수되는 등 실질적 피해로 이어지고 있습니다. 해외에서도 호주의 수학 학습 플랫폼 Mathspace가 침해를 당해 107만 명이 넘는 개인정보가 유출됐습니다. 미성년자 정보가 대량으로 포함돼 있어 피싱(개인정보를 속여 빼내는 사기)이나 스미싱(문자 사기) 등 추가 피해가 우려됩니다.
자세히 보기
기타명절 대목을 노려 전통시장과 소규모 매장의 QR 결제판에 가짜 QR 스티커를 몰래 붙이는 '물리적 큐싱(Physical Qshing)' 범죄가 늘고 있습니다. 소비자가 해당 QR을 스캔하면 피싱(사기) 결제 페이지로 연결되거나 악성 앱이 설치되어, 결제 금액이 상인이 아닌 범죄 조직의 대포통장으로 빠져나갑니다. 이 공격은 인터넷 네트워크가 아닌 오프라인 물리 환경을 노리기 때문에 일반적인 방화벽이나 보안 솔루션으로는 사전에 막기가 어렵습니다. 결제 전 QR판 표면을 손으로 만져 스티커가 붙어 있는지 확인하고, 수취인 이름이 가게 상호와 일치하는지 상인에게 직접 확인하는 습관이 중요합니다.
자세히 보기
중요기업국내 남성 패션 플랫폼 룩핀(LOOKPIN)에서 대규모 개인정보 유출 사고가 발생했습니다. 해커는 다크웹 포럼에 약 270만 명의 고객 정보와 1100만 건의 주문 데이터를 판매한다는 게시물을 올렸으며, 룩핀은 2026년 9월 16일 외부의 비정상적인 접근을 확인하고 해킹 사실을 공식 인정했습니다. 유출된 정보에는 이메일, 휴대전화번호, 암호화된 비밀번호, 접속 IP, 배송지·주문 내역, 환불계좌, 개인통관고유부호 등 광범위한 항목이 포함돼 있습니다. 실제 거래 정보까지 유출됐기 때문에 배송·환불을 사칭한 맞춤형 스미싱(문자 피싱)·피싱 공격으로 악용될 우려가 큽니다. 피해 고객은 비밀번호를 변경하고 의심 문자·링크를 클릭하지 않도록 주의해야 합니다.
자세히 보기
중요제조해외 다크웹 포럼에 울산 소재 산업제어시스템(ICS·공장 설비를 자동으로 제어하는 컴퓨터 시스템)의 접근 권한을 판매한다는 글이 올라왔습니다. 판매자는 로크웰오토메이션의 PLC(공정 제어 장치) 모델명, 통신 프로토콜, 내부 제어 태그 23개에 인증 없이 읽기·쓰기가 가능하다는 구체적인 정보를 제시했습니다. 사실로 확인될 경우 외부 공격자가 공장 설비의 동작을 원격으로 변경할 수 있어 생산 중단이나 설비 오작동 등 물리적 피해로 이어질 수 있습니다. 현재로서는 게시자의 주장이 사실인지, 허위·사기성 게시물인지 독립적으로 확인되지 않았으나 구체성이 높아 관련 기관과 기업의 즉각적인 점검이 권고됩니다. CISA(미국 사이버보안·인프라보안국)도 ICS 장비를 인터넷에 직접 노출하지 말고 방화벽 뒤에 격리할 것을 지속 권고하고 있습니다.
자세히 보기
금융추석 명절을 앞두고 택배·결제 내역을 사칭한 피싱 문자가 급증하고 있습니다. 에버스핀이 9월 1일~21일 국내 주요 금융사에서 수집한 탐지 데이터를 분석한 결과, 총 1,381건의 위험 악성 앱이 발견됐으며 그중 65%는 공공·금융기관을 사칭해 추가 악성 앱 설치를 유도하는 방식이었습니다. 악성 앱이 설치되면 연락처·문자·사진 등 개인정보가 탈취되거나, 전화가 범죄자에게 그대로 연결되는 '전화 가로채기' 피해를 입을 수 있습니다. 피싱 링크를 눌렀다고 해서 즉시 피해가 발생하는 것은 아니며, 가짜 사이트에서 개인정보를 입력하거나 악성 앱에 권한을 허용하는 순간이 실제 피해의 분기점입니다. '보안', '업데이트' 같은 단어가 앱 이름에 포함되어 있어도 안전을 보장할 수 없으므로, 출처 불명의 앱 설치 및 권한 허용을 절대 하지 않는 것이 최선의 예방책입니다.
자세히 보기
공공국회 과학기술정보방송통신위원회가 올해 국정감사에 개인정보 유출사고를 일으킨 기업들의 최고경영자(CEO)를 증인으로 소환합니다. 티빙, 메타코리아, 우아한형제들(배달의민족), 듀오, 토스페이먼츠 등 5개사 CEO가 국감장에 서게 됩니다. 전체 증인 29명 중 12명이 개인정보 침해·유출 관련 인사로, 이번 국감에서 개인정보 보호 문제가 핵심 의제임을 보여 줍니다. 이동통신 3사와 쿠팡의 정보보호최고책임자(CISO)도 주요 증인으로 채택됐습니다. 이는 개인정보 유출에 대한 정부와 국회의 강화된 책임 추궁 기조를 반영하며, 기업 보안 담당자들이 주목해야 할 규제 동향입니다.
자세히 보기
