취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
이 범위에서 지금 주목할 이슈
중요금융신한은행 고객 약 2만5000명의 대출 관련 정보가 유출되는 사고가 발생했습니다. 공격자는 다른 사이트에서 미리 훔친 아이디·비밀번호를 신한은행 로그인 창에 무작위로 대입하는 '크리덴셜 스터핑'이라는 잘 알려진 초보적 수법으로 대출모집인용 조회 서비스에 침투했습니다. 이후 조회 시스템이 요청자가 정말 그 정보를 볼 권한이 있는지 제대로 확인하지 않은 허점을 이용해, 고객 번호를 바꿔가며 대량으로 정보를 빼냈습니다. 유출된 정보에는 소득·대출 한도 같은 금융 자산 정보뿐 아니라 개인 식별값(CI) 97건, 주민등록번호 66건도 포함되어 보이스피싱 등 2차 피해 우려가 큽니다. 은행 측은 외부 IP 차단과 서비스 중단 등 긴급 조치를 하고 피해 발생 시 전액 보상을 약속했습니다.
자세히 보기
중요기업중국과 연계된 해킹 조직 TA419가 앤트로픽(Anthropic) 고위 직원과 미국 정책 전문가를 사칭해, 싱크탱크·대학·법률회사의 AI 정책 연구자들을 노린 피싱 공격을 벌였습니다. 공격자는 처음엔 로그인 요구 없이 자연스러운 메일로 대화를 트고, 상대가 답장하면 그제야 악성 링크를 보내는 치밀한 방식을 썼습니다. 이 링크는 중간자(AitM) 공격과 가짜 브라우저 창을 보여주는 '브라우저 안의 브라우저(BitB)' 기법을 결합해, 피해자가 정상적으로 로그인하고 다중인증(MFA)까지 마쳐도 그 결과로 생긴 로그인 세션 자체를 탈취하도록 설계됐습니다. 이는 비밀번호 하나가 아니라 바로 쓸 수 있는 클라우드 계정 접근권을 노린 것으로, 목적은 미국의 AI 정책·수출통제·전략 기획에 관한 정보 수집으로 추정됩니다.
자세히 보기
통신/IT마이크로소프트의 공식 X(옛 트위터) 계정이 해킹되어 암호화폐 토큰을 홍보하는 '펌프 앤 덤프(가격을 띄운 뒤 급하게 팔아치워 차익을 챙기는 사기 수법)'에 악용되는 사건이 발생했습니다. 공격자들은 마이크로소프트의 캐릭터인 클리피(Clippy)를 사칭한 계정과 연계해 가짜 암호화폐 토큰 $Clippy를 홍보했습니다. 마이크로소프트는 무단 접속 사실을 확인하고 해당 게시물을 삭제했으며, 법적 조치를 취하겠다고 밝혔습니다. 이번 사건은 2024년 마이크로소프트 인도 계정 해킹, 2024년 미국 증권거래위원회(SEC) 계정 해킹 등 유명 기관의 SNS 계정을 노린 암호화폐 사기 공격이 계속 이어지고 있음을 보여줍니다.
자세히 보기
기업보안 업체 Intel 471의 조사에 따르면, 범죄자들이 기업 내부 직원을 매수하거나 몰래 채용해 보안 통제를 우회하는 사례가 늘고 있습니다. 직원이 가진 정상적인 권한(정보 조회, 계정 초기화, 거래 승인, 배송 정보 변경 등)을 범죄에 악용하는 방식입니다. 분석된 85건의 사례 중 가장 많은 유형은 '내부자 모집'이었고, 통신·운송·기술 업종이 특히 많이 언급됐습니다. FedEx와 UPS가 각각 9건으로 가장 많이 거론됐고, Instagram, DoorDash, Facebook 등 여러 글로벌 기업도 포함됐습니다. 범죄자들은 건당 지급, 데이터 판매, 추천 수수료, 수익 분배 등 다양한 방식으로 내부자에게 대가를 지불했습니다.
자세히 보기
기업보안 업체 ANY.RUN이 'CSuite'라는 이름의 피싱 캠페인을 분석했습니다. 이 캠페인은 Adobe, DocuSign, Zoom, Microsoft 365 같은 익숙한 업무용 서비스를 사칭한 이메일로 시작해서, 피해자를 두 가지 방식으로 공격합니다. 하나는 ScreenConnect, Action1 같은 정상적인 원격관리 도구(RMM)를 몰래 설치해서 회사 컴퓨터를 원격 조종하는 방식이고, 다른 하나는 Microsoft 365 로그인 정보와 접속 세션을 훔치는 방식입니다. 분석된 351건 중 51%가 미국에서 발견됐고, 기술·제조·정부·컨설팅 분야가 특히 표적이 됐습니다. 계정과 업무용 PC를 동시에 장악당할 수 있어 피해 범위가 단순 피싱보다 훨씬 커질 수 있다는 점이 특징입니다.
자세히 보기
기업미국 공군에 복무하던 두 명이 약 2년간 기업들을 대상으로 BEC(비즈니스 이메일 침해, 이메일을 이용한 사기)와 피싱 공격을 벌인 혐의로 각각 111개월, 78개월의 연방 교도소 형을 선고받았습니다. 이들은 직원 이메일 계정의 아이디와 비밀번호를 훔친 뒤, 피해 기업이나 거래처처럼 보이도록 이메일 주소를 위조해 송금을 자신들이 관리하는 계좌로 돌렸습니다. 아이오와주의 피해자에게서 168만 달러 이상, 오하이오주 피해자에게서 72만 달러 이상을 가로챘고, 금융 계좌 정보와 신용카드 정보 등도 함께 빼돌렸습니다. 두 사람 모두 형 선고 후 구금되었으며, 출소 후 3년간 보호관찰을 받게 됩니다. 최근 며칠 새 미군 소속이었던 인물이 사이버범죄로 처벌받은 두 번째 사례이기도 합니다.
자세히 보기
통신/IT깃허브 시큐리티랩이 자체 개발한 AI 보안 에이전트 '태스크플로 에이전트'로 안드로이드 앱을 점검해 취약점 24건을 찾아냈습니다. 대표적으로 내비게이션 앱 오스맨드에서는 외부 앱이 몰래 설정을 바꿔 지도 서버 주소를 조작함으로써 사용자 위치를 추적할 수 있는 결함이 발견됐고, 위키백과 앱에서는 딥링크 검증 오류와 쿠키 처리 결함이 겹쳐 악성 링크 클릭 한 번만으로 계정이 탈취될 수 있는 문제가 확인됐습니다. 깃허브는 AI가 찾아낸 결과라도 전문가 검토 없이 그대로 신뢰해서는 안 된다고 강조했습니다. 이는 AI 자동화 보안 점검 도구가 실무에서 효과를 낼 수 있지만 여전히 사람의 검증이 필요하다는 점을 보여주는 사례입니다.
자세히 보기
기업미국 공군 도버 기지에서 근무했던 전직 군인 두 명이 여러 해에 걸쳐 기업 이메일을 노린 BEC(비즈니스 이메일 침해) 사기와 피싱을 벌인 혐의로 각각 111개월, 78개월의 연방 교도소형을 선고받았습니다. 이들은 직원들의 이메일 계정을 훔치고, 거래처 이메일을 흉내 낸 가짜 주소를 만들어 결제 대금을 자신들이 관리하는 계좌로 빼돌렸습니다. 아이오와주 피해자의 168만 달러, 오하이오주 피해자의 72만 달러 송금을 가로챈 사례가 대표적이며, 그 외에도 수많은 송금 탈취 시도가 있었습니다. FBI에 따르면 지난해에만 BEC 피해 신고가 2만 4천여 건, 피해액은 30억 달러를 넘어 여전히 기업을 위협하는 주요 사이버 범죄로 꼽힙니다.
자세히 보기
중요기업일본의 차량 공유 서비스 Times Car가 사이버 공격으로 약 660만 개의 회원 계정 정보가 유출됐다고 확인했습니다. 지난 9월 초 외부 침입자가 시스템에 접근했으며, 회사는 9월 26일 무단 접근을 차단했습니다. 유출된 정보에는 이름, 주소, 생년월일, 전화번호, 운전면허 정보, 신분증 사본, 계정 비밀번호 등이 포함되지만, 비밀번호는 복호화가 불가능한 형태로 저장돼 있었고 신용카드 정보는 영향을 받지 않았습니다. 현재까지 유출된 데이터가 온라인에 유포된 정황은 없으며, 회사는 서비스를 정상 운영하면서 외부 전문가와 함께 포렌식 조사를 진행 중입니다.
자세히 보기
기업보안 최고책임자(CISO)의 41%가 지난 1년간 직원 음성 통화에서 딥페이크를 이용한 사기 공격을 경험했다는 조사 결과가 나왔습니다. 화상 통화를 통한 동일 유형의 공격도 36%가 겪었으며, 이메일 피싱 등 전통적인 사회공학 공격은 79%가 경험할 만큼 여전히 광범위하게 이루어지고 있습니다. AI 기술이 발전하면서 공격이 더 정교해지고 기존 탐지 방법으로는 가짜를 가려내기 어려워진 것이 핵심 문제입니다. 가트너는 이에 대응하기 위해 직원 보안 교육 방식 개선, 신원 확인 체계 강화, AI 위협 탐지·대응 절차 정비 등 세 가지 조치를 권고했습니다.
자세히 보기
