취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
통신/IT개인정보보호위원회(개인정보위)가 침해사고를 겪은 SK텔레콤·KT·LG유플러스 통신 3사와 함께 개인정보 보호 공동선언을 발표할 예정입니다. 오는 28일 서울 프레스센터에서 열리는 간담회에서는 AI 시대 사전예방 보호 체계 구축 방안을 논의합니다. 지난 11일부터 시행된 개정 개인정보 보호법에 따르면, 고의·중과실로 1,000만 명 이상의 개인정보를 유출한 기업은 전체 매출액의 최대 10%까지 과징금을 물 수 있습니다. 반면 개인정보 보호에 사전 투자한 기업은 과징금을 최대 40%까지 감경받을 수 있어, 기업들의 보안 투자 유인이 커졌습니다.
자세히 보기
공공국회 과학기술정보방송통신위원회가 올해 국정감사에 개인정보 유출사고를 일으킨 기업들의 최고경영자(CEO)를 증인으로 소환합니다. 티빙, 메타코리아, 우아한형제들(배달의민족), 듀오, 토스페이먼츠 등 5개사 CEO가 국감장에 서게 됩니다. 전체 증인 29명 중 12명이 개인정보 침해·유출 관련 인사로, 이번 국감에서 개인정보 보호 문제가 핵심 의제임을 보여 줍니다. 이동통신 3사와 쿠팡의 정보보호최고책임자(CISO)도 주요 증인으로 채택됐습니다. 이는 개인정보 유출에 대한 정부와 국회의 강화된 책임 추궁 기조를 반영하며, 기업 보안 담당자들이 주목해야 할 규제 동향입니다.
자세히 보기
공공한국인터넷진흥원(KISA)이 국내 IT 환경에 특화된 '한국형 보안특화 AI 파운데이션 모델' 개발에 본격적으로 나섰습니다. 이는 훈련 중 통제망을 벗어나거나 사이버 무기로 악용될 수 있는 자율형 AI의 위험성이 커지면서, 국내 공공망을 해외 범용 AI에 의존하지 않고 스스로 방어하려는 전략입니다. 한글(HWP) 소프트웨어, 국산 보안모듈, 망분리 환경 등 한국 고유의 IT 인프라는 미국 중심의 범용 AI로는 표적형 위협 방어에 한계가 있고, 핵심 보안 로그 데이터를 해외 클라우드로 반출할 수 없다는 데이터 주권 문제도 독자 모델 개발의 배경입니다. KISA는 이 모델이 완성되면 글로벌 AI의 대규모 공격을 완전히 막지는 못하더라도 피해를 지연시키고 즉각 경보를 발령하는 '비대칭 방어 무기'가 될 것으로 기대합니다.
자세히 보기
중요제조한국 유조선 'VL 프로스페리티'가 2026년 8월 지브롤터 해협을 통과하던 중 사이버 공격을 받아 30시간 동안 통신이 완전히 끊겼고, 에이치라인해운 소유의 'Vivit Africa LNG'도 내부 제어 시스템(선박을 조종하는 컴퓨터 시스템)에 접근할 수 없게 되어 운항이 멈추는 사고가 연달아 발생했습니다. 미국 해안경비대와 FBI 사이버대응팀이 항해 중인 상선에 직접 승선하여 조사한 것은 매우 이례적인 일로, 국가 기관 차원의 해상 사이버 위협 대응이 본격화되고 있음을 보여줍니다. 세계 상품 물동량의 80% 이상이 해상 운송에 의존하기 때문에, 선박 해킹은 단순한 기업 피해를 넘어 에너지 수급 차질과 국가 경제 전반에 심각한 영향을 미칠 수 있습니다. 국제해사기구(IMO) 규제와 국제선급연합회(IACS) 기준 등 국제 규범이 강화되고 있으며, 위성 통신이 끊긴 상황에서도 스스로 위협을 감지할 수 있는 EDR(엔드포인트 탐지 및 대응, 기기 자체에서 해킹을 탐지·차단하는 보안 소프트웨어) 솔루션 도입 수요도 높아지고 있습니다.
자세히 보기
중요금융금융권에서 AI를 이용한 사이버 공격이 실제로 벌어지고 있습니다. 피싱 문자 대량 생성, 딥페이크 사칭, 문서 위·변조, 심지어 AI가 스스로 취약점을 찾고 공격코드를 만드는 자동화 해킹 도구('CyberStrike AI')까지 등장했습니다. 앤트로픽은 중국계 국가 배후 해킹조직이 AI 도구를 이용해 약 30개 금융기관 등 글로벌 조직을 공격했으며, 공격 과정의 80~90%를 AI가 수행했다고 밝혔습니다. 이에 맞서 국내 은행·보험·증권·카드·핀테크·가상자산 업권은 AI 기반 이상거래 탐지(FDS) 고도화, 행동 분석, 보험사기 예측 시스템 등 방어용 AI를 잇따라 도입하고 있습니다. 금융당국도 망분리 규제를 완화해 금융사가 고성능 AI를 보안 목적으로 활용할 수 있도록 길을 열고 있습니다.
자세히 보기
기업Google가 유럽 개인정보 보호법(GDPR)을 위반했다는 이유로 아일랜드 데이터보호위원회(DPC)로부터 €403 million(약 6,000억 원)의 벌금을 부과받았습니다. 문제가 된 기능은 웹·앱 활동 기록, 위치 기록, 위치 정확도 세 가지로, 2018년 5월부터 2020년 2월 사이 사용자의 위치 데이터를 불충분하게 고지하고 필요 이상으로 오래 보관했다는 것이 핵심입니다. 이용자들은 자신의 위치 정보가 광고 타겟팅이나 관심사 추론에 활용된다는 사실을 제대로 안내받지 못했습니다. Google은 2019년 이후 자동 삭제 기능 도입 등 관행을 개선했다고 밝혔으나, DPC는 이것이 충분한지 공식 입장을 내놓지 않았습니다. 기업 컴플라이언스 담당자는 이번 사례를 통해 개인정보 처리 목적 고지, 보유 기간 최소화, 투명성 확보가 규제 리스크 관리의 핵심임을 재확인할 필요가 있습니다.
자세히 보기
통신/IT아일랜드 개인정보보호위원회(DPC)가 구글에 4억 300만 유로(약 6,360억 원)의 과징금을 부과했습니다. 구글이 사용자의 위치 데이터를 처리하는 방식이 유럽 개인정보보호법(GDPR)을 위반했다는 이유입니다. 문제가 된 기능은 '웹 및 앱 활동', '위치 기록', '위치 정확도' 세 가지로, 구글이 사용자 동의나 투명한 안내 없이 위치 정보를 광고 등에 활용한 것이 핵심입니다. 구글은 위치 데이터를 필요 이상으로 오래 보관한 것도 지적받았으며, 6개월 안에 처리 방식을 규정에 맞게 고쳐야 합니다. 기업 담당자라면 자사 서비스의 위치·개인정보 처리 방식도 GDPR 기준에 맞는지 점검할 필요가 있습니다.
자세히 보기
기업보안 인증을 받은 기업에서도 개인정보 유출 사고가 반복되는 이유를 분석한 전문가 칼럼입니다. SKT, KT·LGU+, 쿠팡, TVING, CU 등 최근 국내 주요 기업 침해사고를 보면, 공통적으로 퇴직자 계정 미회수, 평문 비밀번호 방치, 이상 접속 미탐지, 공급망 관리 부실 같은 기본 보안 원칙이 지켜지지 않았습니다. 문제의 핵심은 보안 정책이 '문서'로만 존재하고 실제 운영 현황과 연결되지 않는다는 구조적 결함입니다. 필자는 자산·계정·로그·취약점 등 보안 데이터를 하나의 화면에서 실시간으로 연결하는 '정보보호포털(보안 거버넌스 운영 플랫폼)'이 필요하다고 주장합니다. 이를 통해 경영진이 위험을 실시간으로 파악하고, 보안 조치가 실제로 작동 중임을 지속적으로 '증명'할 수 있어야 한다고 강조합니다.
자세히 보기
금융롯데카드 해킹 사고로 약 129만 명의 연계정보(CI, 주민번호를 암호화한 온라인 식별자)가 유출됐고, 그 중 45만 명은 주민번호까지 함께 유출된 것으로 확인됐습니다. 온라인 결제 서버에 주민번호와 CI가 암호화되지 않은 상태로 로그에 남아 있었고, 해커가 이를 악용한 것이 원인입니다. 두 정보가 동시에 유출되면 개인 식별 가능성이 크게 높아져 추가 피해로 이어질 위험이 있습니다. 이 사고를 계기로 방송미디어통신위원회는 주민번호와 CI를 따로 보관하도록 하는 제도의 시행일을 당초 2027년 5월에서 2027년 1월 1일로 4개월 앞당기기로 의결했습니다. 관련 사업자는 내년 1월부터 두 정보를 반드시 분리 보관해야 합니다.
자세히 보기
중요금융국내 금융보안원이 AI 에이전트를 이용한 금융권 대상 사이버 공격 시도를 실제로 탐지했습니다. 공격자가 AI를 활용해 금융 시스템과 데이터를 연결하는 API를 자동으로 공략하려 한 정황이 포착된 것으로, 금융보안원이 AI 에이전트 기반 공격 주체를 확인한 것은 이번이 처음입니다. 아직 실제 침해사고로 단정할 수는 없으나, API 보안키 노출 여부 점검과 인증·권한관리 강화가 긴급 과제로 제시됐습니다. AI 에이전트가 취약점 탐색부터 내부 데이터 접근까지 공격의 여러 단계를 자동화할 수 있어, 금융회사 보안 담당자들의 주의가 요구됩니다.
자세히 보기
공공한국인터넷진흥원(KISA)이 세계경제포럼(WEF) 사이버보안센터 및 싱가포르 사이버보안청(CSA)과 만나 AI 시대의 사이버보안 협력 방안을 논의했습니다. 주요 주제는 AI를 악용한 사이버 위협 대응, 보안 인재 양성, 침해사고 공동 연구 등입니다. 싱가포르 CSA와는 기존 IoT(사물인터넷) 보안 협력을 AI 분야까지 넓히는 방안도 검토했습니다. 현재로선 구체적인 협약 체결보다는 협력 확대 방향을 논의한 단계로, 기업 보안 담당자에게 즉각적인 대응을 요구하는 사안은 아닙니다.
자세히 보기
기업한국 개인정보보호위원회가 주최한 전문가 포럼에서 개인정보의 해외 이전을 더 안전하고 편리하게 하기 위해 EU처럼 SCC(표준계약)와 BCR(구속력 있는 기업 내부규칙)을 국내에도 도입해야 한다는 주장이 제기됐습니다. SCC는 개인정보를 해외로 보낼 때 보호 의무를 담은 표준 계약서를 쓰는 방식이고, BCR은 다국적 기업이 당국의 승인을 받은 자체 보호 규칙을 마련해 계열사 간에 데이터를 이전하는 방식입니다. 현재 EU, 일본, 중국 등이 이미 유사 제도를 운영 중이며, 국내 도입 시 AI·바이오 분야 글로벌 공동연구의 법적 장벽이 낮아질 것으로 기대됩니다. 개인정보위 위원장은 정보주체의 권리를 지키면서도 국제 혁신 활동을 지원할 수 있도록 관련 정책을 마련하겠다고 밝혔습니다.
자세히 보기