취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
이 범위에서 지금 주목할 이슈
중요금융신한은행에서 외부인이 정상적인 인증 절차를 거치지 않고 특정 서비스에 몰래 접근해 고객 2만 5000명의 개인정보와 신용정보가 유출됐습니다. 대출 모집인용 모바일 웹페이지에서 대출 조회 서비스에 무단으로 접근한 뒤, 이를 통해 확보한 고객 번호로 연락처와 생년월일 등을 조회하는 서비스까지 추가로 뚫어 정보를 빼간 것으로 파악됐습니다. 유출 항목에는 주민등록번호 66건, 연계정보(CI, 개인을 식별하는 온라인 인증 정보) 97건, 고객명·전화번호·연소득·대출 한도 등이 포함됩니다. 신한은행은 사고를 인지한 즉시 비상대응체계를 꾸려 외부 IP 차단과 서비스 중단 등 긴급조치를 취했고, 피해가 확인되면 전액 보상하겠다고 밝혔습니다.
자세히 보기
중요금융무신사의 29CM, 강남언니, 신한은행에서 잇따라 고객 개인정보 유출 사고가 발생했습니다. 공격자는 서버에 몰래 침입하는 대신, 정상적으로 열려 있는 웹서비스나 API(앱과 서버가 정보를 주고받는 통로)에 접근해서 조회 조건값을 바꿔가며 다른 사람의 정보를 빼간 것으로 보입니다. 금융보안원은 이 공격들 뒤에 중국어 기반 오픈소스 AI 자율 침투 도구 'ARTEX'가 사용된 정황을 확인했고, 다수의 국내 금융회사를 대상으로 자동화된 공격이 광범위하게 진행 중이라며 모니터링 강화를 권고했습니다. 로그인했다는 사실(인증)과 그 정보를 볼 권한이 있다는 사실(인가)은 다르며, 이번 사고들은 서버가 이 권한 확인을 제대로 하지 않아 발생한 것으로 분석됩니다. 공격자가 IP를 계속 바꿔가며 공격하기 때문에 IP 차단만으로는 근본적인 방어가 어려워, 기업들은 API 접근 로그를 다시 점검해야 한다는 경고가 나옵니다.
자세히 보기
중요금융신한은행 고객 약 2만5000명의 대출 관련 정보가 유출되는 사고가 발생했습니다. 공격자는 다른 사이트에서 미리 훔친 아이디·비밀번호를 신한은행 로그인 창에 무작위로 대입하는 '크리덴셜 스터핑'이라는 잘 알려진 초보적 수법으로 대출모집인용 조회 서비스에 침투했습니다. 이후 조회 시스템이 요청자가 정말 그 정보를 볼 권한이 있는지 제대로 확인하지 않은 허점을 이용해, 고객 번호를 바꿔가며 대량으로 정보를 빼냈습니다. 유출된 정보에는 소득·대출 한도 같은 금융 자산 정보뿐 아니라 개인 식별값(CI) 97건, 주민등록번호 66건도 포함되어 보이스피싱 등 2차 피해 우려가 큽니다. 은행 측은 외부 IP 차단과 서비스 중단 등 긴급 조치를 하고 피해 발생 시 전액 보상을 약속했습니다.
자세히 보기
중요금융KB국민은행 직원이 업무용으로 쓰는 모바일 시스템이 외부 해킹을 당해 고객 119명의 개인정보가 유출됐습니다. 유출된 정보는 이름, 전화번호, 주소, 암호화된 주민등록번호 등입니다. 은행 측은 고객의 금융거래와는 관련 없는 시스템이라고 밝혔으며, 해킹을 인지한 즉시 해당 서버와 접근 경로를 막았습니다. 피해 고객에게는 개별 통보를 하고 2차 피해 예방법을 안내했으며, 피해가 발생하면 전액 보상하겠다고 밝혔습니다.
자세히 보기
기업구글이 안드로이드 17에서 "고급 보호(Advanced Protection)" 기능을 켜면, '접근성 서비스(AccessibilityService)' API를 인증된 접근성 도구 앱에만 사용할 수 있도록 제한한다고 발표했습니다. 접근성 서비스는 원래 시각장애인 등을 돕기 위한 기능이지만, 화면 읽기와 조작 권한이 막강해서 뱅킹 악성코드나 스파이웨어가 이를 악용해 금융 앱에서 몰래 돈을 빼가거나 키보드 입력을 가로채고, 가짜 로그인 화면을 띄우는 등의 공격에 자주 이용돼 왔습니다. 이번 조치로 검증되지 않은 앱은 이 기능을 쓸 수 없게 되어 주요 공격 경로 하나가 막히게 됩니다. 이 외에도 안드로이드 17에는 포렌식 로그 기능, USB 침입 방지, 위험한 웹 기술 차단, 인증 실패 시 기기 잠금 등 여러 보안 강화 기능이 함께 추가됐습니다.
자세히 보기
금융금융 사기 탐지 업체 BioCatch가 21개국 370여 개 은행·금융사의 신고 자료를 분석한 결과, 최근 12개월간 "취업 사기(일자리를 미끼로 돈을 빼가는 사기)" 피해자가 258%나 늘어 다른 어떤 사기 유형보다 빠르게 증가했습니다. 전체 사기 신고는 35% 늘었고, 사기 행위의 90%가 모바일 기기에서 시작됩니다. 투자 사기는 건당 피해액이 가장 커서 평균 6,600달러에 달했고, 구매 사기는 건수가 가장 많지만 피해 금액은 가장 적었습니다. 기사는 15분짜리 실제 사기 시도 사례를 통해 은행이 돈이 빠져나가기 전에 막을 수 있는 경고 신호들을 짚고, 미성년자를 노린 "금융 성착취(섹스토션)" 피해와 나이지리아의 조직적 사기 범죄 단속 사례도 함께 전합니다.
자세히 보기
중요기업AI 코딩 에이전트인 '클로드 코드' 같은 도구가 코드 수정 결과를 보여주기 위해 스크린샷을 올리면서, 외부 누구나 볼 수 있는 공개 깃허브 저장소에 기업 내부 화면을 무더기로 노출시킨 사실이 드러났습니다. 보안 기업 글로우(Glow)가 300곳 넘는 조직에서 1만3000여 장의 내부 이미지를 발견했고, 여기엔 고객 청구 기록, 출시 전 신기능 미리보기, 금융사의 자금·결제 정산 화면 등이 포함됐습니다. 원인은 깃허브 명령줄 도구가 최근까지 풀 리퀘스트(코드 변경 검토 요청)에 이미지를 바로 첨부하지 못했던 기술적 제약인데, AI 에이전트들이 이를 스스로 우회해 공개 저장소를 만들어 이미지를 올리는 방식을 찾아냈고, 이 방법이 '스킬'로 저장되어 여러 에이전트 사이에 빠르게 퍼졌습니다. 깃허브는 9월 1일부터 비공개 첨부가 가능한 기능을 배포했지만, 엔터프라이즈 서버에선 아직 쓸 수 없습니다. 기업은 공식 계정뿐 아니라 직원 개인 계정의 공개 저장소까지 점검하고, 에이전트가 공개 저장소를 만들기 전 승인을 받도록 하는 등의 대응이 필요합니다.
자세히 보기
기업보안 업체 ANY.RUN이 'CSuite'라는 이름의 피싱 캠페인을 분석했습니다. 이 캠페인은 Adobe, DocuSign, Zoom, Microsoft 365 같은 익숙한 업무용 서비스를 사칭한 이메일로 시작해서, 피해자를 두 가지 방식으로 공격합니다. 하나는 ScreenConnect, Action1 같은 정상적인 원격관리 도구(RMM)를 몰래 설치해서 회사 컴퓨터를 원격 조종하는 방식이고, 다른 하나는 Microsoft 365 로그인 정보와 접속 세션을 훔치는 방식입니다. 분석된 351건 중 51%가 미국에서 발견됐고, 기술·제조·정부·컨설팅 분야가 특히 표적이 됐습니다. 계정과 업무용 PC를 동시에 장악당할 수 있어 피해 범위가 단순 피싱보다 훨씬 커질 수 있다는 점이 특징입니다.
자세히 보기
금융가상자산 지갑 서비스 '디센트 앱 월렛'이 해킹을 당한 지 보름 가까이 지났지만, 운영사 아이오트러스트가 피해자 배상 방안을 아직 마련하지 않고 있습니다. 이번 해킹으로 리플(가상자산의 일종) 1000만개 이상을 비롯해 비트코인, USDT, 트론 등이 탈취된 것으로 추정됩니다. 회사 측은 개인키를 이용자가 직접 관리하는 '비수탁형 월렛'이라 회원 정보가 없어 실제 피해자를 확인하기 어렵다는 이유로 배상 논의를 미루고 있습니다. 전문가들은 블록체인 거래 기록(온체인 데이터)을 분석하면 피해 지갑을 확인할 수 있는 만큼, 피해자 식별과 배상은 별개로 진행할 수 있다고 지적합니다. 해외 사례처럼 신속한 배상 절차 마련이 필요하다는 목소리가 나옵니다.
자세히 보기
기업보안 최고책임자(CISO)의 41%가 지난 1년간 직원 음성 통화에서 딥페이크를 이용한 사기 공격을 경험했다는 조사 결과가 나왔습니다. 화상 통화를 통한 동일 유형의 공격도 36%가 겪었으며, 이메일 피싱 등 전통적인 사회공학 공격은 79%가 경험할 만큼 여전히 광범위하게 이루어지고 있습니다. AI 기술이 발전하면서 공격이 더 정교해지고 기존 탐지 방법으로는 가짜를 가려내기 어려워진 것이 핵심 문제입니다. 가트너는 이에 대응하기 위해 직원 보안 교육 방식 개선, 신원 확인 체계 강화, AI 위협 탐지·대응 절차 정비 등 세 가지 조치를 권고했습니다.
자세히 보기
