취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
기업AI 딥페이크 기술이 연예인을 넘어 일반인·미성년자까지 피해를 주는 사회적 위협으로 커지고 있습니다. 특히 가족이나 기업 임원의 목소리를 정교하게 복제해 송금을 유도하는 음성 딥페이크 금융 사기가 급증하고 있으며, 국내 보험사기 적발액이 1조 1,500억 원을 넘어섰습니다. 현재 딥페이크를 100% 탐지할 수 있는 기술은 존재하지 않는데, 이는 가짜 콘텐츠를 만드는 AI와 이를 찾아내는 AI가 서로를 속이며 함께 진화하기 때문입니다. 전문가들은 얼굴·음성 확인에만 의존하는 대신, 일회용 인증 코드나 다중 승인처럼 제로 트러스트(Zero Trust·아무도 자동으로 신뢰하지 않는 보안 원칙)를 적용한 신원 확인 체계로 전환해야 한다고 강조합니다. 개인도 출처가 불분명한 합성 영상을 공유하지 않고, 금융 거래 시 다중 승인 절차를 습관화하는 것이 중요합니다.
자세히 보기
금융롯데카드 해킹 사고로 약 129만 명의 연계정보(CI, 주민번호를 암호화한 온라인 식별자)가 유출됐고, 그 중 45만 명은 주민번호까지 함께 유출된 것으로 확인됐습니다. 온라인 결제 서버에 주민번호와 CI가 암호화되지 않은 상태로 로그에 남아 있었고, 해커가 이를 악용한 것이 원인입니다. 두 정보가 동시에 유출되면 개인 식별 가능성이 크게 높아져 추가 피해로 이어질 위험이 있습니다. 이 사고를 계기로 방송미디어통신위원회는 주민번호와 CI를 따로 보관하도록 하는 제도의 시행일을 당초 2027년 5월에서 2027년 1월 1일로 4개월 앞당기기로 의결했습니다. 관련 사업자는 내년 1월부터 두 정보를 반드시 분리 보관해야 합니다.
자세히 보기
중요기업이번 주 보안 위협 요약 뉴스레터에는 25건의 사이버보안 사건이 담겼습니다. 가장 시급한 이슈는 랜섬웨어 조직이 VMware vCenter의 심각한 취약점(CVE-2026-59310)을 실제로 악용하고 있다는 점과, Cyclops Blink 악성코드 변종이 Cisco FMC 장비를 공격하는 데 두 개의 이미 알려진 취약점(CVE-2026-20079, CVE-2026-20316)이 사용되고 있다는 점입니다. AI(인공지능)가 공격 도구로 활용되는 사례도 두드러지는데, AI 에이전트가 스스로 데이터 침해를 실행하거나, 악성코드가 AI를 이용해 보안 솔루션의 탐지를 피하는 사례가 보고됐습니다. Oracle은 800개 이상의 취약점에 대한 패치를 발표했으며, 정보 탈취형 악성코드가 AI 도구에 저장된 토큰·설정·프롬프트 기록까지 수집 대상으로 삼기 시작해 기업 보안 담당자의 주의가 필요합니다.
자세히 보기
기타나이지리아 기반의 악명 높은 사이버범죄 조직 Black Axe의 핵심 지도자 5명이 남아프리카공화국에서 체포된 후 미국으로 송환되어 전신사기(Wire Fraud) 및 자금세탁 혐의로 기소됐습니다. 이들은 2011년부터 2021년까지 SNS와 온라인 데이팅 앱을 통해 미국 피해자들에게 접근해 로맨스 사기와 선불금 사기를 저질렀으며, 송금을 거부하는 피해자에게는 민감한 사진 유포 등의 협박을 가했습니다. 유죄 판결 시 최대 42년의 징역형에 처할 수 있습니다. 지난달에는 국제 공조 작전 'Operation Jackal IV'를 통해 22개국 법집행 기관이 협력해 관련자 58명을 추가 체포하는 등 이 조직에 대한 글로벌 단속이 이어지고 있습니다. 1977년 나이지리아에서 창설된 Black Axe는 3만 명 이상의 등록 회원을 둔 세계 최대 규모의 사이버범죄 조직 중 하나입니다.
자세히 보기
중요기업Microsoft가 두 가지 사이버 공격 캠페인을 공개했습니다. 첫 번째는 생성형 AI를 활용해 CEO를 사칭한 이메일로 100만 건 이상의 금융 사기를 시도한 사건이고, 두 번째는 '패스키(Passkey) 업데이트'를 빙자해 직원을 속여 마이크로소프트 클라우드 계정을 탈취하는 공격입니다. 두 번째 공격에서 해커들은 피해자의 개인 전화번호로 IT 헬프데스크를 사칭해 연락한 뒤 가짜 사이트로 유도해 계정을 장악하고, 이후 SharePoint·OneDrive·이메일 등에서 대규모로 데이터를 빼냈습니다. 공격자들은 자신의 다중 인증(MFA) 수단을 피해자 계정에 등록해 지속적인 접근 권한을 유지했기 때문에, 피해자가 비밀번호를 바꿔도 계속 접속할 수 있었습니다. 조직 내 금융 담당자와 일반 직원 모두 표적이 될 수 있으므로, MFA 등록 내역 모니터링과 Graph API 사용 행위 분석이 시급합니다.
자세히 보기
통신/ITLG유플러스가 추석 연휴를 앞두고 보이스피싱·스미싱 피해를 막기 위해 AI 기반 24시간 특별 모니터링 체계를 운영한다고 밝혔습니다. 핵심은 악성 앱을 원격으로 조종하는 외부 서버(C2 서버)를 AI로 추적해 차단하는 것으로, LG유플러스는 국내 통신사 중 이 방식을 직접 운영하는 유일한 사업자라고 설명했습니다. 악성 앱에 감염된 정황이 확인된 고객에게는 카카오톡 알림톡으로 직접 경고를 보내고, 경찰과의 핫라인을 통해 즉각 공조합니다. 이용자는 출처 불명의 문자 링크를 클릭하지 말고, 감염이 의심되면 감염된 기기가 아닌 다른 전화로 1394에 신고해야 합니다.
자세히 보기
금융금융보안원이 보이스피싱 대응을 위한 AI 기반 정보공유 플랫폼 'ASAP'의 활용 설명회를 개최했습니다. 이번 설명회에는 금융회사와 가상자산거래소 실무담당자 약 200명이 참석했으며, 최근 통신사기피해환급법 개정으로 정보공유 범위가 제2금융권·통신사·수사기관까지 확대된 내용이 소개됐습니다. ASAP을 통해 공유되는 정보 유형도 기존 9개에서 14개로 늘어났으며, 오는 10월에는 AI 분석 기능이 추가될 예정입니다. 금융회사 실무자들은 이 플랫폼을 통해 보이스피싱 관련 정보를 더 빠르고 편리하게 확인하고 피해 예방에 활용할 수 있게 됩니다.
자세히 보기
기업마이크로소프트(MS)가 AI를 이용해 100만 건 이상의 금융 사기 이메일을 발송한 대규모 공격 캠페인을 발견했습니다. 공격자는 여러 기업의 CEO·CFO 등 경영진을 사칭하고, 서비스나우(ServiceNow)의 가짜 연간 구독 송장을 덧붙여 회계·지급 담당 직원이 약 5만 달러를 공격자 계좌로 이체하도록 속였습니다. AI를 활용해 수신자별 맞춤형 이메일을 자동 제작하고, 가짜 이메일 대화까지 삽입해 의심을 피하도록 정교하게 설계됐습니다. 이메일 주소와 발신자 표시 이름이 일치하지 않거나 'ACH Payment' 같은 금융 키워드가 제목에 들어가는 등 몇 가지 탐지 단서가 있습니다. MS는 Microsoft Defender for Office 365, ZAP(Zero-hour Auto Purge) 등 다계층 보호 기능 활용과 이메일 인증 설정을 권고했습니다.
자세히 보기
중요기업구글 플레이의 '얼리 액세스(Early Access)' 프로그램이 악용되어 수천 개의 사기성 안드로이드 앱이 유포되고 있습니다. 이 프로그램은 출시 전 앱에 대해 사용자가 리뷰나 별점을 남길 수 없어, 악성 행위자들이 가짜 카지노 게임·보상 앱 등을 별다른 경고 없이 퍼뜨리는 데 악용하고 있습니다. 해당 앱들은 틱톡·페이스북 광고와 AI로 만든 딥페이크 영상으로 홍보되며, 사용자가 출금 한도에 도달할 때까지 가상 보상을 주다가 실제 지급은 이루어지지 않는 구조입니다. 이와 함께 Hagaseca(원격 제어 트로이목마), Mantax Otax(스파이웨어·랜섬웨어 복합 악성코드), StreamRat(접근성 서비스 남용 악성코드), Gigabud 뱅킹 트로이목마 등 새로운 안드로이드 악성코드 계열도 동시에 등장해 피해가 확산되고 있습니다. 기업 보안 담당자는 임직원의 모바일 앱 설치 정책을 재점검하고 소셜 미디어 광고를 통한 앱 설치에 각별히 주의해야 합니다.
자세히 보기
중요금융미국 법무부가 불법 온라인 마켓플레이스 'Xinbi Guarantee'를 단속해 하루 만에 약 5,280만 달러(약 720억 원) 상당의 암호화폐를 동결했습니다. Xinbi는 중국어 기반의 텔레그램 마켓으로, 사기꾼들에게 피싱 웹사이트 제작, 자금 세탁, 피해자 인신매매 등 다양한 범죄 서비스를 제공해온 곳입니다. 특히 '돼지 도축(pig butchering)'이라 불리는 로맨스 사기와 연계되어 수십억 달러의 피해를 낳았으며, 북한 해커와 미국 재무부 제재 대상 기업들도 이 플랫폼을 이용한 것으로 드러났습니다. 미국 비밀경호국과 블록체인 분석 기업 Elliptic의 협력으로 52개 지갑이 동결됐고, 마다가스카르의 사기 거점 13곳도 함께 해체됐습니다. 단속 이후 Xinbi는 동결이 불가능한 스테이블코인으로 자산을 전환하려 시도하고 있어 추가 추적이 필요한 상황입니다.
자세히 보기
기업한국에서 10월 1일부터 불법 광고성 스팸을 발송하거나, 자신의 서비스가 스팸 전송에 악용되는 것을 막지 않은 사업자에게 관련 매출액의 최대 6%를 과징금으로 부과하는 제도가 시행됩니다. 방송미디어통신위원회가 정보통신망법 시행령 개정안을 의결한 것으로, 기존 과태료 제재만으로는 반복적인 불법스팸을 억제하는 데 한계가 있다는 판단에 따른 조치입니다. 특히 스팸이 보이스피싱(전화 사기)·스미싱(문자 사기) 등 금전 피해 범죄의 출발점이 될 수 있다는 점이 강조됐습니다. 과징금 산정 시에는 위반의 고의성, 수신자 사전 동의 절차 준수 여부, 수신 거부 기능 제공 여부 등이 종합적으로 고려됩니다. 이메일·문자 마케팅을 운영하는 기업은 수신 동의 체계와 스팸 악용 방지 조치를 10월 시행 전에 점검해야 합니다.
자세히 보기
중요금융'Slim Spider'라는 이름의 신규 해킹 그룹이 2026년 3월부터 브라질 금융기관을 집중 공격하고 있습니다. 이들은 클라우드 환경에 침투해 임시 자격증명(비밀번호·키 등)을 훔친 뒤, 암호화폐 지갑의 개인 키까지 탈취하는 고도화된 수법을 사용합니다. 공격자는 브라질의 즉시결제 서비스인 Pix와 디지털 자산 플랫폼에 대한 깊은 지식을 바탕으로, 합법적인 시스템 파일로 위장한 백도어와 악성 자동화 도구까지 동원했습니다. 별도의 해킹 그룹 'Breeze Comet'도 동일한 Pix 인프라를 노려 수백 건의 부정 거래를 실행한 것으로 확인됐습니다. 두 그룹의 동시 활동은 브라질 결제 인프라가 사이버범죄의 핵심 표적이 됐음을 보여주며, 금융기관의 클라우드 자격증명 및 디지털 자산 보안 강화가 시급합니다.
자세히 보기