취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
기업EU 사이버보안 기관인 ENISA가 2026년 9월 11일부터 '사이버 복원력법(CRA)'에 따른 단일 신고 플랫폼을 공식 운영하기 시작했습니다. EU 시장에 디지털 제품을 출시하는 제조사는 이제 이 포털 하나를 통해 실제로 악용된 취약점과 심각한 보안 사고를 의무적으로 신고해야 합니다. 신고 기한은 사건 인지 후 24시간 이내 초기 경보, 72시간 이내 상세 통보, 14일 이내 최종 보고서 제출입니다. 현재는 API 없이 웹 인터페이스만 제공되며, 오픈소스 소프트웨어 관리자에게는 2027년 12월 11일부터 동일한 의무가 적용됩니다. EU 시장에 제품을 판매하는 국내외 기업 보안 담당자라면 이 새로운 규제 의무를 반드시 숙지해야 합니다.
자세히 보기
중요기업Microsoft가 두 가지 사이버 공격 캠페인을 공개했습니다. 첫 번째는 생성형 AI를 활용해 CEO를 사칭한 이메일로 100만 건 이상의 금융 사기를 시도한 사건이고, 두 번째는 '패스키(Passkey) 업데이트'를 빙자해 직원을 속여 마이크로소프트 클라우드 계정을 탈취하는 공격입니다. 두 번째 공격에서 해커들은 피해자의 개인 전화번호로 IT 헬프데스크를 사칭해 연락한 뒤 가짜 사이트로 유도해 계정을 장악하고, 이후 SharePoint·OneDrive·이메일 등에서 대규모로 데이터를 빼냈습니다. 공격자들은 자신의 다중 인증(MFA) 수단을 피해자 계정에 등록해 지속적인 접근 권한을 유지했기 때문에, 피해자가 비밀번호를 바꿔도 계속 접속할 수 있었습니다. 조직 내 금융 담당자와 일반 직원 모두 표적이 될 수 있으므로, MFA 등록 내역 모니터링과 Graph API 사용 행위 분석이 시급합니다.
자세히 보기
중요기업이번 주 보안 뉴스 모음집에는 기업 보안 담당자가 즉시 확인해야 할 사안들이 여럿 포함되어 있습니다. 가장 주목할 항목은 안드로이드 9월 보안 패치로, 200개의 취약점 중 CVE-2026-28662(Wi-Fi를 통해 아무런 사용자 조작 없이 원격으로 코드를 실행할 수 있는 심각한 결함)가 포함되어 있어 기업 내 안드로이드 기기 전체에 즉시 업데이트를 배포해야 합니다. 중국어 사용자로 추정되는 공격자가 Claude Code·Qwen·DeepSeek 같은 AI 도구를 활용해 정부·금융 시스템 침투를 자동화한 캠페인도 공개됐으며, 이는 AI 기반 사이버 공격이 실전에 사용되고 있음을 보여줍니다. 또한 BigBear 2.0이라는 서비스형 피싱(PhaaS) 플랫폼이 40개국 이상의 461개 조직을 표적으로 삼아 MFA(다중 인증)를 우회하고 세션 쿠키를 탈취했으며, Google의 합법적 서비스 6종을 경유한 다단계 피싱 캠페인도 발견됐습니다. 랜섬웨어 연계 공격(EtherRAT→TukTuk→The Gentlemen 랜섬웨어), 가짜 쇼핑몰 119,000개 운영, npm 악성 패키지 13종 등 다양한 위협이 동시에 진행 중입니다.
자세히 보기
의료국내 상급종합병원 22곳을 대상으로 조사한 결과, 절반 이상(54.5%)이 제로트러스트(Zero Trust, '아무도 기본적으로 믿지 않는다'는 원칙의 보안 체계) 도입이 필요하다고 느끼면서도 구체적인 계획을 세우지 못하고 있는 것으로 드러났습니다. 가장 큰 이유는 예산 부족(68.4%)과 의료 현장에 맞는 도입 방법론 부재(57.9%)였습니다. 보안 전담 인력 부족(68.2%), 오래된 의료 장비·시스템과의 호환 문제(31.8%)도 발목을 잡고 있습니다. 정보보호 최고책임자(CISO)를 전담 임원으로 두지 않고 다른 부서장이 겸임하는 병원이 절반 가까이(45.5%)에 달하는 등 보안 거버넌스도 취약한 상태입니다. 전문가들은 제도 개선과 정부 차원의 재정 지원이 선행되어야 실질적인 변화를 이끌 수 있다고 지적했습니다.
자세히 보기
중요기업공격자들이 직원의 개인 휴대폰에 전화·문자를 보내 내부 IT 직원인 척 속인 뒤, Microsoft 365 기업 계정 접근 권한을 탈취하는 소셜 엔지니어링 캠페인이 2026년 5월부터 활발하게 진행 중입니다. 피해자가 가짜 Microsoft 로그인 페이지에 정보를 입력하는 순간, 공격자는 AiTM(중간자 피싱) 방식으로 세션을 가로채 계정에 침투합니다. 침투 후에는 자신만의 MFA(다중 인증) 수단을 등록해 장기적인 접근 거점을 확보하고, Microsoft Graph API를 이용해 파일·이메일·계정 정보를 수 시간에서 수일에 걸쳐 조용히 빼냅니다. 시간당 1,000건 미만으로 속도를 조절해 자동 경보를 피하는 점이 특징입니다. 이 캠페인은 ShinyHunters·Falcon·Helix 등 실제 활동 중인 금전 갈취 조직과 연계된 것으로 확인됐습니다.
자세히 보기
중요의료미국 가정용 의료기기 업체 AdaptHealth가 2026년 6월 발생한 사이버 공격으로 약 411만 명의 개인정보가 유출됐다고 공식 확인했습니다. 공격자는 외부 계약업체 직원의 계정을 소셜 엔지니어링(사람을 속여 계정 정보를 빼내는 수법)으로 탈취한 뒤 클라우드 기반 환자 관리 시스템과 전자 의무기록 시스템에 침투했습니다. 유출된 정보에는 이름, 연락처, 건강보험 정보, 건강 정보 등 민감한 의료 관련 데이터가 포함됩니다. 해킹 그룹 ShinyHunters가 배후로 지목되며, 공격자는 데이터 공개를 빌미로 랜섬(몸값)을 요구했습니다. 피해자들에게는 12개월 무료 신용 모니터링 및 신원 보호 서비스 안내 통보가 발송됐습니다.
자세히 보기
금융22세 청년 Malone Lam이 소셜 엔지니어링(사람을 속여 정보를 빼내는 수법)을 이용해 피해자들의 암호화폐 지갑에서 2억 4,500만 달러(약 3,300억 원) 이상을 훔쳐 자금 세탁한 혐의로 유죄를 인정했습니다. 이 조직은 온라인 게임 플랫폼에서 만난 사람들로 구성됐으며, 피해자를 속여 지갑 접근 정보를 얻거나 심지어 피해자 집에 직접 침입하기도 했습니다. 훔친 돈은 나이트클럽 비용, 전용기, 수억 원대 슈퍼카 등 사치품에 탕진됐습니다. Lam은 2025년 9월 마이애미에서 체포되어 워싱턴 D.C. 연방법원에서 조직범죄 공모 혐의로 유죄를 인정했습니다. 기업 보안 담당자 입장에서는 임직원 대상 소셜 엔지니어링 훈련과 암호화폐 자산 보호 절차 점검이 중요합니다.
자세히 보기
중요공공해킹 그룹 ShinyHunters가 플로리다주 운전면허·차량 정보 통합 데이터베이스 'DAVID'를 침해하고 운전자 20만 건 이상의 개인정보를 탈취했다고 주장하고 있습니다. 공격자들은 비밀번호 재설정 기능의 결함을 악용해 DMV(차량관리국) 직원과 FBI 요원 계정을 탈취한 뒤, ID를 순차적으로 조회해 주민의 주소·주민등록번호(SSN)·생년월일·운전면허 정보 등을 대량 내려받았습니다. 이 그룹은 피해 기관이 협상에 응하지 않으면 데이터를 공개하겠다고 협박하고 있으며, 다른 주의 DMV 플랫폼도 추가 공격 대상으로 삼고 있다고 밝혔습니다. ShinyHunters는 기업·정부기관 대상 데이터 탈취·협박 공격으로 악명 높은 그룹으로, 최근에는 보이스피싱(비싱) 및 기기코드 피싱으로 Okta·Microsoft·Google SSO 계정을 탈취하는 수법도 활발히 사용하고 있습니다. 현재 해당 취약점은 패치 중이나 이미 데이터가 유출된 상황으로, 당국의 공식 입장은 아직 확인되지 않았습니다.
자세히 보기
기업KISA 한승원 수석이 KCSCON 2026 기조강연에서 AI 시대의 사이버 공격 변화와 대응 방향을 설명했습니다. 공격자들은 AI를 활용해 악성코드 제작·취약점 탐지·정보 유출 등 공격 과정 상당 부분을 자동화하고 있으며, 로컬 AI 모델을 써서 탐지를 피하려는 움직임도 나타나고 있습니다. 방어 목적으로 사용하는 AI 도구 자체도 공격 대상이 돼, 악성코드 안에 AI의 분석을 방해하는 명령을 숨기는 '프롬프트 인젝션(AI에게 몰래 명령을 심는 기법)' 사례가 확인되었습니다. 공격의 본질은 변하지 않아 공격자는 여전히 피해자가 신뢰하는 사람·사이트·소프트웨어·접속키를 노립니다. 대응책으로는 피싱 저항형 다중인증(MFA) 적용, 자격증명 코드 분리 관리, 망 분리, 불변(변경 불가) 백업 체계 구축이 권고되었습니다.
자세히 보기
중요기업"BigBear 2.0"라는 서비스형 피싱(PhaaS) 플랫폼이 258개 조직의 다중 인증(MFA)을 우회해 Microsoft 365 계정 5,000여 개의 자격증명을 탈취했습니다. 이 플랫폼은 공격자가 피해자와 Microsoft 서버 사이에 몰래 끼어들어 MFA 완료 후 발급되는 세션 쿠키까지 가로채는 방식(중간자 공격)을 사용합니다. 특히 FIDO2/WebAuthn 같은 강력한 인증 수단을 교란하는 자바스크립트를 써서 피해자를 더 취약한 인증 방식으로 유도하고, 지역별 일반 가정용 IP를 사용해 Microsoft의 이상 탐지를 회피합니다. 현재 피싱 인프라 일부는 오프라인이지만 관리 패널은 여전히 온라인 상태이며, 최소 5개 제휴 운영자가 텔레그램으로 실시간 탈취 정보를 받고 있어 위협이 지속 중입니다. 피해 가능성이 있는 조직은 즉시 비밀번호 초기화, 세션 무효화, 고권한 계정 재인증을 실시해야 합니다.
자세히 보기
기업보안 기업 Intruder가 AWS, Azure, Google Cloud를 사용하는 기업 3,000곳의 클라우드 설정 오류 데이터를 분석한 결과, 클라우드 제공사마다 취약한 부분이 크게 다르다는 사실이 드러났습니다. IAM(계정 접근 권한 관리) 설정 허점과 로그 미수집은 80~98%의 계정에서 공통적으로 발견되는 반면, 방화벽·암호화·서비스 노출 문제는 제공사별 편차가 매우 큽니다. 특히 AWS는 권한 상승이 가능한 IAM 정책이 83%의 계정에 존재하고, Azure는 절반 이상의 사용자가 MFA(다중 인증)를 설정하지 않았습니다. 조직 규모가 클수록 IAM 문제는 오히려 더 많이 나타났으며, 중간 규모 기업은 문제 해결에 평균 35일이 걸려 가장 느렸습니다. 클라우드를 여러 곳에서 운영 중인 보안팀이라면 제공사별 특성에 맞춘 점검 체계를 갖추는 것이 중요합니다.
자세히 보기
중요공공독일 베를린 시 정부 네트워크가 2026년 8월 Rhysida 랜섬웨어 그룹에 의해 침해돼 최대 5.79TB의 데이터와 약 12,076명의 개인정보가 유출된 것으로 주장되고 있습니다. 베를린 시는 협박에 굴복하지 않겠다고 공식 선언하고 경찰·검찰·연방 보안기관과 함께 수사를 진행 중입니다. Rhysida 그룹은 MFA(다중 인증)가 적용되지 않은 VPN 계정 탈취, Zerologon(CVE-2020-1472, 윈도우 도메인 컨트롤러 권한을 원격에서 빼앗을 수 있는 취약점), 피싱 등의 방법으로 초기 침투를 시도하는 것으로 알려졌습니다. 같은 날, 영국 Manchester Airports Group에서도 약 870만 명의 고객 이메일·전화번호·차량 번호판 등이 유출되는 별도의 침해 사고가 발생했습니다. 기업 보안 담당자는 MFA 전면 적용, Zerologon 패치 적용 여부 재확인, 네트워크 분리(세그멘테이션) 적용을 즉시 점검해야 합니다.
자세히 보기