취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
이 범위에서 지금 주목할 이슈
중요공공미국 국방부(펜타곤) 산하 국방인력데이터센터(DMDC)가 해킹을 당해 약 300만 명의 개인정보가 유출됐습니다. 피해자는 생존자 276만 명과 사망자 29만 4천 명으로, 현역·예비역 군인과 그 가족 등이 포함됩니다. 공격자는 2025년 10월부터 올해 7월 16일 발견될 때까지 암호화되지 않은 개인정보가 저장된 파일 공유 시스템에 접근해 사회보장번호, 이름, 생년월일, 연락처, 인종, 성별, 군 특기 정보 등을 열람했습니다. 국방부는 아직 정보 오남용 정황은 없다고 밝혔지만 누가 접근했는지, 자료가 복사됐는지는 공개하지 않았습니다. 이번 사건은 최근 ShinyHunters의 FBI 직원 정보 탈취 주장에 이어 미국 연방기관을 노린 또 다른 침해 사례입니다.
자세히 보기
중요공공미국 국방부(펜타곤)의 인사 관리 시스템인 DMDC(국방인력데이터센터)가 해킹당해 군인·군무원·가족·퇴역군인 등 300만 명이 넘는 사람들의 개인정보가 유출됐습니다. 해커는 파일 공유 시스템의 취약점을 악용해 2025년 10월부터 2026년 7월까지 시스템에 접근했으며, 유출된 정보에는 주민등록번호에 해당하는 사회보장번호(SSN), 이름, 생년월일, 연락처 등이 포함됩니다. 펜타곤은 피해자들에게 12개월 무료 신용 모니터링 서비스를 제공하고 있습니다. 이 사건은 ShinyHunters 해킹조직이 오라클 PeopleSoft 제로데이 취약점을 이용해 FBI 채용 사이트를 침해한 사건에 이어 발생했습니다.
자세히 보기
기업미국 최소 7개 주의 수도 시스템이 공격을 받아 운영에 차질이 생겼습니다. 공격자들은 인터넷에 연결된 산업용 제어 장치(PLC)에 원격으로 침입했으며, 이란과 연계된 해커 조직이 조사 대상입니다. Honeywell이 주요 기반시설 보안 담당자 603명을 조사한 결과, 냉방·소방·출입통제·엘리베이터 같은 건물 자동화 시스템(BAS)의 76% 이상을 상시 모니터링하는 조직은 16%에 불과했습니다. 자산 목록을 완전히 갖춘 조직은 21%에 그쳤지만, 포괄적 목록을 보유한 조직은 사고 발생 시 6시간 내 복구 비율이 그렇지 않은 조직보다 17%포인트 높았습니다. 또한 보안 감사를 통과한 조직과 그렇지 않은 조직의 사고 발생률이 거의 같아, 규정 준수만으로는 실질적 방어가 어렵다는 점이 드러났습니다.
자세히 보기
중요통신/IT이란의 드론 공격으로 물리적으로 파괴된 AWS 중동 데이터센터에서 고객 데이터가 영구적으로 복구 불가능한 상태가 됐습니다. 바레인 리전(me-south-1) 전체와 UAE 리전(me-central-1)의 가용 영역 하나(mec1-az2)에 저장된 데이터는 되찾을 수 없게 되었습니다. 공격은 미국·이스라엘 군사 작전에 대한 이란의 보복으로 시작됐으며, AWS는 대부분의 고객이 사전에 다른 리전으로 데이터를 이전했다고 밝혔습니다. 이 사건은 단일 클라우드 리전에만 데이터를 보관하는 전략이 얼마나 취약할 수 있는지를 보여주는 전례 없는 사례로, 지리적으로 분산된 멀티 리전 백업과 재해복구(DR) 계획의 중요성을 다시금 일깨워 줍니다.
자세히 보기
중요통신/ITDDRop은 인텔 TDX, AMD SEV-SNP 등 클라우드 서버의 기밀 컴퓨팅(데이터를 사용 중에도 암호화해 보호하는 기술)을 깨는 새로운 하드웨어 공격입니다. 공격자는 약 20만 원짜리 소형 회로 기판을 서버의 메모리 슬롯에 끼워 넣어, 프로세서가 최신 데이터 대신 과거 데이터를 읽도록 조작할 수 있습니다. 이를 통해 다른 가상 머신의 메모리를 엿보거나, 디버그 모드를 강제로 켜거나, 원격 신뢰 검증(원격지 고객이 서버 상태를 확인하는 기능)을 위조하는 것이 가능합니다. 하드웨어 설계 자체의 결함이므로 소프트웨어 패치로는 근본적 해결이 불가능하며, 인텔과 AMD 모두 물리적 접근이 필요한 공격은 자사 위협 모델 범위 밖이라는 입장을 밝혔습니다. AWS, Microsoft Azure, Google Cloud 등 주요 클라우드 플랫폼이 영향을 받을 수 있으나, 현재 실제 악용 사례는 보고된 바 없습니다.
자세히 보기
기업보안 기업 OPAQUE가 AI 모델의 가중치(모델 파일)를 허가된 하드웨어에서만 복호화할 수 있도록 제어하는 오픈 표준 'Weight Custody Manifest(WCM)'를 공개했습니다. AI 모델을 기업 고객에게 전달할 때, 모델 파일이 일단 빌더의 서버를 떠나면 계약상 약속을 기술적으로 강제할 방법이 없다는 문제를 해결하기 위한 것입니다. WCM은 수신 환경이 빌더가 지정한 조건과 일치함을 암호학적으로 증명해야만 복호화 키를 내어주는 방식으로 작동합니다. 다만 공개 테스트 도구는 실제 하드웨어가 아닌 모의 환경에서 돌아가며, GPU 암호화 검증은 포함되지 않아 실제 배포 전 별도 하드웨어 검증이 필요합니다. 물리적 공격에 의한 키 탈취 등 한계도 남아 있어, 만능 해결책으로 보기는 어렵습니다.
자세히 보기
