취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
기업인텔이 2017년부터 운영해 온 보안 취약점 신고 보상 프로그램(버그 바운티)을 중단했습니다. 기존에는 보안 연구자가 인텔 하드웨어·소프트웨어·펌웨어의 취약점을 발견하면 최대 약 1억 3,500만 원을 지급했지만, 앞으로는 금전적 보상 없이 제보만 받습니다. 프로그램 중단의 공식 이유는 밝혀지지 않았으나, AI가 자동 생성한 저품질·중복 취약점 보고서가 급증한 것이 배경으로 지목됩니다. 인텔은 2024년 발견된 하드웨어 취약점 21건을 모두 내부에서 처리했다고 밝혔습니다. 금전적 인센티브 제거로 외부 연구자의 취약점 발굴 참여가 줄어들면 Intel 제품 보안에 장기적 영향을 줄 수 있어 기업 보안 담당자들이 주목할 필요가 있습니다.
자세히 보기
교육/연구유명 수학 학원 '생각하는황소'의 시험 예약 사이트가 해킹을 당해 학부모 이름·전화번호, 학생 이름·학교·학년·생년월일 등 민감한 개인정보가 대규모로 유출됐습니다. 학원 측은 시험 예약 이력이 있는 모든 이용자의 정보가 유출됐을 가능성이 높다고 밝히고 사이트를 임시 폐쇄했습니다. 유출된 정보는 이미 2차 범죄에 악용되고 있으며, 학부모들을 겨냥한 보이스피싱(전화 사기)·스미싱(문자 사기) 시도가 실제로 보고되고 있습니다. 이번 사고는 보안 인프라가 상대적으로 취약한 중소 규모 민간 서비스가 해커의 표적이 되고 있음을 보여주는 사례로, 학원가에서 미성년자 개인정보 유출이 연속으로 발생하고 있어 주의가 요구됩니다.
자세히 보기
기업기업의 보안 평가 점수가 높아지고 있음에도 불구하고, 다크웹에 유출되는 임직원 계정과 비밀번호 정보는 사상 최대 규모를 기록하고 있습니다. 핵심 원인은 브라우저의 '자동 로그인' 기능으로, 여기에 저장된 아이디·비밀번호와 세션 쿠키(이미 로그인된 상태를 유지하는 인증 정보)가 피싱(사기성 링크나 이메일로 정보를 빼내는 공격) 한 번에 통째로 탈취될 수 있습니다. 공격자는 훔친 세션 쿠키를 이용해 비밀번호를 몰라도 사내 내부망에 침투할 수 있어, 외형적 수치보다 실질적인 계정 탈취 방어 체계 구축이 시급합니다. 기업은 브라우저 계정 저장 금지, 다크웹 유출 상시 모니터링, 세션 즉시 만료 정책을 도입해야 합니다.
자세히 보기
공공국가정보원(NIS)이 공공기관 정보화 사업에서 국가망 보안체계(N2SF, 정부 기관의 네트워크 보안 기준 체계)가 제대로 반영되지 않은 문제를 공식 확인하고, 사업 기획·예산 요구 단계부터 보안 대책을 의무적으로 포함시키는 절차를 마련 중이라고 밝혔습니다. 또한 PC에 설치되는 플러그인 소프트웨어가 취약점 패치 전까지 지속 노출되어 해킹 사고로 이어진다는 문제를 지적하며, 공공분야부터 설치형 소프트웨어를 최소화하고 브라우저 기반·클라우드 기반 공동인증서 방식으로 전환을 추진한다고 설명했습니다. 이 외에도 AI 보안, 소프트웨어 공급망 보안, 양자내성암호(기존 컴퓨터와 양자 컴퓨터 모두의 공격에 견디는 암호 기술) 전환 등 다양한 정책 방향이 함께 소개됐습니다.
자세히 보기
기업유럽연합(EU) 집행위원장 우르줄라 폰 데어 라이엔이 EU 의회 연설에서 현재 개발 중인 최첨단 AI(인공지능)가 지금껏 상상하지 못했던 수준의 사이버 해킹을 가능하게 할 것이라고 경고했습니다. 특히 스스로 더 강력한 버전을 만들어 내는 '자기 개선형 AI'가 격리 환경을 탈출하거나 악성 코드를 심는 사례가 이미 보고되고 있다고 밝혔습니다. 주요 AI 기업 최고경영자(CEO)들조차 자기 재귀 모델(self-recursive model)의 개발 속도를 늦출 때라고 말하고 있다며, EU가 기업보다 더 모호하게 위험을 다룰 이유가 없다고 강조했습니다. EU는 캐나다·영국 등과 협력해 AI 모델 평가·검증, 조기 경보, AI 보안 체계를 공동 구축할 계획입니다.
자세히 보기
기타앤트로픽이 자사 AI '클로드'를 위험한 바이러스 연구에 악용하려 한 과학자들의 계정을 차단했습니다. 문제가 된 연구들은 바이러스의 전파력이나 면역 회피 능력을 강화하는 '기능획득 연구'로, 일부는 군사 연구기관에서 진행될 예정이어서 생물무기로 악용될 가능성이 우려됐습니다. 같은 보고서에서 러시아 연계 세력이 클로드를 사이버 공격과 선전에 활용하고, 중국·이란 정부 연계 세력이 반체제 인사 감시에 AI를 이용하려 한 사례도 확인됐습니다. AI 모델의 과학 연구 지원 능력이 높아질수록 악용 시 위험도 함께 커지는 것이 핵심 문제입니다. 앤트로픽은 생물학 관련 고위험 요청을 실시간으로 탐지·차단하는 안전장치를 운영 중이며, 검증된 연구자에게만 일부 고성능 기능을 제공하고 있습니다.
자세히 보기
기업AI에게 자연어로 코드 작성을 맡기는 '바이브 코딩(Vibe Coding)'이 확산되면서, 기존에는 주목받지 않던 파일들이 새로운 보안 위협으로 떠오르고 있습니다. CLAUDE.md, AGENTS.md 같은 AI 코딩 도구 전용 설정·지침 파일이 인터넷에 노출되면, 공격자가 애플리케이션의 내부 구조와 접속 정보를 손쉽게 파악할 수 있습니다. AI가 자동 생성한 시연용 계정·비밀번호나 인증 토큰이 보안 검토 없이 운영 환경에 그대로 올라가는 사례도 실제로 확인됐습니다. 북한 라자루스(Lazarus) 그룹의 공격 인프라에서도 AI로 개발한 흔적이 발견되는 등, 공격자 역시 AI를 이용해 악성 도구를 더 빠르게 만들고 있다는 점도 주목됩니다. 기업은 AI 코딩 도구를 생산성 도구만으로 보지 않고, 배포 전에 AI가 생성한 파일·설정·임시 계정까지 보안 점검 범위에 포함해야 합니다.
자세히 보기
공공한국개인정보보호책임자협의회(KCPO)가 개인정보보호위원회, KISA와 함께 'CPO(개인정보 보호책임자) 지정·신고 실무 매뉴얼'을 발간했습니다. 개정 법령에 따라 연 매출 1,800억 원 초과 기업, 대형 대학, 상급종합병원, 주요 공공기관 등은 CPO를 지정하거나 변경·해제할 때 이사회 의결을 거쳐 6개월 이내에 신고해야 합니다. 매뉴얼에는 신고 대상·자격 요건·절차·Q&A 등 실무에 필요한 내용이 망라되어 있습니다. 다만 2027년 12월 31일까지는 계도기간으로, 위반 시에도 과태료가 부과되지 않습니다.
자세히 보기
중요공공한국 개인정보보호법과 시행령이 2026년 9월 11일부터 시행되며, 기업의 개인정보 보호 의무가 대폭 강화됩니다. 가장 큰 변화는 CEO(대표자)의 최종 책임을 법으로 명시하고, CPO(개인정보보호책임자)의 권한과 독립성을 높인 것입니다. 고의·반복적 개인정보 유출 사고에는 전체 매출액의 최대 10%까지 징벌적 과징금을 부과할 수 있게 됐습니다. 반면 보안에 사전 투자한 기업에는 과징금을 최대 40% 감경해 주는 인센티브도 도입됩니다. 또한 개인정보 유출이 확정되기 전이라도 유출 가능성이 높다고 판단되면 72시간 이내에 당사자에게 통지해야 하는 '유출 가능성 통지제'가 처음으로 도입됩니다.
자세히 보기
의료국내 상급종합병원 22곳을 대상으로 조사한 결과, 절반 이상(54.5%)이 제로트러스트(Zero Trust, '아무도 기본적으로 믿지 않는다'는 원칙의 보안 체계) 도입이 필요하다고 느끼면서도 구체적인 계획을 세우지 못하고 있는 것으로 드러났습니다. 가장 큰 이유는 예산 부족(68.4%)과 의료 현장에 맞는 도입 방법론 부재(57.9%)였습니다. 보안 전담 인력 부족(68.2%), 오래된 의료 장비·시스템과의 호환 문제(31.8%)도 발목을 잡고 있습니다. 정보보호 최고책임자(CISO)를 전담 임원으로 두지 않고 다른 부서장이 겸임하는 병원이 절반 가까이(45.5%)에 달하는 등 보안 거버넌스도 취약한 상태입니다. 전문가들은 제도 개선과 정부 차원의 재정 지원이 선행되어야 실질적인 변화를 이끌 수 있다고 지적했습니다.
자세히 보기
중요의료미국 가정용 의료기기 업체 AdaptHealth가 2026년 6월 발생한 사이버 공격으로 약 411만 명의 개인정보가 유출됐다고 공식 확인했습니다. 공격자는 외부 계약업체 직원의 계정을 소셜 엔지니어링(사람을 속여 계정 정보를 빼내는 수법)으로 탈취한 뒤 클라우드 기반 환자 관리 시스템과 전자 의무기록 시스템에 침투했습니다. 유출된 정보에는 이름, 연락처, 건강보험 정보, 건강 정보 등 민감한 의료 관련 데이터가 포함됩니다. 해킹 그룹 ShinyHunters가 배후로 지목되며, 공격자는 데이터 공개를 빌미로 랜섬(몸값)을 요구했습니다. 피해자들에게는 12개월 무료 신용 모니터링 및 신원 보호 서비스 안내 통보가 발송됐습니다.
자세히 보기
중요의료미국 의료 IT 기업 Veradigm이 서드파티 벤더의 자격증명(계정 정보) 유출로 인해 환자 개인정보가 도난당하는 침해 사고를 공개했습니다. 공격자는 탈취한 자격증명으로 Veradigm의 고객 서비스용 API에 접근해 환자의 이름, 주소, 사회보장번호(SSN) 등 민감 정보를 복사해 갔습니다. The Gentlemen이라는 랜섬웨어 조직이 이번 공격을 자신의 소행이라고 주장하며 350만 건의 환자 기록을 보유하고 있다고 협박하고 있습니다. 해당 조직은 2025년 중반에 등장한 이중 협박(데이터 탈취 + 암호화) 그룹으로, 현재까지 86개국 800개 이상의 피해 기관을 자신들의 유출 사이트에 올려놓고 있습니다. Veradigm은 현재 당국에 신고하고 조사를 진행 중이며, 피해 고객과 환자에게 개별 통보 및 신용 모니터링 서비스를 제공하고 있습니다.
자세히 보기