취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
기업KISA 한승원 수석이 KCSCON 2026 기조강연에서 AI 시대의 사이버 공격 변화와 대응 방향을 설명했습니다. 공격자들은 AI를 활용해 악성코드 제작·취약점 탐지·정보 유출 등 공격 과정 상당 부분을 자동화하고 있으며, 로컬 AI 모델을 써서 탐지를 피하려는 움직임도 나타나고 있습니다. 방어 목적으로 사용하는 AI 도구 자체도 공격 대상이 돼, 악성코드 안에 AI의 분석을 방해하는 명령을 숨기는 '프롬프트 인젝션(AI에게 몰래 명령을 심는 기법)' 사례가 확인되었습니다. 공격의 본질은 변하지 않아 공격자는 여전히 피해자가 신뢰하는 사람·사이트·소프트웨어·접속키를 노립니다. 대응책으로는 피싱 저항형 다중인증(MFA) 적용, 자격증명 코드 분리 관리, 망 분리, 불변(변경 불가) 백업 체계 구축이 권고되었습니다.
자세히 보기
중요의료미용의료 플랫폼 '강남언니'(운영사: 힐링페이퍼)에서 약 22만 명의 고객 개인정보가 유출됐습니다. 해커가 상담내역 조회 기능(API)에 비정상적으로 접근해 이름·연락처·생년월일은 물론, 시술 내용·상담 사진·결제 정보 등 매우 민감한 의료 관련 정보까지 빠져나갔습니다. 피해 고객은 한국·일본·대만·태국 등 여러 나라에 걸쳐 있습니다. 회사 측은 경찰에 수사를 의뢰하고 한국인터넷진흥원(KISA)에도 자진 신고했으며, 피해 고객에게는 개별 통지 중입니다. 유출된 시술·상담 정보를 이용한 맞춤형 피싱(사기 문자·전화) 피해가 우려되므로 각별한 주의가 필요합니다.
자세히 보기
중요기업전 세계 5,400개 이상의 해킹된 웹사이트(주로 워드프레스·프레스타숍 기반)가 방문자에게 악성코드를 퍼뜨리는 데 악용되고 있습니다. 공격자는 악성 스크립트를 블록체인(BNB 스마트 체인 테스트넷)에 저장해 차단이 매우 어렵고, 내용을 언제든 바꿀 수 있는 구조를 만들었습니다. 방문자에게는 가짜 보안 인증(CAPTCHA) 화면을 보여주고 직접 명령어를 실행하도록 유도해 최종 악성코드를 설치하는 '클릭픽스(ClickFix)' 방식을 씁니다. 최근에는 웹브라우저의 실시간 통신 기술(WebRTC)을 이용해 일반 보안 장비의 탐지를 피하는 변종까지 등장했습니다. 워드프레스 등 CMS를 운영하는 관리자는 자바스크립트 파일 변조 여부를 즉시 점검하고, 플러그인을 최신 버전으로 유지해야 합니다.
자세히 보기
의료프랑스의 개인정보보호 감독기관 CNIL이 Hôpital privé de la Loire(HPL) 병원에 50만 유로(약 8억 원)의 과징금을 부과했습니다. 2025년 여름, 해커가 의사 한 명의 계정을 탈취한 뒤 병원 전자 진료기록 시스템에 침투해 환자 52만여 명과 보호자 등 20만여 명, 총 72만 7,000명의 민감한 개인정보를 빼냈습니다. 조사 결과 VPN·다단계 인증(MFA) 미적용, 과도한 접근 권한, 실시간 모니터링 부재 등 GDPR(유럽 개인정보보호 규정) 위반 사항이 다수 확인됐습니다. 해커는 며칠에 걸쳐 대량의 데이터를 유출했지만 병원은 이를 즉시 감지하지 못했으며, 훔친 데이터는 2,000~5,000유로에 단독 판매를 시도했으나 실제로 팔리거나 공개되지는 않은 것으로 알려졌습니다. 이번 사건은 의료기관의 접근통제·모니터링 체계 미비가 대규모 개인정보 침해로 이어질 수 있음을 보여주는 대표적 사례입니다.
자세히 보기
중요통신/ITHPE(Hewlett Packard Enterprise)가 자사의 네트워크 스위치 운영체제인 ArubaOS-CX에서 발견된 심각한 취약점 24개를 패치했습니다. 그 중 CVE-2026-73749는 인증 없이도 원격에서 공격자가 악성 패킷을 보내 시스템을 마음대로 제어할 수 있는 RCE(원격 코드 실행) 취약점으로, 위험도가 가장 높습니다. ArubaOS-CX는 대기업, 정부기관, 병원, 데이터센터 등에서 널리 사용하는 엔터프라이즈 네트워크 스위치에 탑재된 운영체제라 영향 범위가 넓습니다. HPE는 현재까지 실제 악용 사례나 공개된 공격 코드는 확인되지 않았다고 밝혔으나, 즉시 최신 버전으로 업그레이드할 것을 강력히 권고하고 있습니다.
자세히 보기
중요기업이번 주 보안 위협 모음(ThreatsDay)에는 총 20건의 주요 사이버 위협이 담겨 있습니다. 가장 주목할 내용은 마이크로소프트 Teams를 악용한 IT 사칭 원격 침투, 1억 5,300만 건의 운전면허증 정보를 판매하는 신원 도용 서비스 "Nexus" 등장, 그리고 CEO를 겨냥한 고급 피싱 서비스 "BlueKit" 활동입니다. 또한 OAuth(앱 권한 인증) 동의 피싱으로 정부 관료와 언론인 계정을 탈취하는 수법과, AI 지침 파일(llms.txt)을 통해 악성 패키지를 배포하는 새로운 공급망 위협도 확인됐습니다. 비밀번호 변경만으로는 부족하며, 앱 접근 권한 점검과 세션 종료까지 함께 이루어져야 합니다.
자세히 보기
중요공공미국 법무부(DoJ)가 중국 연계 해킹 그룹 'QTFY'의 공격과 관련해 앞서 발표한 보도자료를 수정했습니다. NASA, 연방준비제도, 에너지부, 법무부 등 주요 기관이 "피해자"가 아니라 "표적"이었다고 표현을 바로잡은 것으로, 실제 침해 여부는 일부에 한정된다는 의미입니다. QTFY는 중국 국가안전부(MSS)의 지원을 받는 것으로 알려진 민간 회사 소속 해킹 그룹으로, 취약점 스캐너(QScan)와 트래픽 은닉 네트워크(QTRouter)를 활용해 2018년부터 미국 정부·병원·통신사·전력사·금융기관·방산업체를 공격해 왔습니다. FBI는 관련 도메인을 압수해 악성 인프라를 무력화했으며, 보안 연구기관 Lumen Black Lotus Labs는 이 그룹이 IoT 기기(사물인터넷 장치)를 대량으로 감염시켜 공격 출처를 숨기는 분산형 봇넷(악성 좀비 네트워크)을 산업적 규모로 운영 중임을 밝혔습니다.
자세히 보기