취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
중요기업마이크로소프트가 발표한 '2026 디지털 방어 보고서'에 따르면, 공격자들이 AI를 이용해 취약점을 찾고 악성코드를 만들고 침투 속도를 높이면서 방어 측보다 한발 앞서가고 있습니다. 취약점이 발견된 뒤 실제 공격 코드로 만들어지기까지 걸리는 시간이 24시간 이내로 줄었고, 패치보다 취약점 발견 속도가 더 빨라 미패치 취약점이 계속 쌓이고 있습니다. 피싱 메시지도 AI로 개인 맞춤화되면서 스피어피싱이 대량 공격처럼 바뀌고 있고, 중국·러시아·북한 등 국가 배후 해킹 조직도 AI를 공격 전 과정에 적극 활용하고 있습니다. AI 모델이 스스로 전체 공격 과정을 수행하는 사례도 실험 환경에서 확인됐고, AI가 자가 개선하는 웜(worm) 같은 새로운 위협도 머지않아 등장할 수 있다고 경고합니다.
자세히 보기
중요기업이번 주 보안 뉴스 주요 사건을 요약하면, 먼저 TASK#STOMP라는 Windows 악성코드(백도어)가 피해자 PC에서 업무 문서·Wi-Fi 비밀번호·스크린샷 등을 몰래 빼내는 것이 분석됐습니다. Zyxel GS1900 스위치의 취약점(CVE-2026-7273)이 실제 공격에 이용돼 48개국 996대 장비에서 민감 정보가 유출됐으며, Check Point 방화벽 제품에서도 2개의 취약점(CVE-2026-85102, CVE-2026-93616)이 실제 공격에 악용되어 긴급 패치가 배포됐습니다. WordPress도 미인증 공격자가 원격에서 코드를 실행할 수 있는 심각한 취약점(CVE-2026-87902)을 버전 7.1.2에서 수정했고, 일본 스크린샷 공유 서비스 Gyazo에서는 약 2,362만 명의 사용자 정보가 유출됐습니다. 위 네 가지 취약점은 모두 CISA KEV(실제 악용 확인 목록)에 등재됐으므로 즉각적인 패치 적용이 필요합니다.
자세히 보기
중요기업가트너(Gartner) 조사에 따르면, 최근 12개월 동안 CISO(최고정보보호책임자)의 41%가 음성 통화에서, 36%가 화상 통화에서 딥페이크(AI로 만든 가짜 음성·영상)를 이용한 사회공학 공격을 경험했습니다. 공격자들은 이메일, 전화, 화상회의, 협업 도구를 넘나들며 복합적으로 사람을 속이고 있어, 단순히 "가짜를 구분하는 교육"만으로는 방어가 어렵습니다. 실제로 2024년 홍콩에서는 한 직원이 딥페이크 화상회의에 속아 2,500만 달러(약 330억 원)를 이체하는 사고가 발생했습니다. 가트너는 계정 복구·권한 승인·결제 등 위험도 높은 업무에 피싱 저항성 인증과 다채널 검증 절차를 도입할 것을 권고합니다. AI 생성 콘텐츠 탐지 기술만으로는 갈수록 정교해지는 딥페이크를 따라잡기 어렵기 때문에, 조직 전체의 인증 및 대응 체계를 재정비하는 것이 시급합니다.
자세히 보기
중요기업북한 국가지원 해킹 그룹 'Contagious Interview(일명 WaterPlum)'가 채용 면접을 가장해 Rust 개발자 및 소프트웨어 패키지 관리자를 표적으로 삼고 있습니다. 공격자들은 LinkedIn 등 SNS에서 그럴듯한 채용 담당자로 위장한 뒤 화상 면접 중 악성 코드 실행이나 악성 소프트웨어 설치를 유도합니다. 2025년 12월부터 2026년 7월 사이에 100개국 이상에서 3만 대 이상의 기기가 감염되었고, 암호화폐 지갑 7,000개 이상에서 자금과 자격증명이 탈취된 것으로 국제 당국이 확인했습니다. 이 공격은 개발자 개인뿐 아니라 기업의 채용 과정도 겨냥하며, 북한 IT 노동자들이 도용된 신원으로 원격 채용에 직접 지원하는 방식도 포함됩니다. 개발자는 출처 불명의 연락을 경계하고, 기업은 채용 절차 강화와 최소 권한 원칙 적용으로 대응해야 합니다.
자세히 보기