취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
기업미국 공군에 복무하던 두 명이 약 2년간 기업들을 대상으로 BEC(비즈니스 이메일 침해, 이메일을 이용한 사기)와 피싱 공격을 벌인 혐의로 각각 111개월, 78개월의 연방 교도소 형을 선고받았습니다. 이들은 직원 이메일 계정의 아이디와 비밀번호를 훔친 뒤, 피해 기업이나 거래처처럼 보이도록 이메일 주소를 위조해 송금을 자신들이 관리하는 계좌로 돌렸습니다. 아이오와주의 피해자에게서 168만 달러 이상, 오하이오주 피해자에게서 72만 달러 이상을 가로챘고, 금융 계좌 정보와 신용카드 정보 등도 함께 빼돌렸습니다. 두 사람 모두 형 선고 후 구금되었으며, 출소 후 3년간 보호관찰을 받게 됩니다. 최근 며칠 새 미군 소속이었던 인물이 사이버범죄로 처벌받은 두 번째 사례이기도 합니다.
자세히 보기
중요의료병원이 아니라 병원에 의료 기기를 납품하는 외주업체 직원이 피싱 메일에 속아 계정 정보를 뺏겼고, 이 계정을 통해 공격자가 병원 내부 환자 관리 시스템까지 침투했습니다. 그 결과 환자의 처방전과 보험 정보 등 411만여 건이 유출됐습니다. 외주업체처럼 상대적으로 보안이 약한 협력사가 내부망에 접속할 수 있는 통로를 갖고 있으면, 그곳이 공격자의 '뒷문'이 될 수 있다는 점을 보여준 사건입니다. 이런 공급망 공격을 막으려면 외주 업체 계정에도 꼭 필요한 권한만 주는 최소 권한 원칙(PoLP), 병원 내부망과 외주망을 물리적으로 분리하는 망분리, 그리고 로그인 시 여러 단계로 본인 확인을 하는 다중인증(MFA)을 반드시 적용해야 합니다.
자세히 보기
중요공공정부의 대표 민원서비스인 정부24가 지난 8월 17일 외부 해킹 공격을 받아 서버 메모리 정보와 일부 개인정보가 유출됐습니다. 공격자는 '어린이포털'의 취약한 페이지를 통해 침입해 시스템 메모리 덤프파일(시스템이 특정 순간 처리 중이던 데이터를 저장한 파일) 11개 등을 빼갔습니다. 행정안전부의 초기 신고 자료에 따르면 주민등록번호 36개, 전화번호 3개, 정부24 계정 아이디·비밀번호 55개가 유출된 것으로 추정되지만, 이는 초기 추정치일 뿐 정확한 피해 규모와 침해 범위는 아직 조사 중입니다. 공격자가 서버에서 명령을 실행할 수 있는 권한까지 확보했는지, 웹셸 설치나 내부 다른 시스템으로 접근을 확대했는지 등은 추가 조사가 필요한 상황입니다. 이번 사고는 지난해 프로그램 오류로 서류가 잘못 발급됐던 사건과 달리 외부 공격자에 의한 명백한 침해사고라는 점에서 성격이 다릅니다.
자세히 보기
중요공공프랑스 국세청(DGFIP) 직원들의 로그인 정보가 정보탈취형 악성코드(infostealer)에 의해 도용되면서, 공격자가 6~7월에 걸쳐 개인 약 35만 명과 기업 약 25만 곳의 세무 데이터를 빼갔습니다. 이 사실은 피해 발생 후 무려 7주가 지난 8월 12일, 공격자가 온라인 포럼에 직접 자랑하면서야 드러났습니다. 프랑스 사이버보안청(ANSSI) 조사 결과, 공격 자체는 고도의 기술이 필요한 것이 아니었고 허술한 로그인 보안, 제대로 분리되지 않은 내부망, 감시 체계의 빈틈이 겹쳐 벌어진 일이었습니다. 특히 경보가 여러 차례 울렸는데도 담당팀이 비밀번호만 초기화하고 공격자의 로그인 세션 자체는 끊지 않아 피해가 계속 커졌습니다. ANSSI는 다중인증(MFA) 도입, 비밀번호 재설정 시 모든 세션 강제 종료, 업무 앱 전체에 대한 통합 로그 감시(SIEM) 등을 권고했습니다.
자세히 보기
중요통신/ITVUSec와 Scuola Superiore Sant'Anna 소속 연구진이 새로운 CPU 취약점 공격 기법 "Branch Target Reuse(BTR)"를 공개했습니다. 이 공격은 스펙터(Spectre) v2 계열의 변종으로, 웹브라우저·언어 런타임·리눅스 커널에 쓰이는 JIT(코드를 실행 직전에 즉석 컴파일하는 기술) 엔진을 노립니다. 연구진은 최신 방어 기법이 적용된 완전 패치 상태의 인텔 시스템에서도 이 공격으로 몇 분 만에 루트 비밀번호 해시를 빼낼 수 있음을 실제로 증명했습니다. 리눅스 커널은 이미 CVE-2026-64507, CVE-2026-64508로 취약점을 등록하고 패치를 병합했으며, Firefox와 GraalVM 개발사도 각자 대응책을 검토·적용 중입니다. 아직 실제 악용 사례는 확인되지 않았지만, 널리 쓰이는 브라우저와 커널에 영향을 미치는 만큼 기업 보안 담당자는 관련 패치 현황을 파악해둘 필요가 있습니다.
자세히 보기
중요기업러시아 정부와 연계된 해킹 그룹 'Star Blizzard'(러시아 연방보안국 FSB 소속으로 추정)가 가짜 행사 초청장을 미끼로 위장한 이메일을 보내, Windows 컴퓨터에 백도어(정상적인 인증 절차를 우회해 몰래 시스템에 접근하는 악성코드)를 심는 공격을 벌이고 있습니다. 올해 1월 이후 미국과 영국을 중심으로 100개 이상의 조직이 표적이 되었고, 실제 감염 사례도 확인됐습니다. 공격자는 유명 싱크탱크 이름을 사칭한 초청 메일을 보내고, 답장을 하면 비밀번호로 보호된 압축파일과 악성 바로가기(LNK) 파일을 전달해 백도어 CosmicPulse를 설치합니다. 3월에는 일부 대상에게 아이폰용 익스플로잇(취약점 공격 도구)인 DarkSword로 연결되는 링크가 발견되기도 했습니다. Microsoft는 탐지 지표와 대응 가이드를 공개했으며, 발신자 주소 확인, SSH 아웃바운드 차단, 피싱에 강한 인증 방식 사용 등을 권고했습니다.
자세히 보기
중요통신/ITSpectre v2 계열의 새로운 CPU 하드웨어 취약점 'BTR(Branch Target Reuse)'가 공개됐습니다. 인텔, AMD, ARM 등 대부분의 최신 CPU에서 발생하며, 이를 악용하면 리눅스 시스템에서 단 3~5분 만에 root 비밀번호의 해시값을 빼낼 수 있습니다. CPU가 분기 예측(다음에 실행할 명령을 미리 추측하는 기능)에 쓰는 낡은 정보를 이용해, 공격자가 원래는 실행되지 않아야 할 명령을 잠깐 몰래 실행시켜 메모리 속 민감한 데이터를 캐시를 통해 훔쳐보는 방식입니다. 이 문제는 CVE-2026-64507, CVE-2026-64508로 등록됐고 리눅스 커널에는 이미 패치가 반영됐습니다. 다만 아직 실제 공격에 악용된 사례는 확인되지 않았습니다.
자세히 보기
중요기업네덜란드의 비영리 보안 연구단체 DIVD(취약점 신고 기관)가 AI 에이전트가 자동으로 수행한 것으로 보이는 해킹 공격을 당했습니다. 공격자는 시스템의 기술적 취약점을 악용해 침투한 뒤, 사람이 아닌 AI 에이전트가 스스로 다음 행동을 판단하며 공격을 이어갔습니다. 이 AI 에이전트는 매우 빠른 속도로 움직였지만 허술한 판단으로 오히려 자신의 공격(비밀번호 스프레이 방식의 중간자 공격)을 방해하는 등 서투른 모습도 보였습니다. DIVD는 이번 사건을 경찰과 개인정보보호청, 국가사이버보안센터에 신고했으며, 10월 1일 추가 정보를 공개할 예정입니다.
자세히 보기
중요의료폴란드 의료 소프트웨어 업체 Qbusoft가 SQL 인젝션(웹사이트나 앱이 입력값을 제대로 검사하지 않을 때, 공격자가 악성 데이터베이스 명령어를 끼워 넣어 정보를 빼내는 공격 기법) 취약점을 통해 환자 데이터를 도난당했습니다. 이 회사가 병원·의원에 제공하는 Medyc 플랫폼에서 이름, 주민등록번호에 해당하는 PESEL 번호, 주소, 전화번호, 이메일 등이 유출됐고, 진료 기록까지 빠져나갔을 가능성이 높은 것으로 확인됐습니다. 공격은 8월 22~23일 발생했지만 9월 9일에야 발견됐고, 이는 불과 몇 주 전 폴란드에서 약 1,900만 명의 정보가 유출된 MyDr 사건에 이은 두 번째 대형 의료정보 유출 사건입니다. 폴란드 디지털부 장관은 회사가 일부 사이버보안 대응 기관에 신고하지 않았다며 강한 제재를 예고했고, 개인정보보호 당국은 회사에 대한 감사에 착수했습니다.
자세히 보기
공공국민건강보험공단이 약 1016억원을 들여 노후화된 통신·보안 장비를 교체하고 정보시스템을 전반적으로 고도화하는 사업을 추진합니다. 제조사 기술지원이 끝났거나 오래된 장비 450식을 바꿔 장애와 보안 취약점 위험을 줄이는 것이 핵심입니다. 여기에는 재해복구(DR, 사고가 나도 서비스를 복구할 수 있게 하는 체계) 강화, 개인정보 암호화, 통합인증과 접근권한관리, 지능형지속위협(APT) 대응 등 보안 기능 고도화가 폭넓게 포함됩니다. 특히 2026년부터 의무화되는 1·2등급 정보시스템 예방점검에 대비해 별도의 점검·관리 체계도 구축할 계획입니다.
자세히 보기
중요기업일본의 차량 공유 서비스 Times Car가 사이버 공격으로 약 660만 개의 회원 계정 정보가 유출됐다고 확인했습니다. 지난 9월 초 외부 침입자가 시스템에 접근했으며, 회사는 9월 26일 무단 접근을 차단했습니다. 유출된 정보에는 이름, 주소, 생년월일, 전화번호, 운전면허 정보, 신분증 사본, 계정 비밀번호 등이 포함되지만, 비밀번호는 복호화가 불가능한 형태로 저장돼 있었고 신용카드 정보는 영향을 받지 않았습니다. 현재까지 유출된 데이터가 온라인에 유포된 정황은 없으며, 회사는 서비스를 정상 운영하면서 외부 전문가와 함께 포렌식 조사를 진행 중입니다.
자세히 보기
기업보안 업체 UpGuard가 조사한 결과, 백엔드 개발 플랫폼 Supabase로 만든 데이터베이스 중 1만 6천 개 이상이 잘못 설정되어 개인정보, 비밀번호, 인증 토큰 같은 민감한 정보를 누구나 볼 수 있게 노출되어 있었습니다. 미국 발렛 서비스 업체가 10만 건이 넘는 고객 정보를 노출한 사례, 캐나다 이민 서비스에서 평문 비밀번호 884건이 유출된 사례 등이 확인됐습니다. 원인은 로우 레벨 보안(row-level security) 정책이 없거나 제대로 작동하지 않고, 공개 키(public key)를 잘못 사용하는 등의 애플리케이션 보안 설정 미흡 때문입니다. 특히 AI 코딩 도구로 만들어진 사이트가 많은데, 개발자가 자신이 만든 데이터베이스의 보안 설정을 제대로 이해하지 못한 채 서비스를 운영하는 경우가 많았습니다. UpGuard는 심각한 노출이 확인된 서비스 운영자들에게 통보했으며, Supabase 사용자들에게 보안 문서와 API 보안 가이드를 참고해 노출 위험을 점검하라고 권고했습니다.
자세히 보기