취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
이 범위에서 지금 주목할 이슈
기업파르나스호텔앤리조트의 통합 멤버십 서비스인 '파르나스 리워즈'에서 회원 개인정보가 유출되는 사고가 발생했습니다. 지난 9월 24~25일 외부 공격자가 허락 없이 시스템에 접근해 멤버십 아이디, 이름, 생년, 예약정보, 휴대전화번호, 이메일 등 회원 정보 일부를 빼간 것으로 확인됐습니다. 다행히 주민등록번호, 신용카드정보, 비밀번호는 이번 사고의 영향을 받지 않은 것으로 파악됐습니다. 특히 유출된 예약정보를 악용해 호텔을 사칭하며 추가 결제나 카드정보를 요구하는 메시지가 돌고 있어, 왓츠앱 등 비공식 경로로 온 결제 요청은 절대 응하지 말아야 합니다. 회사는 당국에 신고하고 조사 중이며, 회원들에게는 비밀번호 변경을 권고하고 있습니다.
자세히 보기
중요공공정부의 대표 민원서비스인 정부24가 지난 8월 17일 외부 해킹 공격을 받아 서버 메모리 정보와 일부 개인정보가 유출됐습니다. 공격자는 '어린이포털'의 취약한 페이지를 통해 침입해 시스템 메모리 덤프파일(시스템이 특정 순간 처리 중이던 데이터를 저장한 파일) 11개 등을 빼갔습니다. 행정안전부의 초기 신고 자료에 따르면 주민등록번호 36개, 전화번호 3개, 정부24 계정 아이디·비밀번호 55개가 유출된 것으로 추정되지만, 이는 초기 추정치일 뿐 정확한 피해 규모와 침해 범위는 아직 조사 중입니다. 공격자가 서버에서 명령을 실행할 수 있는 권한까지 확보했는지, 웹셸 설치나 내부 다른 시스템으로 접근을 확대했는지 등은 추가 조사가 필요한 상황입니다. 이번 사고는 지난해 프로그램 오류로 서류가 잘못 발급됐던 사건과 달리 외부 공격자에 의한 명백한 침해사고라는 점에서 성격이 다릅니다.
자세히 보기
기업인증 없이 외부에 열린 도커(Docker) 서버를 자동으로 찾아 감염시키는 '카르보나토(Carbonato)' 봇넷이 새롭게 발견됐습니다. 이 봇넷은 도커 관리 포트(TCP 2375)가 비밀번호 없이 열려 있는 서버에 침투해 높은 권한으로 악성 코드를 심습니다. 특이한 점은 정상적인 오픈소스 AI 에이전트인 '헤르메스 에이전트(Hermes Agent)'를 악용해 텔레그램으로 받은 명령을 수행하고, AI 서비스 API 키 등 인증 정보를 빼내도록 설정한다는 것입니다. 새로운 취약점을 이용하는 것이 아니라 관리자가 실수로 열어 둔 포트를 악용하는 방식이므로, 설정 점검만으로도 예방이 가능합니다. 기업은 내부망을 포함해 2375 포트 노출 여부를 즉시 확인하고, 원격 관리 시 반드시 인증(SSH·TLS)을 적용해야 합니다.
자세히 보기
중요금융2026년 9월, 다크웹 포럼에서 국내 중고차 금융·캐피탈 업체 3곳(JB오토리스할부, MSI캐피탈, NR캐피탈)의 고객 데이터를 판매한다는 게시물이 잇따라 발견됐습니다. 판매자는 각각 2만8000건, 300GB, 1TB 규모의 데이터를 보유했다고 주장하며 이름·전화번호·주소·신분증 이미지 등이 포함됐을 가능성을 시사했습니다. 아직 실제 침해 여부는 확인되지 않았으나, 금융·대출 관련 정보가 유출될 경우 스미싱·보이스피싱·대출사기 등 2차 피해로 이어질 위험이 큽니다. 해당 기업들은 다크웹에 공개된 샘플 데이터와 내부 고객 정보의 일치 여부, 관리자 계정 로그인·DB 접근 이력 등을 즉시 점검해야 합니다. 금융당국과 KISA(한국인터넷진흥원)의 신속한 사실 확인 및 후속 대응도 필요한 상황입니다.
자세히 보기
중요기업전 세계 수백만 개 웹사이트에서 사용되는 워드프레스(WordPress)에서 'Click2Shell'이라는 이름의 심각한 보안 취약점이 공개됐습니다. 공격자가 관리자에게 조작된 링크를 클릭하도록 유도하면, 관리자 몰래 악성 테마가 설치되고 서버에서 임의의 PHP 코드(해커가 원하는 명령어)가 실행될 수 있습니다. 공격이 성공하면 사이트 파일과 이용자 데이터, 데이터베이스 비밀번호까지 탈취당할 수 있으며, 전체 공격 체인의 위험도(CVSS)는 최대 9.3점으로 평가됐습니다. 개념 증명(PoC) 코드가 이미 공개된 상태라 실제 악용 가능성이 높습니다. 워드프레스 운영자는 보안 패치가 포함된 버전 7.1.1로 즉시 업데이트해야 합니다.
자세히 보기
중요기업국내 남성 패션 플랫폼 룩핀(LOOKPIN)에서 대규모 개인정보 유출 사고가 발생했습니다. 해커는 다크웹 포럼에 약 270만 명의 고객 정보와 1100만 건의 주문 데이터를 판매한다는 게시물을 올렸으며, 룩핀은 2026년 9월 16일 외부의 비정상적인 접근을 확인하고 해킹 사실을 공식 인정했습니다. 유출된 정보에는 이메일, 휴대전화번호, 암호화된 비밀번호, 접속 IP, 배송지·주문 내역, 환불계좌, 개인통관고유부호 등 광범위한 항목이 포함돼 있습니다. 실제 거래 정보까지 유출됐기 때문에 배송·환불을 사칭한 맞춤형 스미싱(문자 피싱)·피싱 공격으로 악용될 우려가 큽니다. 피해 고객은 비밀번호를 변경하고 의심 문자·링크를 클릭하지 않도록 주의해야 합니다.
자세히 보기
중요기업북한과 연계된 해킹그룹 '워터플럼(WaterPlum)'이 가짜 채용면접과 코딩테스트를 미끼로 전 세계 개발자들을 속여 악성코드를 심는 공격을 벌였습니다. 2025년 12월부터 2026년 7월까지 약 8개월간 100개국 이상에서 최소 3만 대의 PC가 감염됐으며, 암호화폐 7천 개 이상의 지갑에서 약 1,071만 달러 상당의 자산이 탈취됐습니다. 공격자들은 악성 NPM 패키지나 코딩테스트용 프로젝트 파일로 악성코드를 심은 뒤 브라우저 비밀번호, 암호화폐 개인키, 신분증 이미지까지 빼냈습니다. 감염된 개발자의 PC가 회사 시스템에 연결돼 있을 경우 기업 내부망 침투로 이어질 수 있어 기업 보안 위협으로도 매우 심각합니다. 미국 FBI, 일본, 호주 등 5개국 당국이 공동 경보를 발령했으며, 출처 불명 코드는 반드시 가상머신(VM)에서 실행하도록 권고하고 있습니다.
자세히 보기
중요금융롯데카드에서 고객 297만 명의 개인 신용정보가 해킹으로 유출된 사고로, 금융당국이 내린 1.5개월 영업정지 처분이 9월 15일 종료됐습니다. 금융감독원 조사 결과 보안 패치 미적용, 주민등록번호와 비밀번호 암호화 미이행, 백신 소프트웨어 미설치 등 기본적인 보안 의무 위반이 확인됐고, 로그 파일에 개인정보가 평문으로 기록돼 있었습니다. 금융위원회와 개인정보보호위원회는 각각 50억 원, 96억 2천만 원의 과징금을 부과했습니다. 해킹으로 인한 정보유출을 이유로 금융회사가 업무정지를 받은 것은 이번이 처음으로, 금융권 전체에 보안관리 책임을 강화하는 선례가 됐습니다. 9월 11일부터는 개정 개인정보보호법이 시행돼 반복·고의 유출 시 전체 매출액의 최대 10%까지 징벌적 과징금이 부과될 수 있습니다.
자세히 보기
기업AI에게 자연어로 코드 작성을 맡기는 '바이브 코딩(Vibe Coding)'이 확산되면서, 기존에는 주목받지 않던 파일들이 새로운 보안 위협으로 떠오르고 있습니다. CLAUDE.md, AGENTS.md 같은 AI 코딩 도구 전용 설정·지침 파일이 인터넷에 노출되면, 공격자가 애플리케이션의 내부 구조와 접속 정보를 손쉽게 파악할 수 있습니다. AI가 자동 생성한 시연용 계정·비밀번호나 인증 토큰이 보안 검토 없이 운영 환경에 그대로 올라가는 사례도 실제로 확인됐습니다. 북한 라자루스(Lazarus) 그룹의 공격 인프라에서도 AI로 개발한 흔적이 발견되는 등, 공격자 역시 AI를 이용해 악성 도구를 더 빠르게 만들고 있다는 점도 주목됩니다. 기업은 AI 코딩 도구를 생산성 도구만으로 보지 않고, 배포 전에 AI가 생성한 파일·설정·임시 계정까지 보안 점검 범위에 포함해야 합니다.
자세히 보기
