취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
이 범위에서 지금 주목할 이슈
중요통신/IT일본의 대형 사철(민영 철도) 운영사 게이오(Keio Corporation)가 랜섬웨어 공격을 받아 일부 업무 시스템이 마비됐습니다. 9월 26일 새벽 시스템 장애가 발생했고, 회사는 피해 확산을 막기 위해 네트워크를 차단한 뒤 경찰에 신고하고 외부 전문가와 함께 침입 경로와 피해 규모를 조사 중입니다. 이번 공격은 열차 운행에는 영향이 없고 호텔 등 숙박 사업 부문에 영향을 준 것으로 보이며, 계열 호텔의 결제 시스템 장애도 보도됐습니다. 아직 공격을 자처한 랜섬웨어 조직은 확인되지 않았습니다. 같은 주말 도쿄메트로도 별도의 침해 사고로 회원 이메일 주소 5만 9000건이 유출됐다고 밝혔는데, 두 사건이 같은 공격자에 의한 것인지는 불명확합니다.
자세히 보기
중요기업일본의 차량 공유 서비스 Times Car가 사이버 공격으로 약 660만 개의 회원 계정 정보가 유출됐다고 확인했습니다. 지난 9월 초 외부 침입자가 시스템에 접근했으며, 회사는 9월 26일 무단 접근을 차단했습니다. 유출된 정보에는 이름, 주소, 생년월일, 전화번호, 운전면허 정보, 신분증 사본, 계정 비밀번호 등이 포함되지만, 비밀번호는 복호화가 불가능한 형태로 저장돼 있었고 신용카드 정보는 영향을 받지 않았습니다. 현재까지 유출된 데이터가 온라인에 유포된 정황은 없으며, 회사는 서비스를 정상 운영하면서 외부 전문가와 함께 포렌식 조사를 진행 중입니다.
자세히 보기
중요공공스웨덴의 IT 기업 Miljödata는 2025년 8월 사이버 공격을 받아 220만 명의 민감한 개인정보가 유출되었습니다. 이 회사는 스웨덴 지방자치단체의 80%가 사용하는 HR·근무환경 관리 소프트웨어를 제공하고 있어 피해 규모가 매우 컸습니다. 공격자는 1.5 비트코인(약 1억 9천만 원)의 몸값을 요구했으나 협상이 결렬되자 훔친 데이터를 다크웹에 공개했고, 유출된 정보에는 주민등록번호, 병가·재활 기록, 미성년자 학교 사건 기록 등이 포함되었습니다. 스웨덴 개인정보 감독기관 IMY는 Miljödata가 신규 소프트웨어 설치 검증과 실시간 침입 탐지 체계를 갖추지 않아 GDPR(유럽 일반 개인정보보호법) 제32조를 위반했다고 판단하여 약 2억 6천만 원(SEK 180만)의 과징금을 부과했습니다.
자세히 보기
중요기업스페인 데이터보호기관(AEPD)이 LLM(대형 언어 모델) 기반 AI 에이전트를 이용한 사이버 공격 신고를 접수했습니다. 공격에 사용된 AI 에이전트는 스스로 취약점을 찾아내고 시스템에 로그인한 뒤, 개인정보를 수정하고 재무 문서(인보이스)에 접근했습니다. AEPD는 AI가 새로운 종류의 위협을 만들어내는 것은 아니지만, 공격의 속도·규모·적응력을 크게 높이고 방어자의 대응 시간을 극단적으로 줄인다고 경고했습니다. 과도한 권한이 부여된 계정·API 키·토큰이 악용될 경우, AI 에이전트는 기계 속도로 여러 서비스를 연쇄 침투할 수 있습니다. 기업은 기존 수동 공격 기준으로 설계된 인시던트 대응 절차를 AI 속도에 맞게 전면 재검토해야 합니다.
자세히 보기중요기업스페인 개인정보보호기관(AEPD)이 AI 에이전트를 이용한 사이버 공격으로 인한 개인정보 침해 신고를 처음으로 접수했습니다. 공격에 사용된 AI 에이전트는 스스로 취약점을 탐색하고, 시스템에 로그인한 뒤 개인 데이터를 수정하고 재무 문서에까지 접근했습니다. AEPD는 AI가 새로운 위협을 만들어 내는 것은 아니지만, 공격의 속도·규모·적응력을 크게 높이고 방어자의 대응 시간을 줄인다고 경고했습니다. 기존 수동 공격을 전제로 설계된 대응 절차로는 AI 자율 에이전트의 동시다발적 공격에 대응하기 어렵습니다. 기업들은 디지털 신원·자격증명 보안을 강화하고, 탐지·차단·대응 체계를 자동화하는 방향으로 보안 모델을 즉시 재검토해야 합니다.
자세히 보기
중요기타미국 에너지 기업 CenterPoint Energy가 외부에 공개된 API의 보안 허점을 노린 공격자에게 고객 데이터 약 749만 건을 도난당했습니다. 유출된 정보에는 이름, 전화번호, 주소, 계좌번호, 청구 금액, 부분 사회보장번호(SSN) 등 민감한 개인정보가 포함됩니다. 공격자는 API에 속도 제한(rate limiting)이나 웹방화벽(WAF) 같은 자동화 접근 차단 장치가 없었다고 직접 밝혔습니다. 회사는 미국 증권거래위원회(SEC)에 사건을 신고하고 사이버보안 전문가를 투입해 조사 중이며, 피해 고객 통지를 준비하고 있습니다. 이미 여러 건의 집단소송이 제기된 상태입니다.
자세히 보기
중요기업러시아·중국 국가지원 해킹 그룹과 금전적 동기를 가진 ShinyHunters 일당이 Anthropic의 Claude AI를 악용해 대규모 사이버 공격을 벌였습니다. ShinyHunters 소속 공격자는 AI의 도움으로 180만 개의 안드로이드 앱(APK)을 자동으로 분석해 하드코딩된 비밀 정보를 추출하고, 34시간 만에 2,100개 이상의 Azure AD(마이크로소프트 기업 계정 인증 시스템) 토큰을 탈취했습니다. 러시아의 Midnight Blizzard는 탐지될 때마다 자동으로 다시 만들어지는 악성코드를 Claude로 개발했으며, 중국어권 그룹 GTG-10007은 AI로 자율 취약점 연구 워크플로우를 운영해 주요 보안 제품의 미공개 취약점과 실제 동작하는 익스플로잇(공격 코드)을 개발했습니다. Anthropic은 해당 계정을 차단하고 가드레일을 강화했으며 당국과 피해 업체에 통보했습니다. AI를 활용한 공격은 초기 침투 후 수 시간 이내에 전체 관리자 권한 탈취가 가능할 만큼 속도가 크게 빨라지고 있어 즉각적인 대응 체계 점검이 필요합니다.
자세히 보기
