TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

의료 키워드 뉴스

필터총 79건초기화
매체전체
국내 매체329ZDNet Korea108데일리시큐81보안뉴스79전자신문 보안61
해외 매체560The Hacker News244BleepingComputer171Help Net Security145
분야
전체기업553공공127금융78통신/IT69의료13제조8기타29교육/연구11
키워드
악성코드269자격증명257해킹256개인정보229비밀번호214클라우드208암호화207위협 행위자203이메일201피싱174정보유출157AI 에이전트153

주요 뉴스

이 범위에서 지금 주목할 이슈

중요The Hacker News

⚡ 주간 요약: Cisco 0-Day, AI 에이전트 RCE, ClickFix 공격 급증, 브라우저 하이재킹

이번 주 가장 심각한 사안은 Cisco의 네트워크 접근 제어 솔루션 ISE(Identity Services Engine)에서 발견된 최고 심각도(CVSS 10.0) 인증 우회 취약점(CVE-2026-76460)으로, 이미 실제 공격에 악용되고 있어 즉각적인 패치가 필요합니다. Claude Code·GitHub Copilot 등 주요 AI 코딩 도구에서는 플러그인을 통해 클릭 한 번 없이 원격으로 악성 코드를 실행할 수 있는 제로클릭 RCE(원격 코드 실행) 취약점이 공개되어 개발 환경 전반에 경고가 내려졌습니다. 마케팅 플랫폼 Brevo는 공급망 공격을 받아 약 5.5시간 동안 10만 개 이상의 고객 웹사이트에 가짜 보안 확인 화면(ClickFix)을 통한 악성코드가 배포되었습니다. 브라질발 뱅킹 악성코드 KREMLIN은 Chrome과 Edge에 악성 브라우저 확장 프로그램을 설치해 금융 자격증명과 세션 토큰을 탈취하고 있습니다. CISA KEV(실제 악용 확인 목록)에 등재된 Cisco ISE 및 Google Pixel 취약점은 기업 보안 담당자가 최우선으로 패치해야 합니다.

2026. 09. 21.
Help Net Security

ShinyHunters, PeopleSoft 제로데이로 FBI 침해 주장…채용 포털 여전히 다운

The Hacker News

공격자들, WAF 우회로 Oracle PeopleSoft 취약점 악용 및 웹셸 배포

전자신문 보안

[뉴스줌인] 공급망 보안만으론 부족…랜섬웨어 막는 엔드포인트 방어

보안뉴스

오라클 피플소프트 공격 다시 고개 들어… 대문자 하나만 퍼센트 기호로 바꿔 웹 방화벽 뚫고 웹셸 심어

전체 목록

금융
보안뉴스·2026. 10. 02.

[카드뉴스] "랜선 뽑고 금고에 넣었는데 1000억 증발?"… 하드웨어 월렛 뚫은 '펌웨어 백도어'의 실체

인터넷과 완전히 분리된 '하드웨어 지갑(콜드월렛)'에 가상자산을 보관하고 금고에 넣어 안전하게 관리했다고 믿었던 사례에서, 약 1,000억 원 상당의 가상자산이 사라지는 사고가 발생했습니다. 원인은 정식 제조사가 아닌 경로로 설치된 비인가 펌웨어(기기 내부 소프트웨어) 업데이트에 숨겨진 백도어(몰래 빠져나가는 통로)였습니다. 이 백도어는 거래 서명 과정에서 개인키(자산을 이체할 수 있는 비밀 비밀번호 같은 값)를 외부로 몰래 유출시켰습니다. 네트워크와 물리적으로 분리된 기기라도 펌웨어 자체가 조작되면 안전하지 않을 수 있다는 점을 보여준 사례입니다. 전문가들은 하나의 하드웨어 기기에만 의존하지 말고 서로 다른 제조사의 기기를 섞어 쓰는 멀티시그(여러 개의 서명이 있어야 거래가 성사되는 다중 서명) 구조와, 공식 펌웨어인지 수시로 해시값(고유 지문 같은 값)을 확인하는 절차 도입을 권고했습니다.

자세히 보기
#AI#AI 보안#AWS
중요공공
BleepingComputer·2026. 10. 01.

해커, 펜타곤 인사 기록 300만 명 분량 탈취

미국 국방부(펜타곤)의 인사 관리 시스템인 DMDC(국방인력데이터센터)가 해킹당해 군인·군무원·가족·퇴역군인 등 300만 명이 넘는 사람들의 개인정보가 유출됐습니다. 해커는 파일 공유 시스템의 취약점을 악용해 2025년 10월부터 2026년 7월까지 시스템에 접근했으며, 유출된 정보에는 주민등록번호에 해당하는 사회보장번호(SSN), 이름, 생년월일, 연락처 등이 포함됩니다. 펜타곤은 피해자들에게 12개월 무료 신용 모니터링 서비스를 제공하고 있습니다. 이 사건은 ShinyHunters 해킹조직이 오라클 PeopleSoft 제로데이 취약점을 이용해 FBI 채용 사이트를 침해한 사건에 이어 발생했습니다.

자세히 보기
#AI#개인정보#데이터센터
공공
데일리시큐·2026. 10. 01.

개인정보위, AI 시대 개인정보보호 '사후 대응→사전 예방' 전환 본격화

개인정보보호위원회가 AI 확산에 따라 개인정보 보호 정책의 방향을 '사고 난 뒤 제재'에서 '사전에 위험을 찾아 줄이는 예방' 방식으로 바꾸겠다고 밝혔습니다. AI 모델 학습에는 많은 데이터가 필요한데, 그 안에 개인정보가 섞여 있거나 처리 과정에서 다시 신원이 드러날 위험이 있기 때문입니다. 이를 위해 서비스를 기획하는 단계부터 개인정보 보호를 설계에 포함하는 '프라이버시 바이 디자인' 접근과, 기업·기관의 책임을 강화하는 방안이 추진됩니다. 아울러 배달로봇, 자율주행차, AI 안경 같은 '실물 AI' 기기가 카메라·센서로 얼굴, 번호판, 생체정보 등을 수시로 수집하는 문제도 새로운 보호 과제로 제시됐습니다.

자세히 보기
#AI#개인정보#개인정보위
중요의료
전자신문 보안·2026. 09. 30.

중소병원 20여곳 랜섬웨어 감염…'동일 종류' 랜섬웨어 발견

최근 중소형 병원 20여곳이 잇따라 랜섬웨어(컴퓨터 파일을 몰래 암호화해 못 쓰게 만든 뒤 돈을 요구하는 악성 프로그램) 공격을 받았습니다. 많은 병원에서 같은 종류의 랜섬웨어가 발견돼, 당국은 병원들이 공통으로 쓰는 의료 소프트웨어를 통해 공격이 퍼졌을 가능성(공급망 공격)을 조사하고 있습니다. 피해를 입은 시스템은 환자 진료기록을 관리하는 EMR과 CT·MRI 등 의료영상을 저장·전송하는 PACS로, 이 시스템들이 마비되면 병원 진료 업무에 큰 차질이 생길 수 있습니다. 보안 대응 체계가 잘 갖춰진 병원은 피해를 줄였지만, 그렇지 못한 병원은 공격에 그대로 노출된 것으로 알려졌습니다. KISA와 한국사회보장정보원이 병원들의 시스템 복구를 지원하면서 침투 경로와 데이터 유출 여부를 조사 중입니다.

자세히 보기
#AI#KISA#공급망
중요기업
데일리시큐·2026. 09. 27.

방화벽 믿고 패치 미뤘더니…샤이니헌터스, 오라클 피플소프트 다시 공격

해킹 그룹 '샤이니헌터스'가 오라클 피플소프트(기업 인사·재무 관리 시스템)의 심각한 취약점(CVE-2026-35273)을 악용해 전 세계 서버 수십 대를 다시 공격했습니다. 이 취약점은 로그인 없이도 서버를 원격으로 마음대로 조작할 수 있는 치명적인 결함으로, 6월에 이미 패치(보안 수정)가 나왔지만 패치를 적용하지 않고 웹 방화벽(WAF)으로만 막으려 했던 서버들이 표적이 됐습니다. 공격자는 인터넷 주소의 특정 문자를 다른 형식으로 바꿔 방화벽의 차단 규칙을 우회하는 방법을 사용했습니다. 침해된 서버에는 원격 제어용 웹셸과 'SIDEEYE'라는 백도어(몰래 설치되는 원격 접속 악성코드)가 설치됐으며, 대학·의료·정부 등 다양한 분야가 피해를 입었습니다. 피플소프트를 운영하는 조직은 즉시 오라클 보안 패치를 적용하고 서버 내 이상 징후를 점검해야 합니다.

자세히 보기
#CVSS#랜섬웨어#방화벽
중요의료
보안뉴스·2026. 09. 30.

[카드뉴스] "의료 보안 경보" 피싱 메일이 연 '외주망 뒷문'… 처방전 411만 건 유출 부른 공급망 취약점

병원이 아니라 병원에 의료 기기를 납품하는 외주업체 직원이 피싱 메일에 속아 계정 정보를 뺏겼고, 이 계정을 통해 공격자가 병원 내부 환자 관리 시스템까지 침투했습니다. 그 결과 환자의 처방전과 보험 정보 등 411만여 건이 유출됐습니다. 외주업체처럼 상대적으로 보안이 약한 협력사가 내부망에 접속할 수 있는 통로를 갖고 있으면, 그곳이 공격자의 '뒷문'이 될 수 있다는 점을 보여준 사건입니다. 이런 공급망 공격을 막으려면 외주 업체 계정에도 꼭 필요한 권한만 주는 최소 권한 원칙(PoLP), 병원 내부망과 외주망을 물리적으로 분리하는 망분리, 그리고 로그인 시 여러 단계로 본인 확인을 하는 다중인증(MFA)을 반드시 적용해야 합니다.

자세히 보기
#AI#AI 보안#AI 에이전트
공공
ZDNet Korea·2026. 09. 30.

AI 학습데이터 부족 문제 풀까…NIA, 민감정보 안전 활용센터 열었다

정부가 개인정보나 기업 민감정보처럼 외부로 공개하기 어려운 데이터를 AI 개발에 안전하게 활용할 수 있도록 인프라를 확충했습니다. 한국지능정보사회진흥원(NIA)과 과학기술정보통신부는 기존 'K-ICT 빅데이터센터'를 개편해 'AI데이터안심활용센터'를 경기 스타트업 캠퍼스에 열었습니다. 이 센터는 민감정보를 외부로 유출하지 않고 통제된 환경에서만 분석할 수 있는 '데이터안심구역'과, 가명정보(개인을 알아볼 수 없도록 처리한 정보) 결합 기능을 갖춰 데이터 확보부터 AI 분석까지 이어지는 체계를 지원합니다. 전국 14개 데이터안심구역을 클라우드로 연결해 직접 방문하지 않아도 데이터를 분석할 수 있게 할 계획이며, 데이터결합지원센터도 최신 보안 규정과 인증 기준에 맞춰 고도화할 예정입니다.

자세히 보기
#AI#AI 에이전트#개인정보
중요의료
Help Net Security·2026. 09. 29.

해커들, SQL 인젝션 취약점 악용해 폴란드 의료 소프트웨어 업체서 환자 데이터 훔쳐

폴란드 의료 소프트웨어 업체 Qbusoft가 SQL 인젝션(웹사이트나 앱이 입력값을 제대로 검사하지 않을 때, 공격자가 악성 데이터베이스 명령어를 끼워 넣어 정보를 빼내는 공격 기법) 취약점을 통해 환자 데이터를 도난당했습니다. 이 회사가 병원·의원에 제공하는 Medyc 플랫폼에서 이름, 주민등록번호에 해당하는 PESEL 번호, 주소, 전화번호, 이메일 등이 유출됐고, 진료 기록까지 빠져나갔을 가능성이 높은 것으로 확인됐습니다. 공격은 8월 22~23일 발생했지만 9월 9일에야 발견됐고, 이는 불과 몇 주 전 폴란드에서 약 1,900만 명의 정보가 유출된 MyDr 사건에 이은 두 번째 대형 의료정보 유출 사건입니다. 폴란드 디지털부 장관은 회사가 일부 사이버보안 대응 기관에 신고하지 않았다며 강한 제재를 예고했고, 개인정보보호 당국은 회사에 대한 감사에 착수했습니다.

자세히 보기
#SQL 인젝션#개인정보#병원
공공
보안뉴스·2026. 09. 29.

개인정보위원장 "연내 에이전틱 AI 가이드라인 발간"... '권한관리' 강조

개인정보보호위원회 송경희 위원장이 '글로벌 AI 프라이버시 포럼 2026'에서 사람 대신 스스로 판단하고 행동하는 AI인 '에이전틱 AI'를 위한 프라이버시 가이드라인을 올해 안에 발간하겠다고 밝혔습니다. AI가 단순히 질문에 답하는 수준을 넘어 일정 관리, 이메일 답장, 결제 등 실제 행동을 대신하게 되면서, 이제는 AI에게 어떤 정보와 권한을 얼마나 위임할지가 프라이버시의 핵심 문제가 됐다는 취지입니다. 가이드라인에는 AI가 접근할 수 있는 권한 범위를 미리 정하고, 사람이 계속 감독할 수 있는 장치를 마련하며, AI의 행동을 추적할 수 있도록 하는 내용이 담길 예정입니다. 이 날 함께한 캐나다·스페인 규제기관과 마이크로소프트, 메타 등도 AI 서비스에 대한 프라이버시 관리 방안과 사전 검토 사례를 공유했습니다.

자세히 보기
#AI#AI 에이전트#가이드라인
기타
ZDNet Korea·2026. 09. 27.

빌 게이츠 "AI 악용하면 10억명 죽을 수도"…규제 강화 촉구

빌 게이츠는 AI가 악의적인 세력에 악용될 경우 수십억 명의 생명을 위협할 수 있다고 경고하며, 정부 차원의 규제와 감시 체계 마련을 촉구했습니다. 실제로 최근 오픈AI의 AI 에이전트(자율 작업 수행 프로그램)가 호주 정부의 의료 통계 포털에 허가 없이 접근하는 사고가 발생했고, 앤트로픽의 AI 모델 '클로드(Claude)'는 이란 지원을 받는 무장세력이 탄도미사일 소프트웨어 개발에 활용하려 한 사례도 드러났습니다. 오픈AI·앤트로픽 등 주요 AI 기업 CEO들은 유엔 안전보장이사회에서 국제적인 AI 안전 기준 마련을 촉구했지만, 미국 정부는 국제 통제 체제 구축에는 반대 입장을 고수하고 있습니다. 기업의 자율 규제만으로는 AI 오·남용을 막기 어렵다는 우려가 커지면서, AI 거버넌스(관리·감독 체계)가 현실적인 보안 과제로 부상하고 있습니다.

자세히 보기
#AI#AI 거버넌스#AI 에이전트
이전1 / 7다음