취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 15일 목요일 기준
중요의료미국 가정용 의료기기 업체 AdaptHealth가 2026년 6월 발생한 사이버 공격으로 약 411만 명의 개인정보가 유출됐다고 공식 확인했습니다. 공격자는 외부 계약업체 직원의 계정을 소셜 엔지니어링(사람을 속여 계정 정보를 빼내는 수법)으로 탈취한 뒤 클라우드 기반 환자 관리 시스템과 전자 의무기록 시스템에 침투했습니다. 유출된 정보에는 이름, 연락처, 건강보험 정보, 건강 정보 등 민감한 의료 관련 데이터가 포함됩니다. 해킹 그룹 ShinyHunters가 배후로 지목되며, 공격자는 데이터 공개를 빌미로 랜섬(몸값)을 요구했습니다. 피해자들에게는 12개월 무료 신용 모니터링 및 신원 보호 서비스 안내 통보가 발송됐습니다.
자세히 보기
금융토스페이먼츠의 가맹점인 소형 쇼핑몰 한 곳이 해킹을 당해 고객 2,671명의 결제내역 4,131건이 유출됐습니다. 해커는 해당 쇼핑몰 웹사이트의 자바스크립트 소스코드에 그대로 노출된 API 키(시스템 간 통신에 사용하는 인증 암호)를 발견하고, 이를 이용해 정상 사용자처럼 위장해 결제정보를 조회했습니다. 카드 비밀번호·유효기간·CVC 등 결제 실행에 필요한 민감 정보는 포함되지 않아 2차 결제 피해는 없을 것으로 보입니다. 토스페이먼츠는 유출 사실 확인 즉시 해당 접근 경로를 차단하고, 신용정보법에 따라 피해자 통지 및 금융감독원·금융위원회에 신고했습니다. 보안 인력이 부족한 영세 쇼핑몰에서 API 키를 코드 안에 직접 박아두는(하드코딩) 관행이 주요 원인으로 지목됩니다.
자세히 보기
중요금융금융감독원(금감원)이 전자지급결제대행(PG)사인 코엠페이먼츠와 토스페이먼츠를 대상으로 현장검사에 나섰습니다. 코엠페이먼츠는 해킹 공격으로 카드번호, 유효기간, 생년월 정보, 카드 비밀번호 앞 두 자리 등이 유출됐을 가능성이 있으며, 정확한 피해 규모는 아직 파악 중입니다. 토스페이먼츠는 자사 시스템이 직접 해킹된 것이 아니라, 가맹점이 연동해 사용하던 외부 결제 플랫폼의 인증정보가 부주의한 관리로 외부에 노출된 사례입니다. 조회된 고객 정보(이름, 일부 가려진 카드번호)만으로는 실제 결제가 불가능하며, 외부 반출 정황도 현재까지 확인되지 않았습니다. 금감원은 카드정보 보관·관리 체계와 침해 경로, 사고 대응 과정을 집중 점검할 예정입니다.
자세히 보기
기업대폭 강화된 개인정보보호법(개보법)이 11일부터 시행됩니다. 핵심 변화는 두 가지로, 첫째로 개인정보 유출 등 중대한 침해 행위에 대한 과징금 상한이 기존 매출액의 3%에서 최대 10%로 크게 올라갑니다. 둘째로 CEO가 개인정보 보호의 최종 책임자로 명시되어, 보안이 더 이상 실무 부서만의 문제가 아닌 최고경영진의 핵심 경영 리스크로 격상됩니다. 보안 인력·예산·설비에 적극 투자한 기업에는 과징금을 최대 40%까지 감경해 주는 인센티브도 도입되어, 기업들이 보안을 '비용'이 아닌 '투자'로 바라보도록 유도합니다. 최근 통신·플랫폼·금융·OTT 등 분야에서 대형 개인정보 유출 사고가 잇따르고, 해킹에 의한 유출 신고가 4년 만에 5배 가까이 늘어난 상황에서 나온 강력한 제도 개편입니다.
자세히 보기
중요기업Microsoft가 2026년 9월 패치 화요일(Patch Tuesday)에 역대 최다인 974개의 취약점을 한꺼번에 수정했습니다. 이 중 두 건(CVE-2026-85880, CVE-2026-81963)은 공격자가 Windows 시스템에서 최고 권한(SYSTEM)을 탈취할 수 있는 제로데이(패치 이전에 이미 공격에 활용된 취약점)로, 실제 공격이 확인됐습니다. 미국 사이버보안청(CISA)은 두 취약점을 '실제 악용 확인 목록(KEV)'에 등재하고 연방 기관에 9월 22일까지 패치 적용을 의무화했습니다. CVSS(위험도 점수) 9.8의 원격 코드 실행(RCE) 취약점도 여러 건 포함돼 있어 기업 보안 담당자의 신속한 우선순위 분류가 필요합니다.
자세히 보기
공공우정사업본부(우본) 직원이 업무상 접근 가능한 고객 개인정보를 목적 외로 조회해 제3자에게 넘긴 혐의로 경찰 수사를 받고 있습니다. 이 사건은 우체국 물류 직원이 수취인 정보를 유출해 범죄에 악용된 내부자 정보 유출 사고입니다. 우본은 해당 직원의 시스템 접근 권한을 즉시 회수하고 직위해제 조치를 완료했습니다. 재발 방지를 위해 직원별 개인정보 조회 권한을 추가로 축소하고, 월 1회인 처리 이력 점검 주기를 단축하며, 정상적인 업무 조회 시에도 일부 정보에 마스킹을 적용할 예정입니다. 피해가 확인된 고객에게는 유출 사실과 피해구제 방법을 개별 안내할 계획입니다.
자세히 보기
공공미군이 생성형 AI를 빠르게 도입하면서 새로운 보안 위험이 생기고 있다는 경고가 나왔습니다. AI를 매일 쓰다 보면 장병들이 경계심을 낮추고 민감한 정보를 무심코 입력할 수 있고, 연구에 따르면 사람들은 AI와 대화할 때 인간 상대보다 더 많은 정보를 공개하는 경향이 있습니다. 사용자가 170만 명을 넘은 미군 전용 플랫폼 GenAI.mil은 공격자가 노릴 수 있는 접점(계정, 저장 데이터, 소프트웨어 연결 등)을 크게 늘렸습니다. 비밀로 분류되지 않은 정보들도 AI가 종합하면 기밀에 해당하는 내용이 추론될 수 있다는 우려도 제기됩니다. 전문가들은 AI 도입 속도만을 역량 강화로 평가하지 말고, 새 기능 추가 시 늘어나는 보안 부담을 함께 측정해야 한다고 강조합니다.
자세히 보기
중요기업Microsoft가 2026년 9월 Patch Tuesday를 통해 역대 최다인 966건의 보안 취약점을 수정했습니다. 이 중 현재 실제 공격에 악용되고 있는 제로데이(공식 패치 없이 이미 공격에 쓰이는 취약점) 2건이 포함되어 있으며, 두 취약점 모두 공격자가 Windows 시스템에서 최고 권한(SYSTEM)을 획득할 수 있게 합니다. 첫 번째는 Windows Update Stack의 링크 추적 오류, 두 번째는 Windows ALPC(고급 로컬 프로시저 호출)의 힙 버퍼 오버플로우(메모리 경계를 넘어 데이터를 덮어쓰는 공격)입니다. 105건은 '위험(Critical)' 등급이며, 그 중 81건이 원격 코드 실행(RCE, 공격자가 인터넷을 통해 시스템을 마음대로 조작할 수 있는 공격)에 해당합니다. 기업 보안 담당자는 즉시 이번 업데이트를 적용해야 하며, 특히 제로데이 2건을 최우선으로 처리해야 합니다.
자세히 보기
의료미용의료 플랫폼 강남언니(운영사 힐링페이퍼)에서 약 22만 명의 회원 개인정보가 유출되는 사고가 발생했습니다. 공격자는 상담내역 조회 기능(API)의 허점을 이용해 이름, 휴대폰 번호, 기기정보, 상담·시술 정보 등 민감한 데이터를 탈취했습니다. 피해는 한국뿐 아니라 일본, 대만, 태국 등 해외 이용자에게도 미쳤습니다. 회사는 KISA(한국인터넷진흥원)와 경찰에 신고를 마쳤고, 피해 고객에게 1인당 5만 원 포인트와 최대 1,000만 원 규모의 금융사기 보험을 제공하겠다고 밝혔습니다. 재발 방지를 위해 API 인증 절차를 다단계로 강화하고, 외부 보안 전문기관과 모의 침투 테스트를 진행 중입니다.
자세히 보기
중요금융암호화폐(가상자산) 하드웨어 지갑 제조사 Trezor의 물류 파트너인 ShipMonk가 해킹을 당해 고객 약 67,000명의 이름, 이메일, 전화번호, 배송 주소가 유출됐습니다. 공격자들은 Metabase의 클라우드 서비스에서 발견된 SQL 인젝션(데이터베이스를 조작하는 해킹 기법) 제로데이 취약점을 악용해 ShipMonk 시스템에 침투했습니다. 유출된 정보를 이용한 피싱(사기) 전화와 QR코드가 담긴 실물 우편물이 실제로 고객들에게 발송되는 피해가 확인됐습니다. Trezor 자체 시스템이나 기기는 침해되지 않았지만, 가상자산 보유자를 노린 물리적 강탈 범죄도 급증하고 있어 유출된 고객들의 신체 안전까지 위협받고 있습니다. Trezor 측은 익명 배송 옵션 도입을 추진 중이며, 고객들에게 사기 시도에 주의할 것을 당부했습니다.
자세히 보기
중요금융국내 전자결제(PG, Payment Gateway) 업체들을 겨냥한 해킹 공격이 확인되면서 금융당국이 조사에 착수했습니다. PG 업체인 코엠페이먼츠는 8월 30일부터 9월 1일 사이에 결제 연동 시스템에 외부 비정상 접근이 발생했으며, 카드번호·유효기간·비밀번호 앞 두 자리 등이 유출됐을 가능성이 있다고 공식 인정했습니다. 또한 별도의 2차 PG 업체가 해킹된 뒤, 그 업체와 연결된 대형 PG사의 결제 연동 모듈까지 접근한 정황도 제보되어 조사 중입니다. 이번 공격은 보안이 상대적으로 취약한 중소 결제 연동업체를 먼저 침해한 뒤 상위 결제망으로 접근하는 공급망(Supply Chain) 공격 방식을 취하고 있어 국내 전자결제 생태계 전반의 보안에 경고음을 울리고 있습니다. 금융보안원은 카드사에 피해 카드 회원 보호조치를 요청했으며, 추가 피해 업체와 유출 정보 범위를 계속 조사하고 있습니다.
자세히 보기
중요기업한국에서 개인정보 유출 사고에 대한 과징금 상한을 관련 매출액의 3%에서 10%로 대폭 높이는 개인정보보호법 개정안이 2026년 9월 11일부터 시행됩니다. 이 법은 고의나 중대한 과실로 1,000만 명 이상 피해를 낸 경우, 또는 반복 위반 시 최대 매출액 10%의 과징금을 부과할 수 있도록 합니다. 반면 보안에 충분히 투자한 기업은 과징금을 최대 40%까지 깎아주는 감경 제도도 함께 도입됩니다. 전문가들은 과징금 산정 기준이 아직 모호하다는 아쉬움을 나타내면서도, 기업들이 보안 인력·예산·설비에 즉시 투자해 기본을 지켜야 한다고 강조했습니다. "예산이 없어서, 인력이 없어서"라는 변명은 더 이상 통하지 않는 시대가 됐습니다.
자세히 보기