TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 15일 목요일 기준

← 뉴스 홈으로

정보유출 키워드 뉴스

중요기업

Help Net Security·2026. 09. 20.

주간 리뷰: Cisco, 악용 중인 이메일 게이트웨이 0-day 패치 및 Revolut 침해 사고

지난주 가장 주목할 뉴스는 Cisco와 Acronis 제품에서 실제로 악용 중인 취약점 세 건이 확인된 것입니다. Cisco Secure Email Gateway에서는 SQL 인젝션(데이터베이스를 조작하는 공격) 취약점(CVE-2026-76461)이, Cisco ISE(기업 네트워크 접근 제어 시스템)에서는 인증 우회 취약점(CVE-2026-76460)이 공격자들에 의해 적극적으로 악용되고 있습니다. Acronis 백업 플러그인에서도 권한 상승 취약점(CVE-2026-87886)이 악용되고 있으며, Parallels Desktop에서도 로컬 사용자가 Mac에서 최고 관리자 권한을 얻을 수 있는 취약점(CVE-2026-90894)이 공개되었습니다. 이 밖에도 Revolut 고객 정보 유출, HBO Max Reddit 계정 탈취를 통한 악성코드 유포, 이란 국가 해킹 조직의 CHOSEN BRICK 악성코드 캠페인 등 다양한 위협 동향이 보고되었습니다. 해당 시스템을 운영하는 조직은 즉시 패치 여부를 확인하고 침해 지표(IoC)를 점검해야 합니다.

남성 패션 플랫폼 '룩핀', 개인정보 유출 공지…이메일·비밀번호 해시 등

남성 패션 플랫폼 '룩핀'을 운영하는 레벨13이 이용자 개인정보 유출 사실을 공지했습니다. 데이터 분석 도구인 '메타베이스(Metabase)'의 보안 취약점이 공격에 악용되었으며, 이메일 주소와 비밀번호 해시(암호화된 비밀번호), 일부 이용자의 경우 휴대폰 번호와 접속 IP 주소까지 유출된 것으로 확인됐습니다. 회사는 사고 당일 미확인 계정을 발견한 후 약 2시간 30분 만에 관련 시스템 접근을 차단했으며, 한국인터넷진흥원(KISA)에 침해사고 및 개인정보 유출 신고를 완료했습니다. 이용자들에게는 비밀번호 변경과 유출된 정보를 악용한 피싱(사기성 이메일·문자) 공격에 주의할 것을 당부했습니다.

"로그 들여다보는 시대는 갔다"... 국제 사이버 훈련에서 맹활약한 자율형 AI

대한민국 국가사이버안보센터가 서울 코엑스에서 열린 국제 사이버 훈련 'APEX 2026'에서 세계 최초로 자율형 AI 방어팀 '프로젝트 팔랑크스'를 실전 검증했습니다. 이 AI 블루팀은 최대 50개의 작업을 동시에 처리하는 병렬 에이전트 구조로, 사람 중심 팀보다 훨씬 빠르게 사이버 공격을 탐지하고 시스템을 자율 복구했습니다. 특히 외부망 차단이 필요한 국방·공공 환경을 고려해 인터넷 없이도 동작하는 로컬 LLM(대형 언어 모델)으로도 실전 수준의 성능을 낼 수 있음을 입증했습니다. 이번 성과를 바탕으로 기관별로 들쭉날쭉한 보안 대응 수준을 AI 방어 체계로 일원화해, 전국 어느 기관이든 높은 방어 능력을 갖출 수 있도록 확대할 계획입니다.

#AI #LLM #금융보안원

금융

ZDNet Korea·2026. 09. 18.

주민번호·연계정보 같이 털린 롯데카드 사태에...분리 보관 4개월 앞당긴다

롯데카드 해킹 사고로 약 129만 명의 연계정보(CI, 주민번호를 암호화한 온라인 식별자)가 유출됐고, 그 중 45만 명은 주민번호까지 함께 유출된 것으로 확인됐습니다. 온라인 결제 서버에 주민번호와 CI가 암호화되지 않은 상태로 로그에 남아 있었고, 해커가 이를 악용한 것이 원인입니다. 두 정보가 동시에 유출되면 개인 식별 가능성이 크게 높아져 추가 피해로 이어질 위험이 있습니다. 이 사고를 계기로 방송미디어통신위원회는 주민번호와 CI를 따로 보관하도록 하는 제도의 시행일을 당초 2027년 5월에서 2027년 1월 1일로 4개월 앞당기기로 의결했습니다. 관련 사업자는 내년 1월부터 두 정보를 반드시 분리 보관해야 합니다.

선박 사이버공격 대응 법제화 추진…탐지·대응·복구 체계 구축

한국 국회에서 선박을 겨냥한 사이버공격에 대응하기 위한 법안이 발의됐습니다. 최근 선박에 전자해도·위성통신·화물관리 시스템 등 디지털 기술이 널리 쓰이면서 해킹이나 랜섬웨어(파일을 잠그고 돈을 요구하는 악성 프로그램) 공격에 노출될 위험이 커졌습니다. 만약 항해 시스템이 마비되면 단순한 정보 유출을 넘어 항로 이탈·충돌·좌초 같은 실제 해양사고로 이어질 수 있습니다. 개정안은 해양수산부 장관이 사이버위협 탐지·대응·복구 대책을 마련하고, 선박의 사이버보안 수준을 점검하는 진단·평가 제도를 운영할 수 있도록 법적 근거를 담았습니다. 선박 사이버보안을 IT 문제가 아닌 해양안전 문제로 규정한다는 점이 핵심입니다.

#랜섬웨어 #사이버 공격 #사이버 위협

중요금융

데일리시큐·2026. 09. 18.

금융권 겨냥 'AI 에이전트 공격' 실제 탐지…API 보안 경고등

국내 금융보안원이 AI 에이전트를 이용한 금융권 대상 사이버 공격 시도를 실제로 탐지했습니다. 공격자가 AI를 활용해 금융 시스템과 데이터를 연결하는 API를 자동으로 공략하려 한 정황이 포착된 것으로, 금융보안원이 AI 에이전트 기반 공격 주체를 확인한 것은 이번이 처음입니다. 아직 실제 침해사고로 단정할 수는 없으나, API 보안키 노출 여부 점검과 인증·권한관리 강화가 긴급 과제로 제시됐습니다. AI 에이전트가 취약점 탐색부터 내부 데이터 접근까지 공격의 여러 단계를 자동화할 수 있어, 금융회사 보안 담당자들의 주의가 요구됩니다.

유명 수학 학원 '생각하는황소' 해킹... 학부모 피싱 사기 주의해야

유명 수학 학원 '생각하는황소'의 시험 예약 사이트가 해킹을 당해 학부모 이름·전화번호, 학생 이름·학교·학년·생년월일 등 민감한 개인정보가 대규모로 유출됐습니다. 학원 측은 시험 예약 이력이 있는 모든 이용자의 정보가 유출됐을 가능성이 높다고 밝히고 사이트를 임시 폐쇄했습니다. 유출된 정보는 이미 2차 범죄에 악용되고 있으며, 학부모들을 겨냥한 보이스피싱(전화 사기)·스미싱(문자 사기) 시도가 실제로 보고되고 있습니다. 이번 사고는 보안 인프라가 상대적으로 취약한 중소 규모 민간 서비스가 해커의 표적이 되고 있음을 보여주는 사례로, 학원가에서 미성년자 개인정보 유출이 연속으로 발생하고 있어 주의가 요구됩니다.

#개인정보 #개인정보 유출 #데이터 탈취

기업

Help Net Security·2026. 09. 18.

발각될 때쯤이면 사기 채용자의 98%는 이미 회사 자격증명을 손에 쥔 상태

기업이 직원을 채용한 뒤 실제 입사까지 걸리는 약 90일의 공백 기간에 사기 채용(신분을 속기거나 AI로 만들어진 가짜 지원자)이 파고들고 있다는 조사 결과가 나왔습니다. 보안회사 HYPR의 보고서에 따르면, 사기 채용이 발각될 때쯤에는 이미 98%의 경우에서 회사 계정과 내부 시스템 접근 권한이 발급된 상태였습니다. 자동화된 보안 도구가 탐지하는 비율은 53%에 불과하고, 나머지는 직원 신고나 내부 감사 같은 수작업에 의존하고 있습니다. 특히 HR(인사)팀과 IT·보안팀 사이에 책임 공백 구간이 존재해 공격자가 이를 틈타 조직에 침투할 수 있습니다. 신원 확인 기술과 MFA(다중 인증) 등 보안 투자의 약 60%가 사고 발생 후에 이루어지는 사후 대응 방식이라는 점도 문제로 지적됩니다.

[카드뉴스] "보안 점수 100점인데 비번은 다 털렸다?"… 다크웹 쏟아지는 '브라우저 자동 로그인'의 최후

기업의 보안 평가 점수가 높아지고 있음에도 불구하고, 다크웹에 유출되는 임직원 계정과 비밀번호 정보는 사상 최대 규모를 기록하고 있습니다. 핵심 원인은 브라우저의 '자동 로그인' 기능으로, 여기에 저장된 아이디·비밀번호와 세션 쿠키(이미 로그인된 상태를 유지하는 인증 정보)가 피싱(사기성 링크나 이메일로 정보를 빼내는 공격) 한 번에 통째로 탈취될 수 있습니다. 공격자는 훔친 세션 쿠키를 이용해 비밀번호를 몰라도 사내 내부망에 침투할 수 있어, 외형적 수치보다 실질적인 계정 탈취 방어 체계 구축이 시급합니다. 기업은 브라우저 계정 저장 금지, 다크웹 유출 상시 모니터링, 세션 즉시 만료 정책을 도입해야 합니다.

일본 디지털청 해킹당했다…알려진 VPN 취약점 패치 전 공격

일본 정부 여러 부처가 공동으로 사용하는 업무 시스템(GSS)이 해킹되어 약 24만6000건의 개인정보가 외부로 유출됐을 가능성이 확인됐습니다. 공격자는 인터넷에 연결된 VPN(가상 사설망) 장비의 이미 알려진 취약점을 이용해 내부 시스템에 침입했으며, 패치(보안 수정 프로그램)가 적용되기 전에 공격이 이루어졌습니다. 유출 가능성이 있는 정보는 공무원과 정부 업무 참여자의 이름·이메일·전화번호 등이며, 마이넘버나 금융계좌 같은 민감 정보는 포함되지 않은 것으로 확인됐습니다. 이번 사고는 CVSS(공통 취약점 점수 체계) 기준 '중간' 위험도로 분류된 취약점도 실제 공격에 악용될 수 있음을 보여주며, 제로트러스트 아키텍처를 도입했더라도 경계 장비의 취약점 관리가 여전히 중요하다는 교훈을 남깁니다. 국내 공공기관과 기업도 인터넷에 직접 노출된 VPN·방화벽 등의 패치 우선순위 기준을 재점검할 필요가 있습니다.

카카오게임즈, 140명 개인정보 유출... "악용 위험 낮다"

카카오게임즈에서 140명의 이용자 개인정보가 외부로 유출되는 사고가 발생했습니다. 유출된 정보는 파트너스 서비스의 타사 식별코드·아이디, RINK 서비스의 자사 식별코드와 국가코드이며, 비밀번호는 유출되지 않았습니다. 회사 측은 비정상적 외부 접근을 확인한 즉시 해당 경로와 계정을 차단하고 보안 강화 조치를 취했습니다. 개인정보보호위원회 등 관계기관에 신고하고 외부 보안 전문기관과 함께 원인 조사를 진행 중입니다. 피해 이용자에게는 의심스러운 비밀번호 변경 요청이나 출처 불명 링크·첨부파일을 주의하도록 권고했습니다.

일본 디지털청, VPN 구멍으로 24만명분 정보 새어나가

일본 정부 디지털청에서 약 24만 6000건의 개인정보가 외부로 유출됐습니다. 공격자는 VPN(가상사설망) 제품의 취약점(보안 구멍)을 악용해 직원 계정을 통해 정부 파일 서버에 몰래 접근했습니다. 유출된 정보에는 이름, 이메일 주소, 전화번호 등이 포함되며, 주민번호나 금융 계좌 정보는 포함되지 않았습니다. 디지털청은 침해를 발견한 직후 해당 서버의 외부 접속을 차단하고 공격에 사용된 직원 계정을 정지했습니다. 이번 사고는 공개된 VPN 취약점이 패치 전에 실제 공격에 활용된 사례로, 빠른 취약점 대응의 중요성을 보여줍니다.

#MFA #개인정보 #개인정보 유출

이전8 / 14다음