취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
이 범위에서 지금 주목할 이슈
기업파르나스호텔앤리조트의 통합 멤버십 서비스인 '파르나스 리워즈'에서 회원 개인정보가 유출되는 사고가 발생했습니다. 지난 9월 24~25일 외부 공격자가 허락 없이 시스템에 접근해 멤버십 아이디, 이름, 생년, 예약정보, 휴대전화번호, 이메일 등 회원 정보 일부를 빼간 것으로 확인됐습니다. 다행히 주민등록번호, 신용카드정보, 비밀번호는 이번 사고의 영향을 받지 않은 것으로 파악됐습니다. 특히 유출된 예약정보를 악용해 호텔을 사칭하며 추가 결제나 카드정보를 요구하는 메시지가 돌고 있어, 왓츠앱 등 비공식 경로로 온 결제 요청은 절대 응하지 말아야 합니다. 회사는 당국에 신고하고 조사 중이며, 회원들에게는 비밀번호 변경을 권고하고 있습니다.
자세히 보기
공공개인정보보호위원회가 급증하는 개인정보 유출·침해 사고에 대응하기 위해 조사체계를 전면 개편합니다. 100만명 이상 유출이나 사회적 파급력이 큰 사건은 '중요사건'으로 분류해 전담 조사단을 투입하고, 일반 사건은 유형별로 묶어 신속히 처리하며, 경미한 사건은 처벌보다 재발방지에 중점을 둡니다. 처리 기간도 중요사건 12개월, 일반사건 6개월, 경미사건 3개월 이내를 원칙으로 정했습니다. 또한 과징금 1억원 이하 사건은 소위원회에서 처리하도록 해 전체회의 부담을 줄이고, 조사 착수 여부를 14일 이내 결정하는 등 절차의 예측 가능성도 높이기로 했습니다. 이번 조치는 2026년 상반기에만 개인정보 유출 신고가 432건에 달하며 작년 전체 신고 건수에 근접할 정도로 사고가 급증한 데 따른 것입니다.
자세히 보기
중요금융무신사의 29CM, 강남언니, 신한은행에서 잇따라 고객 개인정보 유출 사고가 발생했습니다. 공격자는 서버에 몰래 침입하는 대신, 정상적으로 열려 있는 웹서비스나 API(앱과 서버가 정보를 주고받는 통로)에 접근해서 조회 조건값을 바꿔가며 다른 사람의 정보를 빼간 것으로 보입니다. 금융보안원은 이 공격들 뒤에 중국어 기반 오픈소스 AI 자율 침투 도구 'ARTEX'가 사용된 정황을 확인했고, 다수의 국내 금융회사를 대상으로 자동화된 공격이 광범위하게 진행 중이라며 모니터링 강화를 권고했습니다. 로그인했다는 사실(인증)과 그 정보를 볼 권한이 있다는 사실(인가)은 다르며, 이번 사고들은 서버가 이 권한 확인을 제대로 하지 않아 발생한 것으로 분석됩니다. 공격자가 IP를 계속 바꿔가며 공격하기 때문에 IP 차단만으로는 근본적인 방어가 어려워, 기업들은 API 접근 로그를 다시 점검해야 한다는 경고가 나옵니다.
자세히 보기
중요금융신한은행에서 외부인이 정상 인증 절차를 거치지 않고 우회적인 방법으로 일부 서비스에 침입해 고객 약 2만5천여 명의 개인정보와 신용정보가 유출됐습니다. 유출된 정보에는 이름, 전화번호, 연소득, 대출한도뿐 아니라 일부 고객의 주민등록번호와 CI(온라인상 본인을 식별하는 연계정보)도 포함돼 있습니다. 은행 측은 이번 사고가 슈퍼SOL, 땡겨요 등 다른 서비스와는 관련이 없다고 밝혔으며, 사고 직후 서비스 중단과 외부 IP 차단, 보안패치 적용 등 긴급조치를 완료했습니다. 금융당국은 현장조사에 나섰고, 은행은 피해가 확인되면 전액 보상하겠다는 방침입니다.
자세히 보기
중요공공정부의 대표 민원서비스인 정부24가 지난 8월 17일 외부 해킹 공격을 받아 서버 메모리 정보와 일부 개인정보가 유출됐습니다. 공격자는 '어린이포털'의 취약한 페이지를 통해 침입해 시스템 메모리 덤프파일(시스템이 특정 순간 처리 중이던 데이터를 저장한 파일) 11개 등을 빼갔습니다. 행정안전부의 초기 신고 자료에 따르면 주민등록번호 36개, 전화번호 3개, 정부24 계정 아이디·비밀번호 55개가 유출된 것으로 추정되지만, 이는 초기 추정치일 뿐 정확한 피해 규모와 침해 범위는 아직 조사 중입니다. 공격자가 서버에서 명령을 실행할 수 있는 권한까지 확보했는지, 웹셸 설치나 내부 다른 시스템으로 접근을 확대했는지 등은 추가 조사가 필요한 상황입니다. 이번 사고는 지난해 프로그램 오류로 서류가 잘못 발급됐던 사건과 달리 외부 공격자에 의한 명백한 침해사고라는 점에서 성격이 다릅니다.
자세히 보기
기업AI로 만든 가짜 목소리나 영상을 이용해 직원을 속이는 딥페이크 피싱 공격이 늘고 있습니다. 가트너 조사에 따르면 보안 책임자 297명 중 41%가 최근 1년 동안 음성 통화로, 36%가 화상 통화로 이런 공격을 겪었다고 답했습니다. 공격자는 진짜 같은 목소리나 영상으로 송금이나 계정 변경을 요청해 직원을 속이려 합니다. 전문가들은 목소리만 믿고 요청을 승인하지 말고, 등록된 연락처로 다시 확인하는 절차와 모의 훈련이 필요하다고 조언합니다.
자세히 보기
중요금융2026년 9월, 다크웹 포럼에서 국내 중고차 금융·캐피탈 업체 3곳(JB오토리스할부, MSI캐피탈, NR캐피탈)의 고객 데이터를 판매한다는 게시물이 잇따라 발견됐습니다. 판매자는 각각 2만8000건, 300GB, 1TB 규모의 데이터를 보유했다고 주장하며 이름·전화번호·주소·신분증 이미지 등이 포함됐을 가능성을 시사했습니다. 아직 실제 침해 여부는 확인되지 않았으나, 금융·대출 관련 정보가 유출될 경우 스미싱·보이스피싱·대출사기 등 2차 피해로 이어질 위험이 큽니다. 해당 기업들은 다크웹에 공개된 샘플 데이터와 내부 고객 정보의 일치 여부, 관리자 계정 로그인·DB 접근 이력 등을 즉시 점검해야 합니다. 금융당국과 KISA(한국인터넷진흥원)의 신속한 사실 확인 및 후속 대응도 필요한 상황입니다.
자세히 보기
중요기업국내 남성 패션 플랫폼 룩핀(LOOKPIN)에서 대규모 개인정보 유출 사고가 발생했습니다. 해커는 다크웹 포럼에 약 270만 명의 고객 정보와 1100만 건의 주문 데이터를 판매한다는 게시물을 올렸으며, 룩핀은 2026년 9월 16일 외부의 비정상적인 접근을 확인하고 해킹 사실을 공식 인정했습니다. 유출된 정보에는 이메일, 휴대전화번호, 암호화된 비밀번호, 접속 IP, 배송지·주문 내역, 환불계좌, 개인통관고유부호 등 광범위한 항목이 포함돼 있습니다. 실제 거래 정보까지 유출됐기 때문에 배송·환불을 사칭한 맞춤형 스미싱(문자 피싱)·피싱 공격으로 악용될 우려가 큽니다. 피해 고객은 비밀번호를 변경하고 의심 문자·링크를 클릭하지 않도록 주의해야 합니다.
자세히 보기
금융금융보안원에 법인보험대리점(GA, General Agency) 11개사가 새로 가입하면서 전체 GA 사원사가 25개사로 늘었습니다. GA는 보험 판매 과정에서 대량의 개인 신용정보를 다루기 때문에, 외부 협력업체를 통한 해킹(공급망 공격) 위협이 커지고 있어 보안 강화가 시급한 상황입니다. 신규 가입 GA들은 앞으로 통합보안관제, 침해사고 예방·대응, 침투 테스트(모의해킹), 보안 교육 등 금융회사 수준의 보안 지원을 받게 됩니다. 금융보안원은 지난해 가입한 14개사를 대상으로 현장 컨설팅을 진행해왔으며, 이번 확대로 금융권 전체의 공급망 보안 수준을 높이려는 움직임이 본격화되고 있습니다.
자세히 보기
