취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
이 범위에서 지금 주목할 이슈
중요공공미국 국방부(펜타곤)의 인사 관리 시스템인 DMDC(국방인력데이터센터)가 해킹당해 군인·군무원·가족·퇴역군인 등 300만 명이 넘는 사람들의 개인정보가 유출됐습니다. 해커는 파일 공유 시스템의 취약점을 악용해 2025년 10월부터 2026년 7월까지 시스템에 접근했으며, 유출된 정보에는 주민등록번호에 해당하는 사회보장번호(SSN), 이름, 생년월일, 연락처 등이 포함됩니다. 펜타곤은 피해자들에게 12개월 무료 신용 모니터링 서비스를 제공하고 있습니다. 이 사건은 ShinyHunters 해킹조직이 오라클 PeopleSoft 제로데이 취약점을 이용해 FBI 채용 사이트를 침해한 사건에 이어 발생했습니다.
자세히 보기
통신/ITEU 사이버복원력법(Cyber Resilience Act, CRA)은 디지털 요소가 포함된 제품을 EU 시장에 판매할 때 지켜야 할 보안 의무를 규정한 법으로, 컨테이너와 Kubernetes를 다루는 팀에도 직접 영향을 줍니다. 2026년 9월부터 보고 의무가 시작되고 2027년 12월부터 전면 시행되는데, 기업들은 기본적으로 안전한 설정을 적용하고, 소프트웨어 구성 요소 목록(SBOM)을 관리하며, 취약점이 실제로 악용되면 24시간 안에 신고해야 합니다. 또 제품 출시 후 최소 5년간 보안 업데이트를 지원해야 해서, 오래된 컨테이너 이미지도 계속 재빌드하고 관리할 파이프라인이 필요합니다. 전문가들은 최소한의 구성요소만 담은 컨테이너 이미지 사용, 런타임까지 포함한 소프트웨어 구성요소 추적, 이미지 배포 전략 점검, 공급망 가시성 확보 등을 미리 준비할 것을 권고합니다.
자세히 보기
기업보안 스캐닝 업체 Detectify가 미국, 영국, 북유럽 고객사 1,293곳의 데이터를 분석한 결과, 인터넷에 노출된 시스템에서 아직 고쳐지지 않은 심각(critical)·높음(high) 등급 취약점 대부분이 90일 넘게 방치되어 있었습니다. 북유럽은 97%, 영국은 92%, 미국은 86%가 이 기준을 넘겼습니다. 특히 공공기관은 다섯 개 업종 중 취약점 해결률이 가장 낮았는데, 예산 절차가 복잡하고 담당 부서가 여러 곳으로 나뉘어 있으며 오래된 레거시 시스템이 많은 것이 원인으로 꼽혔습니다. 또한 Lovable, Base44 같은 AI 도구가 외부에 노출된 조직은 다른 조직보다 절반도 안 되는 속도로 취약점을 고치는 것으로 나타나, AI 인프라에 대한 자산 관리와 거버넌스 강화가 필요하다는 지적이 나왔습니다.
자세히 보기암호화폐 거래소 Bitget에서 약 3억 8,800만 달러(약 5,000억 원) 규모의 자산이 도난당했습니다. 공격자는 Bitget이 사용하던 제3자 보안 제품의 취약점을 악용해 높은 권한을 가진 내부 인증 정보(credentials)를 빼냈습니다. 이후 9월 24일, 탈취한 인증 정보로 Bitget의 지갑(wallet) 시스템에 가짜 출금 명령을 보내 자금을 빼돌렸습니다. 이는 거래소가 직접 개발한 시스템이 아니라 외부 보안 솔루션의 결함이 침해의 출발점이 되었다는 점에서 공급망 보안의 중요성을 다시 보여준 사건입니다.
자세히 보기
공공한국 국가정보원(NIS)이 2026년 9월 '사이버 서밋 코리아(CSK 2026)' 행사에서 AI보안, 클라우드 보안, 소프트웨어 공급망 보안, 양자내성암호(현재의 암호체계를 깰 수 있는 양자컴퓨터에도 견디는 새로운 암호 기술) 전환 등 9대 사이버보안 정책을 발표했습니다. 특히 국정원은 사람 개입 없이 AI 스스로 실시간 사이버공격을 탐지·분석·대응하는 'AI 방어팀'을 세계 최초로 국제 사이버 훈련에 투입해 주목받았습니다. 공공기관은 내년부터 AI 레드티밍(시스템을 해커처럼 직접 공격해 약점을 찾는 보안 검증 활동) 테스트베드를 활용할 수 있게 되고, 2028년까지 국가 취약점 데이터베이스와 소프트웨어 공급망 통합 관리 시스템이 구축될 예정입니다. 기업과 공공기관 담당자는 SBOM(소프트웨어 구성요소 명세서) 제출 의무화, 양자내성암호 전환 일정, 클라우드 보안 등급 체계 개편 등 향후 의무 변화를 미리 파악하고 준비할 필요가 있습니다.
자세히 보기
기타스팀(Steam) 인기 인디 게임 '피플 플레이그라운드'의 창작마당(Workshop, 이용자가 만든 모드를 공유하는 공간)을 통해 악성 모드가 유포됐습니다. 해당 악성코드는 PC의 개인 데이터를 영구 삭제하고, 스팀 계정 설정과 클라우드 데이터를 손상시키며, 디스코드 사용자 이름 등 개인 정보를 무단 수집합니다. 특히 악성코드가 스스로를 창작마당에 재등록해 자동으로 확산되는 기능까지 갖추고 있어 피해 범위가 커질 수 있었습니다. 개발자는 창작마당을 즉시 차단하고, 피해 가능 시간대(한국시간 22일 새벽 1시~3시)에 게임을 실행한 이용자에게 백신 검사와 비밀번호 변경을 권고했습니다. 같은 게임에서 올해 2월에도 유사한 사고가 발생한 바 있어 반복적인 보안 취약점 관리 문제가 제기되고 있습니다.
자세히 보기
공공한국인터넷진흥원(KISA)이 AI 기술의 확산으로 올해 전 세계 공개 취약점(CVE) 건수가 6만6000건에 달해 역대 최대치를 기록할 것이라고 경고했습니다. 공격자들도 AI를 활용해 취약점을 자동으로 탐색하고 있으며, 취약점이 공개된 당일 또는 그 이전에 공격이 시작되는 비율이 전체의 29%에 달합니다. 국내 침해사고 신고도 올해 상반기에만 1,236건으로 전년 대비 약 20% 증가했습니다. 미국은 고위험 취약점에 대한 조치 시한을 3일로 강화했으며, 한국도 KISA 취약점관리센터를 중심으로 발견·검증·조치·전파를 아우르는 전주기 대응 체계를 구축 중입니다. 기업 보안 담당자는 이제 취약점 수를 관리하는 수준을 넘어, 실제 위협 여부를 빠르게 판별하고 즉각 조치하는 역량이 핵심입니다.
자세히 보기
공공한국인터넷진흥원(KISA)이 오픈AI의 보안 특화 AI 모델 'GPT-5.5 사이버'를 국가 기반시설 취약점 점검에 활용하기 시작했습니다. AI를 통해 기존에 일주일~한 달 걸리던 취약점 탐색 시간을 크게 단축했으며, 발견된 취약점 10건 중 5~6건이 실제 위협으로 확인됐습니다. 한편 공격자들도 AI를 활용하면서 취약점이 공개된 후 악용되는 시간이 수일에서 수시간으로 줄었고, 지난해 악용된 취약점의 29%는 공개 당일 또는 그 이전부터 이미 공격에 쓰였습니다. 반면 국내 기업의 평균 패치(취약점 수정) 소요 기간은 43일로 오히려 늘었고 완전 조치율도 26%에 불과해, '신속 패치' 의무화 법제화의 필요성이 제기됐습니다. 국내 보안 환경에 특화된 한국형 보안 AI 개발도 네이버클라우드 컨소시엄 주도로 착수된 상태입니다.
자세히 보기
금융금융보안원이 올해 2월부터 운영 중인 '금융권 SW공급망보안 플랫폼'에 178개 금융회사가 참여하고 있습니다. 이 플랫폼은 화이트해커가 취약점을 찾으면 금융보안원이 검증하고, SW 개발사가 패치를 만들어 금융회사가 조치하는 전 과정을 하나로 연결한 공동 대응체계입니다. 운영 이후 1,316건의 취약점 조치요청이 발송됐으며, 취약점 제보 건수는 전년 대비 약 2배, 패치 개발 요청은 5.7배 증가했습니다. 또한 SBOM(소프트웨어 구성명세서, SW에 들어간 오픈소스·라이브러리 목록과 버전 정보를 담은 문서)을 활용해 국내외 약 35만 건의 CVE(공개된 취약점 식별 번호) 정보와 연계, 개발·도입·배포 전 보안성을 사전 점검할 수 있도록 지원하고 있습니다. 금융보안원은 정부의 'SW 공급망 보안 강화 로드맵'과 연계해 이 플랫폼을 지속 발전시킬 계획입니다.
자세히 보기
