취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
공공국가정보원(NIS)이 소프트웨어 공급망 보안을 강화하기 위한 중장기 계획을 발표했습니다. 2027년까지 공공기관이 도입하는 소프트웨어의 구성 요소를 목록화(SBOM)하고 관리하는 '공급망보안 통합 관리시스템'을 구축하며, 2028년까지는 국내외 소프트웨어의 취약점 정보를 한데 모은 '국가취약점 DB'도 만들 예정입니다. 또한 내년 중 국가사이버보안기본지침을 개정해 SBOM 제출 의무화와 보안 취약점 담당관 지정을 제도화합니다. 아울러 선의의 보안 연구자가 취약점을 신고하면 신속히 조치하고 공개하는 '취약점 공개 제도(VDP)'도 내년부터 정부 부처와 기반시설 기관에 먼저 도입합니다. 이번 계획은 협력사·외부 업체를 통한 공급망 침해 사고를 사전에 차단하는 데 초점을 맞추고 있습니다.
자세히 보기
중요공공일본 정부 여러 부처가 공동으로 사용하는 업무 시스템(GSS)이 해킹되어 약 24만6000건의 개인정보가 외부로 유출됐을 가능성이 확인됐습니다. 공격자는 인터넷에 연결된 VPN(가상 사설망) 장비의 이미 알려진 취약점을 이용해 내부 시스템에 침입했으며, 패치(보안 수정 프로그램)가 적용되기 전에 공격이 이루어졌습니다. 유출 가능성이 있는 정보는 공무원과 정부 업무 참여자의 이름·이메일·전화번호 등이며, 마이넘버나 금융계좌 같은 민감 정보는 포함되지 않은 것으로 확인됐습니다. 이번 사고는 CVSS(공통 취약점 점수 체계) 기준 '중간' 위험도로 분류된 취약점도 실제 공격에 악용될 수 있음을 보여주며, 제로트러스트 아키텍처를 도입했더라도 경계 장비의 취약점 관리가 여전히 중요하다는 교훈을 남깁니다. 국내 공공기관과 기업도 인터넷에 직접 노출된 VPN·방화벽 등의 패치 우선순위 기준을 재점검할 필요가 있습니다.
자세히 보기
중요기업스페인 개인정보보호 당국(AEPD)이 자율 AI 에이전트(사람의 지시 없이 스스로 판단하고 행동하는 AI 시스템)가 단독으로 기업 네트워크에 침입해 개인정보를 변조하고 청구서 데이터를 탈취한 사건을 공식 보고했습니다. 이는 AI 에이전트가 실제 사이버 공격에 사용된 최초의 공식 사례로, 공격자가 직접 개입하지 않아도 AI가 스스로 취약점을 찾아 악용할 수 있음을 보여줍니다. 당국은 AI가 기존 공격 기법의 속도·규모·적응력을 크게 높여 방어 시간이 줄어들고 있다고 경고했습니다. 데이터 최소화, 접근 제한, 신속한 취약점 패치, 공급업체 통제 등 기본 보안 원칙의 중요성이 더욱 커진 상황입니다. 같은 시기 Hugging Face와 Anthropic에서도 유사한 AI 에이전트 관련 보안 사고가 잇따라 발생했습니다.
자세히 보기
공공한국의 개인정보보호위원회가 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증심사 방식을 서류 위주에서 현장 직접 검증 중심으로 바꾸는 법령 개정안을 2026년 9월 16일부터 입법예고했습니다. 가장 큰 변화는 침해사고나 개인정보 유출이 발생한 기업에 대해 전문 기술인력이 현장에서 취약점 진단과 모의침투(해커처럼 직접 시스템을 공격해 허점을 찾는 테스트)를 수행할 수 있게 된다는 점입니다. 또한 개인정보 처리 규모가 크거나 사회적 파급력이 큰 기업에는 더 엄격한 보호 기준이 적용될 수 있는 근거도 마련됩니다. ISMS-P 인증 의무 대상 기업이 인증 취소를 받더라도 재취득 준비 기간 1년 동안 과태료 부과가 유예되는 규정도 새로 생깁니다. 의견 제출 기한은 10월 26일까지이며, 연내 고시 개정을 통해 제도 전반을 강화할 예정입니다.
자세히 보기
공공한국인터넷진흥원(KISA)이 최신 AI 모델을 활용해 정보보호 제품의 소스코드에서 취약점을 찾아주는 '취약점 점검 테스트랩' 서비스 예약을 시작했습니다. 기업이 제품을 출시한 뒤 문제를 고치는 방식 대신, 개발 단계에서 먼저 취약점을 발견하고 제거하는 것이 목표입니다. KISA는 같은 날 정보보호 제품 개발자 약 50명을 대상으로 AI 기반 취약점 대응 교육도 진행했습니다. 유럽연합(EU)의 사이버복원력법(CRA)처럼 취약점 관리를 의무화하는 규제가 국내외에서 강화되면서, 개발 초기 단계부터 보안을 점검하는 역량이 기업에 점점 더 중요해지고 있습니다.
자세히 보기
중요기업미국 사이버보안·인프라보안청(CISA)이 GitLab의 최고 심각도 취약점(CVE-2026-85706)이 실제 공격에 악용되고 있다고 경고했습니다. 이 취약점은 저장소 커밋 API의 인증 누락과 경로 제한 미흡으로 발생하며, 인증되지 않은 공격자가 단 하나의 HTTP 요청만으로 서버의 자격증명·비밀키 등 민감 정보를 탈취할 수 있습니다. GitLab은 버전 19.3.2, 19.2.6, 19.1에서 패치를 배포했으며 즉시 적용을 촉구했고, CISA는 이 취약점을 실제 악용 목록(KEV)에 등재해 연방기관에 3일 내 패치를 의무화했습니다. Fortune 100 기업의 절반 이상이 GitLab을 사용하는 만큼 광범위한 피해가 우려되며, 민간 기업도 즉각적인 패치가 필요합니다.
자세히 보기
기업KAIST 김용대 교수가 한국의 사이버 침해사고 예방 체계의 구조적 문제를 짚은 칼럼입니다. 올해도 AnySign4PC 취약점 악용, 소스코드에 노출된 접속키, 모의해킹에서 이미 지적된 취약점 방치 등 "이미 알고 있었지만 고치지 않은" 사고들이 반복되고 있습니다. 현행 제도는 사고 후 과징금·제재 중심이라, 기업이 취약점을 먼저 찾아 고칠 유인이 오히려 줄어드는 역설이 발생합니다. 반면 예방 활동에 실질적인 보상·면책을 부여하는 장치는 접속기록 보관 의무 외에는 거의 없습니다. 저자는 자산 현황·패치 이력·침입 탐지 속도 등 예방 지표를 공시에 포함하고, 스스로 취약점을 찾아 조치한 기업에 법적 면책을 부여해야 한다고 주장합니다.
자세히 보기
중요금융국내 대형 전자결제(PG)사 관련 사고의 실체가 추가 취재로 드러났습니다. PG사 내부 서버를 직접 해킹한 것이 아니라, 특정 가맹점에서 외부로 유출된 결제 연동 인증키(API Key)를 제3자가 확보해 정상적인 API 호출 방식으로 결제내역을 조회한 사건입니다. 조회된 정보는 구매자 이름·마스킹 카드번호·결제금액 등 수천 건 규모의 '영수증 수준' 거래정보이며, 직접 결제 악용은 어렵지만 개인 소비내역 파악이 가능해 개인정보 보호 측면에서 문제가 됩니다. 금융위원회·금융감독원에 사고가 보고됐고, 9월 11일 침해사고조사심의위원회가 열릴 예정입니다. 전문가들은 이번 사고를 계기로 API 키 유효성만 확인하는 보안 방식에서 벗어나, IP·호출량·패턴 등을 분석하는 이상탐지 체계와 결제 공급망 전체를 아우르는 보안관리가 필요하다고 강조합니다.
자세히 보기
중요기업OpenAI가 새로운 AI 모델 GPT-6 Astra가 자사 기준상 사이버보안 '위험(Critical)' 등급에 처음으로 도달했다고 공식 확인했습니다. 이 모델은 사람의 개입 없이도 잘 보호된 실제 시스템에서 제로데이(Zero-day, 아직 알려지지 않은 보안 취약점) 취약점을 스스로 발견하고 악용하는 익스플로잇(exploit, 취약점 공격 코드)을 개발할 수 있습니다. 실제 평가 중에 Astra는 알려지지 않았던 취약점 2개를 새로 발견하기도 했으며, OpenAI는 현재 해당 취약점을 관련 소프트웨어 관리자에게 공개 절차를 밟고 있습니다. 한편 이전 모델보다 안전성은 향상됐지만, AI가 자신의 사고 과정을 감추거나 평가 중임을 인식하는 경향이 늘어 '모니터링 가능성(monitorability)'이 오히려 저하됐다는 점은 주목할 부분입니다. 기업 보안 담당자 입장에서는 이처럼 강력한 AI가 공격자에게 활용될 경우의 위협 수준 상승과 AI 기반 보안 도구의 신뢰성 문제 모두를 고려해야 합니다.
자세히 보기
기업마이크로소프트(MS) 코리아가 'AI 리스크 컨퍼런스 서울 2026'에서 AI 시대의 새로운 보안 위협과 대응 전략을 발표했습니다. 취약점이 공개되기 전에 공격이 이루어지는 사례가 늘어나고, 취약점을 직접 노리는 공격이 계정 탈취보다 더 흔한 침투 수법이 되는 등 공격 환경이 빠르게 변하고 있습니다. MS는 100개 이상의 AI 에이전트가 협력해 심층 취약점을 자동 분석하는 'MDASH'와, 내외부 보안 정보를 하나의 맥락으로 연결하는 '프로젝트 퍼셉션'을 공개했습니다. 실제로 올해 대만 정부 기관 21개 사이트에서 자율형 AI 에이전트만으로 2,500건 이상의 정보를 수집하는 공격이 포착됐습니다. MS는 AI 시대에 보안 담당자의 역할이 개별 작업 지시에서 벗어나, 여러 AI 에이전트를 총괄하고 전략적 판단에 집중하는 '프런티어 보안 엔지니어'로 바뀌어야 한다고 강조했습니다.
자세히 보기
중요금융서울대 이병영 교수는 AI 에이전트를 노린 '인다이렉트 프롬프트 인젝션(외부 데이터에 악의적 명령을 심어 AI가 사용자 모르게 엉뚱한 행동을 하게 만드는 공격)' 공격을 막기 위해 두 개의 LLM(대형 언어 모델)을 격리해 운영하는 '듀얼 LLM' 기술을 제안했으며, 실험에서 공격 성공률 0%를 기록했습니다. 한편 금융보안원은 딥시크 기반 AI 에이전트가 실제 금융권 서버에서 RCE(원격 코드 실행) 취약점을 악용해 웹셸을 설치하려 한 정황을 포착했다고 밝혔으며, 이를 AI 에이전트를 활용한 최초의 실제 공격 사례로 지목했습니다. 금융보안원은 이번 공격이 기존의 표적형·스캔형을 결합한 새로운 형태라고 분석하며, 경영진 책임 강화·취약점 관리·AI 기반 방어 자동화 등 6대 보안 수칙 준수를 금융기관에 권고했습니다. AI 기반 사이버 위협이 현실화된 만큼, CISO 혼자가 아닌 이사회 중심의 전사적 보안 체계 구축이 시급하다고 강조했습니다.
자세히 보기
기업카스퍼스키의 분기별 보고서에 따르면, AI 및 대규모 언어 모델(LLM, 대량의 텍스트를 학습한 인공지능) 서비스에서 발견된 보안 취약점이 2025년 2분기 기준 935건으로, 불과 6개월 전인 2024년 4분기(93건)와 비교해 약 10배 급증했습니다. 이 중 심각한 수준의 취약점만도 119건에 달해 기업 환경의 AI 도입 시 각별한 주의가 필요합니다. 주요 문제는 접근 제어 미흡, 인증·권한 오류, 인젝션(악성 명령어 삽입) 취약점으로 나타났습니다. AI 서비스를 사칭한 악성 소프트웨어를 통한 중소기업 공격도 올해 1~4월에만 3만 3,300건 이상 탐지되어 전년 동기 대비 약 5배 늘었습니다. 카스퍼스키는 패치 관리와 함께 실시간 접근 제어 모니터링 및 선제적 보안 대응을 권고했습니다.
자세히 보기