TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 15일 목요일 기준

← 뉴스 홈으로

침해사고 키워드 뉴스

중요기업

Help Net Security·2026. 09. 06.

이번 주 보안 리뷰: 인포스틸러로 Claude 계정 침해, 패치 화요일 전망

이번 주는 기업 보안 담당자가 즉시 확인해야 할 사안이 여럿 터졌습니다. SonicWall SMA 1000 장비에서 패치되지 않은 제로데이 두 건(CVE-2026-83548, CVE-2026-83549)이 실제 공격에 쓰이고 있으며, CISA도 이미 '실제 악용 확인 목록(KEV)'에 등재했습니다. 같은 날 Sangoma Switchvox의 SQL 인젝션(데이터베이스를 조작하는 공격) 취약점(CVE-2026-9586)도 KEV에 올랐고 공격이 진행 중입니다. 의료 정보 기업 McKesson은 해커가 제3자 애플리케이션을 통해 환자 기록 2억 8,400만 건을 탈취했다고 밝혔습니다. 아울러 약 22,000대의 Microsoft Exchange 서버가 심각한 인증 우회 취약점(CVE-2026-62911) 패치를 아직 적용하지 않은 상태로 인터넷에 노출되어 있습니다.

#AI #AI 에이전트 #API 키

중요기업

The Hacker News·2026. 09. 05.

Trezor, 삭제됐다고 확인받은 미국 고객 67,000명 데이터가 ShipMonk 침해로 유출됐다고 공개

암호화폐 하드웨어 지갑 제조사 Trezor가 물류 협력업체 ShipMonk의 침해 사고로 미국 고객 67,000명 이상의 이름·이메일·전화번호·배송 주소 등 개인정보가 유출됐다고 밝혔습니다. 공격자는 Metabase에서 발견된 제로데이 SQL 인젝션(데이터베이스에 악성 명령을 삽입하는 공격) 취약점인 CVE-2026-72898(CVSS 10.0)을 악용했으며, CISA KEV(실제 악용이 확인된 취약점 목록)에도 등재된 심각한 결함입니다. 특히 Trezor는 계약에 따라 ShipMonk로부터 데이터 삭제 확인을 서면으로 받았음에도, 실제로는 데이터가 삭제되지 않아 피해가 확대됐습니다. ShinyHunters라는 해킹 조직이 배후로 지목됐으며, 유출된 정보를 악용한 피싱·사칭 전화·우편 사기 등 2차 공격에 각별한 주의가 필요합니다.

유니트리 G1 휴머노이드 로봇서 원격 해킹 취약점…주변 로봇으로 공격 확산 가능

중국 로봇 기업 유니트리(Unitree)의 휴머노이드 로봇 G1 EDU에서 인증 없이 최고 관리자(루트) 권한을 탈취할 수 있는 보안 취약점 2건(CVE-2026-76639, CVE-2026-76640)이 공개됐습니다. 공격자는 파일 업로드 기능의 허점이나 블루투스 통신의 인증 우회를 통해 로봇을 완전히 장악할 수 있으며, 장악된 로봇이 블루투스 범위 안의 다른 G1 로봇에도 연쇄 공격을 퍼뜨릴 수 있다는 점이 확인됐습니다. 로봇이 침해될 경우 카메라·마이크 접근, 충돌 방지 기능 해제 등 물리적 안전사고로 이어질 수 있습니다. 유니트리는 클라우드 소유권 검증 문제를 부분적으로 수정했으나, 펌웨어 수준의 취약점은 별도 업데이트가 필요해 G1 운영 기관은 최신 펌웨어 적용 여부를 즉시 확인해야 합니다.

#AI #개인정보 #로봇

공공

전자신문 보안·2026. 09. 04.

개인정보위, 내년 예산 '역대 최대'…신고포상금 94억원

개인정보보호위원회(개인정보위)가 2027년도 예산안을 역대 최대 규모인 996억원으로 편성했습니다. 특히 개인정보 유출·침해 사실을 신고한 사람에게 지급하는 신고포상금으로 94억원이 새로 반영되어, 내부 은폐·축소 행위를 조기에 적발하는 데 활용될 예정입니다. 기업 보안 담당자 입장에서는 개인정보 침해 사고에 대한 정부의 감시와 조사 역량이 한층 강화된다는 점을 주목해야 합니다. 예방체계 구축, 디지털 포렌식, AI 환경에서의 개인정보 보호 등 전방위적인 투자가 이뤄지며, 위반 시 내부 고발을 통한 적발 가능성도 높아집니다.

#AI #개인정보 #개인정보 유출

기업

전자신문 보안·2026. 09. 01.

가트너 "내년 AI 보안 시장 69% 성장…6.6조원 규모"

글로벌 시장조사기관 가트너(Gartner)가 AI(인공지능) 보안 시장이 2027년까지 약 70% 가까이 성장할 것이라고 전망했습니다. AI를 업무에 활용하는 기업이 늘면서, AI 모델과 앱을 직접 노리는 사이버 공격도 함께 증가하고 있기 때문입니다. 특히 '프롬프트 인젝션(AI에게 악의적인 명령을 몰래 심는 공격)'과 접근 권한 취약점을 이용한 공격이 2029년까지 AI 에이전트 피해 사례의 절반 이상을 차지할 것으로 예측됩니다. 오픈소스 소프트웨어 취약점과 공급망 공격도 AI 프로젝트의 새로운 위협 요인으로 부상하고 있습니다. 기업 보안 담당자는 AI 도입 시 보안 전략도 함께 마련해야 할 시점입니다.

#AI #AI 거버넌스 #AI 보안

중요기업

ZDNet Korea·2026. 09. 03.

티빙 해킹 피해 윤곽..."실 이용자 규모는 추가 확인 예정"

국내 OTT 서비스 티빙에서 대규모 개인정보 유출 사고가 발생했으며, 민관합동조사단이 조사 결과를 발표했습니다. 중복 포함 약 3,954만 개 계정의 이용자 정보와 함께 소스코드 등 기술자산 약 30GB가 외부로 유출됐습니다. 공격자는 개발자 접속키를 탈취해 개발환경에 침투한 뒤, 소스코드에 평문으로 저장된 운영환경 접속키를 확보해 실제 이용자 DB까지 접근했습니다. 비밀번호는 일방향 암호화로 복호화가 불가능하지만, 휴대전화 번호·이메일 주소 일부는 암호화키가 함께 유출되어 복호화가 가능한 상태입니다. 현재까지 스미싱·보이스피싱 등 2차 피해나 다크웹 유통 정황은 확인되지 않았으나, 정부는 티빙에 보안 체계 개선을 요구하고 과태료를 부과할 예정입니다.

#KISA #개인정보 #개인정보 유출

중요공공

Help Net Security·2026. 09. 03.

Thomson Reuters, 미국·캐나다 법원 기록 유출 데이터 침해 사고 공개

글로벌 정보 서비스 기업 Thomson Reuters가 운영하는 법원 사건 관리 플랫폼 'C-Track'에서 데이터 유출 사고가 발생했습니다. 공격자는 2026년 3월에 이미 시스템에 침입해 파일을 탈취했으며, 회사 측은 6월 30일이 돼서야 이를 발견했습니다. 미국 12개 이상 주(州) 법원, 미국령 버진아일랜드, 캐나다 온타리오 법원 등의 기록이 영향을 받았으며, 유출된 정보에는 사회보장번호(SSN), 운전면허 번호, 의료 정보, 생년월일, 건강보험 정보 등 매우 민감한 개인정보가 포함될 수 있습니다. 일부 법원에서는 기밀·봉인 문서까지 영향을 받았을 가능성이 있습니다. Thomson Reuters는 피해자에게 12개월 무료 신용 모니터링을 제공할 예정이나, 공격자 신원·유출 규모·침입 경위 등 핵심 사항은 아직 공개되지 않았습니다.

#SaaS #개인정보 #공공기관

기업

BleepingComputer·2026. 09. 03.

Plex, 보안 취약점 즉시 패치 촉구

Plex가 자사 미디어 서버(Plex Media Server)와 데스크톱 클라이언트에서 여러 보안 취약점이 발견되었다며 사용자들에게 즉시 업데이트를 촉구했습니다. 아직 CVE(취약점 공식 번호)가 부여되지 않은 새로운 취약점들은 Plex Media Server 1.43.2 이하 버전에 영향을 미치며, Plex는 이를 해결한 1.43.3 버전과 Plex Desktop 1.115.0을 이미 배포한 상태입니다. 과거에도 Plex 관련 취약점이 실제 공격에 악용된 사례가 있는데, 2022년 LastPass 대규모 개인정보 유출 사고가 Plex의 원격코드실행(RCE) 취약점을 통해 시작되었다는 점에서 이번 경고의 심각성을 알 수 있습니다. Plex가 특정 취약점 해결을 이유로 사용자에게 직접 이메일을 보내는 것은 매우 드문 일로, 그만큼 중요한 보안 문제임을 시사합니다. 현재 패치가 공개되어 있으므로 영향을 받는 버전 사용자는 즉시 업데이트해야 합니다.

티빙 3954만 계정 유출…문제는 '해킹 기술'이 아니라 내부 통제였다

국내 OTT 서비스 티빙(TVING)에서 약 3954만 개의 계정 정보가 유출되는 대규모 개인정보 침해 사고가 발생했습니다. 공격자는 개발자의 접속키(API 키) 하나를 탈취한 뒤, 소스코드에 평문으로 저장된 운영 서버 접속키를 연달아 확보해 실제 서비스 데이터베이스까지 침투했습니다. 이름·생년월일·휴대전화번호·이메일 등 70종의 정보가 유출됐으며, 일부는 암호화키와 함께 빠져나가 사실상 평문 유출과 같은 상태였습니다. 특히 2024년 모의해킹에서 이미 접속키 하드코딩 문제가 발견됐음에도 개선이 이루어지지 않았고, 첫 번째 이상 탐지 후에도 공격자의 우회 공격을 막지 못해 '기본 보안 통제의 총체적 실패'라는 평가를 받고 있습니다. 과기정통부는 24시간 내 신고 의무 위반을 이유로 최대 3000만 원의 과태료를 부과할 예정이며, 개인정보보호위원회의 추가 조사도 진행 중입니다.

#AI #API 키 #AWS

기업

Help Net Security·2026. 09. 03.

AI 에이전트의 시스템 프롬프트는 보안 제어 수단이 아닙니다

AI 에이전트의 시스템 프롬프트는 보안 장치가 아닙니다. 사용자가 교묘한 말로 지시를 우회하면 에이전트는 권한 밖의 데이터까지 꺼내줄 수 있기 때문입니다. AWS와 SANS 연구자들은 접근 제어를 모델이 아닌 인프라 계층에 두어야 한다고 권고합니다. 즉, 사용자의 권한을 기반으로 데이터를 모델에 전달하기 전에 미리 필터링해야 합니다. IBM 연구에 따르면 통제되지 않는 '섀도 AI(Shadow AI, 조직이 파악하지 못한 채 운영되는 AI)'가 높은 수준인 조직은 침해 사고 시 평균 67만 달러를 추가로 지출한 것으로 나타났습니다.

#AI #AI 거버넌스 #AI 에이전트

기업

ZDNet Korea·2026. 09. 03.

티빙 "침해사고에 따른 피해 시 1인당 300만원 보상"

국내 온라인 동영상 서비스(OTT) 티빙에서 고객 개인정보가 유출되는 사이버 침해사고가 발생했으며, 민관합동조사단이 조사 결과를 발표했습니다. 티빙은 공식 사과와 함께 피해 고객에게 1인당 최대 300만원을 보상하는 안심보험을 포함한 보상 패키지를 발표했습니다. 재발 방지를 위해 2030년까지 정보보호 투자를 이전 5년 대비 약 4배로 늘리고, 보안 전문인력도 현재의 3배 수준으로 확충할 계획입니다. 보안 원칙은 제로 트러스트(모든 접근을 기본적으로 신뢰하지 않고 매번 검증하는 보안 개념)로 전환하며, AI 기반 실시간 탐지·자동 대응 체계도 도입합니다.

#AI #개인정보 #개인정보 유출

중요기업

The Hacker News·2026. 09. 02.

악성 .git 설정 파일, Claude·Codex·Cursor 등 AI 에이전트에서 공격자 코드 실행 허용

AI 코딩 도구(Claude Code, Codex, Cursor, goose 등 7종)에서 악성 Git 저장소 설정 파일(.git/config)을 이용해 개발자 PC에서 임의 코드를 실행할 수 있는 취약점 8건이 공개됐습니다. 공격자가 심어둔 저장소를 열기만 해도, 별도 승인 없이 사용자 권한으로 악성 명령이 실행되어 파일 읽기·수정·삭제 등 피해가 발생할 수 있습니다. goose, Claude Code 일부, Cursor, Codex는 패치가 배포됐지만, Hermes Agent·Qwen Code·Grok Build와 Claude Code의 또 다른 실행 경로는 9월 1일 기준 여전히 미패치 상태입니다. 개발자들은 외부에서 받은 디렉터리를 AI 에이전트로 열기 전에 반드시 .git/config 파일을 점검하고, Git의 전역 설정에서 core.fsmonitor를 비활성화해야 합니다.

#AI #AI 에이전트 #CVSS

이전10 / 11다음