취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
공공개인정보보호위원회가 ISMS-P(정보보호 및 개인정보보호 관리체계 인증) 심사 방식을 강화하는 법령 개정안을 입법예고했습니다. 최근 통신사와 이커머스 업체 등 인증을 받은 기업에서 해킹과 개인정보 유출 사고가 잇따르면서, 서류 검토만으로는 한계가 있다는 문제의식에서 비롯됐습니다. 개정안은 기존 서면심사에 현장심사와 실제 취약점 점검·모의해킹(침투 테스트)을 병행할 수 있도록 해 실효성을 높입니다. 또한 개인정보 처리 규모나 사회적 영향력에 따라 인증 기준을 차등 적용하고, 인증이 취소된 기업에는 재취득 기간을 위한 과태료 1년 유예도 허용합니다. 의견수렴과 법제처 심사를 거쳐 최종 개정이 추진될 예정입니다.
자세히 보기
공공개인정보보호위원회가 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증 제도를 강화하기 위해 '개인정보 보호법 시행령' 개정안을 입법예고했습니다. 핵심 변경 사항은 지금까지 서류 검토 위주였던 심사 방식에 더해, 침해사고나 개인정보 유출이 발생한 기업에 대해 전문 인력이 직접 현장을 방문해 취약점 진단과 모의침투(해커처럼 실제로 시스템에 침입을 시도해 보는 테스트)를 수행할 수 있게 된다는 점입니다. 또한 기업 규모와 개인정보 처리량에 따라 인증 기준을 다르게 적용할 수 있는 근거도 마련됩니다. ISMS-P 인증 의무 대상 기업은 매년 받는 사후 심사에서도 이 강화된 현장 점검이 적용될 수 있어, 형식적 인증에 그치지 않도록 실질적인 보안 수준 검증이 이루어질 전망입니다.
자세히 보기
제조한국인터넷진흥원(KISA)이 현대자동차·기아와 함께 자동차 사이버 침해사고 대응 모의훈련을 실시했습니다. 이번 훈련은 공격자가 협력사 시스템에 침입한 뒤 차량 소프트웨어 업데이트 파일을 몰래 바꿔치기해 실제 차량 기능에 오작동을 일으키는 시나리오로 진행됐습니다. 자동차 산업은 수많은 협력사가 부품과 소프트웨어를 공급하는 구조여서, 협력사 한 곳의 보안 허점이 차량 안전 전체에 영향을 줄 수 있습니다. 과기정통부·국토교통부·경찰청 등 여러 기관이 참여해 탐지부터 격리·복구·수사까지 전 과정의 공조 절차를 점검했습니다. 자동차 사이버보안은 단순 IT 장애를 넘어 탑승자 안전과 직결되는 만큼, 공급망 전반의 보안 관리가 중요하다는 점이 강조됐습니다.
자세히 보기
중요기업미국 사이버보안 당국(CISA)이 VMware vCenter의 심각한 취약점(CVE-2026-59310)을 랜섬웨어 조직들이 적극적으로 악용하고 있다고 경고했습니다. 이 취약점은 인증 없이도 원격에서 임의 코드를 실행할 수 있는(RCE) 디렉터리 탐색 결함으로, Broadcom이 7월 29일 패치를 배포했습니다. 패치 이후에도 47개국 361개 이상의 IP 주소가 이미 침해된 것으로 확인됐으며, 현재 인터넷에 노출된 vCenter 서버는 450개를 넘는 것으로 추적되고 있습니다. vCenter·ESXi 서버는 기업의 핵심 데이터와 네트워크 전체에 대한 접근권을 줄 수 있어 랜섬웨어 조직의 주요 표적이 됩니다. 아직 패치를 적용하지 않은 조직은 즉시 업데이트를 완료해야 합니다.
자세히 보기
중요금융롯데카드에서 고객 297만 명의 개인 신용정보가 해킹으로 유출된 사고로, 금융당국이 내린 1.5개월 영업정지 처분이 9월 15일 종료됐습니다. 금융감독원 조사 결과 보안 패치 미적용, 주민등록번호와 비밀번호 암호화 미이행, 백신 소프트웨어 미설치 등 기본적인 보안 의무 위반이 확인됐고, 로그 파일에 개인정보가 평문으로 기록돼 있었습니다. 금융위원회와 개인정보보호위원회는 각각 50억 원, 96억 2천만 원의 과징금을 부과했습니다. 해킹으로 인한 정보유출을 이유로 금융회사가 업무정지를 받은 것은 이번이 처음으로, 금융권 전체에 보안관리 책임을 강화하는 선례가 됐습니다. 9월 11일부터는 개정 개인정보보호법이 시행돼 반복·고의 유출 시 전체 매출액의 최대 10%까지 징벌적 과징금이 부과될 수 있습니다.
자세히 보기
기업대한민국 개인정보보호위원회는 2026년 9월 11일부터 개정 개인정보 보호법을 시행합니다. 핵심 변화는 기업이 개인정보 유출을 최종 확인하기 전이라도, 유출 가능성을 인지한 순간부터 고객에게 즉시 알려야 한다는 점입니다. 해킹 흔적을 발견했지만 실제 유출 여부를 아직 모르는 상황에서도 고객 통지 의무가 발생하므로, 기업의 사고 초기 대응 부담이 커집니다. 통지·신고 대상 사고 범위도 넓어져, 랜섬웨어(악성 암호화 공격)로 데이터가 파괴·훼손된 경우까지 포함됩니다. 기업은 의심 단계에서 먼저 알리고 조사 결과를 추가 안내하는 2단계 대응 체계를 갖춰야 합니다.
자세히 보기
기업EU 사이버보안 기관인 ENISA가 2026년 9월 11일부터 '사이버 복원력법(CRA)'에 따른 단일 신고 플랫폼을 공식 운영하기 시작했습니다. EU 시장에 디지털 제품을 출시하는 제조사는 이제 이 포털 하나를 통해 실제로 악용된 취약점과 심각한 보안 사고를 의무적으로 신고해야 합니다. 신고 기한은 사건 인지 후 24시간 이내 초기 경보, 72시간 이내 상세 통보, 14일 이내 최종 보고서 제출입니다. 현재는 API 없이 웹 인터페이스만 제공되며, 오픈소스 소프트웨어 관리자에게는 2027년 12월 11일부터 동일한 의무가 적용됩니다. EU 시장에 제품을 판매하는 국내외 기업 보안 담당자라면 이 새로운 규제 의무를 반드시 숙지해야 합니다.
자세히 보기
중요금융핀테크 기업 Revolut이 정부 기관을 사칭한 공격자에게 고객 개인정보를 유출하는 데이터 침해 사고를 공개했습니다. 공격자는 실제 정부 기관의 이메일 도메인을 이용해 인증을 통과한 뒤 고객 정보를 요청했고, Revolut은 이를 합법적인 요청으로 믿고 응했습니다. 유출된 정보에는 이름·생년월일·주소·전화번호·직업 외에도 여권과 운전면허증 사본, 셀피(얼굴 인증 사진), IBAN 계좌번호, 출금 기록, 비트코인 거래 내역까지 포함되어 있습니다. 영향받은 고객 수는 "매우 제한적"이라고 밝혔으나 정확한 수치는 공개하지 않았으며, 크립토 사기 조사관은 고액 자산가를 표적으로 한 공격으로 보인다고 분석했습니다. Revolut은 해당 이메일 주소를 즉시 차단하고 관계 당국에 신고했으며, 시스템과 고객 자금에는 피해가 없다고 밝혔습니다.
자세히 보기
중요금융영국 핀테크 기업 Revolut에서 고객 개인정보가 유출되는 사고가 발생했습니다. 공격자가 정부 기관을 사칭한 이메일 주소를 이용해 Revolut 측으로부터 고객 데이터를 직접 넘겨받는 수법을 썼습니다. 유출된 정보에는 생년월일, 주소, 전화번호, 여권·운전면허증 사본, 계좌 내역, 비트코인 거래 기록 등이 포함됩니다. Revolut은 피해 고객에게 직접 통보했으며, 사고 인지 즉시 해당 이메일 주소를 차단하고 당국에 신고했습니다. 회사 시스템 자체와 고객 자금은 침해되지 않았다고 밝혔습니다.
자세히 보기
기업ManageEngine이 미국·캐나다의 IT·사이버보안 리더 700명을 대상으로 실시한 설문에 따르면, 대부분의 조직은 보안 침해 사고 이후 일시적으로 경각심이 높아지지만 1~6개월 안에 다시 원래 수준으로 돌아갑니다. 응답자의 91%는 자사의 현재 보안 태세를 신뢰한다고 밝혔으나, 사고 이후 보안이 영구적인 우선순위가 된다고 답한 비율은 8%에 불과했습니다. 절반에 가까운 조직은 사고 후에도 기존 전략과 구조를 그대로 유지했으며, 근본적인 변화를 꾀한 곳은 소수에 그쳤습니다. 또한 AI를 보안에 활용하는 조직의 약 3분의 2는 AI의 권고를 별도 검증 없이 그대로 따른다고 응답해, AI 의존에 따른 새로운 위험도 부각됐습니다. 전문가들은 보안을 일회성 조치가 아닌 지속적인 프로세스로 다뤄야 하며, AI 권고는 '신뢰 후 검증'이 아닌 '검증 후 신뢰' 원칙을 적용해야 한다고 강조합니다.
자세히 보기
기업AWS가 AI 모델이 보안 취약점을 얼마나 정확하게 탐지하는지 측정하는 'Deception Benchmark'를 공개했습니다. 이 벤치마크는 실제로 위험한 코드와 위험해 보이지만 안전한 코드를 AI가 얼마나 잘 구별하는지 평가합니다. 테스트 결과, 12개 AI 모델 모두 오탐률(안전한 코드를 위험하다고 잘못 판단하는 비율)이 최소 41%에 달해 기업 보안팀이 설정한 10% 기준을 만족하는 모델이 하나도 없었습니다. AI에게 취약점이 실제로 악용 가능한지 증명하도록 요구하면 오탐은 줄지만, 반대로 실제 취약점을 놓치는 비율이 늘어나는 트레이드오프가 발생했습니다. 보안팀이 AI 도구를 취약점 탐지에 활용할 때 오탐으로 인한 피로와 신뢰 저하 문제를 주의해야 함을 시사합니다.
자세히 보기
기업KAIST 김용대 교수가 한국의 사이버 침해사고 예방 체계의 구조적 문제를 짚은 칼럼입니다. 올해도 AnySign4PC 취약점 악용, 소스코드에 노출된 접속키, 모의해킹에서 이미 지적된 취약점 방치 등 "이미 알고 있었지만 고치지 않은" 사고들이 반복되고 있습니다. 현행 제도는 사고 후 과징금·제재 중심이라, 기업이 취약점을 먼저 찾아 고칠 유인이 오히려 줄어드는 역설이 발생합니다. 반면 예방 활동에 실질적인 보상·면책을 부여하는 장치는 접속기록 보관 의무 외에는 거의 없습니다. 저자는 자산 현황·패치 이력·침입 탐지 속도 등 예방 지표를 공시에 포함하고, 스스로 취약점을 찾아 조치한 기업에 법적 면책을 부여해야 한다고 주장합니다.
자세히 보기