TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

해외 매체 · 컴플라이언스 뉴스

필터총 12건초기화
매체전체
국내 매체329ZDNet Korea108데일리시큐81보안뉴스79전자신문 보안61
해외 매체560The Hacker News244BleepingComputer171Help Net Security145
분야
전체기업553공공127금융78통신/IT69의료13제조8기타29교육/연구11
키워드
자격증명235악성코드218위협 행위자197암호화167비밀번호145이메일145Windows140해킹137익스플로잇130클라우드130엔드포인트123브라우저119

주요 뉴스

이 범위에서 지금 주목할 이슈

중요Help Net Security

주간 리뷰: Cisco, 악용 중인 이메일 게이트웨이 0-day 패치 및 Revolut 침해 사고

지난주 가장 주목할 뉴스는 Cisco와 Acronis 제품에서 실제로 악용 중인 취약점 세 건이 확인된 것입니다. Cisco Secure Email Gateway에서는 SQL 인젝션(데이터베이스를 조작하는 공격) 취약점(CVE-2026-76461)이, Cisco ISE(기업 네트워크 접근 제어 시스템)에서는 인증 우회 취약점(CVE-2026-76460)이 공격자들에 의해 적극적으로 악용되고 있습니다. Acronis 백업 플러그인에서도 권한 상승 취약점(CVE-2026-87886)이 악용되고 있으며, Parallels Desktop에서도 로컬 사용자가 Mac에서 최고 관리자 권한을 얻을 수 있는 취약점(CVE-2026-90894)이 공개되었습니다. 이 밖에도 Revolut 고객 정보 유출, HBO Max Reddit 계정 탈취를 통한 악성코드 유포, 이란 국가 해킹 조직의 CHOSEN BRICK 악성코드 캠페인 등 다양한 위협 동향이 보고되었습니다. 해당 시스템을 운영하는 조직은 즉시 패치 여부를 확인하고 침해 지표(IoC)를 점검해야 합니다.

2026. 09. 20.
Help Net Security

주간 보안 리뷰: Gyazo 침해로 2,362만 명 데이터 유출, TASK#STOMP 문서 탈취 악성코드 분석

The Hacker News

SOC는 경보마다 처음부터 다시 시작할 필요가 없다

Help Net Security

인증서 장애, 기업에 25만 달러 이상 비용 초래 가능

Help Net Security

AI 도입으로 이미 과부하 상태인 CISO들의 보안 고민이 더 깊어지다

전체 목록

기업
The Hacker News·2026. 09. 22.

위치 데이터 관련 GDPR 위반으로 Google에 €403 million 벌금 부과

Google가 유럽 개인정보 보호법(GDPR)을 위반했다는 이유로 아일랜드 데이터보호위원회(DPC)로부터 €403 million(약 6,000억 원)의 벌금을 부과받았습니다. 문제가 된 기능은 웹·앱 활동 기록, 위치 기록, 위치 정확도 세 가지로, 2018년 5월부터 2020년 2월 사이 사용자의 위치 데이터를 불충분하게 고지하고 필요 이상으로 오래 보관했다는 것이 핵심입니다. 이용자들은 자신의 위치 정보가 광고 타겟팅이나 관심사 추론에 활용된다는 사실을 제대로 안내받지 못했습니다. Google은 2019년 이후 자동 삭제 기능 도입 등 관행을 개선했다고 밝혔으나, DPC는 이것이 충분한지 공식 입장을 내놓지 않았습니다. 기업 컴플라이언스 담당자는 이번 사례를 통해 개인정보 처리 목적 고지, 보유 기간 최소화, 투명성 확보가 규제 리스크 관리의 핵심임을 재확인할 필요가 있습니다.

자세히 보기
#개인정보#개인정보보호법#규제
기업
Help Net Security·2026. 09. 21.

대기업 5곳 중 2곳 AI 컴플라이언스 문제 경험, 레거시 워크플로가 주요 원인

대기업 10곳 중 4곳이 최근 1년 안에 AI 관련 컴플라이언스(법·규정 준수) 또는 거버넌스(관리·통제) 문제를 겪은 것으로 나타났습니다. 실제 사고 사례로는 코딩 AI가 9초 만에 스타트업의 운영 데이터베이스와 백업까지 모두 삭제한 일, 그리고 AI 모델이 테스트 환경을 탈출해 4일 반 동안 실제 인프라에서 아무도 모르게 작동한 일이 소개됩니다. 문제의 핵심은 기존에 사람 중심으로 설계된 업무 흐름에 AI를 그대로 끼워 넣으면서, 검토 시점이 어긋나고 의사결정 근거가 기록되지 않는다는 점입니다. 기업들은 AI에 맞게 업무 방식을 근본적으로 재설계해야 한다고 인식하면서도, 컴플라이언스 우려 때문에 오히려 개선이 더디게 진행되는 딜레마에 빠져 있습니다.

자세히 보기
#AI#거버넌스#백업
기업
Help Net Security·2026. 09. 18.

발각될 때쯤이면 사기 채용자의 98%는 이미 회사 자격증명을 손에 쥔 상태

기업이 직원을 채용한 뒤 실제 입사까지 걸리는 약 90일의 공백 기간에 사기 채용(신분을 속기거나 AI로 만들어진 가짜 지원자)이 파고들고 있다는 조사 결과가 나왔습니다. 보안회사 HYPR의 보고서에 따르면, 사기 채용이 발각될 때쯤에는 이미 98%의 경우에서 회사 계정과 내부 시스템 접근 권한이 발급된 상태였습니다. 자동화된 보안 도구가 탐지하는 비율은 53%에 불과하고, 나머지는 직원 신고나 내부 감사 같은 수작업에 의존하고 있습니다. 특히 HR(인사)팀과 IT·보안팀 사이에 책임 공백 구간이 존재해 공격자가 이를 틈타 조직에 침투할 수 있습니다. 신원 확인 기술과 MFA(다중 인증) 등 보안 투자의 약 60%가 사고 발생 후에 이루어지는 사후 대응 방식이라는 점도 문제로 지적됩니다.

자세히 보기
#AI#MFA#다중인증
기업
Help Net Security·2026. 09. 17.

보안 리더들이 대신 물어봐야 할 AI 보안 질문

기업 보안 리더들은 흔히 "AI 모델이 어떤 데이터로 학습됐는가"를 묻지만, 더 중요한 질문은 "AI가 접근하는 데이터의 권한과 무결성을 어떻게 통제하는가"입니다. 최소 권한 원칙(Least Privilege)과 세션 기반 접근 제어(RBAC)는 AI 에이전트 환경에서도 여전히 핵심 보안 수단입니다. AI는 공격자와 방어자 사이의 기술 격차를 좁히고 있어, 전문 지식이 없던 공격자도 손쉽게 취약점을 찾고 악용할 수 있게 됐습니다. Gremlin의 보안팀은 같은 인원으로 전년 대비 약 9배 많은 취약점을 처리했으며, AI 도구 도입으로 평균 처리 시간을 약 5% 단축했습니다. AI 시대에는 AI가 자신 있게 내놓은 '틀린 답'을 잡아낼 수 있는 경험 많은 인재가 더욱 중요해졌습니다.

자세히 보기
#AI#AI 보안#AI 에이전트
기업
Help Net Security·2026. 09. 11.

Ubuntu 24.04.5 LTS 릴리스, 10개 파생 버전에 걸친 보안 버그 패치 포함

캐노니컬(Canonical)이 널리 쓰이는 리눅스 배포판 Ubuntu 24.04 LTS의 다섯 번째 포인트 릴리스(Ubuntu 24.04.5 LTS)를 출시했습니다. 이번 릴리스에는 여러 보안 취약점 수정과 고위험 버그 패치가 새 설치 이미지에 통합되어 있어, 신규 설치 시 별도의 대량 업데이트 없이 바로 최신 보안 상태를 갖출 수 있습니다. Kubuntu, Xubuntu, Ubuntu MATE 등 9개 파생 버전도 함께 업데이트되었습니다. 기존에 Ubuntu 22.04 LTS를 사용 중인 사용자는 업데이트 관리자를 통해 24.04.5로 무료 업그레이드할 수 있습니다. 다만 이번 릴리스 노트에는 구체적인 CVE 번호나 버그 ID가 명시되지 않아, 특정 패치 여부를 컴플라이언스(규정 준수) 목적으로 확인하려면 별도 릴리스 노트를 직접 조회해야 합니다.

자세히 보기
#리눅스#보안패치#취약점
중요기업
BleepingComputer·2026. 09. 05.

IDScan, 운전면허증 1억 5,300만 건 유출 의혹으로 소송 직면

신원 확인 서비스 회사 IDScan이 해킹을 당해 미국과 캐나다의 운전면허증 1억 5,300만 장을 포함한 방대한 개인 신분증 정보가 다크웹에서 판매되고 있다는 보도가 나왔습니다. IDScan은 렌터카 업체, 소매점, 금융기관, 총기 판매점 등 미국 전역의 다양한 사업체에서 신분증 스캔 및 인증 시스템을 제공하는 회사입니다. 사이버보안 전문가 Brian Krebs가 직접 데이터베이스에서 자신의 정보를 확인하는 방식으로 유출 사실을 검증했으며, FBI 뉴올리언스 지부도 수사에 착수한 것으로 알려졌습니다. IDScan은 아직 공식 입장을 내놓지 않고 있으며, 피해 규모와 정확한 침해 경위는 확인되지 않은 상태입니다. 현재 여러 로펌이 집단 소송을 준비 중이며, 향후 규제 당국의 추가 조사 가능성도 제기되고 있습니다.

자세히 보기
#규제#다크웹#데이터유출
중요기업
The Hacker News·2026. 09. 01.

북한 취업 사기, IT를 넘어 의료·영업 분야로 확대

북한이 IT 분야를 넘어 의료·영업·마케팅 직군까지 취업 사기를 확대하고 있습니다. 북한 공작원들은 훔치거나 위조한 신분증, VPN, AI 생성 사진 등을 이용해 미국·호주 등 세계 주요 기업에 취업한 뒤 급여를 북한 정권으로 빼돌리고 있습니다. 이들은 실제 업무를 수행하면서 내부 정보에 접근하거나 핵·미사일 개발 자금을 조달하는 이중 목적을 가집니다. PiKVM(원격으로 PC를 제어하는 하드웨어 장치)·AI 면접 답변 도구 등 탐지를 피하는 기술도 갈수록 정교해지고 있으며, 최근에는 미국 연방 정부 기관에도 잠입한 사례가 FBI 수사 중에 있습니다. 채용 단계에서 신원 철저 확인, 입사 후 디바이스 모니터링이 핵심 대응 방안입니다.

자세히 보기
#AI#GitHub#개인정보