취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
통신/IT클라우드플레어(Cloudflare)의 컨테이너 서비스에서 한 고객이 이전 고객의 데이터를 읽을 수 있는 취약점이 발견됐습니다. 컨테이너가 삭제된 뒤 그 저장 공간을 새 고객에게 재배정할 때 기존 데이터를 지우는 기능이 꺼져 있어 이전 데이터가 남아 있었던 것이 원인입니다. 실제 공격자가 특정 고객의 데이터를 골라 훔치는 것은 어려웠지만, 폴더 구조·데이터베이스 페이지·환경설정 파일·인증정보 파일 등이 노출될 수 있었습니다. 클라우드플레어는 9월 19일 전체 서버에 대한 수정과 정리를 완료했으며, 고객이 별도로 조치할 사항은 없습니다. 다만 취약한 설정이 언제부터 적용됐는지는 밝혀지지 않아 과거 노출 기간은 확인되지 않습니다.
자세히 보기
중요기업이번 주 보안 뉴스 주요 사건을 요약하면, 먼저 TASK#STOMP라는 Windows 악성코드(백도어)가 피해자 PC에서 업무 문서·Wi-Fi 비밀번호·스크린샷 등을 몰래 빼내는 것이 분석됐습니다. Zyxel GS1900 스위치의 취약점(CVE-2026-7273)이 실제 공격에 이용돼 48개국 996대 장비에서 민감 정보가 유출됐으며, Check Point 방화벽 제품에서도 2개의 취약점(CVE-2026-85102, CVE-2026-93616)이 실제 공격에 악용되어 긴급 패치가 배포됐습니다. WordPress도 미인증 공격자가 원격에서 코드를 실행할 수 있는 심각한 취약점(CVE-2026-87902)을 버전 7.1.2에서 수정했고, 일본 스크린샷 공유 서비스 Gyazo에서는 약 2,362만 명의 사용자 정보가 유출됐습니다. 위 네 가지 취약점은 모두 CISA KEV(실제 악용 확인 목록)에 등재됐으므로 즉각적인 패치 적용이 필요합니다.
자세히 보기
공공2026년 국정감사를 앞두고, 기업과 정부 기관에서 반복되는 사이버보안·개인정보 침해 문제가 핵심 점검 과제로 떠올랐습니다. 쿠팡·롯데카드·SKT·KT 등 대규모 유출 사고가 이어졌지만, 피해자는 과징금이 아닌 별도 민사소송으로만 보상을 받아야 하는 구조적 공백이 지적됩니다. 한 번 유출되면 변경이 불가능한 '연계정보(CI, 온라인 주민번호 역할을 하는 암호화 식별자)'의 제도 개선이 시급하고, 제로트러스트(Zero Trust, 내부 사용자도 신뢰하지 않고 매번 검증하는 보안 방식) 예산은 3년 연속 삭감되는 반면 중소기업 지원은 사실상 외면받고 있습니다. IoT(사물인터넷) 기기에 대한 최소 보안기준이 없어 IP 카메라 12만여 대가 해킹되는 등 피해가 반복되고 있으며, 2025년 대전 국가정보자원관리원 화재로 공공 데이터 858TB가 영구 소실되면서 정부 정보시스템의 재해복구 체계 허점이 드러났습니다.
자세히 보기
기업글로벌 IT·보안 리더 700명을 대상으로 한 조사에서, 95%는 공격자의 내부 이동(측면이동)을 탐지할 수 있다고 답했지만 46%는 이를 실제로 차단하지 못한다고 답해 '탐지'와 '차단' 사이에 큰 격차가 드러났습니다. 측면이동이란 해커가 시스템 하나를 뚫은 뒤 내부 네트워크를 타고 다른 시스템으로 퍼져나가는 방식입니다. 특히 AI가 취약점 발견부터 악용까지의 시간을 기존 몇 달에서 몇 시간으로 단축시키고 있어, 침입을 막는 것만으로는 부족하고 침해가 퍼지는 경로 자체를 끊는 대책이 필요합니다. 국내외 주요 보안 기관들은 네트워크를 잘게 쪼개 격리하는 '마이크로세그멘테이션(microsegmentation)'과 '제로트러스트(Zero Trust)'를 핵심 대응책으로 제시하고 있습니다.
자세히 보기
공공국가정보원(국정원)이 공공기관을 대상으로 하는 사이버보안 실태평가를 대폭 강화합니다. 공공기관 경영평가에서 사이버보안 배점이 0.25점에서 0.6점으로 두 배 이상 올랐고, 평가 대상 기관도 2028년까지 기초자치단체(220여 곳 포함)까지 확대됩니다. 기관별 보안 등급 공개도 기존 3단계에서 5단계로 세분화되며, 정보보호 인력과 예산 확보가 기존 권고에서 의무로 강화됩니다. 또한 PC 공동인증서 사용 시 해킹 악용 사례가 많았던 플러그인 소프트웨어 강제 설치를 최소화하는 규정도 마련됩니다.
자세히 보기공공한국 국가정보원(NIS)이 2026년 9월 '사이버 서밋 코리아(CSK 2026)' 행사에서 AI보안, 클라우드 보안, 소프트웨어 공급망 보안, 양자내성암호(현재의 암호체계를 깰 수 있는 양자컴퓨터에도 견디는 새로운 암호 기술) 전환 등 9대 사이버보안 정책을 발표했습니다. 특히 국정원은 사람 개입 없이 AI 스스로 실시간 사이버공격을 탐지·분석·대응하는 'AI 방어팀'을 세계 최초로 국제 사이버 훈련에 투입해 주목받았습니다. 공공기관은 내년부터 AI 레드티밍(시스템을 해커처럼 직접 공격해 약점을 찾는 보안 검증 활동) 테스트베드를 활용할 수 있게 되고, 2028년까지 국가 취약점 데이터베이스와 소프트웨어 공급망 통합 관리 시스템이 구축될 예정입니다. 기업과 공공기관 담당자는 SBOM(소프트웨어 구성요소 명세서) 제출 의무화, 양자내성암호 전환 일정, 클라우드 보안 등급 체계 개편 등 향후 의무 변화를 미리 파악하고 준비할 필요가 있습니다.
자세히 보기
기업보안 위협 탐지 도구의 대시보드에 '배포됨'으로 표시된 탐지 규칙(detection rule)이 실제로는 제대로 작동하지 않는 경우가 많다는 연구 결과가 나왔습니다. 보안 기업 Conifers가 고객사 14,652개 탐지 항목을 분석한 결과, 평균적으로 47%의 탐지 규칙이 문제를 안고 있었습니다. 로직 오류, 데이터 수집 중단, 잘못된 테이블 참조, 중복 규칙, 과도한 오탐 등 다섯 가지 유형의 결함이 있었으며, 이 모두가 대시보드에서는 정상으로 보입니다. 또한 조직이 자체 위협 인텔리전스(threat intelligence, 내부적으로 파악한 위협 정보)로 식별한 위협 중 평균 37% 이상에 대해 실질적인 탐지 대응이 없는 것으로 나타났습니다. MITRE ATT&CK(공격 기법 분류 체계) 기준으로도 관련 공격 기술의 약 3분의 1에 신뢰할 수 있는 탐지가 없는 상태입니다.
자세히 보기
기업AI가 공격자의 작업 흐름에 깊숙이 통합되면서, 실패한 침투 시도를 빠르게 재시도하는 비용이 크게 낮아졌습니다. 구글 위협 인텔리전스 그룹(GTIG)은 2026년 5월, 사이버범죄 행위자들이 AI의 도움을 받아 오픈소스 관리 도구의 이중 인증(MFA) 우회 취약점을 발견하고 공격 코드까지 개발했다고 고신뢰도로 평가했습니다. 반면 기업 보안팀(SOC)은 경보 하나를 처리할 때마다 맥락·가설·제약 조건을 처음부터 다시 재구성해야 하는 비효율적인 구조로 운영되고 있어 대응 속도가 뒤처지고 있습니다. 이 문제의 해결책은 조사 과정에서 얻은 상태 정보를 팀 전체가 공유·유지하는 '상태 기억형(stateful)' SOC 아키텍처로의 전환입니다. AI 에이전트 도입은 이 구조적 개선이 선행된 이후에야 효과를 발휘할 수 있습니다.
자세히 보기
중요기업공격자가 실제로 데스크톱 앱을 제공하지 않는 미국의 대형 급여·인사관리(HR) 플랫폼 3곳을 사칭한 가짜 설치 파일을 유포했습니다. 피해자가 설치 파일을 실행하면 정상적인 Microsoft 설치 화면만 보이는 사이에, 백그라운드에서 원격 제어 도구인 ScreenConnect가 몰래 설치됩니다. 공격자는 직원의 컴퓨터를 완전히 원격 제어해 회사 전체의 급여를 빼돌릴 수 있는 상태가 됩니다. 가짜 페이지는 AI 웹 빌더와 Vercel 호스팅, GitHub를 조합해 자동화 보안 스캐너의 탐지를 교묘히 피했습니다. 현재 해당 페이지와 악성 파일은 제거된 상태이며, 회사가 사용하는 클라우드 급여 플랫폼이 데스크톱 앱을 실제로 제공하는지 공식 확인 후 직원들에게 안내하는 것이 가장 중요한 대응입니다.
자세히 보기
기업AI 챗봇(챗GPT, 그록)의 대화 공유 기능을 악용해 악성 명령어를 심어 놓고, 검색엔진 최적화(SEO)로 검색 결과 상단에 노출시킨 뒤 일반 이용자가 스스로 명령어를 실행하게 유도하는 새로운 공격 기법이 등장했습니다. 맥 이용자가 저장공간 정리법을 검색했다가 악성코드에 감염된 실제 사례가 미국 보안업체 헌트리스에 의해 공개됐습니다. 이와 유사하게, 가짜 캡차(사람 여부를 확인하는 인증 화면)나 운영체제 업데이트 화면으로 위장해 명령어 입력을 유도하는 공격도 국내외에서 확산 중입니다. 검색 결과 상위 노출이나 유명 AI 서비스 브랜드에 대한 신뢰를 악용하기 때문에 피싱 메일보다 속기 쉽습니다. AI나 검색으로 찾은 명령어라도 출처를 반드시 확인하고, 이해하지 못하는 명령어는 절대 실행하지 않는 것이 중요합니다.
자세히 보기
공공추석 연휴를 앞두고 택배 배송조회나 경품 이벤트, 교통법규 위반 안내를 사칭한 스미싱(문자메시지를 이용한 피싱 사기) 문자가 유포될 수 있다고 KISA(한국인터넷진흥원)가 경고했습니다. 이런 문자 속 링크를 누르면 개인정보가 탈취되거나 악성 앱이 설치되어 금전 피해로 이어질 수 있습니다. KISA와 금융보안원은 연휴 기간 사이버위협 비상대응체계를 24시간 가동합니다. 기업 보안 담당자는 연휴 전에 웹서버 보안 업데이트, 관리자 계정 다중인증, 랜섬웨어 대비 백업 복구 테스트 등을 점검해야 합니다. 의심 문자는 카카오톡 '보호나라' 채널에서 확인하고, 악성 앱 설치가 의심되면 118에 신고해야 합니다.
자세히 보기
기업기업 보안팀이 위협을 사전에 찾아내는 활동(위협 헌팅)에서 가장 큰 걸림돌은 로그 데이터의 품질과 양 부족이라는 조사 결과가 나왔습니다. 특히 클라우드 환경과 계정·인증 관련 로그의 공백이 심각해, 정상적인 관리자처럼 행동하는 공격자를 잡아내기가 어렵습니다. 공격자들은 랜섬웨어 조직과 국가 지원 해커 모두 회사 내부 도구를 그대로 사용하는 '정상 위장' 기법을 주로 쓰고 있어, 행동 기반 탐지가 필수입니다. 체계적인 헌팅 방법론을 따르는 팀은 37%에 불과하고, 성과를 측정하는 팀도 40%로 줄어 팀 역량의 가시성이 낮아지고 있습니다. 예산 확보와 효과 입증을 위해 헌팅 결과의 측정과 기록이 중요하다는 점이 강조됩니다.
자세히 보기