취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
이 범위에서 지금 주목할 이슈
중요금융신한은행 고객 약 2만5000명의 대출 관련 정보가 유출되는 사고가 발생했습니다. 공격자는 다른 사이트에서 미리 훔친 아이디·비밀번호를 신한은행 로그인 창에 무작위로 대입하는 '크리덴셜 스터핑'이라는 잘 알려진 초보적 수법으로 대출모집인용 조회 서비스에 침투했습니다. 이후 조회 시스템이 요청자가 정말 그 정보를 볼 권한이 있는지 제대로 확인하지 않은 허점을 이용해, 고객 번호를 바꿔가며 대량으로 정보를 빼냈습니다. 유출된 정보에는 소득·대출 한도 같은 금융 자산 정보뿐 아니라 개인 식별값(CI) 97건, 주민등록번호 66건도 포함되어 보이스피싱 등 2차 피해 우려가 큽니다. 은행 측은 외부 IP 차단과 서비스 중단 등 긴급 조치를 하고 피해 발생 시 전액 보상을 약속했습니다.
자세히 보기
중요금융암호화폐 거래소 비트겟에서 3억8750만달러가 빠져나간 사건의 원인이 밝혀졌습니다. 공격자는 비트겟이 사용하던 외부 보안 업체의 보안 장비에 있던 제로데이(아직 패치가 없는 미공개 취약점)를 뚫고 들어왔습니다. 실제 자산이 빠져나가기 25일 전인 8월 31일부터 이미 침입 흔적이 남아 있었던 것으로 조사됐습니다. 공격자는 보안 장비에 웹셸을 심고 비트겟의 지갑 운영 서버까지 접근해 자체 제작한 출금 도구로 여러 블록체인에서 자금을 빼갔습니다. 비트겟 CEO는 북한 해커를 배후로 지목했으며, 두 보안 제품의 패치 여부는 아직 알려지지 않았습니다.
자세히 보기
중요기업메타(Meta)가 맥(Mac)용으로 출시한 AI 비서 '뮤즈'(Muse)에서 권한 없는 앱이나 간단한 터미널 명령 한 줄만으로 이용자 계정을 완전히 탈취할 수 있는 제로데이(zero-day, 아직 패치가 없던 신규) 취약점이 발견됐습니다. 맥OS 보안 전문가 패트릭 워들이 공개한 이 취약점은, 뮤즈가 외부 앱에 노출해 둔 숨겨진 설정값 중 음성 받아쓰기 서버 주소를 공격자가 마음대로 바꿀 수 있다는 점을 이용합니다. 공격자가 이 값을 자신의 서버로 바꾸면, 이용자의 음성 데이터와 계정 인증 토큰이 공격자 서버로 전송되어 뮤즈가 가진 광범위한 권한(파일·카메라·마이크·일정 등)을 공격자가 그대로 악용할 수 있습니다. 메타는 취약점 공개 직후 핫픽스를 배포했으나, 클라우드 기반 음성 처리 방식과 설정값 관리 설계의 근본적인 문제는 여전히 지적받고 있습니다.
자세히 보기
기업남성 패션 플랫폼 '룩핀'을 운영하는 레벨13이 이용자 개인정보 유출 사실을 공지했습니다. 데이터 분석 도구인 '메타베이스(Metabase)'의 보안 취약점이 공격에 악용되었으며, 이메일 주소와 비밀번호 해시(암호화된 비밀번호), 일부 이용자의 경우 휴대폰 번호와 접속 IP 주소까지 유출된 것으로 확인됐습니다. 회사는 사고 당일 미확인 계정을 발견한 후 약 2시간 30분 만에 관련 시스템 접근을 차단했으며, 한국인터넷진흥원(KISA)에 침해사고 및 개인정보 유출 신고를 완료했습니다. 이용자들에게는 비밀번호 변경과 유출된 정보를 악용한 피싱(사기성 이메일·문자) 공격에 주의할 것을 당부했습니다.
자세히 보기
중요통신/ITAI 보안 연구업체 해크트론(Hacktron)의 연구원들이 앤트로픽의 AI 모델 '클로드 오퍼스5(Claude Opus 5)'를 활용해 오픈AI(OpenAI) 내부 시스템 침투에 성공한 사례가 공개됐습니다. 연구원들은 오픈AI 도움말 게시판의 취약점을 통해 서버에 접근하고, 직원 계정 정보를 탈취해 핵심 알고리즘이 보관된 내부 코드 저장소 '모노레포(Monorepo)'까지 진입했습니다. 최초 취약점 발견부터 내부 침투까지 72시간이 채 걸리지 않았으며, 이 중 사람이 직접 투입한 시간은 불과 몇 시간에 불과했습니다. AI가 공격용 스크립트 작성 등 핵심 작업을 대신 수행함으로써 사이버 공격의 속도와 효율이 크게 높아질 수 있다는 점을 실증한 사례입니다. 오픈AI는 제보를 받은 후 14시간 만에 취약점을 패치하고 6,500달러(약 900만 원)의 포상금을 지급했습니다.
자세히 보기
공공국가정보원과 국가보안기술연구소가 주최한 국제 사이버 훈련 'APEX 2026'이 서울 코엑스에서 열렸습니다. 세계 33개국 사이버 전문가들이 참가한 이번 훈련에서는 사람 개입 없이 스스로 방어 작전을 수행하는 자율형 AI 방어팀 '프로젝트 팔랑크스(Project Phalanx)'가 세계 최초로 실전 검증에 투입돼 주목받았습니다. 외국인 참가자는 AI가 위협 분석부터 시스템 복구까지 인간과 비교할 수 없는 속도로 수행하는 것에 큰 충격을 받았다고 밝혔습니다. 훈련은 지하철 관제 시스템 등 실제 사회 기반시설을 모사한 사이버-물리 환경(CPS)에서 진행됐으며, 해킹·방어 외에도 가짜뉴스 대응 같은 비기술 영역까지 포함한 복합 시나리오가 운영됐습니다.
자세히 보기
공공국가정보원(NIS)이 공공기관 정보화 사업에서 국가망 보안체계(N2SF, 정부 기관의 네트워크 보안 기준 체계)가 제대로 반영되지 않은 문제를 공식 확인하고, 사업 기획·예산 요구 단계부터 보안 대책을 의무적으로 포함시키는 절차를 마련 중이라고 밝혔습니다. 또한 PC에 설치되는 플러그인 소프트웨어가 취약점 패치 전까지 지속 노출되어 해킹 사고로 이어진다는 문제를 지적하며, 공공분야부터 설치형 소프트웨어를 최소화하고 브라우저 기반·클라우드 기반 공동인증서 방식으로 전환을 추진한다고 설명했습니다. 이 외에도 AI 보안, 소프트웨어 공급망 보안, 양자내성암호(기존 컴퓨터와 양자 컴퓨터 모두의 공격에 견디는 암호 기술) 전환 등 다양한 정책 방향이 함께 소개됐습니다.
자세히 보기
기업보안기업 포에버시큐리티(Forever Security) 연구진이 광고 차단기 수준의 낮은 권한만 가진 브라우저 확장 프로그램으로 브라우저 내 AI 비서를 공격자가 원격 조종할 수 있다는 것을 시연했습니다. 크롬 제미나이, 퍼플렉시티 코멧, 마이크로소프트 엣지, 오페라 네온, 크롬용 클로드 확장 프로그램 등 5개 제품이 영향을 받았으며, 파일 읽기·카메라 접근·방문 기록 열람·사용자 사칭까지 가능했습니다. 크롬(CVE-2026-0628)과 엣지(CVE-2026-55945)는 각각 1월과 7월에 패치가 완료됐습니다. 아직 실제 악용 사례는 보고되지 않았으나, 출처를 알 수 없는 브라우저 확장 프로그램 설치를 각별히 주의해야 합니다.
자세히 보기
