취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
중요기업Cisco의 이메일 보안 장비인 Secure Email Gateway에서 공격자가 실제로 악용한 SQL 인젝션(데이터베이스 명령어를 악의적으로 삽입하는 공격) 취약점(CVE-2026-76461)이 발견됐습니다. 이 취약점은 인증 없이 악성 이메일 한 통만 보내도 공격자가 서버의 최고 권한(root)을 획득할 수 있어 매우 위험합니다. 공격자는 흔적을 지울 수도 있으므로, 장비 내부 로그뿐만 아니라 외부 네트워크·방화벽 로그까지 교차 확인해야 합니다. Cisco는 수정 버전(15.5.5-014, 16.0.4-302, 16.5.0-780)으로 즉시 업그레이드할 것을 권고하고 있으며, 미국 CISA는 연방기관에 9월 17일까지 패치를 완료하도록 명령했습니다.
자세히 보기
기업대한민국 개인정보보호위원회는 2026년 9월 11일부터 개정 개인정보 보호법을 시행합니다. 핵심 변화는 기업이 개인정보 유출을 최종 확인하기 전이라도, 유출 가능성을 인지한 순간부터 고객에게 즉시 알려야 한다는 점입니다. 해킹 흔적을 발견했지만 실제 유출 여부를 아직 모르는 상황에서도 고객 통지 의무가 발생하므로, 기업의 사고 초기 대응 부담이 커집니다. 통지·신고 대상 사고 범위도 넓어져, 랜섬웨어(악성 암호화 공격)로 데이터가 파괴·훼손된 경우까지 포함됩니다. 기업은 의심 단계에서 먼저 알리고 조사 결과를 추가 안내하는 2단계 대응 체계를 갖춰야 합니다.
자세히 보기
기업기업에서 AI 도구 사용이 늘면서 보안관제(SOC)에 새로운 유형의 경보가 폭발적으로 증가하고 있습니다. 분석된 AI 관련 경보의 94.1%는 오탐(실제로는 위협이 아닌 정상 행동)이었고, 5.8%는 실질적 보안 위험, 0.02%만 실제 공격이었습니다. 가장 큰 위협은 AI가 직접 침해를 일으키는 것이 아니라, 개발자들이 AI 에이전트를 권한 확인 없이 실행하는 설정(--yolo 등)이나, OAuth를 통해 외부 AI 서비스에 기업 데이터를 공유하는 것처럼 '조용한 노출'이 쌓이는 것입니다. 보안팀은 AI 정상 행동을 오탐하는 구식 탐지 규칙을 먼저 조정하고, 권한 우회 설정·무단 터널·위험한 OAuth 허용 여부를 선제적으로 점검해야 합니다.
자세히 보기
중요기업아우디 공식 딜러사 고진모터스가 2026년 9월 6일 랜섬웨어 공격을 받아 사내 일부 서버가 감염됐습니다. 고객의 성명, 생년월일, 주소, 휴대폰 번호, 이메일, 차량 및 계약 정보 등이 외부로 유출됐을 가능성이 있어 조사가 진행 중입니다. 회사 측은 "대량의 트래픽이 발생하지 않아 실제 탈취 가능성은 낮다"고 밝혔지만, 랜섬웨어와 함께 '외부 불법 접근'도 확인된 만큼 데이터를 먼저 빼낸 뒤 시스템을 암호화하는 이중 갈취 방식 여부를 포렌식으로 정밀 조사 중입니다. 고진모터스는 KISA(한국인터넷진흥원)와 개인정보보호위원회에 신고하고 해당 서버망을 차단했으며, 고객들에게는 스미싱·피싱 주의와 비밀번호 변경을 권고했습니다.
자세히 보기
중요기업이번 주 보안 뉴스에서 가장 주목할 사항은 Google Chrome 브라우저의 제로데이 취약점(CVE-2026-85046)으로, 악성 웹페이지를 여는 것만으로도 공격자가 사용자 시스템에서 임의 코드를 실행할 수 있으며 실제 공격이 확인되어 CISA 실제 악용 목록(KEV)에도 등재되었습니다. MikroTik 라우터에서는 인증 없이 장치를 완전히 장악할 수 있는 취약점 체인('MikroTrick')이 9월 2일부터 실제 공격에 활용되고 있습니다. Magento·Adobe Commerce 기반 온라인 쇼핑몰에는 아직 패치가 없는 제로데이(StyleSmuggler)를 통해 백도어가 심어지고 있으며, 개발 플랫폼 Coder는 Cloudflare 인프라가 침해되어 악성 모듈이 배포되는 공급망 공격을 받았습니다. N-able N-central에도 CVSS 10.0 만점의 사전 인증 원격 코드 실행 취약점이 확인되어 즉각적인 핫픽스 적용이 필요합니다.
자세히 보기
공공개인정보보호위원회(개인정보위)가 2027년도 예산안을 역대 최대 규모인 996억원으로 편성했습니다. 특히 개인정보 유출·침해 사실을 신고한 사람에게 지급하는 신고포상금으로 94억원이 새로 반영되어, 내부 은폐·축소 행위를 조기에 적발하는 데 활용될 예정입니다. 기업 보안 담당자 입장에서는 개인정보 침해 사고에 대한 정부의 감시와 조사 역량이 한층 강화된다는 점을 주목해야 합니다. 예방체계 구축, 디지털 포렌식, AI 환경에서의 개인정보 보호 등 전방위적인 투자가 이뤄지며, 위반 시 내부 고발을 통한 적발 가능성도 높아집니다.
자세히 보기
중요공공독일 베를린 시 행정망이 랜섬웨어 조직 '리시다(Rhysida)'의 공격을 받아 실제 데이터가 외부로 유출된 사실이 확인됐습니다. 공격자는 약 5.79TB, 144만 개 파일을 탈취했다고 주장하며 30비트코인(BTC)의 몸값을 요구했지만, 베를린 시장은 "협박에 굴복하지 않겠다"고 선언했습니다. 유출된 자료에는 이름·이메일·IBAN(국제은행계좌번호)·비밀번호·인사기록·급여정보는 물론 상수도 관련 중요 인프라 보안 평가 자료까지 포함됐다고 공격자 측은 주장하고 있습니다. 리시다는 2023년부터 정부·의료·교육·제조·IT 분야를 대상으로 '데이터를 먼저 빼낸 뒤 몸값을 요구하는' 이중 협박 방식을 써온 조직입니다. 현재 베를린 경찰·검찰·독일 연방정보보안청(BSI)이 공조 수사 중이며, 행정 시스템은 보안점검 후 복구됐습니다.
자세히 보기
공공한국 과학기술정보통신부가 '사이버보안 특화 AI 파운데이션 모델' 개발 사업자로 네이버클라우드 컨소시엄을 선정했습니다. 이 컨소시엄에는 네이버클라우드를 중심으로 32개 기업·기관이 참여하며, 국내 주요 보안 기업들이 각자 보유한 위협 데이터를 AI 모델 학습에 제공하는 역할을 맡을 예정입니다. 사업 기간은 10개월이며, 엔비디아 B200 GPU 256장을 지원받아 개발을 진행합니다. 다만 구글·OpenAI·Anthropic 등 글로벌 빅테크가 이미 사이버보안 특화 AI를 출시한 상황에서 개발 시점이 늦다는 우려도 나오고 있습니다. 전문가들은 북한·중국·러시아 등 국가 배후 해킹 그룹의 특성을 반영한 한국형 모델로 차별화할 수 있다고 평가합니다.
자세히 보기
중요기업국내 OTT 서비스 티빙(TVING)에서 약 3954만 개의 계정 정보가 유출되는 대규모 개인정보 침해 사고가 발생했습니다. 공격자는 개발자의 접속키(API 키) 하나를 탈취한 뒤, 소스코드에 평문으로 저장된 운영 서버 접속키를 연달아 확보해 실제 서비스 데이터베이스까지 침투했습니다. 이름·생년월일·휴대전화번호·이메일 등 70종의 정보가 유출됐으며, 일부는 암호화키와 함께 빠져나가 사실상 평문 유출과 같은 상태였습니다. 특히 2024년 모의해킹에서 이미 접속키 하드코딩 문제가 발견됐음에도 개선이 이루어지지 않았고, 첫 번째 이상 탐지 후에도 공격자의 우회 공격을 막지 못해 '기본 보안 통제의 총체적 실패'라는 평가를 받고 있습니다. 과기정통부는 24시간 내 신고 의무 위반을 이유로 최대 3000만 원의 과태료를 부과할 예정이며, 개인정보보호위원회의 추가 조사도 진행 중입니다.
자세히 보기
중요기타세르비아 학생 시위 운동 참가자의 아이폰이 NSO 그룹의 페가수스(Pegasus) 스파이웨어에 감염된 사실이 Citizen Lab과 SHARE 재단의 공동 조사로 확인됐습니다. 공격에는 iMessage의 '제로클릭(zero-click)' 취약점이 사용됐는데, 이는 피해자가 아무것도 클릭하지 않아도 기기가 감염되는 매우 위험한 방식입니다. 2026년 초부터 세르비아에서만 최소 14명이 고급 스파이웨어의 표적이 됐으며, 학생·활동가·국회의원 등이 포함됩니다. 안드로이드 기기에서도 'NoviSpy'라는 스파이웨어의 신종 변종이 발견됐으며, 경찰 심문 중 압수된 기기에 몰래 설치된 것으로 밝혀졌습니다. 위험에 노출될 가능성이 높은 사용자는 iOS를 최신 버전으로 유지하고 '잠금 모드(Lockdown Mode)' 활성화를 검토해야 합니다.
자세히 보기
중요공공전력망에 연결된 배터리 에너지 저장 시스템(BESS)을 겨냥한 사이버 공격이 실제 오작동과 구별하기 어렵다는 위협 연구가 나왔습니다. 공격자가 클라우드 기반 최적화 플랫폼 하나를 장악하면, 텍사스에서는 약 1,500개(ERCOT 전체의 5.4%), 영국에서는 약 400개(전체의 29%) 배터리 유닛을 원격 제어해 대규모 정전을 일으킬 수 있습니다. 배터리가 순간적으로 충전에서 방전으로 전환하는 동작은 정상 주파수 응답과 동일하게 보이기 때문에 관제실에서는 공격 여부를 실시간으로 판단하기가 사실상 불가능합니다. 2025년 4월 스페인 대정전 사례처럼, 사고와 공격이 동일한 흔적을 남기고 핵심 데이터가 민간 기업들에 분산돼 있어 사후 귀인(누가 공격했는지 규명)도 매우 어렵습니다. IEC 62443(산업제어시스템 보안 표준) 인증 의무화와 분기별 모의훈련 도입이 2031년까지의 대규모 공격 발생 확률을 92.1%에서 61.4%로 낮출 수 있다고 분석됩니다.
자세히 보기
중요의료미국 의료 데이터 관리 기업 Aesto Health가 약 950만 명의 환자 정보가 유출된 대규모 침해 사고를 공개했습니다. 공격은 2025년 12월에 발생했으나, 외부 전문가의 포렌식 조사를 통해 2026년 5월에야 내부적으로 확인됐습니다. 유출된 정보에는 이름, 생년월일, 의료 기록, 사회보장번호(SSN), 운전면허 번호, 금융 계좌 정보 등 매우 민감한 개인정보가 포함돼 있습니다. 침해는 AWS(아마존 웹 서비스) 인프라 일부에 대한 무단 접근으로 발생했으며, VillageMD·Everside Health 등 29개 의료기관의 환자들이 간접적으로 피해를 입었습니다. 피해자에게는 Experian을 통한 24개월 신원 도용 보호 및 신용 모니터링 서비스 등록 안내가 제공되고 있습니다.
자세히 보기