취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
이 범위에서 지금 주목할 이슈
기업파르나스호텔앤리조트의 통합 멤버십 서비스인 '파르나스 리워즈'에서 회원 개인정보가 유출되는 사고가 발생했습니다. 지난 9월 24~25일 외부 공격자가 허락 없이 시스템에 접근해 멤버십 아이디, 이름, 생년, 예약정보, 휴대전화번호, 이메일 등 회원 정보 일부를 빼간 것으로 확인됐습니다. 다행히 주민등록번호, 신용카드정보, 비밀번호는 이번 사고의 영향을 받지 않은 것으로 파악됐습니다. 특히 유출된 예약정보를 악용해 호텔을 사칭하며 추가 결제나 카드정보를 요구하는 메시지가 돌고 있어, 왓츠앱 등 비공식 경로로 온 결제 요청은 절대 응하지 말아야 합니다. 회사는 당국에 신고하고 조사 중이며, 회원들에게는 비밀번호 변경을 권고하고 있습니다.
자세히 보기
금융BNK부산은행에서 외주 개발직원 11명의 개인정보가 유출되는 사고가 발생했습니다. 이름, 전화번호, 생년월일, 이메일 주소 등이 외부에 노출된 것으로 확인됐습니다. 직원용 모바일 영업 지원시스템을 겨냥한 해킹 공격으로 추정되며, 이는 신한은행, KB국민은행, 하나은행에 이어 이틀 사이 네 번째로 발생한 은행권 유출 사고입니다. 은행 측은 문제의 웹페이지를 차단하고 금융당국에 신고했으며, 추가 공격에 대비해 모니터링을 강화하고 있다고 밝혔습니다.
자세히 보기
금융인터넷과 완전히 분리된 '하드웨어 지갑(콜드월렛)'에 가상자산을 보관하고 금고에 넣어 안전하게 관리했다고 믿었던 사례에서, 약 1,000억 원 상당의 가상자산이 사라지는 사고가 발생했습니다. 원인은 정식 제조사가 아닌 경로로 설치된 비인가 펌웨어(기기 내부 소프트웨어) 업데이트에 숨겨진 백도어(몰래 빠져나가는 통로)였습니다. 이 백도어는 거래 서명 과정에서 개인키(자산을 이체할 수 있는 비밀 비밀번호 같은 값)를 외부로 몰래 유출시켰습니다. 네트워크와 물리적으로 분리된 기기라도 펌웨어 자체가 조작되면 안전하지 않을 수 있다는 점을 보여준 사례입니다. 전문가들은 하나의 하드웨어 기기에만 의존하지 말고 서로 다른 제조사의 기기를 섞어 쓰는 멀티시그(여러 개의 서명이 있어야 거래가 성사되는 다중 서명) 구조와, 공식 펌웨어인지 수시로 해시값(고유 지문 같은 값)을 확인하는 절차 도입을 권고했습니다.
자세히 보기
중요금융하나은행에서 외부 해킹으로 고객 89명의 개인정보가 유출됐습니다. 유출된 정보는 주민등록번호, 성명, 주소, 이메일, 전화번호, 직장명 등입니다. 공격은 영업지원시스템(ODS)에 대한 비정상적 접근에서 시작됐으며, 신한은행 사고와 마찬가지로 AI 에이전트가 해킹에 활용된 것으로 보입니다. 다행히 이 시스템은 인터넷·모바일뱅킹과는 별도 채널이라 고객의 금융거래 정보 유출로는 이어지지 않았다고 은행 측은 밝혔습니다. 이틀 사이 신한은행, KB국민은행에 이어 하나은행까지 세 번째로 은행권 개인정보 유출이 이어지면서 금융권 보안에 대한 우려가 커지고 있습니다.
자세히 보기
중요금융신한은행 고객 약 2만5000명의 대출 관련 정보가 유출되는 사고가 발생했습니다. 공격자는 다른 사이트에서 미리 훔친 아이디·비밀번호를 신한은행 로그인 창에 무작위로 대입하는 '크리덴셜 스터핑'이라는 잘 알려진 초보적 수법으로 대출모집인용 조회 서비스에 침투했습니다. 이후 조회 시스템이 요청자가 정말 그 정보를 볼 권한이 있는지 제대로 확인하지 않은 허점을 이용해, 고객 번호를 바꿔가며 대량으로 정보를 빼냈습니다. 유출된 정보에는 소득·대출 한도 같은 금융 자산 정보뿐 아니라 개인 식별값(CI) 97건, 주민등록번호 66건도 포함되어 보이스피싱 등 2차 피해 우려가 큽니다. 은행 측은 외부 IP 차단과 서비스 중단 등 긴급 조치를 하고 피해 발생 시 전액 보상을 약속했습니다.
자세히 보기
중요기업중국과 연계된 해킹 조직 TA419가 앤트로픽(Anthropic) 고위 직원과 미국 정책 전문가를 사칭해, 싱크탱크·대학·법률회사의 AI 정책 연구자들을 노린 피싱 공격을 벌였습니다. 공격자는 처음엔 로그인 요구 없이 자연스러운 메일로 대화를 트고, 상대가 답장하면 그제야 악성 링크를 보내는 치밀한 방식을 썼습니다. 이 링크는 중간자(AitM) 공격과 가짜 브라우저 창을 보여주는 '브라우저 안의 브라우저(BitB)' 기법을 결합해, 피해자가 정상적으로 로그인하고 다중인증(MFA)까지 마쳐도 그 결과로 생긴 로그인 세션 자체를 탈취하도록 설계됐습니다. 이는 비밀번호 하나가 아니라 바로 쓸 수 있는 클라우드 계정 접근권을 노린 것으로, 목적은 미국의 AI 정책·수출통제·전략 기획에 관한 정보 수집으로 추정됩니다.
자세히 보기
중요의료병원이 아니라 병원에 의료 기기를 납품하는 외주업체 직원이 피싱 메일에 속아 계정 정보를 뺏겼고, 이 계정을 통해 공격자가 병원 내부 환자 관리 시스템까지 침투했습니다. 그 결과 환자의 처방전과 보험 정보 등 411만여 건이 유출됐습니다. 외주업체처럼 상대적으로 보안이 약한 협력사가 내부망에 접속할 수 있는 통로를 갖고 있으면, 그곳이 공격자의 '뒷문'이 될 수 있다는 점을 보여준 사건입니다. 이런 공급망 공격을 막으려면 외주 업체 계정에도 꼭 필요한 권한만 주는 최소 권한 원칙(PoLP), 병원 내부망과 외주망을 물리적으로 분리하는 망분리, 그리고 로그인 시 여러 단계로 본인 확인을 하는 다중인증(MFA)을 반드시 적용해야 합니다.
자세히 보기
기업미국 공군에서 복무하던 두 사람이 기업이메일침해(BEC, 거래처 이메일을 사칭해 대금을 가로채는 사기 수법)와 피싱(가짜 이메일로 계정 정보를 빼내는 공격)을 저질러 각각 징역형을 선고받았습니다. 이들은 피싱으로 훔친 기업 직원 이메일 계정과 거래처를 사칭한 가짜 이메일을 함께 이용해, 기업이 보낸 대금을 자신들이 관리하는 계좌로 빼돌렸습니다. 아이오와주와 오하이오주의 피해 기업에서만 합쳐 240만달러 넘게 가로챘고, 다른 기업들을 상대로도 여러 차례 시도했습니다. 두 사람은 합계 189개월의 징역과 배상금을 선고받았으며, FBI에 따르면 지난해 BEC 피해 신고만 2만4768건, 피해액은 30억달러를 넘었습니다.
자세히 보기
공공우체국을 사칭한 가짜 '우편물 도착안내서'가 일부 지역에서 발견돼 우정사업본부가 주의를 당부했습니다. 실제 안내문과 거의 똑같이 만들었지만 집배원 전화번호나 QR코드만 슬쩍 바꿔서, 그걸 누르거나 전화하면 피싱(가짜로 속여 개인정보나 돈을 빼가는 범죄) 피해를 볼 수 있습니다. 진짜 안내문은 영수증 종이 같은 특수 감열지에 인쇄되고 떼어내도 접착제가 남지 않는데, 일반 종이에 투명테이프로 붙였거나 뗄 때 접착제가 남는다면 가짜일 가능성이 큽니다. 의심스러우면 안내문에 적힌 번호나 QR코드 대신 우편고객센터(1588-1300)나 인근 우체국에 직접 확인해야 합니다. 우체국은 전화나 인터넷으로 주민등록번호·계좌번호를 요구하지 않으니, 이런 요구를 받으면 절대 응하지 말아야 합니다.
자세히 보기
기업AI 기술이 대중화되면서 피싱(가짜로 속여 정보나 돈을 빼가는 사기) 범죄도 훨씬 정교해지고 있습니다. 예전에는 어색한 말투나 맞춤법 오류로 알아챌 수 있었지만, 요즘은 AI가 사람의 목소리를 몇 초 분량의 음성만으로 복제하는 '딥보이스'나 얼굴과 영상을 조작하는 '딥페이크'까지 동원해 가족이나 기관 직원을 완벽히 사칭합니다. 대표적으로 자녀의 목소리를 복제해 부모에게 "교통사고 합의금이 급하다"며 돈을 요구하는 사기, 명절 선물·지원금·부고장을 위장한 문자로 악성 앱을 설치시켜 스마트폰을 원격 조종하는 '큐싱' 수법이 늘고 있습니다. AI가 만든 피싱 메일은 사람이 쓴 것보다 성공률이 높고, 기존의 패턴 기반 방어 시스템으로는 막기 어렵다는 우려도 나옵니다.
자세히 보기
기업AI로 만든 가짜 목소리나 영상을 이용해 직원을 속이는 딥페이크 피싱 공격이 늘고 있습니다. 가트너 조사에 따르면 보안 책임자 297명 중 41%가 최근 1년 동안 음성 통화로, 36%가 화상 통화로 이런 공격을 겪었다고 답했습니다. 공격자는 진짜 같은 목소리나 영상으로 송금이나 계정 변경을 요청해 직원을 속이려 합니다. 전문가들은 목소리만 믿고 요청을 승인하지 말고, 등록된 연락처로 다시 확인하는 절차와 모의 훈련이 필요하다고 조언합니다.
자세히 보기
기업보안 최고책임자(CISO)의 41%가 지난 1년간 직원 음성 통화에서 딥페이크를 이용한 사기 공격을 경험했다는 조사 결과가 나왔습니다. 화상 통화를 통한 동일 유형의 공격도 36%가 겪었으며, 이메일 피싱 등 전통적인 사회공학 공격은 79%가 경험할 만큼 여전히 광범위하게 이루어지고 있습니다. AI 기술이 발전하면서 공격이 더 정교해지고 기존 탐지 방법으로는 가짜를 가려내기 어려워진 것이 핵심 문제입니다. 가트너는 이에 대응하기 위해 직원 보안 교육 방식 개선, 신원 확인 체계 강화, AI 위협 탐지·대응 절차 정비 등 세 가지 조치를 권고했습니다.
자세히 보기
