취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
중요공공미국 국방부(펜타곤) 산하 국방인력데이터센터(DMDC)가 해킹을 당해 약 300만 명의 개인정보가 유출됐습니다. 피해자는 생존자 276만 명과 사망자 29만 4천 명으로, 현역·예비역 군인과 그 가족 등이 포함됩니다. 공격자는 2025년 10월부터 올해 7월 16일 발견될 때까지 암호화되지 않은 개인정보가 저장된 파일 공유 시스템에 접근해 사회보장번호, 이름, 생년월일, 연락처, 인종, 성별, 군 특기 정보 등을 열람했습니다. 국방부는 아직 정보 오남용 정황은 없다고 밝혔지만 누가 접근했는지, 자료가 복사됐는지는 공개하지 않았습니다. 이번 사건은 최근 ShinyHunters의 FBI 직원 정보 탈취 주장에 이어 미국 연방기관을 노린 또 다른 침해 사례입니다.
자세히 보기
중요공공미국 국방부(펜타곤)의 인사 관리 시스템인 DMDC(국방인력데이터센터)가 해킹당해 군인·군무원·가족·퇴역군인 등 300만 명이 넘는 사람들의 개인정보가 유출됐습니다. 해커는 파일 공유 시스템의 취약점을 악용해 2025년 10월부터 2026년 7월까지 시스템에 접근했으며, 유출된 정보에는 주민등록번호에 해당하는 사회보장번호(SSN), 이름, 생년월일, 연락처 등이 포함됩니다. 펜타곤은 피해자들에게 12개월 무료 신용 모니터링 서비스를 제공하고 있습니다. 이 사건은 ShinyHunters 해킹조직이 오라클 PeopleSoft 제로데이 취약점을 이용해 FBI 채용 사이트를 침해한 사건에 이어 발생했습니다.
자세히 보기
중요금융암호화폐 거래소 Bitget이 지난주 발생한 3억 8750만 달러 규모의 암호화폐 도난 사건이 외부(제3자) 보안 제품의 제로데이 취약점(아직 패치가 없는 미공개 보안 결함) 때문이었다고 공식 확인했습니다. 공격자는 이 취약점으로 내부 고권한 계정 정보를 탈취해 지갑 시스템에 가짜 출금 명령을 내렸고, 기존 위험 탐지 체계를 우회해 자금을 빼돌렸습니다. 조사 결과 공격은 8월 31일부터 시작됐으며, 보안 장비에 웹쉘(원격 제어용 악성 코드)을 심고 거기서 Bitget의 운영 지갑 서버까지 내부망을 타고 들어간 것으로 나타났습니다. Bitget과 Mandiant, SlowMist는 이번 공격이 북한 배후 해킹 조직의 소행으로 추정된다고 밝혔으며, 탈취 자금 중 일부(약 63만 달러 상당)는 이미 동결되었습니다.
자세히 보기
중요기업앤트로픽이 중국 Z.ai의 오픈웨이트 AI 모델 'GLM-5.3'을 시험한 결과, 실제 해킹 공격을 수행하는 능력이 자사 최고 모델인 '클로드 미토스 프리뷰'에 거의 근접한 것으로 나타났습니다. 문제는 이 모델이 유해한 요청을 거부하도록 만든 안전장치가 매우 쉽게 뚫린다는 점입니다. 간단한 기법만으로 64~100% 확률로 우회가 가능했고, 모델 내부를 조작하는 '어블리터레이션(abliteration, 안전장치를 깎아내는 기법)'을 쓰면 단 몇천 달러, 2200개의 GPU(그래픽처리장치)를 1시간 돌리는 비용만으로 거부율을 90%대에서 2~12%까지 떨어뜨릴 수 있었습니다. GLM-5.3은 누구나 다운로드해 수정할 수 있는 오픈웨이트 방식이라, 강력한 해킹 능력을 가진 AI가 손쉽게 범죄에 악용될 수 있다는 우려가 커지고 있습니다. 다만 Z.ai 측은 자사 모델이 실제로는 오픈소스 프로젝트 389개를 방어하고 4249건의 취약점을 찾아내는 등 방어 목적으로도 널리 쓰이고 있다고 반박했습니다.
자세히 보기
중요금융신한은행에서 대출 모집 관련 고객 정보 일부가 유출된 정황이 확인되어, 금융감독원이 긴급 현장조사에 나섰습니다. 아직 유출 규모는 파악 중이며, 로그인 인증을 거치는 뱅킹 서비스 자체가 해킹당한 것은 아닌 것으로 알려졌습니다. 일부에서는 공격자가 이미 확보한 계정·비밀번호 정보로 다른 사이트에 무작위로 로그인을 시도하는 수법인 '크리덴셜 스터핑'이 원인일 가능성을 제기하고 있습니다. 금융위원회와 금융감독원은 회의를 열어 긴급 점검을 진행할 예정입니다.
자세히 보기
공공정부가 공공기관에서 벌어지는 사이버보안 사고에 대한 처벌과 평가 기준을 크게 강화하기로 했습니다. 그동안은 고의적인 해킹 피해 등 큰 사고만 징계 대상이었지만, 앞으로는 초기 비밀번호를 바꾸지 않거나 알려진 보안 취약점을 방치하는 등 기본적인 보안 수칙 위반도 징계를 받게 됩니다. 또한 사고가 나면 실무자뿐 아니라 관리자(감독자)에게도 책임을 묻도록 규정을 명확히 합니다. 보안 실태를 점검하는 평가 대상 기관을 올해 153곳에서 2028년까지 2000여 곳으로 늘리고, 기관장 평가 지표에도 보안 성적을 반영합니다. 동시에 보안 담당자에 대한 수당 신설, 인력 보강 등 지원책도 함께 추진합니다.
자세히 보기
중요기업해킹 그룹 '샤이니헌터스'가 오라클 피플소프트(기업 인사·재무 관리 시스템)의 심각한 취약점(CVE-2026-35273)을 악용해 전 세계 서버 수십 대를 다시 공격했습니다. 이 취약점은 로그인 없이도 서버를 원격으로 마음대로 조작할 수 있는 치명적인 결함으로, 6월에 이미 패치(보안 수정)가 나왔지만 패치를 적용하지 않고 웹 방화벽(WAF)으로만 막으려 했던 서버들이 표적이 됐습니다. 공격자는 인터넷 주소의 특정 문자를 다른 형식으로 바꿔 방화벽의 차단 규칙을 우회하는 방법을 사용했습니다. 침해된 서버에는 원격 제어용 웹셸과 'SIDEEYE'라는 백도어(몰래 설치되는 원격 접속 악성코드)가 설치됐으며, 대학·의료·정부 등 다양한 분야가 피해를 입었습니다. 피플소프트를 운영하는 조직은 즉시 오라클 보안 패치를 적용하고 서버 내 이상 징후를 점검해야 합니다.
자세히 보기
중요기업러시아 정부 연계 해킹 그룹 Star Blizzard(스타 블리자드)가 'RedFlick'이라는 새로운 악성코드 설치 기법을 이용해 자신들의 전용 백도어(backdoor, 시스템에 몰래 접근할 수 있게 하는 악성코드) CosmicPulse를 배포하고 있는 것으로 밝혀졌습니다. 이 기법은 피해자가 가짜 PDF처럼 보이는 바로가기 파일 하나만 클릭해도 자동으로 감염이 진행되도록 설계되어, 기존의 여러 단계를 거쳐야 했던 ClickFix 공격보다 훨씬 은밀하고 자동화되어 있습니다. Microsoft에 따르면 올해 들어 최소 13건의 대규모 피싱 캠페인이 발견됐고, 미국과 영국을 중심으로 100개 이상의 기관이 영향을 받았습니다. 공격 대상은 우크라이나를 정치적·재정적으로 지원해 온 정부기관, 국제 NGO, 싱크탱크, 금융기관 등입니다. Microsoft는 피싱에 강한 인증 방식, 조건부 접근 정책, EDR(엔드포인트 탐지·대응) 차단 모드 적용 등을 권고하고 있습니다.
자세히 보기
중요통신/IT네덜란드의 비영리 보안 연구단체 DIVD(취약점 공개 연구소)가 자체 네트워크 침해 사고의 원인을 공개했습니다. 오픈소스 헬프데스크·티켓팅 시스템인 Zammad에 존재하던 두 개의 제로데이(사전에 알려지지 않은) 취약점이 연쇄적으로 악용된 것이 원인이었습니다. 특히 이번 공격은 사람이 직접 조작한 것이 아니라 AI 에이전트가 스스로 판단해 자율적으로 공격을 이어간 것이어서 "시끄럽고 매우 지저분했다"고 표현될 정도로 순식간에 진행됐습니다. 공격자는 세션 탈취, 원격 코드 실행(RCE), 권한 상승을 통해 root 권한까지 확보했고, 다른 서비스에 접근해 데이터를 유출하는 전 과정이 단 몇 초 만에 이뤄졌습니다. 다행히 네트워크 분리와 신속한 대응 덕분에 공격자가 내부망 더 깊숙이 침투하지는 못했으며, DIVD는 Zammad 이용자들에게 버전 7로 업그레이드하거나 인스턴스를 즉시 오프라인으로 전환할 것을 권고했습니다.
자세히 보기
중요통신/IT미국 CISA(사이버보안 및 인프라보안국)가 MikroTik RouterOS의 심각한 취약점(CVE-2026-84411)에 대해 경고했습니다. 이 취약점은 로그인 없이도 조작된 요청 하나만으로 공격자가 기기를 관리자 권한으로 완전히 장악하거나 서비스를 마비시킬 수 있는 매우 위험한 문제입니다. 아직 실제 공격 사례는 확인되지 않았지만, MikroTik 장비는 과거에도 해커와 봇넷 악성코드의 주요 표적이 되어온 만큼 주의가 필요합니다. RouterOS 7.24 미만 버전이 영향을 받으며, 제조사는 7.23 이상 버전으로 업데이트할 것을 권고했습니다. 실제로 최근 폴란드 침해사고대응팀은 SSH가 인터넷에 노출된 MikroTik 장비를 대상으로 한 별도의 취약점 조합 공격 사례를 경고한 바 있습니다.
자세히 보기
중요기업공격자들이 ChatGPT의 '커스텀 GPT(Custom GPT)' 기능을 악용해 가짜 제품 안내처럼 꾸민 뒤, 이용자를 악성 사이트로 유도하는 새로운 공격이 발견됐습니다. 이용자가 유도된 구글 사이트에서는 가짜 캡차 화면을 통해 이른바 'ClickFix' 수법으로 악성 PowerShell 명령을 직접 복사·실행하도록 속이며, 이 과정에서 정상 서명된 캐논(Canon) 실행파일을 악용한 DLL 사이드로딩으로 원격제어 악성코드(RAT)를 심습니다. 이 RAT는 화면·카메라·마이크 감시, 파일 검색, 추가 악성코드 실행 등 광범위한 기능을 갖추고 있으며 현재까지 최소 40명이 감염된 것으로 확인됐습니다. 이와 함께 OpenAI Codex·Anthropic Claude를 사칭한 사이트, 정상 사이트 해킹을 통한 ClearFake/EtherHiding 공격 등 ClickFix 기법을 쓰는 다른 캠페인들도 동시에 다수 발견되고 있어, 신뢰받는 플랫폼을 악용한 사회공학 공격이 확산되는 추세입니다.
자세히 보기
공공과학기술정보통신부가 작년 발표한 1650개 IT 시스템 보안 취약점 점검이 부실했다는 언론 보도에 대해 해명했습니다. 언론은 정부가 기업들의 자체 점검(셀프 점검) 결과만 받고 직접 검증하지 않았으며, 점검을 마쳤다고 답한 기업 중 일부에서 올해 개인정보 유출 사고가 발생했다고 지적했습니다. 이에 대해 과기정통부는 대표(CEO)가 직접 서명한 확인서를 받아 형식적 점검을 방지했고, 2026년 ISMS(정보보호 관리체계) 인증 사후심사와 연계해 현장 검증을 계속 진행 중이라고 설명했습니다. 또한 이후 유출 사고가 발생한 기업에 대해서는 정부 조사를 통해 원인을 분석하고 있다고 밝혔습니다.
자세히 보기