TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

ZDNet Korea · API 키 뉴스

기업
ZDNet Korea·2026. 09. 09.

美 NSA·CISA·FBI, 중국 AI 6개사 '지식 증류' 경보…"수십억 토큰 빼갔다"

미국 국가안보국(NSA)·사이버보안인프라보안국(CISA)·연방수사국(FBI)이 중국 AI 기업 6곳이 미국 주요 AI 모델에서 대규모로 학습 데이터를 빼내고 있다는 공동 경보(AA26-251A)를 발표했습니다. 이 기업들은 2024년 말부터 수백만 건의 요청을 보내 수십억 개의 토큰(AI 학습에 쓰이는 텍스트 단위)을 Claude·GPT·Gemini·Grok 등의 모델에서 추출한 것으로 파악됩니다. 이는 미국 AI 기업들의 이용약관을 위반한 행위이며, 세 기관은 중국 정부가 이를 인지하고 있을 가능성이 높다고 밝혔습니다. API(프로그램 간 통신 접점) 접근 통제 강화, 비정상 사용량 탐지, 대규모 토큰 추출 차단 등 기술적 대응이 권고됩니다. 미국 정보기관이 특정 중국 기업을 공개 지목한 것은 이례적으로, 이번 경보는 AI 데이터 보안을 국가 차원의 위협으로 공식 규정한 첫 사례입니다.

자세히 보기
금융
ZDNet Korea·2026. 09. 09.

"소형 쇼핑몰 API키가 문제...하드코딩돼 해커 먹이감"

토스페이먼츠의 가맹점인 소형 쇼핑몰 한 곳이 해킹을 당해 고객 2,671명의 결제내역 4,131건이 유출됐습니다. 해커는 해당 쇼핑몰 웹사이트의 자바스크립트 소스코드에 그대로 노출된 API 키(시스템 간 통신에 사용하는 인증 암호)를 발견하고, 이를 이용해 정상 사용자처럼 위장해 결제정보를 조회했습니다. 카드 비밀번호·유효기간·CVC 등 결제 실행에 필요한 민감 정보는 포함되지 않아 2차 결제 피해는 없을 것으로 보입니다. 토스페이먼츠는 유출 사실 확인 즉시 해당 접근 경로를 차단하고, 신용정보법에 따라 피해자 통지 및 금융감독원·금융위원회에 신고했습니다. 보안 인력이 부족한 영세 쇼핑몰에서 API 키를 코드 안에 직접 박아두는(하드코딩) 관행이 주요 원인으로 지목됩니다.

자세히 보기
중요기업
ZDNet Korea·2026. 09. 04.

랭플로우 취약점 공격 확산…오픈AI·AWS 키 노린 시도 하루 만에 360건

AI 앱 개발 도구인 랭플로우(Langflow)에서 인증 없이 원격으로 코드를 실행할 수 있는 심각한 취약점(CVE-2026-0768)이 실제 공격에 악용되고 있습니다. 공격자들은 이 취약점을 통해 서버에 저장된 AWS 비밀키, 오픈AI API 키 등 고가치 자격증명을 훔치려 하며, 하루 만에 360건 이상의 공격 시도가 확인됐습니다. 랭플로우는 AI 모델·데이터베이스·클라우드 인프라를 잇는 허브 역할을 하기 때문에, 침해되면 연결된 다른 서비스까지 연쇄 피해로 이어질 수 있습니다. 1.4.2 이하 버전을 사용 중이라면 즉시 최신 버전으로 업데이트하고, 인터넷에 직접 노출된 인스턴스가 없는지 점검해야 합니다.

자세히 보기