취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
이 범위에서 지금 주목할 이슈
지난주 가장 주목할 뉴스는 Cisco와 Acronis 제품에서 실제로 악용 중인 취약점 세 건이 확인된 것입니다. Cisco Secure Email Gateway에서는 SQL 인젝션(데이터베이스를 조작하는 공격) 취약점(CVE-2026-76461)이, Cisco ISE(기업 네트워크 접근 제어 시스템)에서는 인증 우회 취약점(CVE-2026-76460)이 공격자들에 의해 적극적으로 악용되고 있습니다. Acronis 백업 플러그인에서도 권한 상승 취약점(CVE-2026-87886)이 악용되고 있으며, Parallels Desktop에서도 로컬 사용자가 Mac에서 최고 관리자 권한을 얻을 수 있는 취약점(CVE-2026-90894)이 공개되었습니다. 이 밖에도 Revolut 고객 정보 유출, HBO Max Reddit 계정 탈취를 통한 악성코드 유포, 이란 국가 해킹 조직의 CHOSEN BRICK 악성코드 캠페인 등 다양한 위협 동향이 보고되었습니다. 해당 시스템을 운영하는 조직은 즉시 패치 여부를 확인하고 침해 지표(IoC)를 점검해야 합니다.
공공개인정보보호위원회가 인공지능(AI) 시대에 맞게 개인정보 보호 제도를 손질하기 위해 부산의 데이터 활용 현장을 직접 점검했습니다. 부산항만공사의 물류 데이터 활용, 에코델타 스마트시티의 헬스케어·자율주행 서비스, 가명정보(개인을 알아볼 수 없게 처리한 정보) 활용지원센터 운영 현황을 살펴보고 관계자들과 제도 개선 방안을 논의했습니다. 핵심은 데이터를 많이 모으는 것보다 안전하게 활용하는 방법을 제도적으로 뒷받침하는 것입니다. 이번 현장 의견을 바탕으로 향후 개인정보 관련 법·제도 개선이 추진될 예정입니다.
자세히 보기
공공2026년 국정감사를 앞두고, 기업과 정부 기관에서 반복되는 사이버보안·개인정보 침해 문제가 핵심 점검 과제로 떠올랐습니다. 쿠팡·롯데카드·SKT·KT 등 대규모 유출 사고가 이어졌지만, 피해자는 과징금이 아닌 별도 민사소송으로만 보상을 받아야 하는 구조적 공백이 지적됩니다. 한 번 유출되면 변경이 불가능한 '연계정보(CI, 온라인 주민번호 역할을 하는 암호화 식별자)'의 제도 개선이 시급하고, 제로트러스트(Zero Trust, 내부 사용자도 신뢰하지 않고 매번 검증하는 보안 방식) 예산은 3년 연속 삭감되는 반면 중소기업 지원은 사실상 외면받고 있습니다. IoT(사물인터넷) 기기에 대한 최소 보안기준이 없어 IP 카메라 12만여 대가 해킹되는 등 피해가 반복되고 있으며, 2025년 대전 국가정보자원관리원 화재로 공공 데이터 858TB가 영구 소실되면서 정부 정보시스템의 재해복구 체계 허점이 드러났습니다.
자세히 보기
공공국가정보원(국정원)이 연간 1조 6000억 원 규모의 대규모 국가·공공 정보화 사업에 새로운 보안 체계인 N2SF(국가 망 보안체계)를 의무 적용하기로 했습니다. 기존의 망분리 의무 규정을 삭제하고 N2SF 조항으로 대체하는 법령 개정도 이미 완료됐으며, 기밀(C)·민감(S)·공개(O) 등급으로 데이터를 분류하는 체계가 핵심입니다. 정보화 사업의 기획·예산 단계부터 보안 요건을 반영하도록 한국지능정보사회진흥원(NIA) 등과 세부 절차를 논의 중입니다. 보안통제 항목도 기존 276개에서 300여 개로 늘렸고, 원격근무·통합인증(SSO)·모바일 환경 등 최신 업무 형태도 반영했습니다. 공공기관과 협력하는 민간 기업이라면 N2SF 요건 충족 여부를 사전에 점검해 둘 필요가 있습니다.
자세히 보기
공공한국인터넷진흥원(KISA)이 세계경제포럼(WEF) 사이버보안센터, 싱가포르 사이버보안청(CSA)과 각각 만나 인공지능(AI) 시대의 사이버보안 협력 방안을 논의했습니다. 주요 의제는 AI를 악용한 사이버 위협 공동 대응, 보안 인재 양성, 사물인터넷(IoT) 및 핵심 정보 인프라 보호 등이었습니다. KISA는 자체 교육 프로그램인 K-Shield, BoB(차세대 보안리더 양성 프로그램) 등의 경험을 WEF의 글로벌 네트워크와 연계하는 방안도 모색했습니다. 이번 협력은 국경을 넘나드는 AI 기반 사이버 위협에 대응하기 위한 국제 공조 강화 차원에서 이루어졌습니다.
자세히 보기
기업미국 FBI가 오랫동안 운영된 DDoS(분산서비스거부, 여러 곳에서 동시에 트래픽을 퍼부어 서버를 마비시키는 공격) 대행 서비스 '나이트메어스트레서(NightmareStresser)'의 도메인 2개를 압수했습니다. 이 서비스는 공격 기술이 없어도 돈만 내면 원하는 대상을 마비시킬 수 있게 해주는 '부터(booter)' 플랫폼으로, 등록 이용자가 56만 명을 넘고 최대 200Gbps의 대규모 공격이 가능했습니다. FBI는 2022년 이후 이 서비스가 수십만 건의 DDoS 공격에 사용됐다고 밝혔습니다. 이번 조치는 2018년부터 이어온 국제 공동 단속 작전 '파워오프(Operation PowerOFF)'의 일부이며, 이 작전으로 복수의 DDoS 대행 서비스가 폐쇄되고 여러 명이 체포됐습니다. 기업 보안 담당자는 DDoS 공격 위협이 여전하며, 저비용·저기술 공격 도구가 광범위하게 유통되고 있다는 점을 인식하고 DDoS 방어 체계를 점검할 필요가 있습니다.
자세히 보기
공공한국인터넷진흥원(KISA)이 세계경제포럼(WEF) 사이버보안센터 및 싱가포르 사이버보안청(CSA)과 만나 AI 시대의 사이버보안 협력 방안을 논의했습니다. 주요 주제는 AI를 악용한 사이버 위협 대응, 보안 인재 양성, 침해사고 공동 연구 등입니다. 싱가포르 CSA와는 기존 IoT(사물인터넷) 보안 협력을 AI 분야까지 넓히는 방안도 검토했습니다. 현재로선 구체적인 협약 체결보다는 협력 확대 방향을 논의한 단계로, 기업 보안 담당자에게 즉각적인 대응을 요구하는 사안은 아닙니다.
자세히 보기
공공개인정보보호위원회가 국내에서 판매되는 로보락, 삼성전자, LG전자, 에코백스, 샤오미 등 5개 브랜드 로봇청소기의 개인정보 처리 실태를 점검한 결과를 발표했습니다. 영상·음성·지도정보 등 민감한 가정 내 데이터의 수집·전송·저장 과정에서 암호화 적용 등 기술적 보호 조치는 대체로 양호했습니다. 그러나 이용자 동의 없이 개인정보를 수집하거나, 국외 데이터 이전 사실을 처리방침에 누락하는 등 법적 의무 위반 사례가 확인됐습니다. 개인정보위는 미흡한 사항에 대해 시정 권고를 의결했으며, 대부분의 사업자는 이미 개선을 완료했거나 진행 중입니다. 올해 하반기에는 최신 모델의 신기능을 중심으로 추가 점검이 예정되어 있습니다.
자세히 보기
기업IP카메라(인터넷에 연결된 감시 카메라)와 공유기(인터넷 연결 장치)에서 계정을 빼앗기거나 기기를 원격으로 제어당할 수 있는 보안 취약점이 계속 발견되고 있습니다. 허니웰, 에이수스 등 해외 유명 브랜드 제품에서도 실제 해킹에 악용된 사례가 보고됐으며, 이 제품들이 국내에도 많이 보급된 상황입니다. 사물인터넷(IoT) 기기는 구입 후 보안 업데이트가 소홀해지기 쉬워 공격자의 주요 표적이 됩니다. 전문가들은 제품이 시중에 출시되기 전에 최소한의 보안 수준을 의무적으로 검증하는 인증 제도와 관리체계 강화가 필요하다고 강조합니다.
자세히 보기