보안 뉴스

파르나스 호텔 리워즈 회원정보 유출, 예약정보 악용한 사칭 결제 주의

파르나스호텔앤리조트의 통합 멤버십 서비스인 '파르나스 리워즈'에서 회원 개인정보가 유출되는 사고가 발생했습니다. 지난 9월 24~25일 외부 공격자가 허락 없이 시스템에 접근해 멤버십 아이디, 이름, 생년, 예약정보, 휴대전화번호, 이메일 등 회원 정보 일부를 빼간 것으로 확인됐습니다. 다행히 주민등록번호, 신용카드정보, 비밀번호는 이번 사고의 영향을 받지 않은 것으로 파악됐습니다. 특히 유출된 예약정보를 악용해 호텔을 사칭하며 추가 결제나 카드정보를 요구하는 메시지가 돌고 있어, 왓츠앱 등 비공식 경로로 온 결제 요청은 절대 응하지 말아야 합니다. 회사는 당국에 신고하고 조사 중이며, 회원들에게는 비밀번호 변경을 권고하고 있습니다.

개인정보위, 유출·침해사고 조사 속도 높인다…중요사건 12개월 내 처리 원칙

개인정보보호위원회가 급증하는 개인정보 유출·침해 사고에 대응하기 위해 조사체계를 전면 개편합니다. 100만명 이상 유출이나 사회적 파급력이 큰 사건은 '중요사건'으로 분류해 전담 조사단을 투입하고, 일반 사건은 유형별로 묶어 신속히 처리하며, 경미한 사건은 처벌보다 재발방지에 중점을 둡니다. 처리 기간도 중요사건 12개월, 일반사건 6개월, 경미사건 3개월 이내를 원칙으로 정했습니다. 또한 과징금 1억원 이하 사건은 소위원회에서 처리하도록 해 전체회의 부담을 줄이고, 조사 착수 여부를 14일 이내 결정하는 등 절차의 예측 가능성도 높이기로 했습니다. 이번 조치는 2026년 상반기에만 개인정보 유출 신고가 432건에 달하며 작년 전체 신고 건수에 근접할 정도로 사고가 급증한 데 따른 것입니다.

[이슈 진단] ARTEX로 금융권 광범위 공격, 무신사·강남언니·신한은행까지…AI가 파고든 'API 권한검증' 허점

무신사의 29CM, 강남언니, 신한은행에서 잇따라 고객 개인정보 유출 사고가 발생했습니다. 공격자는 서버에 몰래 침입하는 대신, 정상적으로 열려 있는 웹서비스나 API(앱과 서버가 정보를 주고받는 통로)에 접근해서 조회 조건값을 바꿔가며 다른 사람의 정보를 빼간 것으로 보입니다. 금융보안원은 이 공격들 뒤에 중국어 기반 오픈소스 AI 자율 침투 도구 'ARTEX'가 사용된 정황을 확인했고, 다수의 국내 금융회사를 대상으로 자동화된 공격이 광범위하게 진행 중이라며 모니터링 강화를 권고했습니다. 로그인했다는 사실(인증)과 그 정보를 볼 권한이 있다는 사실(인가)은 다르며, 이번 사고들은 서버가 이 권한 확인을 제대로 하지 않아 발생한 것으로 분석됩니다. 공격자가 IP를 계속 바꿔가며 공격하기 때문에 IP 차단만으로는 근본적인 방어가 어려워, 기업들은 API 접근 로그를 다시 점검해야 한다는 경고가 나옵니다.

과기정통부, 양자내성암호 전환 경진대회·해커톤 개최

[카드뉴스] "의료 보안 경보" 피싱 메일이 연 '외주망 뒷문'… 처방전 411만 건 유출 부른 공급망 취약점

병원이 아니라 병원에 의료 기기를 납품하는 외주업체 직원이 피싱 메일에 속아 계정 정보를 뺏겼고, 이 계정을 통해 공격자가 병원 내부 환자 관리 시스템까지 침투했습니다. 그 결과 환자의 처방전과 보험 정보 등 411만여 건이 유출됐습니다. 외주업체처럼 상대적으로 보안이 약한 협력사가 내부망에 접속할 수 있는 통로를 갖고 있으면, 그곳이 공격자의 '뒷문'이 될 수 있다는 점을 보여준 사건입니다. 이런 공급망 공격을 막으려면 외주 업체 계정에도 꼭 필요한 권한만 주는 최소 권한 원칙(PoLP), 병원 내부망과 외주망을 물리적으로 분리하는 망분리, 그리고 로그인 시 여러 단계로 본인 확인을 하는 다중인증(MFA)을 반드시 적용해야 합니다.

가비아, 외부 해킹으로 고객정보 2998명 유출…"사고 인지 직후 경로 차단"

국내 도메인·웹호스팅 서비스 기업 가비아가 외부 해커의 공격으로 고객 2,998명의 개인정보가 유출되는 사고를 겪었습니다. 공격자는 가비아 웹 서비스의 외부 요청 검증(입력값을 제대로 확인하지 않는 취약점)이 부족한 부분을 노려 내부 시스템에 무단 접근했습니다. 유출된 정보는 성명, 아이디, 이메일, 휴대전화번호이며, 비밀번호는 유출되지 않았습니다. 가비아는 사고 인지 후 약 80분 내에 접근 경로를 차단하고 취약점을 조치했으며, KISA(한국인터넷진흥원)와 개인정보보호위원회에 신고해 합동 조사 중입니다. 유출된 아이디를 이용한 다른 사이트 계정 도용(크리덴셜 스터핑) 피해가 우려되므로 가비아 이용자는 즉시 비밀번호를 변경할 것을 권장합니다.

국정원 추진 9대 사이버보안 정책 살펴보니...AI방어팀 세계 첫 구축

한국 국가정보원(NIS)이 2026년 9월 '사이버 서밋 코리아(CSK 2026)' 행사에서 AI보안, 클라우드 보안, 소프트웨어 공급망 보안, 양자내성암호(현재의 암호체계를 깰 수 있는 양자컴퓨터에도 견디는 새로운 암호 기술) 전환 등 9대 사이버보안 정책을 발표했습니다. 특히 국정원은 사람 개입 없이 AI 스스로 실시간 사이버공격을 탐지·분석·대응하는 'AI 방어팀'을 세계 최초로 국제 사이버 훈련에 투입해 주목받았습니다. 공공기관은 내년부터 AI 레드티밍(시스템을 해커처럼 직접 공격해 약점을 찾는 보안 검증 활동) 테스트베드를 활용할 수 있게 되고, 2028년까지 국가 취약점 데이터베이스와 소프트웨어 공급망 통합 관리 시스템이 구축될 예정입니다. 기업과 공공기관 담당자는 SBOM(소프트웨어 구성요소 명세서) 제출 의무화, 양자내성암호 전환 일정, 클라우드 보안 등급 체계 개편 등 향후 의무 변화를 미리 파악하고 준비할 필요가 있습니다.

추석 연휴 택배·경품 사칭 스미싱 주의…KISA·금융권 비상대응

추석 연휴를 앞두고 택배 배송조회나 경품 이벤트, 교통법규 위반 안내를 사칭한 스미싱(문자메시지를 이용한 피싱 사기) 문자가 유포될 수 있다고 KISA(한국인터넷진흥원)가 경고했습니다. 이런 문자 속 링크를 누르면 개인정보가 탈취되거나 악성 앱이 설치되어 금전 피해로 이어질 수 있습니다. KISA와 금융보안원은 연휴 기간 사이버위협 비상대응체계를 24시간 가동합니다. 기업 보안 담당자는 연휴 전에 웹서버 보안 업데이트, 관리자 계정 다중인증, 랜섬웨어 대비 백업 복구 테스트 등을 점검해야 합니다. 의심 문자는 카카오톡 '보호나라' 채널에서 확인하고, 악성 앱 설치가 의심되면 118에 신고해야 합니다.

추석 연휴 D-1…조심해야 할 사이버 위협은

추석 연휴를 앞두고 한국인터넷진흥원(KISA)과 금융보안원이 기업과 개인에게 사이버 위협 대비를 강력히 권고했습니다. 연휴 기간에는 보안 담당자 부재로 인해 침해사고가 발생해도 대응이 늦어질 수 있어, 공격자가 랜섬웨어를 퍼뜨리거나 내부 시스템에 오래 숨어 있을 가능성이 높아집니다. 특히 택배·공공기관 사칭 스미싱(문자 메시지를 이용한 피싱 사기)과 AI 기술을 악용한 '딥보이스' 사기가 기승을 부리며, 명절 포함 달에는 보이스피싱 범죄가 평시보다 32.5% 급증한 통계도 있습니다. 기업은 API 인증, 클라우드 접근 키, 다중인증(MFA), 백업 분리 등 5대 보안 항목을 연휴 전에 반드시 점검하고 비상연락체계를 정비해야 합니다. 개인은 문자 속 링크를 함부로 누르지 않는 것이 가장 기본적인 예방법입니다.

가비아, 고객 2,998명 개인정보 유출…외부 공격자의 웹 서비스 취약점 악용

국내 코스닥 상장 IT 기업 가비아에서 외부 공격자의 비인가 접근으로 고객 2,998명의 개인정보가 유출됐습니다. 유출된 정보는 성명, 아이디, 이메일 주소, 휴대전화번호이며, 현재까지 비밀번호 유출은 확인되지 않았습니다. 공격자는 가비아 웹 서비스의 외부 요청 검증(입력값이 정당한지 확인하는 절차)이 충분하지 않은 점을 악용해 내부 시스템에 접근했습니다. 가비아는 사고 인지 직후 공격 경로와 관련 계정을 차단하고, KISA(한국인터넷진흥원) 및 개인정보보호위원회에 신고했습니다. 피해 고객에게는 이메일·문자로 개별 안내할 예정이며, 동일 유형 취약점에 대한 전수 점검도 진행 중입니다.