취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
기업KISA 한승원 수석이 KCSCON 2026 기조강연에서 AI 시대의 사이버 공격 변화와 대응 방향을 설명했습니다. 공격자들은 AI를 활용해 악성코드 제작·취약점 탐지·정보 유출 등 공격 과정 상당 부분을 자동화하고 있으며, 로컬 AI 모델을 써서 탐지를 피하려는 움직임도 나타나고 있습니다. 방어 목적으로 사용하는 AI 도구 자체도 공격 대상이 돼, 악성코드 안에 AI의 분석을 방해하는 명령을 숨기는 '프롬프트 인젝션(AI에게 몰래 명령을 심는 기법)' 사례가 확인되었습니다. 공격의 본질은 변하지 않아 공격자는 여전히 피해자가 신뢰하는 사람·사이트·소프트웨어·접속키를 노립니다. 대응책으로는 피싱 저항형 다중인증(MFA) 적용, 자격증명 코드 분리 관리, 망 분리, 불변(변경 불가) 백업 체계 구축이 권고되었습니다.
자세히 보기
공공국가안보실 사이버안보비서관으로 해커 출신 교수 김휘강 고려대 정보보호대학원 교수가 임명됐습니다. 보안 기업 창업·운영 경험과 학계 활동을 두루 갖춘 인물로, 각계에서는 현장 경험이 정책에 실질적으로 반영될 것이라는 기대가 나옵니다. 산업계는 공급망 보안 정책 강화와 민·관 조율 역할을 주문했고, 학계는 보안 사각지대에 놓인 중소기업 지원과 국제 협력 체계 구축을 요청했습니다. 보안 실무자들은 화이트해커의 침투 테스트(모의해킹)에 대한 법적 보호 보장, 기업 보안팀의 열악한 처우·인식 개선, 사후 대응에서 선제 예방 중심으로의 정책 전환을 강하게 촉구했습니다. 오래전에 나온 패치를 적용하지 않아 발생하는 침해사고가 반복되는 현실을 지적하며, 실효성 있는 진단·검증 체계 마련이 시급하다는 목소리도 이어졌습니다.
자세히 보기
중요의료미용의료 플랫폼 강남언니에서 국내외 이용자 약 22만명의 개인정보가 유출되는 사고가 발생했습니다. 공격자가 상담내역 조회 API(애플리케이션 프로그래밍 인터페이스, 시스템 간 데이터를 주고받는 연결 통로)에 비정상적으로 접근해 이름·연락처·생년월일·결제 정보·시술 정보 등 민감한 개인정보가 빠져나갔습니다. 회사는 접근 경로를 신속히 차단했지만, 이튿날 공격자가 다른 경로로 재침입을 시도한 사실도 확인됐습니다. 강남언니는 KISA(한국인터넷진흥원)에 자진 신고하고 피해 고객에게 개별 통지했으며, 경찰에 수사를 의뢰한 상태입니다. 의료·미용 관련 민감 정보까지 포함돼 있어 2차 피해(스팸, 사기, 개인정보 악용) 가능성에 유의해야 합니다.
자세히 보기
중요의료미용의료 플랫폼 '강남언니'(운영사: 힐링페이퍼)에서 약 22만 명의 고객 개인정보가 유출됐습니다. 해커가 상담내역 조회 기능(API)에 비정상적으로 접근해 이름·연락처·생년월일은 물론, 시술 내용·상담 사진·결제 정보 등 매우 민감한 의료 관련 정보까지 빠져나갔습니다. 피해 고객은 한국·일본·대만·태국 등 여러 나라에 걸쳐 있습니다. 회사 측은 경찰에 수사를 의뢰하고 한국인터넷진흥원(KISA)에도 자진 신고했으며, 피해 고객에게는 개별 통지 중입니다. 유출된 시술·상담 정보를 이용한 맞춤형 피싱(사기 문자·전화) 피해가 우려되므로 각별한 주의가 필요합니다.
자세히 보기
기업올해 2분기(2026년 기준) AI 및 LLM(대규모 언어 모델) 서비스에서 발견된 보안 취약점이 1년 전보다 약 14배 급증해 935건에 달했습니다. 가장 많이 발견된 취약점 유형은 접근 제어 미흡, 인증·권한 오류, 인젝션(악의적 명령어 삽입) 공격 등입니다. AI 서비스를 사칭한 악성 소프트웨어를 이용한 중소기업 공격도 같은 기간 5배 늘어 3만 3,300건 이상 탐지됐습니다. 업무 환경에 AI 도입이 빠르게 확산되는 만큼, 기존의 패치 관리에 더해 실시간 접근 제어 모니터링과 선제적 위협 탐지가 필요합니다.
자세히 보기
통신/IT국제인터넷주소기구(ICANN)가 2026년 10월 12일 새벽 1시(한국시간)에 인터넷 주소 체계의 최상위 보안 암호키(KSK)를 교체합니다. 이 암호키는 도메인 주소 정보가 위·변조되지 않았는지 검증하는 데 쓰이는 핵심 보안 요소입니다. 교체 전까지 새 암호키를 반영하지 않은 캐시 DNS 서버는 교체 후 약 48시간 안에 모든 도메인 주소 조회가 실패하고, 해당 서버를 쓰는 이용자는 인터넷에 접속하지 못할 수 있습니다. 한국인터넷진흥원(KISA)은 ISP 등 캐시 DNS 운영기관에 사전 점검을 촉구하며, 특히 PowerDNS 사용 기관은 신규 암호키가 반영된 버전 5.2.0 이상인지 확인해야 한다고 강조했습니다.
자세히 보기
통신/IT국제인터넷주소기구(ICANN)가 오는 10월 12일 인터넷 주소 조회 시스템(DNS)의 보안 암호키(KSK)를 교체합니다. 이 키는 인터넷 주소 정보가 위·변조되지 않았는지 검증하는 데 쓰이는 핵심 보안 장치입니다. 캐시 DNS 서버를 운영하는 기관이 새 암호키를 제때 반영하지 않으면 해당 서버를 통해 인터넷에 접속하는 이용자들이 접속 장애를 겪을 수 있습니다. 특히 파워DNS(PowerDNS) 소프트웨어처럼 키 자동 갱신 기능이 없는 제품은 버전 5.2.0 이상으로 수동 업데이트해야 합니다. KISA는 운영기관에 10월 12일 이전에 반드시 사전 점검을 완료하도록 당부했습니다.
자세히 보기
기업하이브의 팬 플랫폼 '위버스'에서 약 42만 명의 회원 개인정보가 유출되는 사고가 발생했습니다. 유출된 정보에는 내부 식별번호와 구매 관련 정보(결제 수단, 금액, 일시 등)가 포함됐습니다. 외부 제보자가 보안 취약점을 한국인터넷진흥원(KISA)에 신고했고, 위버스컴퍼니는 즉시 API(외부와 데이터를 주고받는 통로) 접근 제어를 강화하고 KISA에 침해사고를 신고했습니다. 회사 측은 유출된 정보만으로는 결제 위조나 부정 이체가 어렵다고 밝혔으나, 불법 접근한 외부 행위자에 대해 법적 책임을 묻겠다고 경고했습니다.
자세히 보기
중요기업국내 OTT 서비스 티빙에서 대규모 개인정보 유출 사고가 발생했으며, 민관합동조사단이 조사 결과를 발표했습니다. 중복 포함 약 3,954만 개 계정의 이용자 정보와 함께 소스코드 등 기술자산 약 30GB가 외부로 유출됐습니다. 공격자는 개발자 접속키를 탈취해 개발환경에 침투한 뒤, 소스코드에 평문으로 저장된 운영환경 접속키를 확보해 실제 이용자 DB까지 접근했습니다. 비밀번호는 일방향 암호화로 복호화가 불가능하지만, 휴대전화 번호·이메일 주소 일부는 암호화키가 함께 유출되어 복호화가 가능한 상태입니다. 현재까지 스미싱·보이스피싱 등 2차 피해나 다크웹 유통 정황은 확인되지 않았으나, 정부는 티빙에 보안 체계 개선을 요구하고 과태료를 부과할 예정입니다.
자세히 보기
중요기업국내 OTT 서비스 티빙(TVING)에서 약 3954만 개의 계정 정보가 유출되는 대규모 개인정보 침해 사고가 발생했습니다. 공격자는 개발자의 접속키(API 키) 하나를 탈취한 뒤, 소스코드에 평문으로 저장된 운영 서버 접속키를 연달아 확보해 실제 서비스 데이터베이스까지 침투했습니다. 이름·생년월일·휴대전화번호·이메일 등 70종의 정보가 유출됐으며, 일부는 암호화키와 함께 빠져나가 사실상 평문 유출과 같은 상태였습니다. 특히 2024년 모의해킹에서 이미 접속키 하드코딩 문제가 발견됐음에도 개선이 이루어지지 않았고, 첫 번째 이상 탐지 후에도 공격자의 우회 공격을 막지 못해 '기본 보안 통제의 총체적 실패'라는 평가를 받고 있습니다. 과기정통부는 24시간 내 신고 의무 위반을 이유로 최대 3000만 원의 과태료를 부과할 예정이며, 개인정보보호위원회의 추가 조사도 진행 중입니다.
자세히 보기
공공한국인터넷진흥원(KISA)이 과학기술정보통신부와 함께 '2026년 하반기 사이버 위기대응 모의훈련' 참여기업을 9월 1일부터 10월 2일까지 모집한다. 훈련은 해킹 메일 대응, DDoS(특정 서버에 트래픽을 폭주시켜 서비스를 마비시키는 공격) 탐지·대응, 홈페이지 모의 침투, 서버 취약점 점검 등 4개 분야로 구성된다. 이번 하반기부터는 AI 에이전트가 스스로 공격 시나리오를 만들어 홈페이지 침투 테스트를 수행하는 방식이 처음으로 시범 도입된다. 상반기 훈련 결과, 반복 참여 기업은 신규 기업보다 DDoS 대응 시간이 3배 이상 빠른 것으로 나타나 반복 훈련의 효과가 확인됐다. 업종·규모에 관계없이 모든 기업이 무료로 참여할 수 있으며, 실제 훈련은 10월 19일부터 30일까지 진행된다.
자세히 보기
공공한국인터넷진흥원(KISA)이 국가정보원 지부, 한국방송통신전파진흥원(KCA)과 함께 생성형 AI를 활용한 모의해킹 대회 'AI 프라이버시 챌린지'를 개최했습니다. 지역 대학생 팀들이 공격자 역할을 맡아 KISA·KCA의 개인정보처리시스템에서 실제 취약점을 찾아내고, 기관 보안 담당자들은 이를 실시간으로 탐지·차단·복구하는 훈련을 진행했습니다. 취약점 발굴에서 탐지·대응·복구까지 전 과정을 한 자리에서 점검한 것이 이번 대회의 특징입니다. 최우수상은 전남대학교 '탈주닌자'팀이 수상했으며, 주최 측은 이를 통해 지역 사이버보안 인재 양성을 도모한다고 밝혔습니다.
자세히 보기