TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 15일 목요일 기준

← 뉴스 홈으로

국내 매체 뉴스

중요공공

보안뉴스·2026. 09. 22.

"공격 준비 10분 컷"... 'AI 기반 선제 대응'으로 패러다임 전환

AI 도구의 확산으로 취약점을 무기화하는 데 걸리는 시간이 과거 수일~수 주에서 10분 이내로 급격히 단축되었습니다. 2026년 한 해에만 6만 6,000건의 새로운 취약점(CVE)이 공개될 것으로 전망되며, 2025년에 악용된 취약점의 29%는 공개 당일 또는 그 이전에 이미 공격에 활용됐습니다. 반면 기업의 평균 패치 소요 시간은 43일로 늘어나 '공격-방어 속도 격차'가 심각하게 벌어지고 있습니다. 이에 한국인터넷진흥원(KISA)은 AI를 활용한 취약점 전주기 관리 체계를 가동하고, 미국 CISA의 3일 내 조치 의무화·EU 사이버복원력법(CRA)에 발맞춰 위험 기반 우선순위 패치 방식으로의 전환을 기업에 권고했습니다. 기업 보안 담당자는 EPSS(악용 확률 점수)와 SBOM(소프트웨어 구성명세서)을 활용해 가장 위험한 취약점을 먼저 조치하는 방식으로 대응 전략을 재편할 필요가 있습니다.

워드프레스 'Click2Shell' 취약점 공개, 7.1.1 즉시 업데이트 권고

전 세계 수백만 개 웹사이트에서 사용되는 워드프레스(WordPress)에서 'Click2Shell'이라는 이름의 심각한 보안 취약점이 공개됐습니다. 공격자가 관리자에게 조작된 링크를 클릭하도록 유도하면, 관리자 몰래 악성 테마가 설치되고 서버에서 임의의 PHP 코드(해커가 원하는 명령어)가 실행될 수 있습니다. 공격이 성공하면 사이트 파일과 이용자 데이터, 데이터베이스 비밀번호까지 탈취당할 수 있으며, 전체 공격 체인의 위험도(CVSS)는 최대 9.3점으로 평가됐습니다. 개념 증명(PoC) 코드가 이미 공개된 상태라 실제 악용 가능성이 높습니다. 워드프레스 운영자는 보안 패치가 포함된 버전 7.1.1로 즉시 업데이트해야 합니다.

#AI #CVSS #PoC

통신/IT

ZDNet Korea·2026. 09. 22.

KISTI-SKT, 국제표준 기반 양자암호통신 연동 기술 세계 첫 개발

한국과학기술정보연구원(KISTI)과 SK텔레콤(SKT)이 세계 최초로 양자암호통신 연동 기술을 개발했습니다. 양자키분배(QKD)란 도청이 물리적으로 불가능한 양자역학 원리를 이용해 암호 키를 나눠 갖는 차세대 보안 기술입니다. 이번 기술은 실제 장비를 구축하기 전에 시뮬레이터(가상 환경)와 키관리 시스템을 국제 표준 방식으로 실시간 연결해, 다양한 통신 환경에서 성능을 미리 검증할 수 있게 해줍니다. 향후 국가연구망과 상용 통신망 간 연동에 활용되어 국가 수준의 양자암호통신 인프라 확장에 기여할 것으로 기대됩니다. 이 기술은 2026년 9월 스페인 말라가에서 열린 국제 광통신 행사 ECOC 2026에서 공개됐습니다.

[단독] 룩핀 개인정보 유출 데이터, 다크웹서 판매 정황…해커 "270만 고객·1100만 주문정보 확보"…룩핀 "해킹 인정"

국내 남성 패션 플랫폼 룩핀(LOOKPIN)에서 대규모 개인정보 유출 사고가 발생했습니다. 해커는 다크웹 포럼에 약 270만 명의 고객 정보와 1100만 건의 주문 데이터를 판매한다는 게시물을 올렸으며, 룩핀은 2026년 9월 16일 외부의 비정상적인 접근을 확인하고 해킹 사실을 공식 인정했습니다. 유출된 정보에는 이메일, 휴대전화번호, 암호화된 비밀번호, 접속 IP, 배송지·주문 내역, 환불계좌, 개인통관고유부호 등 광범위한 항목이 포함돼 있습니다. 실제 거래 정보까지 유출됐기 때문에 배송·환불을 사칭한 맞춤형 스미싱(문자 피싱)·피싱 공격으로 악용될 우려가 큽니다. 피해 고객은 비밀번호를 변경하고 의심 문자·링크를 클릭하지 않도록 주의해야 합니다.

[단독] 울산 산업제어시스템 접근권한 다크웹서 판매 정황…해커 "PLC 태그 인증 없이 Read/Write 가능" 주장

해외 다크웹 포럼에 울산 소재 산업제어시스템(ICS·공장 설비를 자동으로 제어하는 컴퓨터 시스템)의 접근 권한을 판매한다는 글이 올라왔습니다. 판매자는 로크웰오토메이션의 PLC(공정 제어 장치) 모델명, 통신 프로토콜, 내부 제어 태그 23개에 인증 없이 읽기·쓰기가 가능하다는 구체적인 정보를 제시했습니다. 사실로 확인될 경우 외부 공격자가 공장 설비의 동작을 원격으로 변경할 수 있어 생산 중단이나 설비 오작동 등 물리적 피해로 이어질 수 있습니다. 현재로서는 게시자의 주장이 사실인지, 허위·사기성 게시물인지 독립적으로 확인되지 않았으나 구체성이 높아 관련 기관과 기업의 즉각적인 점검이 권고됩니다. CISA(미국 사이버보안·인프라보안국)도 ICS 장비를 인터넷에 직접 노출하지 말고 방화벽 뒤에 격리할 것을 지속 권고하고 있습니다.

보안특파모 로드맵은?... '오퍼스4.5' 방어 수준 및 'GLM5.3' 공격 수준 목표

한국 정부가 국산 사이버보안 전문 AI 모델 개발 사업을 공식 출범했습니다. 네이버클라우드 컨소시엄(41개 기관 참여)이 선정돼 10개월 안에 방어용·공격용 AI 모델 2종을 동시에 개발하는 로드맵을 발표했습니다. 방어 모델은 침해사고 조사 성능에서 Claude Opus 4.5 수준을, 공격(취약점 발굴) 모델은 GLM 5.3 수준을 목표로 합니다. 학습 데이터 약 830TB와 GPU 4,512장을 확보해 즉시 가동하며, 완성 후에는 금융·전력·통신 등 국가 핵심 인프라와 글로벌 시장에 소버린 AI 보안 서비스를 보급할 계획입니다.

GA 11개사 금융보안원 신규 가입…GA 사원사 25개사로 확대

금융보안원에 법인보험대리점(GA, General Agency) 11개사가 새로 가입하면서 전체 GA 사원사가 25개사로 늘었습니다. GA는 보험 판매 과정에서 대량의 개인 신용정보를 다루기 때문에, 외부 협력업체를 통한 해킹(공급망 공격) 위협이 커지고 있어 보안 강화가 시급한 상황입니다. 신규 가입 GA들은 앞으로 통합보안관제, 침해사고 예방·대응, 침투 테스트(모의해킹), 보안 교육 등 금융회사 수준의 보안 지원을 받게 됩니다. 금융보안원은 지난해 가입한 14개사를 대상으로 현장 컨설팅을 진행해왔으며, 이번 확대로 금융권 전체의 공급망 보안 수준을 높이려는 움직임이 본격화되고 있습니다.

추석 피싱 주의보... "링크 클릭 후 권한 허용이 가장 치명적"

추석 명절을 앞두고 택배·결제 내역을 사칭한 피싱 문자가 급증하고 있습니다. 에버스핀이 9월 1일~21일 국내 주요 금융사에서 수집한 탐지 데이터를 분석한 결과, 총 1,381건의 위험 악성 앱이 발견됐으며 그중 65%는 공공·금융기관을 사칭해 추가 악성 앱 설치를 유도하는 방식이었습니다. 악성 앱이 설치되면 연락처·문자·사진 등 개인정보가 탈취되거나, 전화가 범죄자에게 그대로 연결되는 '전화 가로채기' 피해를 입을 수 있습니다. 피싱 링크를 눌렀다고 해서 즉시 피해가 발생하는 것은 아니며, 가짜 사이트에서 개인정보를 입력하거나 악성 앱에 권한을 허용하는 순간이 실제 피해의 분기점입니다. '보안', '업데이트' 같은 단어가 앱 이름에 포함되어 있어도 안전을 보장할 수 없으므로, 출처 불명의 앱 설치 및 권한 허용을 절대 하지 않는 것이 최선의 예방책입니다.

#개인정보 #결제 #공공기관

공공

전자신문 보안·2026. 09. 22.

'보안 특화 AI' 개발 착수…"美中 프런티어 AI급 성능 목표"

한국 과학기술정보통신부가 사이버보안에 특화된 국산 AI 모델 개발 프로젝트를 공식 출범시켰습니다. 네이버클라우드 컨소시엄이 주도하며, 공격 탐지용과 방어용 AI 모델을 각각 따로 개발하는 투 트랙 방식을 채택했습니다. 목표 성능은 미국 Anthropic의 Claude Opus 4.5, 중국 즈푸의 GLM 5.3 수준으로, 글로벌 최고 AI와 겨루는 수준을 지향합니다. 총 41개 기관이 참여하고 4,500장이 넘는 고성능 GPU가 투입되는 대규모 사업입니다. 개발된 모델은 특정 기관이 독점하지 않고 보안기업·정부기관·병원·학교 등 국내 전 분야에서 공개 활용될 계획입니다.

AI가 찾은 취약점 225개 중 실제 악용은 1건…'발견'과 '공격 위험'은 달랐다

AI가 소프트웨어 취약점을 대량으로 찾아내고 있지만, 실제 공격에 악용되는 비율은 극히 낮다는 분석이 나왔습니다. 앤트로픽의 AI 모델이 발견한 225개 취약점 중 실제 공격에 쓰인 것은 단 1건(0.44%)으로, 취약점을 '발견'하는 것과 공격자가 '실제로 이용'하는 것은 다른 문제임을 보여줍니다. 한편 AI가 만든 보안 패치의 완전 성공률은 26%에 불과해, AI가 생성한 코드나 패치는 전문가 검토 없이 바로 적용하기 어렵습니다. 기업 보안팀 입장에서는 AI 덕분에 취약점이 급증하는 만큼, 단순히 개수보다 실제 공격 가능성과 자산 중요도를 따져 우선순위를 정하는 '위험 기반 취약점 관리'가 더욱 중요해지고 있습니다.

#AI #AWS #CVSS

공공

ZDNet Korea·2026. 09. 22.

KISA "보안 특화 AI 모델, 국가 차원 전략 자산"

한국인터넷진흥원(KISA)의 김은성 위협대응정책팀장이 사이버보안 전문 AI 모델의 필요성을 강조했습니다. 해외 범용 AI 모델은 성능이 뛰어나도 한국의 보안 환경과 문화에 맞지 않고, 국내 시스템 정보를 해외 서비스에 넘겨야 하는 위험도 있다고 지적했습니다. 전체 AI 경쟁에서 앞서기는 어렵더라도, 보안 분야에만 집중하면 세계적 수준의 보안 특화 AI를 만들 수 있다고 설명했습니다. KISA는 이러한 보안 특화 AI를 단순한 기술 제품이 아닌 국가 전략 자산으로 육성해야 한다는 입장입니다.

#AI #KISA #데이터유출

공공

ZDNet Korea·2026. 09. 22.

KISA "올해 공개 취약점 역대 최대 6만6000건 전망"

한국인터넷진흥원(KISA)이 AI 기술의 확산으로 올해 전 세계 공개 취약점(CVE) 건수가 6만6000건에 달해 역대 최대치를 기록할 것이라고 경고했습니다. 공격자들도 AI를 활용해 취약점을 자동으로 탐색하고 있으며, 취약점이 공개된 당일 또는 그 이전에 공격이 시작되는 비율이 전체의 29%에 달합니다. 국내 침해사고 신고도 올해 상반기에만 1,236건으로 전년 대비 약 20% 증가했습니다. 미국은 고위험 취약점에 대한 조치 시한을 3일로 강화했으며, 한국도 KISA 취약점관리센터를 중심으로 발견·검증·조치·전파를 아우르는 전주기 대응 체계를 구축 중입니다. 기업 보안 담당자는 이제 취약점 수를 관리하는 수준을 넘어, 실제 위협 여부를 빠르게 판별하고 즉각 조치하는 역량이 핵심입니다.

#AI #KISA #LLM

이전11 / 28다음