취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 15일 목요일 기준
공공일본 정부 디지털청에서 약 24만 6000건의 개인정보가 외부로 유출됐습니다. 공격자는 VPN(가상사설망) 제품의 취약점(보안 구멍)을 악용해 직원 계정을 통해 정부 파일 서버에 몰래 접근했습니다. 유출된 정보에는 이름, 이메일 주소, 전화번호 등이 포함되며, 주민번호나 금융 계좌 정보는 포함되지 않았습니다. 디지털청은 침해를 발견한 직후 해당 서버의 외부 접속을 차단하고 공격에 사용된 직원 계정을 정지했습니다. 이번 사고는 공개된 VPN 취약점이 패치 전에 실제 공격에 활용된 사례로, 빠른 취약점 대응의 중요성을 보여줍니다.
자세히 보기
기업이 글은 기업 보안 대시보드에 표시되는 높은 평균 수치(예: 패치율 99%)가 실제 보안 위협을 얼마나 잘못 표현할 수 있는지를 설명합니다. '심슨의 역설'이라는 통계 현상 때문에, 전체 평균은 높아 보여도 핵심 서버처럼 중요한 시스템의 보안 상태는 매우 취약할 수 있습니다. 특히 도메인 컨트롤러나 인증 서버처럼 네트워크에서 중심 역할을 하는 소수의 '허브' 시스템이 뚫리면, 악성코드가 전체 네트워크로 빠르게 퍼져 회사 전체가 마비될 수 있습니다. 이를 막으려면 단순 평균 대신, 핵심 자산의 보안 상태를 따로 떼어 이사회에 직접 보고하고 중요도에 따라 차등 방어하는 체계가 필요합니다. 경영진은 화려한 수치 뒤에 숨은 취약 지점을 직접 확인하는 거버넌스를 갖춰야 합니다.
자세히 보기
기업스페인 개인정보보호청(AEPD)이 AI 에이전트를 공격 도구로 사용한 개인정보 침해 사건을 처음으로 공식 접수했습니다. 공격자는 AI 에이전트에 목표를 지시했고, 에이전트는 스스로 취약점을 찾아 시스템에 침투한 뒤 개인정보와 결제 기록에 접근했습니다. AI가 완전히 새로운 공격 방식을 만든 것이 아니라, 기존 해킹 단계(취약점 탐색→로그인→내부 이동→데이터 탈취)를 훨씬 빠르고 자동화된 방식으로 수행한 점이 핵심입니다. 이로 인해 기존 보안관제 시스템이 대응할 시간이 크게 줄어들 수 있다는 경고가 나왔습니다. 국내 기업과 공공기관도 계정 이상 징후, 취약점 탐색, 데이터 접근을 개별 사건이 아닌 하나의 공격 흐름으로 묶어 탐지하는 체계를 점검할 필요가 있습니다.
자세히 보기
중요기업워드프레스 기반 쇼핑몰에서 사용하는 '우커머스 도매 리드 캡처' 플러그인에서 로그인 없이도 악성 파일을 서버에 올릴 수 있는 치명적 취약점(CVE-2026-27540, 위험도 9.8점)이 실제 공격에 활발히 이용되고 있습니다. 공격자는 이 취약점을 이용해 웹셸(원격에서 서버를 조종하는 악성 프로그램)을 심고 사이트 전체를 장악할 수 있으며, 현재까지 10만 건이 넘는 공격 시도가 탐지됐습니다. 같은 시기에 60만 개 이상의 사이트에서 쓰이는 '더 이벤트 캘린더' 플러그인에서도 인증 없이 원격 코드 실행(RCE)이 가능한 취약점 두 건(CVE-2026-78006, CVE-2026-78159)이 공개됐습니다. 두 플러그인 모두 보안 패치가 배포됐으므로, 해당 플러그인을 사용 중인 관리자는 즉시 최신 버전으로 업데이트해야 합니다.
자세히 보기
중요기업기업용 이메일 보안 장비인 Cisco Secure Email Gateway에서 로그인 없이도 원격으로 시스템 최고 권한(루트)을 빼앗을 수 있는 심각한 취약점(CVE-2026-76461)이 발견됐습니다. 공격자는 악성 이메일 한 통만으로 장비를 완전히 장악할 수 있으며, 보안 패치가 나오기 전부터 이미 실제 공격에 사용됐습니다. 미국 사이버보안 당국(CISA)은 이 취약점을 '실제 악용 확인 목록(KEV)'에 등재했고, 미국 연방기관에는 2026년 9월 17일까지 조치를 요구했습니다. 우회 방법이 없기 때문에 취약 버전을 사용하는 기업은 즉시 패치를 적용해야 하며, 이미 침해됐을 가능성도 고려해 과거 로그를 반드시 점검해야 합니다.
자세히 보기
중요기업기업 가상화 환경을 관리하는 VMware vCenter Server에서 심각한 원격코드실행(RCE, 원격에서 시스템을 마음대로 조작할 수 있는 공격) 취약점이 발견됐고, 실제 공격에 이미 쓰이고 있습니다. 공격자는 패치가 나온 직후부터 vCenter 서버를 뚫어 관리자 계정을 만들고 백도어를 심은 뒤, 그 서버가 관리하는 ESXi(가상머신 호스트 서버)까지 침투해 랜섬웨어를 실행한 사례가 확인됐습니다. 랜섬웨어는 가상머신 디스크 파일까지 암호화해 피해 범위가 매우 넓어질 수 있습니다. 브로드컴이 이미 패치를 배포했고 미국 CISA(사이버보안·인프라보안국)도 실제 악용 목록에 등재했으므로, 아직 패치를 적용하지 않은 기업은 즉시 조치가 필요합니다. 패치 적용 이후에도 취약점 공개 전후로 외부에 노출된 적 있다면 침해 여부를 별도로 점검해야 합니다.
자세히 보기
중요기업구글이 픽셀 스마트폰의 셀룰러 모뎀(휴대폰과 이동통신망을 연결하는 부품)에서 발견된 제로데이(패치 전에 실제 공격에 쓰인) 취약점을 수정하는 보안 업데이트를 배포했습니다. CVE-2026-58704로 불리는 이 취약점은 CVSS 점수 8.0의 '높음' 등급으로, 공격자가 피해자의 별도 행동 없이도 기기의 권한을 빼앗을 수 있습니다. 공격 경로가 '인접 네트워크'로 평가돼 물리적으로 가까운 거리나 관련 통신 환경이 필요하지만, 일단 공격에 성공하면 기밀성·무결성·가용성 모두 심각한 피해가 생길 수 있습니다. 구글은 이미 제한적인 표적 공격에서 실제 악용이 확인됐다고 밝혔으며, 미국 CISA의 실제 악용 목록(KEV)에도 등재됐습니다. 지원 대상 픽셀 기기 사용자는 지금 즉시 최신 보안 업데이트(2026-09-05 패치 수준)를 적용해야 합니다.
자세히 보기
공공한국의 개인정보보호위원회가 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증심사 방식을 서류 위주에서 현장 직접 검증 중심으로 바꾸는 법령 개정안을 2026년 9월 16일부터 입법예고했습니다. 가장 큰 변화는 침해사고나 개인정보 유출이 발생한 기업에 대해 전문 기술인력이 현장에서 취약점 진단과 모의침투(해커처럼 직접 시스템을 공격해 허점을 찾는 테스트)를 수행할 수 있게 된다는 점입니다. 또한 개인정보 처리 규모가 크거나 사회적 파급력이 큰 기업에는 더 엄격한 보호 기준이 적용될 수 있는 근거도 마련됩니다. ISMS-P 인증 의무 대상 기업이 인증 취소를 받더라도 재취득 준비 기간 1년 동안 과태료 부과가 유예되는 규정도 새로 생깁니다. 의견 제출 기한은 10월 26일까지이며, 연내 고시 개정을 통해 제도 전반을 강화할 예정입니다.
자세히 보기
기업개인정보보호위원회(개인정보위)가 2025년 개인정보 처리방침 평가에서 '미흡' 판정을 받은 기업들을 대상으로 후속 점검을 실시했습니다. 점검 결과, 뤼튼테크놀로지스·테슬라코리아·딥시크·오픈AI(OpenAI)·나이키(Nike) 5개 사업자가 여전히 개인정보 관련 이용자 문의에 제대로 응하지 않거나, 영어·중국어로만 답변하는 등 미흡한 부분이 확인됐습니다. 특히 해외 사업자들이 국내 이용자 민원 대응을 위해 지정한 '국내대리인'이 형식적으로만 운영되는 문제가 드러났습니다. 개인정보위는 해당 기업들에 권리행사 창구를 실질적으로 개선하도록 권고했으며, 앞으로도 처리방침 이행 여부를 지속 점검할 방침입니다.
자세히 보기
공공온라인에서 쉽게 살 수 있는 휴대용 위치추적기가 스토킹 등 범죄에 악용되는 사례가 잇따르면서, 정부가 관련 사업자 49곳을 조사했습니다. 그 결과, 법에서 요구하는 위치정보사업자 등록이나 신고 없이 이용자의 위치정보를 수집·활용한 것으로 의심되는 사업자 3곳이 경찰 수사를 받게 됐습니다. 위치정보법(개인의 위치 데이터를 수집·이용하는 사업을 규제하는 법)을 위반하면 최대 5년 이하 징역 또는 5000만 원 이하 벌금이 부과될 수 있습니다. 정부는 앞으로도 위치정보 활용 서비스에 대한 등록·신고 여부와 보호 조치 이행 실태를 지속적으로 점검할 방침입니다.
자세히 보기
중요기업애플이 iOS 27, iPadOS 27, macOS 등 주요 운영체제를 업데이트하면서 총 200건이 넘는 보안 취약점을 한꺼번에 수정했습니다. 특히 악성 이미지 파일 하나만으로 아이폰을 원격에서 침해할 수 있는 미디어 처리 모듈의 메모리 손상 취약점(CVE-2026-64752)이 포함돼 있어 주목됩니다. 운영체제의 핵심인 커널(OS의 가장 깊은 부분으로, 여기서 결함이 생기면 시스템 전체가 위험해집니다) 관련 취약점도 다수 포함돼 있어 피해 범위가 일반 앱 수준보다 훨씬 클 수 있습니다. 애플은 실제 공격에 이미 악용된 사례는 없다고 밝혔지만, 수정 범위가 크고 핵심 구성요소가 다수 포함된 만큼 가능한 한 빨리 업데이트할 것을 권고합니다. 기업 환경에서는 관리 기기에 패치를 신속히 적용하는 체계가 있는지 점검이 필요합니다.
자세히 보기
기업쿠팡에서 지난해 11월 약 3,367만 명의 개인정보가 유출되는 사고가 발생했습니다. 피해 소비자들이 집단분쟁조정을 신청한 결과, 한국소비자원 소비자분쟁조정위원회는 쿠팡이 1인당 10만 원을 배상해야 한다는 조정안을 내렸습니다. 그러나 쿠팡은 이 조정안을 수용하지 않겠다고 서면으로 통보했습니다. 쿠팡 측은 이미 1조 6,850억 원 규모의 자발적 보상안을 이행했고 추가적인 2차 피해도 확인되지 않았다는 점을 거부 이유로 들었습니다. 조정안이 거부됨에 따라 피해자들은 별도의 소송 등 법적 절차를 통해 배상을 요구해야 할 상황이 됐습니다.
자세히 보기