TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 15일 목요일 기준

← 뉴스 홈으로

국내 매체 뉴스

기업

ZDNet Korea·2026. 09. 11.

MS "AI 악용 100만 건 이상 송장 사기 메일 전송 발견"

마이크로소프트(MS)가 AI를 이용해 100만 건 이상의 금융 사기 이메일을 발송한 대규모 공격 캠페인을 발견했습니다. 공격자는 여러 기업의 CEO·CFO 등 경영진을 사칭하고, 서비스나우(ServiceNow)의 가짜 연간 구독 송장을 덧붙여 회계·지급 담당 직원이 약 5만 달러를 공격자 계좌로 이체하도록 속였습니다. AI를 활용해 수신자별 맞춤형 이메일을 자동 제작하고, 가짜 이메일 대화까지 삽입해 의심을 피하도록 정교하게 설계됐습니다. 이메일 주소와 발신자 표시 이름이 일치하지 않거나 'ACH Payment' 같은 금융 키워드가 제목에 들어가는 등 몇 가지 탐지 단서가 있습니다. MS는 Microsoft Defender for Office 365, ZAP(Zero-hour Auto Purge) 등 다계층 보호 기능 활용과 이메일 인증 설정을 권고했습니다.

#AI #결제 #금융 사기

의료

전자신문 보안·2026. 09. 10.

상급종합병원 제로트러스트 도입 난항…54.5% "구체적 계획 없다"

국내 상급종합병원 22곳을 대상으로 조사한 결과, 절반 이상(54.5%)이 제로트러스트(Zero Trust, '아무도 기본적으로 믿지 않는다'는 원칙의 보안 체계) 도입이 필요하다고 느끼면서도 구체적인 계획을 세우지 못하고 있는 것으로 드러났습니다. 가장 큰 이유는 예산 부족(68.4%)과 의료 현장에 맞는 도입 방법론 부재(57.9%)였습니다. 보안 전담 인력 부족(68.2%), 오래된 의료 장비·시스템과의 호환 문제(31.8%)도 발목을 잡고 있습니다. 정보보호 최고책임자(CISO)를 전담 임원으로 두지 않고 다른 부서장이 겸임하는 병원이 절반 가까이(45.5%)에 달하는 등 보안 거버넌스도 취약한 상태입니다. 전문가들은 제도 개선과 정부 차원의 재정 지원이 선행되어야 실질적인 변화를 이끌 수 있다고 지적했습니다.

[단독] 해커는 왜 버그바운티 대신 기관 제보를 택했나…대형 PG 사고 둘러싼 의문과 팩트 체크

국내 대형 전자결제(PG)사 관련 사고의 실체가 추가 취재로 드러났습니다. PG사 내부 서버를 직접 해킹한 것이 아니라, 특정 가맹점에서 외부로 유출된 결제 연동 인증키(API Key)를 제3자가 확보해 정상적인 API 호출 방식으로 결제내역을 조회한 사건입니다. 조회된 정보는 구매자 이름·마스킹 카드번호·결제금액 등 수천 건 규모의 '영수증 수준' 거래정보이며, 직접 결제 악용은 어렵지만 개인 소비내역 파악이 가능해 개인정보 보호 측면에서 문제가 됩니다. 금융위원회·금융감독원에 사고가 보고됐고, 9월 11일 침해사고조사심의위원회가 열릴 예정입니다. 전문가들은 이번 사고를 계기로 API 키 유효성만 확인하는 보안 방식에서 벗어나, IP·호출량·패턴 등을 분석하는 이상탐지 체계와 결제 공급망 전체를 아우르는 보안관리가 필요하다고 강조합니다.

구글, 2026년 2분기 AI 위협 추적 보고서 발표…에이전틱 AI 악용 증가

구글 위협 인텔리전스 그룹(GTIG)이 2026년 2분기 AI 위협 동향 보고서를 발표했습니다. 보고서에 따르면 중국·북한 연계 해킹 조직들이 AI를 활용해 공격 속도와 규모를 크게 키우고 있습니다. 특히 '에이전틱 AI(스스로 판단하고 행동하는 AI)'를 이용해 단 6시간 만에 수천 개의 계정 정보를 탈취한 사례가 확인됐습니다. 공격자들은 상용 AI 서비스의 보안 감시를 피하기 위해 침해한 서버에 AI 모델을 직접 설치해 운용하는 방식도 쓰고 있습니다. AI 개발 도구와 공급망 자체가 새로운 공격 대상으로 부상하고 있어 기업의 AI 환경 보안 점검이 시급합니다.

[단독] 고진모터스 랜섬웨어 감염·외부 불법 접근 확인…고객 개인정보 유출 가능성 조사

아우디 공식 딜러사 고진모터스가 2026년 9월 6일 랜섬웨어 공격을 받아 사내 일부 서버가 감염됐습니다. 고객의 성명, 생년월일, 주소, 휴대폰 번호, 이메일, 차량 및 계약 정보 등이 외부로 유출됐을 가능성이 있어 조사가 진행 중입니다. 회사 측은 "대량의 트래픽이 발생하지 않아 실제 탈취 가능성은 낮다"고 밝혔지만, 랜섬웨어와 함께 '외부 불법 접근'도 확인된 만큼 데이터를 먼저 빼낸 뒤 시스템을 암호화하는 이중 갈취 방식 여부를 포렌식으로 정밀 조사 중입니다. 고진모터스는 KISA(한국인터넷진흥원)와 개인정보보호위원회에 신고하고 해당 서버망을 차단했으며, 고객들에게는 스미싱·피싱 주의와 비밀번호 변경을 권고했습니다.

#KISA #개인정보 #개인정보 유출

기업

ZDNet Korea·2026. 09. 09.

美 NSA·CISA·FBI, 중국 AI 6개사 '지식 증류' 경보…"수십억 토큰 빼갔다"

미국 국가안보국(NSA)·사이버보안인프라보안국(CISA)·연방수사국(FBI)이 중국 AI 기업 6곳이 미국 주요 AI 모델에서 대규모로 학습 데이터를 빼내고 있다는 공동 경보(AA26-251A)를 발표했습니다. 이 기업들은 2024년 말부터 수백만 건의 요청을 보내 수십억 개의 토큰(AI 학습에 쓰이는 텍스트 단위)을 Claude·GPT·Gemini·Grok 등의 모델에서 추출한 것으로 파악됩니다. 이는 미국 AI 기업들의 이용약관을 위반한 행위이며, 세 기관은 중국 정부가 이를 인지하고 있을 가능성이 높다고 밝혔습니다. API(프로그램 간 통신 접점) 접근 통제 강화, 비정상 사용량 탐지, 대규모 토큰 추출 차단 등 기술적 대응이 권고됩니다. 미국 정보기관이 특정 중국 기업을 공개 지목한 것은 이례적으로, 이번 경보는 AI 데이터 보안을 국가 차원의 위협으로 공식 규정한 첫 사례입니다.

#AI #API 키 #데이터센터

기업

ZDNet Korea·2026. 09. 09.

10월부터 불법스팸 발송·방치하면 매출 6% 과징금 부과한다

한국에서 10월 1일부터 불법 광고성 스팸을 발송하거나, 자신의 서비스가 스팸 전송에 악용되는 것을 막지 않은 사업자에게 관련 매출액의 최대 6%를 과징금으로 부과하는 제도가 시행됩니다. 방송미디어통신위원회가 정보통신망법 시행령 개정안을 의결한 것으로, 기존 과태료 제재만으로는 반복적인 불법스팸을 억제하는 데 한계가 있다는 판단에 따른 조치입니다. 특히 스팸이 보이스피싱(전화 사기)·스미싱(문자 사기) 등 금전 피해 범죄의 출발점이 될 수 있다는 점이 강조됐습니다. 과징금 산정 시에는 위반의 고의성, 수신자 사전 동의 절차 준수 여부, 수신 거부 기능 제공 여부 등이 종합적으로 고려됩니다. 이메일·문자 마케팅을 운영하는 기업은 수신 동의 체계와 스팸 악용 방지 조치를 10월 시행 전에 점검해야 합니다.

#규제 #금융 사기 #금융사

금융

ZDNet Korea·2026. 09. 09.

"소형 쇼핑몰 API키가 문제...하드코딩돼 해커 먹이감"

토스페이먼츠의 가맹점인 소형 쇼핑몰 한 곳이 해킹을 당해 고객 2,671명의 결제내역 4,131건이 유출됐습니다. 해커는 해당 쇼핑몰 웹사이트의 자바스크립트 소스코드에 그대로 노출된 API 키(시스템 간 통신에 사용하는 인증 암호)를 발견하고, 이를 이용해 정상 사용자처럼 위장해 결제정보를 조회했습니다. 카드 비밀번호·유효기간·CVC 등 결제 실행에 필요한 민감 정보는 포함되지 않아 2차 결제 피해는 없을 것으로 보입니다. 토스페이먼츠는 유출 사실 확인 즉시 해당 접근 경로를 차단하고, 신용정보법에 따라 피해자 통지 및 금융감독원·금융위원회에 신고했습니다. 보안 인력이 부족한 영세 쇼핑몰에서 API 키를 코드 안에 직접 박아두는(하드코딩) 관행이 주요 원인으로 지목됩니다.

#AI #API 키 #결제

기타

ZDNet Korea·2026. 09. 09.

'비트코인 암호' 며칠 만에 풀까… 아이온큐가 실험했더니

양자컴퓨터 기업 아이온큐(IonQ)가 비트코인에 쓰이는 암호(타원곡선 암호 secp256k1)를 양자컴퓨터로 풀어내는 데 약 25.7일이 걸린다는 계산 결과를 발표했습니다. 필요한 조건은 1만 9,397개의 물리적 큐비트(양자컴퓨터의 기본 연산 단위)를 갖춘 내결함성 시스템인데, 아이온큐는 2027~2028년경 이 수준에 근접할 것으로 보고 있습니다. 다만 현재 기술로는 아직 이런 규모의 양자컴퓨터가 존재하지 않아 당장 비트코인이나 기존 암호 체계가 위협받는 것은 아닙니다. 이번 연구는 단순 이론이 아니라 실제 구현을 위한 공학적 청사진이라는 점에서, 보안 담당자들이 양자 내성 암호(포스트 퀀텀 암호)로의 전환 시기를 가늠하는 구체적인 지표가 될 수 있습니다. 타원곡선 암호(ECC)는 비트코인 외에도 TLS, 전자서명 등 기업 인프라 곳곳에 쓰이므로 장기적인 대비가 필요합니다.

#PQC #TLS #데이터 보호

중요금융

전자신문 보안·2026. 09. 09.

금감원, 코엠·토스페이먼츠 현장검사 착수…개인정보 유출

금융감독원(금감원)이 전자지급결제대행(PG)사인 코엠페이먼츠와 토스페이먼츠를 대상으로 현장검사에 나섰습니다. 코엠페이먼츠는 해킹 공격으로 카드번호, 유효기간, 생년월 정보, 카드 비밀번호 앞 두 자리 등이 유출됐을 가능성이 있으며, 정확한 피해 규모는 아직 파악 중입니다. 토스페이먼츠는 자사 시스템이 직접 해킹된 것이 아니라, 가맹점이 연동해 사용하던 외부 결제 플랫폼의 인증정보가 부주의한 관리로 외부에 노출된 사례입니다. 조회된 고객 정보(이름, 일부 가려진 카드번호)만으로는 실제 결제가 불가능하며, 외부 반출 정황도 현재까지 확인되지 않았습니다. 금감원은 카드정보 보관·관리 체계와 침해 경로, 사고 대응 과정을 집중 점검할 예정입니다.

#API 키 #개인정보 #개인정보 유출

기업

전자신문 보안·2026. 09. 09.

[사설] 개정 개보법, 안전한 AI·데이터시대 첩경

대폭 강화된 개인정보보호법(개보법)이 11일부터 시행됩니다. 핵심 변화는 두 가지로, 첫째로 개인정보 유출 등 중대한 침해 행위에 대한 과징금 상한이 기존 매출액의 3%에서 최대 10%로 크게 올라갑니다. 둘째로 CEO가 개인정보 보호의 최종 책임자로 명시되어, 보안이 더 이상 실무 부서만의 문제가 아닌 최고경영진의 핵심 경영 리스크로 격상됩니다. 보안 인력·예산·설비에 적극 투자한 기업에는 과징금을 최대 40%까지 감경해 주는 인센티브도 도입되어, 기업들이 보안을 '비용'이 아닌 '투자'로 바라보도록 유도합니다. 최근 통신·플랫폼·금융·OTT 등 분야에서 대형 개인정보 유출 사고가 잇따르고, 해킹에 의한 유출 신고가 4년 만에 5배 가까이 늘어난 상황에서 나온 강력한 제도 개편입니다.

#AI #개인정보 #개인정보 유출

공공

ZDNet Korea·2026. 09. 09.

우본, 개인정보 관리 체계 강화...직원 조회권한 축소

우정사업본부(우본) 직원이 업무상 접근 가능한 고객 개인정보를 목적 외로 조회해 제3자에게 넘긴 혐의로 경찰 수사를 받고 있습니다. 이 사건은 우체국 물류 직원이 수취인 정보를 유출해 범죄에 악용된 내부자 정보 유출 사고입니다. 우본은 해당 직원의 시스템 접근 권한을 즉시 회수하고 직위해제 조치를 완료했습니다. 재발 방지를 위해 직원별 개인정보 조회 권한을 추가로 축소하고, 월 1회인 처리 이력 점검 주기를 단축하며, 정상적인 업무 조회 시에도 일부 정보에 마스킹을 적용할 예정입니다. 피해가 확인된 고객에게는 유출 사실과 피해구제 방법을 개별 안내할 계획입니다.

#개인정보 #공공기관 #정보유출

이전22 / 28다음