취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
공공한국 국회에서 선박을 겨냥한 사이버공격에 대응하기 위한 법안이 발의됐습니다. 최근 선박에 전자해도·위성통신·화물관리 시스템 등 디지털 기술이 널리 쓰이면서 해킹이나 랜섬웨어(파일을 잠그고 돈을 요구하는 악성 프로그램) 공격에 노출될 위험이 커졌습니다. 만약 항해 시스템이 마비되면 단순한 정보 유출을 넘어 항로 이탈·충돌·좌초 같은 실제 해양사고로 이어질 수 있습니다. 개정안은 해양수산부 장관이 사이버위협 탐지·대응·복구 대책을 마련하고, 선박의 사이버보안 수준을 점검하는 진단·평가 제도를 운영할 수 있도록 법적 근거를 담았습니다. 선박 사이버보안을 IT 문제가 아닌 해양안전 문제로 규정한다는 점이 핵심입니다.
자세히 보기
공공한국 국가정보원(NIS)이 9월 16~18일 열린 국제 사이버훈련 'APEX 2026'에서 사람의 개입 없이 실시간 사이버공격에 자동 대응하는 AI 방어팀 '프로젝트 팔랑크스(Project Phalanx)'를 최초 공개했습니다. 이 시스템은 위협 탐지, 공격 분석, 시스템 복구, 대응전략 수립까지 보안 대응의 전 과정을 자동으로 처리하도록 설계됐으며, 기존 SOC(보안관제센터)에서 AI가 경보를 요약하거나 방안을 제안하는 수준을 크게 넘어섰습니다. NATO 및 인도태평양 23개국 사람 팀과 동일 조건에서 경쟁했으며, 국방부·국가보안기술연구소·금융보안원·스틸리언 등 민관군이 약 4개월간 공동 개발했습니다. 다만 AI가 정상 프로세스를 공격으로 오인해 서비스 장애를 일으킬 수 있는 오탐(False Positive) 위험도 함께 지적됐습니다.
자세히 보기
중요금융국내 금융보안원이 AI 에이전트를 이용한 금융권 대상 사이버 공격 시도를 실제로 탐지했습니다. 공격자가 AI를 활용해 금융 시스템과 데이터를 연결하는 API를 자동으로 공략하려 한 정황이 포착된 것으로, 금융보안원이 AI 에이전트 기반 공격 주체를 확인한 것은 이번이 처음입니다. 아직 실제 침해사고로 단정할 수는 없으나, API 보안키 노출 여부 점검과 인증·권한관리 강화가 긴급 과제로 제시됐습니다. AI 에이전트가 취약점 탐색부터 내부 데이터 접근까지 공격의 여러 단계를 자동화할 수 있어, 금융회사 보안 담당자들의 주의가 요구됩니다.
자세히 보기
공공한국인터넷진흥원(KISA)이 세계경제포럼(WEF) 사이버보안센터 및 싱가포르 사이버보안청(CSA)과 만나 AI 시대의 사이버보안 협력 방안을 논의했습니다. 주요 주제는 AI를 악용한 사이버 위협 대응, 보안 인재 양성, 침해사고 공동 연구 등입니다. 싱가포르 CSA와는 기존 IoT(사물인터넷) 보안 협력을 AI 분야까지 넓히는 방안도 검토했습니다. 현재로선 구체적인 협약 체결보다는 협력 확대 방향을 논의한 단계로, 기업 보안 담당자에게 즉각적인 대응을 요구하는 사안은 아닙니다.
자세히 보기
중요공공일본 정부 여러 부처가 공동으로 사용하는 업무 시스템(GSS)이 해킹되어 약 24만6000건의 개인정보가 외부로 유출됐을 가능성이 확인됐습니다. 공격자는 인터넷에 연결된 VPN(가상 사설망) 장비의 이미 알려진 취약점을 이용해 내부 시스템에 침입했으며, 패치(보안 수정 프로그램)가 적용되기 전에 공격이 이루어졌습니다. 유출 가능성이 있는 정보는 공무원과 정부 업무 참여자의 이름·이메일·전화번호 등이며, 마이넘버나 금융계좌 같은 민감 정보는 포함되지 않은 것으로 확인됐습니다. 이번 사고는 CVSS(공통 취약점 점수 체계) 기준 '중간' 위험도로 분류된 취약점도 실제 공격에 악용될 수 있음을 보여주며, 제로트러스트 아키텍처를 도입했더라도 경계 장비의 취약점 관리가 여전히 중요하다는 교훈을 남깁니다. 국내 공공기관과 기업도 인터넷에 직접 노출된 VPN·방화벽 등의 패치 우선순위 기준을 재점검할 필요가 있습니다.
자세히 보기
기업스페인 개인정보보호청(AEPD)이 AI 에이전트를 공격 도구로 사용한 개인정보 침해 사건을 처음으로 공식 접수했습니다. 공격자는 AI 에이전트에 목표를 지시했고, 에이전트는 스스로 취약점을 찾아 시스템에 침투한 뒤 개인정보와 결제 기록에 접근했습니다. AI가 완전히 새로운 공격 방식을 만든 것이 아니라, 기존 해킹 단계(취약점 탐색→로그인→내부 이동→데이터 탈취)를 훨씬 빠르고 자동화된 방식으로 수행한 점이 핵심입니다. 이로 인해 기존 보안관제 시스템이 대응할 시간이 크게 줄어들 수 있다는 경고가 나왔습니다. 국내 기업과 공공기관도 계정 이상 징후, 취약점 탐색, 데이터 접근을 개별 사건이 아닌 하나의 공격 흐름으로 묶어 탐지하는 체계를 점검할 필요가 있습니다.
자세히 보기
중요기업워드프레스 기반 쇼핑몰에서 사용하는 '우커머스 도매 리드 캡처' 플러그인에서 로그인 없이도 악성 파일을 서버에 올릴 수 있는 치명적 취약점(CVE-2026-27540, 위험도 9.8점)이 실제 공격에 활발히 이용되고 있습니다. 공격자는 이 취약점을 이용해 웹셸(원격에서 서버를 조종하는 악성 프로그램)을 심고 사이트 전체를 장악할 수 있으며, 현재까지 10만 건이 넘는 공격 시도가 탐지됐습니다. 같은 시기에 60만 개 이상의 사이트에서 쓰이는 '더 이벤트 캘린더' 플러그인에서도 인증 없이 원격 코드 실행(RCE)이 가능한 취약점 두 건(CVE-2026-78006, CVE-2026-78159)이 공개됐습니다. 두 플러그인 모두 보안 패치가 배포됐으므로, 해당 플러그인을 사용 중인 관리자는 즉시 최신 버전으로 업데이트해야 합니다.
자세히 보기
중요기업기업용 이메일 보안 장비인 Cisco Secure Email Gateway에서 로그인 없이도 원격으로 시스템 최고 권한(루트)을 빼앗을 수 있는 심각한 취약점(CVE-2026-76461)이 발견됐습니다. 공격자는 악성 이메일 한 통만으로 장비를 완전히 장악할 수 있으며, 보안 패치가 나오기 전부터 이미 실제 공격에 사용됐습니다. 미국 사이버보안 당국(CISA)은 이 취약점을 '실제 악용 확인 목록(KEV)'에 등재했고, 미국 연방기관에는 2026년 9월 17일까지 조치를 요구했습니다. 우회 방법이 없기 때문에 취약 버전을 사용하는 기업은 즉시 패치를 적용해야 하며, 이미 침해됐을 가능성도 고려해 과거 로그를 반드시 점검해야 합니다.
자세히 보기
중요기업기업 가상화 환경을 관리하는 VMware vCenter Server에서 심각한 원격코드실행(RCE, 원격에서 시스템을 마음대로 조작할 수 있는 공격) 취약점이 발견됐고, 실제 공격에 이미 쓰이고 있습니다. 공격자는 패치가 나온 직후부터 vCenter 서버를 뚫어 관리자 계정을 만들고 백도어를 심은 뒤, 그 서버가 관리하는 ESXi(가상머신 호스트 서버)까지 침투해 랜섬웨어를 실행한 사례가 확인됐습니다. 랜섬웨어는 가상머신 디스크 파일까지 암호화해 피해 범위가 매우 넓어질 수 있습니다. 브로드컴이 이미 패치를 배포했고 미국 CISA(사이버보안·인프라보안국)도 실제 악용 목록에 등재했으므로, 아직 패치를 적용하지 않은 기업은 즉시 조치가 필요합니다. 패치 적용 이후에도 취약점 공개 전후로 외부에 노출된 적 있다면 침해 여부를 별도로 점검해야 합니다.
자세히 보기
중요기업구글이 픽셀 스마트폰의 셀룰러 모뎀(휴대폰과 이동통신망을 연결하는 부품)에서 발견된 제로데이(패치 전에 실제 공격에 쓰인) 취약점을 수정하는 보안 업데이트를 배포했습니다. CVE-2026-58704로 불리는 이 취약점은 CVSS 점수 8.0의 '높음' 등급으로, 공격자가 피해자의 별도 행동 없이도 기기의 권한을 빼앗을 수 있습니다. 공격 경로가 '인접 네트워크'로 평가돼 물리적으로 가까운 거리나 관련 통신 환경이 필요하지만, 일단 공격에 성공하면 기밀성·무결성·가용성 모두 심각한 피해가 생길 수 있습니다. 구글은 이미 제한적인 표적 공격에서 실제 악용이 확인됐다고 밝혔으며, 미국 CISA의 실제 악용 목록(KEV)에도 등재됐습니다. 지원 대상 픽셀 기기 사용자는 지금 즉시 최신 보안 업데이트(2026-09-05 패치 수준)를 적용해야 합니다.
자세히 보기
공공한국의 개인정보보호위원회가 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증심사 방식을 서류 위주에서 현장 직접 검증 중심으로 바꾸는 법령 개정안을 2026년 9월 16일부터 입법예고했습니다. 가장 큰 변화는 침해사고나 개인정보 유출이 발생한 기업에 대해 전문 기술인력이 현장에서 취약점 진단과 모의침투(해커처럼 직접 시스템을 공격해 허점을 찾는 테스트)를 수행할 수 있게 된다는 점입니다. 또한 개인정보 처리 규모가 크거나 사회적 파급력이 큰 기업에는 더 엄격한 보호 기준이 적용될 수 있는 근거도 마련됩니다. ISMS-P 인증 의무 대상 기업이 인증 취소를 받더라도 재취득 준비 기간 1년 동안 과태료 부과가 유예되는 규정도 새로 생깁니다. 의견 제출 기한은 10월 26일까지이며, 연내 고시 개정을 통해 제도 전반을 강화할 예정입니다.
자세히 보기
기업개인정보보호위원회(개인정보위)가 2025년 개인정보 처리방침 평가에서 '미흡' 판정을 받은 기업들을 대상으로 후속 점검을 실시했습니다. 점검 결과, 뤼튼테크놀로지스·테슬라코리아·딥시크·오픈AI(OpenAI)·나이키(Nike) 5개 사업자가 여전히 개인정보 관련 이용자 문의에 제대로 응하지 않거나, 영어·중국어로만 답변하는 등 미흡한 부분이 확인됐습니다. 특히 해외 사업자들이 국내 이용자 민원 대응을 위해 지정한 '국내대리인'이 형식적으로만 운영되는 문제가 드러났습니다. 개인정보위는 해당 기업들에 권리행사 창구를 실질적으로 개선하도록 권고했으며, 앞으로도 처리방침 이행 여부를 지속 점검할 방침입니다.
자세히 보기