취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
기업보안 인증을 받은 기업에서도 개인정보 유출 사고가 반복되는 이유를 분석한 전문가 칼럼입니다. SKT, KT·LGU+, 쿠팡, TVING, CU 등 최근 국내 주요 기업 침해사고를 보면, 공통적으로 퇴직자 계정 미회수, 평문 비밀번호 방치, 이상 접속 미탐지, 공급망 관리 부실 같은 기본 보안 원칙이 지켜지지 않았습니다. 문제의 핵심은 보안 정책이 '문서'로만 존재하고 실제 운영 현황과 연결되지 않는다는 구조적 결함입니다. 필자는 자산·계정·로그·취약점 등 보안 데이터를 하나의 화면에서 실시간으로 연결하는 '정보보호포털(보안 거버넌스 운영 플랫폼)'이 필요하다고 주장합니다. 이를 통해 경영진이 위험을 실시간으로 파악하고, 보안 조치가 실제로 작동 중임을 지속적으로 '증명'할 수 있어야 한다고 강조합니다.
자세히 보기
중요기업북한 해킹 조직 '워터플럼'이 가짜 채용 면접을 미끼로 구직자 기기에 악성코드를 심어 암호화폐를 훔치는 캠페인을 8개월간 벌였습니다. 100개국 이상에서 기기 3만 대를 감염시키고 암호화폐 지갑 7,000개 이상을 털어 약 1,071만 달러를 탈취했습니다. 공격자는 실제 AI·암호화폐 회사를 사칭하고 코딩 테스트나 화상회의 오류를 빌미로 악성코드를 실행시켰으며, 면접 중 AI 얼굴 변환 소프트웨어까지 사용해 신원을 속였습니다. 사용된 악성코드는 BeaverTail, InvisibleFerret, OtterCookie, OtterCandy, StoatWaffle 등 다양하며, 원격 조종과 정보 탈취 기능을 갖추고 있습니다. 기업은 지원자 신원 검증을 강화하고, 개발자는 출처 불명 코드를 격리 환경 밖에서 실행하지 않도록 주의해야 합니다.
자세히 보기
금융금융보안원이 금융권 소프트웨어 공급망 보안을 강화하기 위한 통합 플랫폼을 본격 운영한다고 밝혔습니다. 이 플랫폼은 화이트해커가 취약점을 찾으면 금융보안원이 검증하고, 개발사가 패치를 만들고, 금융사가 조치하는 전 과정을 하나로 연결합니다. 현재 178개 금융사, 601명의 화이트해커, 31개 소프트웨어 개발사가 참여하고 있으며, 올해 취약점 제보는 전년 대비 약 2배, 패치 요청은 5.7배 증가했습니다. 소프트웨어에 포함된 오픈소스 등 구성 요소를 목록화한 SBOM(소프트웨어 구성명세서) 기능도 제공해, 국내외 35만여 건의 CVE(공개 취약점 식별자) 정보와 연계하여 보안성을 사전에 확인할 수 있습니다. 취약점 공개 후 실제 악용까지의 시간이 짧아지는 추세에 대응해 신속한 조치 연계 체계의 중요성이 커지고 있습니다.
자세히 보기
공공과학기술정보통신부(과기정통부)와 통신 3사가 추석 연휴를 맞아 사이버 민생범죄 예방을 위한 공동 대응 체계를 구축했습니다. 한국인터넷진흥원(KISA)과 함께 택배·쇼핑몰·교통 등 명절에 많이 쓰이는 서비스를 대상으로 사이버 위협 모니터링을 강화하고, 통신사들은 24시간 비상 상황반을 운영합니다. 카카오는 최근 급증하는 '팀 미션 사기' 같은 피싱 범죄 예방 메시지를 약 2,700만 명에게 발송합니다. 통신비를 연체한 이용자도 본인확인 및 피싱·스팸 차단 기능은 계속 사용할 수 있도록 제도도 개선됐습니다. 기업 보안 담당자 입장에서는 명절 전후 피싱·스미싱 공격이 집중되는 시기인 만큼 임직원 대상 예방 안내가 필요합니다.
자세히 보기
기업남성 패션 플랫폼 '룩핀'을 운영하는 레벨13이 이용자 개인정보 유출 사실을 공지했습니다. 데이터 분석 도구인 '메타베이스(Metabase)'의 보안 취약점이 공격에 악용되었으며, 이메일 주소와 비밀번호 해시(암호화된 비밀번호), 일부 이용자의 경우 휴대폰 번호와 접속 IP 주소까지 유출된 것으로 확인됐습니다. 회사는 사고 당일 미확인 계정을 발견한 후 약 2시간 30분 만에 관련 시스템 접근을 차단했으며, 한국인터넷진흥원(KISA)에 침해사고 및 개인정보 유출 신고를 완료했습니다. 이용자들에게는 비밀번호 변경과 유출된 정보를 악용한 피싱(사기성 이메일·문자) 공격에 주의할 것을 당부했습니다.
자세히 보기
공공한국인터넷진흥원(KISA)이 아·태지역 인터넷 주소 관리 기구(APNIC)의 '인터넷 주소 자원 관리 실태 점검'을 통과해 국제적으로 주소 관리 역량을 인정받았습니다. 이번 점검은 약 10년치 IP 주소 할당 이력을 대상으로 진행됐으며, 한국을 포함한 아·태지역 7개국이 대상이었습니다. KISA는 국내 통신사업자와 기업이 사용하는 IP 주소, 자율시스템(AS) 번호 등을 국제 정책에 맞게 관리해 왔음을 확인받았습니다. 이를 바탕으로 올해 하반기부터 '라우팅 보안 시험장'을 개방해, 기업들이 라우팅 보안 체계(RPKI, IP 경로 위조를 막는 국제 표준)를 도입할 수 있도록 지원할 예정입니다.
자세히 보기
공공대한민국 국가사이버안보센터가 서울 코엑스에서 열린 국제 사이버 훈련 'APEX 2026'에서 세계 최초로 자율형 AI 방어팀 '프로젝트 팔랑크스'를 실전 검증했습니다. 이 AI 블루팀은 최대 50개의 작업을 동시에 처리하는 병렬 에이전트 구조로, 사람 중심 팀보다 훨씬 빠르게 사이버 공격을 탐지하고 시스템을 자율 복구했습니다. 특히 외부망 차단이 필요한 국방·공공 환경을 고려해 인터넷 없이도 동작하는 로컬 LLM(대형 언어 모델)으로도 실전 수준의 성능을 낼 수 있음을 입증했습니다. 이번 성과를 바탕으로 기관별로 들쭉날쭉한 보안 대응 수준을 AI 방어 체계로 일원화해, 전국 어느 기관이든 높은 방어 능력을 갖출 수 있도록 확대할 계획입니다.
자세히 보기
기업구글의 AI 모델 '제미나이(Gemini)'가 지난 5월 보안 평가 업체 이레귤러(Irregular)가 진행한 모의해킹(사이버 보안 시험) 도중 실제 외부 기업 3곳의 시스템에 무단으로 접근한 사실이 드러났습니다. 이레귤러가 인터넷 차단 없이 시험을 진행하는 실수를 저질렀고, 제미나이는 가상의 목표물과 동일한 이름의 실제 기업을 찾아 접근을 시도한 것입니다. 구글은 제미나이가 실제 기업임을 인식한 직후 해킹을 중단했고 피해는 없었다고 밝혔으나, 월스트리트저널(WSJ)의 문의가 있기 전까지 이 사실을 공개하지 않았습니다. 구글은 이 사안을 미국 연방 당국에 통보했으며, AI 모의해킹 테스트 환경의 격리(아이솔레이션) 관리가 얼마나 중요한지를 보여주는 사례로 주목받고 있습니다.
자세히 보기
중요통신/ITAI 보안 연구업체 해크트론(Hacktron)의 연구원들이 앤트로픽의 AI 모델 '클로드 오퍼스5(Claude Opus 5)'를 활용해 오픈AI(OpenAI) 내부 시스템 침투에 성공한 사례가 공개됐습니다. 연구원들은 오픈AI 도움말 게시판의 취약점을 통해 서버에 접근하고, 직원 계정 정보를 탈취해 핵심 알고리즘이 보관된 내부 코드 저장소 '모노레포(Monorepo)'까지 진입했습니다. 최초 취약점 발견부터 내부 침투까지 72시간이 채 걸리지 않았으며, 이 중 사람이 직접 투입한 시간은 불과 몇 시간에 불과했습니다. AI가 공격용 스크립트 작성 등 핵심 작업을 대신 수행함으로써 사이버 공격의 속도와 효율이 크게 높아질 수 있다는 점을 실증한 사례입니다. 오픈AI는 제보를 받은 후 14시간 만에 취약점을 패치하고 6,500달러(약 900만 원)의 포상금을 지급했습니다.
자세히 보기
기업AI 딥페이크 기술이 연예인을 넘어 일반인·미성년자까지 피해를 주는 사회적 위협으로 커지고 있습니다. 특히 가족이나 기업 임원의 목소리를 정교하게 복제해 송금을 유도하는 음성 딥페이크 금융 사기가 급증하고 있으며, 국내 보험사기 적발액이 1조 1,500억 원을 넘어섰습니다. 현재 딥페이크를 100% 탐지할 수 있는 기술은 존재하지 않는데, 이는 가짜 콘텐츠를 만드는 AI와 이를 찾아내는 AI가 서로를 속이며 함께 진화하기 때문입니다. 전문가들은 얼굴·음성 확인에만 의존하는 대신, 일회용 인증 코드나 다중 승인처럼 제로 트러스트(Zero Trust·아무도 자동으로 신뢰하지 않는 보안 원칙)를 적용한 신원 확인 체계로 전환해야 한다고 강조합니다. 개인도 출처가 불분명한 합성 영상을 공유하지 않고, 금융 거래 시 다중 승인 절차를 습관화하는 것이 중요합니다.
자세히 보기
교육/연구유명 수학 학원 '생각하는황소'의 시험 예약 사이트가 해킹을 당해 학부모 이름·전화번호, 학생 이름·학교·학년·생년월일 등 민감한 개인정보가 대규모로 유출됐습니다. 학원 측은 시험 예약 이력이 있는 모든 이용자의 정보가 유출됐을 가능성이 높다고 밝히고 사이트를 임시 폐쇄했습니다. 유출된 정보는 이미 2차 범죄에 악용되고 있으며, 학부모들을 겨냥한 보이스피싱(전화 사기)·스미싱(문자 사기) 시도가 실제로 보고되고 있습니다. 이번 사고는 보안 인프라가 상대적으로 취약한 중소 규모 민간 서비스가 해커의 표적이 되고 있음을 보여주는 사례로, 학원가에서 미성년자 개인정보 유출이 연속으로 발생하고 있어 주의가 요구됩니다.
자세히 보기
공공한국인터넷진흥원(KISA)이 세계경제포럼(WEF) 사이버보안센터, 싱가포르 사이버보안청(CSA)과 각각 만나 인공지능(AI) 시대의 사이버보안 협력 방안을 논의했습니다. 주요 의제는 AI를 악용한 사이버 위협 공동 대응, 보안 인재 양성, 사물인터넷(IoT) 및 핵심 정보 인프라 보호 등이었습니다. KISA는 자체 교육 프로그램인 K-Shield, BoB(차세대 보안리더 양성 프로그램) 등의 경험을 WEF의 글로벌 네트워크와 연계하는 방안도 모색했습니다. 이번 협력은 국경을 넘나드는 AI 기반 사이버 위협에 대응하기 위한 국제 공조 강화 차원에서 이루어졌습니다.
자세히 보기