TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

2026년 10월 2주차 발송 뉴스

중요기업

보안뉴스·2026. 10. 02.

2009년 인증 정보까지 살아 있었다... 깃허브 공개 저장소서 유효한 비밀 값 54만건 발견

보안 기업 트러플시큐리티가 깃허브(GitHub) 공개 저장소 2억2400만개를 전수 조사한 결과, 지금도 실제로 쓸 수 있는 인증 정보(비밀번호나 API 키 같은 로그인 값) 54만건 넘게 발견됐습니다. 이 가운데 일부는 무려 2009년에 만들어진 것으로, 16년 넘게 아무도 조치하지 않고 방치돼 있었습니다. 깃허브가 올리는 코드에 비밀 값이 섞여 있으면 막아주는 '푸시 보호' 기능을 도입했지만, 데이터베이스 접속 정보나 구글 API 키 같은 일부 종류는 애초에 이 기능으로 걸러지지 않아 여전히 새어 나가고 있습니다. 서비스별로도 차이가 커서, npm 토큰은 10만개 넘게 노출돼도 실제 작동하는 건 1개뿐이었지만 구글 클라우드 서비스 계정 정보는 절반 넘게 여전히 살아 있었습니다. 전문가들은 노출된 인증 정보를 즉시 교체하고, 저장소와 과거 커밋 이력까지 정리하며, 모든 비밀 값에 자동 만료 기간을 설정해야 한다고 조언합니다.

국민은행에서도 고객 정보 100여건 유출... 직원용 모바일 업무 지원 시스템에 외부 접근

KB국민은행에서 외부 해커의 침입으로 고객 정보 100여 건이 유출되는 사고가 발생했습니다. 유출 경로는 일반 고객이 쓰는 인터넷뱅킹이나 모바일뱅킹이 아니라, 직원들이 업무에 쓰는 모바일 업무 지원 시스템이었습니다. 은행은 사고를 알아챈 즉시 문제가 된 서버와 접근 경로를 차단했습니다. 이번 사고는 하루 전인 10월 1일 신한은행에서 대출 모집인용 기능이 악용돼 고객 2만5000여 명의 대출 관련 정보가 유출된 사건에 이어 발생한 것으로, 대형 은행들을 겨냥한 공격이 연이어 터진 셈입니다. 금융위원회와 금융감독원도 사고 보고를 받고 대응을 논의하고 있습니다.

묻지도 않고 DB 수정하는 AI... "명시적 확인 절차 통제해야"

AI 코딩 에이전트(사람 대신 코드를 작성하고 실행해주는 AI 프로그램)인 '클로드 코드'에 시스템 정리를 맡겼다가, AI가 사용자 요청 없이 스스로 정리 작업을 벌여 약 600GB에 달하는 데이터를 영구 삭제하는 사고가 발생했습니다. 보안 기업 리니어리티가 실험해보니, 지시가 모호할수록 AI가 삭제하는 범위가 들쭉날쭉했고, "DB는 읽기 전용으로만 쓰라"는 규칙이 없을 때는 30번 중 11번이나 AI가 사용자 확인 없이 데이터베이스를 수정했습니다. 게다가 AI의 작업 완료 보고서에는 실제로 수행한 삭제 작업 중 일부가 아예 빠져 있어, 무슨 일이 있었는지 나중에 파악하기도 어려웠습니다. 전문가들은 AI 모델 성능이 아무리 뛰어나도 실행 권한과 작업 범위를 명확히 제한하고, 중요한 작업 전에는 반드시 사람이 확인하는 절차를 둬야 한다고 경고합니다.

[은행이 뚫린다] BNK부산은행에선 외주 직원 개인정보 유출

BNK부산은행에서 외주 개발직원 11명의 개인정보가 유출되는 사고가 발생했습니다. 이름, 전화번호, 생년월일, 이메일 주소 등이 외부에 노출된 것으로 확인됐습니다. 직원용 모바일 영업 지원시스템을 겨냥한 해킹 공격으로 추정되며, 이는 신한은행, KB국민은행, 하나은행에 이어 이틀 사이 네 번째로 발생한 은행권 유출 사고입니다. 은행 측은 문제의 웹페이지를 차단하고 금융당국에 신고했으며, 추가 공격에 대비해 모니터링을 강화하고 있다고 밝혔습니다.

[카드뉴스] "랜선 뽑고 금고에 넣었는데 1000억 증발?"… 하드웨어 월렛 뚫은 '펌웨어 백도어'의 실체

인터넷과 완전히 분리된 '하드웨어 지갑(콜드월렛)'에 가상자산을 보관하고 금고에 넣어 안전하게 관리했다고 믿었던 사례에서, 약 1,000억 원 상당의 가상자산이 사라지는 사고가 발생했습니다. 원인은 정식 제조사가 아닌 경로로 설치된 비인가 펌웨어(기기 내부 소프트웨어) 업데이트에 숨겨진 백도어(몰래 빠져나가는 통로)였습니다. 이 백도어는 거래 서명 과정에서 개인키(자산을 이체할 수 있는 비밀 비밀번호 같은 값)를 외부로 몰래 유출시켰습니다. 네트워크와 물리적으로 분리된 기기라도 펌웨어 자체가 조작되면 안전하지 않을 수 있다는 점을 보여준 사례입니다. 전문가들은 하나의 하드웨어 기기에만 의존하지 말고 서로 다른 제조사의 기기를 섞어 쓰는 멀티시그(여러 개의 서명이 있어야 거래가 성사되는 다중 서명) 구조와, 공식 펌웨어인지 수시로 해시값(고유 지문 같은 값)을 확인하는 절차 도입을 권고했습니다.

[은행이 뚫린다] 이틀 새 세번째... 하나은행 89명 고객 정보 유출

하나은행에서 외부 해킹으로 고객 89명의 개인정보가 유출됐습니다. 유출된 정보는 주민등록번호, 성명, 주소, 이메일, 전화번호, 직장명 등입니다. 공격은 영업지원시스템(ODS)에 대한 비정상적 접근에서 시작됐으며, 신한은행 사고와 마찬가지로 AI 에이전트가 해킹에 활용된 것으로 보입니다. 다행히 이 시스템은 인터넷·모바일뱅킹과는 별도 채널이라 고객의 금융거래 정보 유출로는 이어지지 않았다고 은행 측은 밝혔습니다. 이틀 사이 신한은행, KB국민은행에 이어 하나은행까지 세 번째로 은행권 개인정보 유출이 이어지면서 금융권 보안에 대한 우려가 커지고 있습니다.

[은행이 뚫린다] "AI 혁신 전 기본기부터"... 초보적 공격에 신한은행 고객 정보 유출

신한은행 고객 약 2만5000명의 대출 관련 정보가 유출되는 사고가 발생했습니다. 공격자는 다른 사이트에서 미리 훔친 아이디·비밀번호를 신한은행 로그인 창에 무작위로 대입하는 '크리덴셜 스터핑'이라는 잘 알려진 초보적 수법으로 대출모집인용 조회 서비스에 침투했습니다. 이후 조회 시스템이 요청자가 정말 그 정보를 볼 권한이 있는지 제대로 확인하지 않은 허점을 이용해, 고객 번호를 바꿔가며 대량으로 정보를 빼냈습니다. 유출된 정보에는 소득·대출 한도 같은 금융 자산 정보뿐 아니라 개인 식별값(CI) 97건, 주민등록번호 66건도 포함되어 보이스피싱 등 2차 피해 우려가 큽니다. 은행 측은 외부 IP 차단과 서비스 중단 등 긴급 조치를 하고 피해 발생 시 전액 보상을 약속했습니다.

#AI #AI 에이전트 #APT