오늘의 보안 뉴스 - 2026-08-03

오늘의 브리핑

레일스에서 무인증 이미지 업로드로 RCE 가능한 CVE-2026-66066이 패치됐다.

콜드카드 난수 결함발 980억 원 규모 비트코인 탈취 정황이 확인됐다.

암젠이 제3자 클라우드 침해로 환자 의료정보·기밀 유출을 공식 확인했다.

보안뉴스

[ISEC 2026 미리보기] Black Duck, SBOM 기반 소프트웨어 공급망 보안으로 글로벌 규제 대응 지원

AI 기반 애플리케이션 보안 기업 Black Duck이 ISEC 2026에서 SBOM 기반 소프트웨어 공급망 보안을 소개한다. SBOM(소프트웨어 자재명세서)부터 SCA·SAST·DAST, AI 기반 취약점 분석까지 통합 제공해 DevSecOps 환경의 안전한 소프트웨어 개발과 글로벌 규제 대응을 지원한다는 내용이다.

[ISEC 2026 미리보기] GS네오텍, ‘ISEC 2026’서 차세대 클라우드 통합 보안 플랫폼 ‘시큐리티 렌즈’ 선보인다

GS네오텍이 8월 11~12일 서울 코엑스에서 열리는 ISEC 2026에서 차세대 클라우드 통합 보안 플랫폼 ‘시큐리티 렌즈’를 선보인다. 국내 규제 환경에 맞춰 코드부터 런타임까지 통합 가시성을 확보하고, AI ‘네오봇’으로 위협 분석부터 감사 증적 처리까지 자동화하는 자율 보안을 제시한다는 설명이다.

[2026 비상벨 제품 & 솔루션 리포트] ‘보고’ ‘듣고’ ‘대응’하는 AI 비상벨

AI 기반 지능형 비상벨로 진화하는 공공안전 시스템을 조망한 리포트 기사다. CCTV·관제센터·경찰을 연결하는 통합 대응체계가 확산되는 가운데, 설문조사 결과 연동성과 AI 기능이 비상벨 시장의 핵심 과제로 꼽혔으며 유지관리와 표준화가 시장의 미래 경쟁력을 좌우한다고 진단했다.

“보이스피싱부터 코인 세탁까지”… 금융범죄 잡는 K-보안 협력모델 콘퍼런스 개최

한국금융범죄예방협회 주최 ‘글로벌 금융범죄 위협과 K-보안 협력모델’ 콘퍼런스가 11일 서울 코엑스 아셈볼룸에서 ISEC 2026 동시개최행사로 열린다. 보이스피싱부터 코인 세탁까지 AI 시대 지능화된 글로벌 금융 사기에 대응하기 위해 공공 수사기관과 민간 보안업계가 민관 정보분석 해법을 공유한다.

서울시 보안 역량 결집… ‘서울시 사이버보안 콘퍼런스 & 개인정보보호 워크숍’

서울시 디지털도시국 정보보안과가 주최하는 ‘사이버보안 콘퍼런스 및 개인정보보호 워크숍’이 8월 12일 코엑스에서 ISEC 2026과 동시 개최된다. 본청·사업소·자치구·투자출연기관 실무진의 정보보호와 개인정보 역량 강화에 초점을 맞춘 행사다.

데일리시큐

어도비, 최고 위험도 10.0 취약점 긴급 패치…원격 코드 실행 위험 차단

어도비가 기업용 마케팅 자동화 플랫폼 ‘캠페인 클래식’에서 발견된 최고 위험도(CVSS 10.0) 보안 취약점을 수정하는 긴급 보안 업데이트를 발표했다. 이 취약점은 공격자가 별도의 사용자 조작 없이 임의 코드를 실행할 수 있는 문제로, 기업 환경에서는 신속한 패치 적용이 필요한 사안으로 평가된다. 이번 업데이트에는 캠페인 클래식뿐 아니라 디지털 자산 관리 제품 등 다른 제품의 수정도 함께 포함됐다. CVSS는 취약점 심각도를 0~10으로 수치화한 국제 표준 지표로, 10.0은 인증이나 사용자 개입 없이 원격 시스템 장악이 가능한 최악 수준을 의미한다. 마케팅 플랫폼은 대량의 고객 개인정보를 보유하고 이메일 발송 인프라와 연결돼 있어, 침해 시 개인정보 유출과 피싱 인프라 악용이 동시에 일어날 수 있다. 해당 제품을 운영 중인 기업은 시스템의 인터넷 노출 여부를 확인하고 즉시 패치를 적용해야 한다.

콜드카드 치명적 난수 결함 악용…41분 만에 비트코인 1,082BTC 탈취

비트코인 전용 하드웨어 지갑 ‘콜드카드’의 오래된 펌웨어 결함이 실제 대규모 자산 탈취로 이어진 정황이 확인됐다. 공격자는 단 41분 만에 1,196개의 비트코인 주소에서 총 1,082.65BTC를 옮겼으며, 당시 시세 기준 약 7,020만 달러(약 980억 원) 규모다. 이번 사건의 핵심은 단순한 개인 지갑 해킹이 아니라 하드웨어 지갑의 난수 생성 과정에 존재했던 결함이라는 점이다. 암호화폐 지갑의 개인키는 난수(예측 불가능한 무작위 값)를 바탕으로 생성되는데, 난수 생성이 편향되거나 예측 가능하면 공격자가 개인키를 역산해 인터넷과 분리된 지갑의 자산도 원격에서 빼낼 수 있다. 하드웨어 지갑조차 펌웨어 결함 앞에서는 안전을 보장하지 못한다는 것을 보여준 사건으로, 사용자는 펌웨어를 최신으로 유지하고 구버전 펌웨어로 생성한 주소의 자산은 새 지갑으로 이전하는 것을 검토할 필요가 있다.

바이오 제약사 암젠, 클라우드 해킹으로 환자 의료정보·핵심 기밀 유출

미국 바이오 제약기업 암젠(Amgen)이 사이버 공격으로 환자 의료정보와 기업 기밀이 외부로 유출됐다고 공식 확인했다. 조사 결과 공격자는 암젠이 직접 운영하는 시스템이 아니라 제3자 클라우드 서비스 제공업체의 저장 환경을 침해해 민감 데이터를 탈취한 것으로 나타났다. 암젠은 미국 캘리포니아에 본사를 둔 글로벌 바이오의약품 기업이다. 이런 공격은 서드파티 리스크(외부 위탁·협력업체를 거쳐 발생하는 보안 위험)의 전형으로, 자사 보안이 아무리 튼튼해도 데이터를 맡긴 외부 업체가 뚫리면 그대로 유출 사고가 된다. 의료정보는 한번 유출되면 회수가 불가능하고 악용 가치가 높은 민감정보인 만큼, 기업은 클라우드에 위탁한 데이터의 암호화, 협력업체 보안 평가, 접근권한 최소화를 계약과 운영 단계에서 함께 관리해야 한다.

레일스 긴급 패치…이미지 업로드만으로 서버 장악 가능한 치명적 취약점 발견

오픈소스 웹 애플리케이션 프레임워크 레일스(Ruby on Rails)에서 원격 코드 실행(RCE)으로 이어질 수 있는 치명적 보안 취약점이 발견돼 긴급 패치가 배포됐다. CVE-2026-66066으로 등록된 이 취약점은 공격자가 로그인하지 않은 상태에서도 특수하게 제작한 이미지 파일을 업로드해 서버 내부 파일을 읽을 수 있고, 환경에 따라 애플리케이션을 완전히 장악할 가능성도 확인됐다. 인증 없이 공격 가능한 취약점은 인터넷에 노출된 서비스라면 누구든 공격을 시도할 수 있어 가장 위험한 부류에 속한다. RCE는 공격자가 원격에서 서버에 임의의 명령을 실행하게 되는 것으로, 사실상 서버 장악을 의미한다. 레일스는 수많은 웹 서비스의 기반 프레임워크인 만큼 파급 범위가 넓으므로, 레일스 기반 서비스를 운영한다면 버전을 확인해 즉시 패치하고, 당장 어렵다면 이미지 업로드 기능의 접근 제한 같은 임시 완화 조치를 검토해야 한다.