오늘의 보안 뉴스 - 2026-10-10

오늘의 브리핑

국내 금융권과 공공기관을 겨냥한 전방위 사이버 위협과 개인정보 유출 사고가 잇따르고 있습니다.

소프트웨어 공급망과 오픈소스 저장소를 악용한 자격증명 탈취 공격이 글로벌 전역에서 확산 중입니다.

국정감사에서 금융 및 의료 기관의 부실한 보안 투자와 형식적인 점검 체계가 강하게 질타당했습니다.

보안뉴스

[은행이 뚫린다] 금융권 공격 해커, 디도스 해킹그룹 ‘GodNet/VITAS’ 멤버였다

AI를 활용해 국내 금융권을 공격했던 용의자가 중국계 디도스 해킹 그룹의 핵심 관계자로 밝혀졌습니다.

AI를 이용해 국내 금융권을 공격했던 범인이 중국계 디도스(DDoS-for-hire) 해킹그룹인 ‘GodNet/VITAS’의 커뮤니티 감독관이었음이 식별됐습니다. 이번 조사는 최근 해커로 특정된 중국인이 용의자로 지목되자 개인정보가 도용됐다며 연관성을 부인한 이후 추가로 진행되면서 드러났습니다. 보안기업 로그프레소에 따르면, 크라우드스트라이크가 공개한 특정 IP 주소에서 추출된 Claude Code 마크다운 문서를 기반으로 용의자를 분석한 결과, 텔레그램 계정 ‘YY520CN’이 중국계 디도스 그룹과 밀접하게 연관되어 있음이 확인됐습니다. 공격자는 이 계정을 통해 28개월 가까이 중국어권 사이버범죄 커뮤니티에서 활동하며 디도스 공격 대행과 익명 서버 판매 등을 주도한 것으로 드러났습니다. 기사는 이러한 초국적 해킹 조직의 실체가 드러남에 따라 금융권의 철저한 대비가 필요하다고 전했습니다.

‘골프 예약 앱’까지 줄줄이… 골프몬 이어 카카오 VX, 개인정보 3만 4천명 털렸다

카카오 VX가 운영하는 카카오골프예약에서 비인가 접근으로 3만 4천여 건의 개인정보가 유출되었습니다.

카카오 VX가 운영하는 카카오골프예약에서 고객 개인정보 3만 4천여 건이 유출됐다고 밝혔습니다. 외부의 비인가자가 비정상적인 방법을 통해 서비스에 접속해 고객 정보를 유출한 사실이 확인됐으며, 유출 대상은 지난해 1월부터 올해 10월까지 카카오골프예약에서 국내 투어 상품을 예약한 고객들입니다. 유출된 항목에는 이름과 전화번호뿐만 아니라 상품명, 라운드 일자, 숙박 정보, 결제 관련 민감한 정보들이 포함되어 있어 추가 피해 우려가 제기되고 있습니다. 최근 금융권과 교회 등에 이어 골프 예약 앱까지 해킹 공습의 타겟이 되면서 전방위적인 보안 강화의 필요성이 커지고 있습니다. 카카오 VX 측은 사고 인지 후 조치를 취하고 있으며, 기사는 이용자들의 각별한 주의와 철저한 사후 조치를 권고했습니다.

[2026 영상향 SoC·NPU 제품&솔루션 리포트] 더 치열해진 영상보안의 두뇌 싸움

영상보안 업계의 경쟁 축이 하드웨어에서 초고성능 연산을 수행하는 엣지 AI와 SoC 중심으로 이동하고 있습니다.

최근 영상보안 업계의 경쟁 축이 단순 CCTV 하드웨어에서 실시간 AI 분석, 엣지 AI, 생성형 AI 영상 검색, 프라이버시 보호 등으로 빠르게 이동하고 있습니다. 단순한 영상 촬영을 넘어 카메라 기판 위의 작은 칩셋 하나가 초당 수조에서 수십조 회의 연산을 수행하며 사람과 차량, 이상행동을 즉각 판별하는 온디바이스 엣지 AI 시대로 진입했습니다. 이에 따라 카메라와 NVR의 두뇌 역할을 하는 영상향 SoC와 NPU가 업계의 핵심 승부처로 부상하고 있습니다. 고도화된 AI 연산 능력을 통해 보안의 정확도를 높이는 동시에 개인정보 보호 기능을 강화하는 방향으로 기술이 진화하고 있습니다. 기사는 이러한 기술 변화가 향후 보안 시장의 판도를 바꿀 핵심 동력이 될 것이라고 전망했습니다.

쿠팡·쿠팡이츠, 9일 새벽 2시간 ‘먹통’… 심야 음식 배달, 물류 배송 멈췄다

쿠팡과 쿠팡이츠 등 주요 계열사 서비스가 새벽 시간대 약 2시간 동안 동시 접속 장애를 일으켰습니다.

쿠팡과 쿠팡이츠의 앱과 홈페이지가 새벽 시간대 2시간 가량 먹통이 되면서 심야 음식 배달과 물류 배송이 일시적으로 중단되는 사태가 발생했습니다. 쇼핑 앱, 배달 앱, OTT 등 주요 쿠팡 계열 서비스 전반에서 동시 접속 장애가 발생한 것은 네트워크 연결 원활하지 않음 등의 문구가 노출되면서 이용자들의 큰 불편을 야기했습니다. 장애 시간 동안 물류 센터와 배송 시스템의 작동이 멈추면서 현장 업무에 차질이 빚어졌으나, 정확한 원인에 대해서는 즉각적인 상세 내용이 전해지지 않았습니다. 최근 대형 플랫폼 서비스의 장애는 막대한 경제적 손실과 사용자 신뢰 하락으로 이어질 수 있어 철저한 인프라 관리의 중요성이 강조됩니다. 기사는 플랫폼 기업들의 안정적인 서버 운영과 비상 대응 체계 점검의 필요성을 시사했습니다.

데일리시큐

검은색으로 가렸지만 복사하면 드러났다…국립대병원 3곳 개인정보 노출

국립대학교병원 3곳이 감사문서에서 환자와 직원의 개인정보를 부실하게 가려 수년간 노출한 사실이 드러났습니다.

국립대학교병원 3곳이 감사문서를 공개하면서 환자와 직원의 개인정보를 제대로 삭제하지 않고 검은색으로 가리는 부실한 방식으로 처리해 민감정보가 외부에 노출됐습니다. 일부 문서는 최대 3년 5개월간 인터넷에 공개돼 있었으며, 별도의 해킹 기술 없이도 마우스 드래그 등을 통해 가려진 내용을 쉽게 확인할 수 있었던 것으로 나타났습니다. 국회 보건복지위원회 국정감사에서 지적된 바에 따르면, 충남대학교병원 등 일부 병원들의 공공감사포털 게시 문서에서 개인정보 가림 처리가 제대로 이루어지지 않았습니다. 이는 공공기관의 기본적인 정보 보호 소홀함과 검증 프로세스의 부재를 보여주는 대표적인 사례로 지적받았습니다. 기사는 공공기관이 문서 공개 시 민감정보 유출을 방지하기 위한 철저한 검수 절차를 마련해야 한다고 강조했습니다.

금융권 해킹 긴급점검 ‘허점’…3개월만 확인하고도 “이상 없음” 보고

금융당국의 긴급 보안점검 기준에 허점이 존재하며 일부 금융사가 3개월치 기록만 보고하고 이상 없다고 보고했습니다.

최근 금융권에서 연쇄적으로 발생한 개인정보 유출 사고와 관련해 금융당국의 긴급 보안점검 기준에 허점이 있다는 지적이 국정감사에서 제기되었습니다. 일부 은행은 최근 3개월간의 접속기록만 확인하고도 이상 없음으로 보고한 반면, 1년치 기록을 조사한 인터넷전문은행에서는 과거 해킹 의심 IP의 접속 흔적이 발견됐습니다. 금융감독원이 금융회사에 배포한 긴급 자체점검표에 구체적인 점검 기간과 확인 기준이 빠져 있어 실효성 있는 점검이 이루어지지 않았다는 비판을 받았습니다. 이는 형식적인 점검 제도가 실제 사이버 위협을 걸러내지 못하는 허점을 드러낸 것으로 평가됩니다. 기사는 금융당국이 명확하고 엄격한 보안 점검 가이드라인을 재정비해야 한다고 촉구했습니다.

금융권, 보안 컨설팅 지출 급감…보험사 6곳 보안 교육비 별도 집계 ‘0원’

금융권의 해킹 사고 연발 속에서도 정보보호 교육 및 보안 컨설팅 비용 집행이 오히려 급감한 것으로 나타났습니다.

금융권에서 해킹과 개인정보 유출 사고가 잇따르는 가운데 주요 은행과 보험사의 정보보호 교육 및 보안 컨설팅 비용 집행이 미흡하다는 지적이 제기되었습니다. 일부 금융회사는 관련 지출이 수년간 0원으로 집계됐으며, 은행들의 보안 컨설팅 비용도 절반 수준으로 크게 감소한 것으로 나타났습니다. 국정감사 자료에 따르면 주요 은행들은 정보보호 예산을 편성하고도 실제 집행률이 저조하거나 예방 중심의 보안 투자를 줄인 경향을 보였습니다. 특히 일부 보험사들의 보안 교육비 집행 내역이 별도 집계되지 않는 등 금융권의 전반적인 보안 불감증이 도마 위에 올랐습니다. 기사는 금융사의 자발적인 보안 투자 확대와 당국의 실효성 있는 관리 감독이 시급하다고 권고했습니다.

은행권 모의해킹 취약점 4,777건 발견, 109건 미조치…보안 투자는 5.9% 감소

최근 5년간 은행권 모의해킹에서 수천 건의 취약점이 발견되었으나 일부는 여전히 개선되지 않고 방치되었습니다.

국내 은행들이 최근 5년간 실시한 모의해킹에서 4,777건의 보안 취약점을 발견했지만, 이 가운데 109건은 아직 개선되지 않은 것으로 나타났습니다. 은행권의 이자이익이 증가하는 동안 정보보호 투자금액은 오히려 감소했다는 지적이 국정감사 대책회의에서 제기되었습니다. 박상혁 의원이 공개한 자료에 따르면 발견된 총 4,777건의 취약점 중 상당수가 조치되었으나 109건이 미조치 상태로 남아 잠재적인 위협 요소로 지목되었습니다. 이는 금융사의 실적 호조에도 불구하고 보안 인프라에 대한 투자는 소홀히 다뤄지고 있음을 보여줍니다. 기사는 은행권이 발견된 취약점을 신속히 조치하고 정보보호 예산을 확대하여 사이버 위협에 선제적으로 대응해야 한다고 강조했습니다.

[단독] 한국 금융사 해킹 용의자 28개월간 행적 추적…공격대행·해커 커뮤니티 운영 정황 드러나

국내 금융사를 공격한 해킹 용의자가 28개월간 중국어권 커뮤니티에서 디도스 공격 대행 등을 운영한 정황이 포착되었습니다.

최근 국내 금융권을 연쇄적으로 공격한 해킹 용의자와 관련해, 과거 28개월 가까이 중국어권 사이버범죄 커뮤니티에서 활동하며 디도스(DDoS) 공격 대행과 익명 서버 판매, 해외 고객 대상 공격 지원 등에 관여한 정황이 확인됐습니다. 특히 단순한 해킹 도구 이용자가 아니라 공격 서비스 거래와 커뮤니티 운영에 직접 관여했던 계정으로 분석돼 주목을 받고 있습니다. 사이버 위협 인텔리전스 전문기업 스텔스몰의 보고서에 따르면, 해당 용의자는 텔레그램 계정 등을 활용해 고도화된 사이버 범죄 생태계의 중심에서 활동해 온 것으로 드러났습니다. 이번 조사는 국내 금융권을 겨냥한 공격이 단순 개인의 소행이 아니라 조직적이고 전문적인 범죄 그룹의 소행임을 시사합니다. 기사는 고도화되는 사이버 범죄에 대응하기 위해 국제 공조와 위협 인텔리전스 활용의 중요성을 강조했습니다.

The Hacker News

수만 개의 저장소에 심어진 자격증명 탈취용 깃허브 액션 워크플로우

오픈소스 유지보수자 계정이 탈취되어 수백 개의 저장소에 자격증명을 빼내는 악성 워크플로우가 유포되었습니다.

사이버 보안 연구원들은 오픈소스 유지보수자 2명의 계정을 손상시켜 340개가 넘는 저장소에 악성 워크플로우를 강제로 푸시한 지속적인 자격증명 탈취 캠페인의 상세 내용을 공개했습니다. 인기 게임 엔진 pyxel의 저자인 타카시 키타오의 계정을 이용해 공격자는 13시 20분(UTC)부터 27개의 저장소에 악성 워크플로우를 배포하기 시작했습니다. 이번 공격은 개발자들이 자주 사용하는 CI/CD 파이프라인의 취약점과 오픈소스 생태계의 신뢰를 악용하여 개발 환경 내의 민감한 자격증명을 탈취하는 것을 목표로 했습니다. 공격자는 유명 프로젝트의 신뢰성을 이용해 피해를 빠르게 확산시키려 했으며, 보안 업체들의 신속한 탐지로 추가 확산이 방지되었습니다. 기사는 오픈소스 유지보수자들에게 다중인증(MFA) 도입과 계정 보안 강화를 강력히 권고했습니다.

FBI, 구직 포털 해킹 연루 샤이니헌터스 용의자 추가 체포

FBI가 최근 직원 채용 포털 해킹 사건과 연루된 랜섬웨어·유출 그룹 샤이니헌터스의 공범 용의자를 체포했습니다.

FBI 국장 카시 파텔은 10월 9일 X(구 트위터)를 통해 샤이니헌터스(ShinyHunters)와 연관된 또 다른 공범 용의자를 체포했다고 밝혔습니다. 샤이니헌터스는 지난 9월 FBI의 구직 포털을 해킹하여 거의 모든 FBI 요원과 지원자에 대한 민감한 데이터를 탈취했다고 주장했던 악명 높은 갈취 그룹입니다. FBI는 체포된 용의자의 신원을 구체적으로 밝히지 않았으며, 공식적인 기소 내용 역시 아직 공개되지 않은 상태입니다. 이번 체포는 주요 공공기관과 법 집행 기관을 겨냥한 사이버 범죄 조직에 대한 수사가 전방위적으로 압박을 가하고 있음을 보여줍니다. 기사는 연방 기관의 적극적인 추적과 국제 공조 수사가 사이버 범죄 집단에 큰 타격을 주고 있다고 전했습니다.

P7 다크소드 iOS 익스플로잇 킷, 암호화폐 지갑 탈취 및 원격 제어 기능 추가

P7 다크소드 iOS 익스플로잇 킷이 암호화폐 지갑 탈취와 양방향 C2 통신 기능을 추가하여 발견되었습니다.

사이버 보안 연구원들은 P7 다크소드(P7 DarkSword)라고 불리는 미지의 다크소드 iOS 익스플로잇 킷(취약점 공격 도구 모음) 변종의 상세 내용을 공개했습니다. 보안 기업 iVerify의 보고서에 따르면, 기존 변종에 비해 P7은 기기 내의 흔적을 줄이면서 온디바이스 키체인 및 암호화폐 지갑 탈취 기능을 추가했습니다. 또한 공격자의 인프라와 양방향으로 통신할 수 있는 C2 서버(공격자가 악성코드를 원격 조종하는 서버) 연동 기능이 강화되어 위협 수준이 높아졌습니다. 이 익스플로잇 킷은 모바일 기기의 보안 허점을 파고들어 사용자의 민감한 금융 및 인증 정보를 탈취하도록 설계되었습니다. 기사는 모바일 기기 사용자들에게 최신 운영체제 업데이트 유지와 신뢰할 수 없는 링크 클릭 주의를 권고했습니다.

미국 4개 주, 라우터 보안 및 중국 연계 문제로 티피링크 추가 제소

미국 4개 주가 라우터 보안 취약점과 중국 연계 의혹을 이유로 네트워크 장비 제조사 티피링크를 추가로 제소했습니다.

텍사스주가 지난 2월 소송을 제기한 데 이어 10월 6일 플로리다, 아이오와, 몬태나, 네브래스카 등 4개 미국 주가 라우터 제조사인 티피링크 시스템즈를 상대로 추가 소송을 제기했습니다. 이들은 캘리포니아에 본사를 둔 티피링크가 자사 라우터의 보안성이 얼마나 뛰어난지, 그리고 중국 정부와 얼마나 독립적인지에 대해 소비자를 오인하게 만들었다고 주장했습니다. 티피링크는 이러한 혐의를 전면 부인하며 법정에서 적극적으로 대응하겠다는 입장을 밝혔습니다. 이번 소송은 네트워크 장비의 보안 투명성과 지정학적 리스크에 대한 미국 주 정부들의 강경한 태도를 보여줍니다. 기사는 라우터 공급업체의 보안 신뢰성과 제조국 연계성에 대한 규제 압박이 점차 거세지고 있다고 전했습니다.

루트 권한을 허용하는 애니데스크 리눅스 사전 인증 취약점의 실제 공격 코드 공개

애니데스크 리눅스 버전에서 승인 없이 루트 권한을 탈취할 수 있는 사전 인증 원격 코드 실행 취약점의 공격 코드가 공개되었습니다.

보안 연구원들이 승인 절차 없이도 애니데스크(AnyDesk) 리눅스 버전에서 공격자가 루트 권한(시스템의 모든 권한을 가진 최고 관리자 계정)을 획득할 수 있는 사전 인증 원격 코드 실행(RCE) 취약점의 실제 공격 코드를 공개했습니다. 애니데스크는 지난 6월 버전 8.0.3을 통해 해당 취약점을 패치했으나, 당시 변경 로그에는 CVE 번호나 보안 관련 언급 없이 단순한 크래시 수정으로만 모호하게 기재했습니다. 이번에 공개된 익스플로잇은 연결 승인이 이루어지기 전에 원격에서 시스템 제어권을 완전히 탈취할 수 있는 심각한 결함을 담고 있습니다. 이에 따라 보안 전문가들은 즉시 최신 버전으로 업데이트할 것을 강력히 촉구하고 있습니다. 기사는 기업들이 소프트웨어 업데이트 내역을 투명하게 공개하고 신속히 패치를 적용해야 한다고 권고했습니다.

Krebs on Security

FBI, 랜섬웨어 협상 회사 설립자 체포 - 목요일 연방수사국 (FBI) 의 요원들이 캐나다 사이버 보안 회사의 공동 설립자를 체포했습니다. 이는 샤이니헌터스 해킹 그룹에 대한 조사와 관련이 있습니다.

오늘의 용어

디도스(DDoS) - 여러 대의 컴퓨터를 동원해 특정 서버에 대규모 트래픽을 집중시켜 서비스 마비를 일으키는 공격 방식.
C2 서버(Command and Control Server) - 공격자가 감염된 시스템을 원격으로 제어하고 명령을 내리기 위해 사용하는 서버.
루트 권한(Root Access) - 유닉스 및 리눅스 계열 운영체제에서 시스템의 모든 설정과 파일을 제어할 수 있는 최고 관리자 권한.