오늘의 보안 뉴스 - 2026-10-16

오늘의 브리핑

AI 도구의 발전으로 공격 경제성이 급변하며 금융권과 주변 시스템이 연쇄 위협에 직면했습니다.

가상화 격리를 무너뜨리는 리눅스 커널 취약점과 제로클릭 광고 스파이웨어가 발견되었습니다.

공격 인프라를 노린 사법 공조와 레거시 환경을 XDR·제로트러스트로 전환하려는 논의가 활발합니다.

보안뉴스

“처벌보다 피해 확산 방지에 초점을”… 금융권 AI 해킹 관련 긴급 좌담회

금융권 연쇄 침해 사태를 맞아 처벌 중심 규제에서 피해 확산 방지와 신속한 정보 공유로 전환해야 한다는 전문가 지적이 제기되었습니다.

최근 AI 도구를 활용한 공격자가 국내 금융기업들을 동시다발적으로 공격하면서 연쇄 침해 사태가 발생했습니다. 이에 보안 업계와 학계, 법조계 전문가들은 14일 열린 긴급 좌담회에서 처벌 위주의 접근보다 빠른 피해 회복과 확산 방지에 초점을 맞춰야 한다고 한목소리를 냈습니다. 전문가들은 공격에 악용된 취약점이 기업마다 서로 다름에도 불구하고 적극적인 위협 정보 공유에 대한 인센티브가 없고 처벌에 대한 두려움만 가득한 현 구조가 취약점을 키우는 이른바 ‘규제의 역설’을 낳고 있다고 지적했습니다. 과거 단일 시스템 침해와 달리 AI 기반 공격은 다양한 표적을 전방위로 노리기 때문에 피해 정보의 신속한 전파가 핵심 방어 기제가 됩니다. 참석자들은 연쇄 침해사고의 확산을 끊어내기 위해 금융권 전반의 빠른 정보 공유를 유도하는 제도적 유인책 마련이 시급하다고 강조했습니다.

‘장인’ 해커 시대 종말…AI로 사이버 공격 경제 논리 뒤집혔다

AI 기술의 도입으로 해킹 비용이 급감하면서 공격 표적이 핵심 시스템에서 취약한 주변 자산으로 이동하고 있습니다.

보안 업계 전문가들은 AI 도구의 확산으로 사이버 공격의 경제 논리가 뒤집히며 소위 ‘장인’ 해커의 시대가 종말을 맞이하고 있다고 진단했습니다. 과거 해커들은 고도화된 핵심 시스템을 장기간 정밀 타격하는 ‘선택과 집중’ 방식을 선호했으나, 최근 금융권을 겨냥한 AI 침해 공격은 외부 영업 지원 등 상대적으로 보안이 허술한 주변 자산을 집중 공략하고 있습니다. 공격자 관점에서는 굳이 침투가 어려운 주요 자산 시스템을 노리지 않더라도, AI를 통해 손쉽게 주변부를 털어 개인정보나 의료정보 등 융합 가능한 데이터를 확보하는 것만으로도 충분한 금전적 수익이 되기 때문입니다. 이는 방어선이 가장 취약한 외부 협력 채널이나 외곽 엔드포인트를 타고 들어오는 공격이 폭증하고 있음을 보여줍니다. 전문가는 공격의 진입 장벽이 낮아진 만큼 기업들이 핵심 자산뿐만 아니라 주변 자산 전반의 노출 위험을 재점검해야 한다고 설명했습니다.

“제로트러스트 전환, 레거시 보안 장비→XDR 통합이 첫 단추”

성공적인 제로트러스트 전환을 위해서는 신규 솔루션 무단 도입보다 기존 레거시 장비를 XDR로 통합하는 단계적 접근이 필요하다는 제언이 나왔습니다.

로그프레소 양봉열 대표는 한국정보보호학회 워크숍에서 ‘XDR 기반 제로트러스트 아키텍처 이행 전략’을 발표하며 점진적인 보안 모델 고도화를 제안했습니다. 제로트러스트 체계로 넘어가기 위해 무작정 새로운 고가 솔루션을 도입하기보다는, 기업이 기보유한 방화벽이나 침입탐지시스템 등 레거시 장비들을 XDR로 묶어 연계성을 확보하는 것이 우선되어야 한다는 설명입니다. 이를 통해 분산된 이종 장비 로그에서 발생하는 이상징후를 AI 기반으로 추론하고 다면적으로 검증함으로써 실질적인 보안 성숙도를 끌어올릴 수 있습니다. 이는 기존 보안 투자를 보호하면서도 모든 엔터티의 신뢰를 지속 검증하는 제로트러스트 원칙을 유연하게 구현하는 방안으로 평가받았습니다.

“LLM이 코드 바꿔도 지문은 남는다” 샌즈랩, VB2026서 AI 변종 악성코드 추적 기법 발표

샌즈랩이 대규모 언어모델을 악용해 대량 변형된 악성코드의 계보와 고유 흔적을 역추적하는 연구 성과를 국제무대에서 발표했습니다.

샌즈랩은 국제 악성코드 분석 컨퍼런스인 ‘바이러스블러틴 2026’에 참가해 LLM(대규모 언어모델) 기반 변종 악성코드의 계보 추적 연구를 공식 발표했습니다. 최근 사이버 공격자들은 생성형 AI 도구를 악용해 시그니처 탐지를 손쉽게 우회하는 대량의 변종 악성코드를 자동으로 양산하고 있습니다. 연구팀은 LLM이 코드를 지능적으로 변형하더라도 모델 특유의 코드 생성 패턴과 구조적 지문이 잔존한다는 사실을 밝혀내고, 이를 역추적하는 프레임워크인 ‘GHOST’의 연구 결과를 상세히 공유했습니다. 이번 발표는 생성형 AI 기반의 다형성 악성코드가 야기하는 분석 복잡성을 극복하고 공격 배후 세력을 식별할 수 있는 새로운 추적 기법을 제시했다는 점에서 글로벌 보안 업계의 주목을 받았습니다.

카스퍼스키, 3분기 국내 웹 위협 129만건·로컬 위협 315만건 탐지

카스퍼스키는 2026년 3분기 국내에서 웹 위협 129만 건과 로컬 위협 315만 건을 탐지했다고 발표했습니다.

카스퍼스키 시큐리티 네트워크(KSN) 통계에 따르면 3분기 국내 참여자 중 9.2%가 웹 기반 위협 공격을 받아 세계 126위의 위험도를 기록했습니다.

카카오톡에서 AI 비서 안전하게 관리… 카카오, 자율 에이전트 시대 AI 윤리 원칙 ‘SPIRIT’ 공개

카카오가 스스로 판단하고 행동하는 자율 AI 에이전트의 통제 불능 리스크를 방지하기 위해 새로운 윤리 원칙 ‘SPIRIT’을 공개했습니다.

카카오는 연례 개발자 콘퍼런스에서 AI 비서의 권한 남용을 차단하고 인간 감독 및 비상 제어 장치를 연계한 실무 이행 가이드를 발표하며 능동형 AI의 안전 통제 기준을 마련했습니다.

“오픈랜, 망 운용 개방성 높였지만 기존 신뢰 경계 무너졌다”

개방형 무선 접속망 환경에서 기존 통신 신뢰 경계가 무너짐에 따라 지능형 제어기에 대한 제로트러스트 기반 접근 통제가 필요하다는 분석이 나왔습니다.

한국전자통신연구원(ETRI) 권혁찬 책임연구원은 오픈랜(O-RAN) 도입으로 기지국이 개방화·가상화되면서 과거 통신망의 물리적 경계 기반 신뢰 모델이 깨졌다고 지적했습니다. 오픈랜 환경에서는 중앙에서 무선망을 통제하는 무선망 지능형 제어기(RIC)와 그 위에서 실행되는 제어 앱(xApp)이 악용될 경우 통신망 전체가 마비될 수 있는 심각한 위협이 존재합니다. 이에 따라 연구팀은 악성 xApp을 선제적으로 탐지하고 엄격히 권한을 제어하는 제로트러스트 보안 메커니즘을 제시했습니다. 이는 무선 네트워크의 개방성과 유연성이 증대되는 차세대 5G·6G 통신 인프라에서 단일 지점 침해가 전체 네트워크 붕괴로 이어지지 않도록 하는 핵심 방어 기술로 꼽힙니다.

데일리시큐

박민규 의원, “금융사 555곳 중 130곳 자체 보안점검서 미흡 보고”

국내 금융사 555곳 중 130곳이 자체 보안점검에서 미흡 사항을 보고한 것으로 드러나 금융 보안 점검 체계의 실효성 확보가 요구됩니다.

국회 정무위원회 박민규 의원이 금융감독원으로부터 제출받은 자료에 따르면, 자체 점검을 수행한 금융회사 555개 사 중 약 23.4%에 해당하는 130곳에서 보안 미흡 항목이 확인되었습니다. 특히 은행과 금융투자회사, 보험사 등 국가 핵심 기반시설에 해당하는 주요 금융권 302개 사 중에서도 59곳이 미흡 판정을 받은 것으로 집계되었습니다. 최근 금융권을 겨냥한 연쇄 해킹 사고가 잇따르고 있어 금융사들의 형식적인 보안 자가진단 관행을 쇄신하고 후속 조치가 현장에서 실제로 작동하는지 당국의 엄격한 사후 검증이 시급하다는 비판이 커지고 있습니다.

이연희 의원 “667억원 집행한 BoB 사업, 14년간 수행기관 평가 없었다” 지적

국가 보안 인재 양성 사업 BoB가 14년간 667억 원의 예산을 집행하면서도 수행기관에 대한 정밀 평가를 받지 않았다는 지적이 국정감사에서 제기되었습니다.

국회 과학기술정보방송통신위원회 이연희 의원은 차세대 보안리더 양성 프로그램인 BoB 사업이 2012년부터 2025년까지 667억 원을 투입했음에도 운영 주체에 대한 적절한 감독이 부재했다며 감사원 감사를 촉구했습니다.

KISA 침해대응 시스템 50.7% 교체 대상…유지보수 예산 4년 새 25.1% 줄어

한국인터넷진흥원의 인터넷침해대응 전산시스템 중 50.7%가 5년 이상 된 노후 장비임에도 유지보수 예산은 대폭 삭감된 것으로 나타났습니다.

국회 김남국 의원이 공개한 자료에 따르면 KISA 침해대응센터 전산시스템 2,065개 중 50.7%인 1,046개가 도입 후 5년이 지나 교체 대상인 것으로 확인되었습니다. 그러나 대응 시스템의 유지보수 예산은 2022년 대비 25.1%나 삭감되어 국가 사이버 방위 인프라의 안정적 관리에 심각한 우려가 제기되고 있습니다.

중앙아시아 정부 노린 UAT-6275…윈라 취약점·깃허브 악용해 침투

지능형 공격 그룹 UAT-6275가 윈라 취약점과 깃허브를 악용해 중앙아시아 정부 기관을 겨냥한 사이버 첩보 활동을 펼치고 있습니다.

시스코 탈로스와 레코디드퓨처 공동 조사팀은 2025년 6월부터 2026년 8월까지 중앙아시아 및 CIS 정부 기관을 표적으로 삼은 사이버 첩보 작전을 탐지했다고 밝혔습니다. ‘UAT-6275(또는 TAG-193)‘로 명명된 이 공격 집단은 압축 유틸리티 윈라(WinRAR)의 알려진 취약점과 공식 공문서로 위장한 악성 파일을 결합해 초기 침투를 감행했습니다. 이들은 악성 오피스 문서, 실행 파일, 바로가기(LNK) 파일, 조작된 아카이브 등 총 4개 감염 경로를 복합적으로 활용했습니다. 특히 침투 이후 합법적인 오픈소스 호스팅 플랫폼인 깃허브에 파워셸 스크립트를 올려 공격 명령을 전달하는 등 정상 클라우드 서비스를 악용하여 기존 보안 장비의 차단을 우회했습니다. 보안팀은 정부 관련 기관을 노린 정밀 첩보 공격이 정교해지고 있어 문서 및 압축 해제 소프트웨어의 취약점 패치가 필수적이라고 전했습니다.

MS·헬스아이섹, 글로벌 피싱 공급망 타격…범죄 연계 계정 2만개 차단

마이크로소프트와 헬스아이섹이 법원 명령을 통해 글로벌 피싱 인프라를 압류하고 범죄 연계 계정 2만 개 이상을 무력화했습니다.

마이크로소프트(MS)는 미국 플로리다 남부 연방지방법원의 압류 명령을 기반으로 헬스아이섹(Health-ISAC)과 공조하여 대규모 피싱 유통망 타격 작전을 수행했습니다. 이번 조치는 개별적인 피싱 메일 차단 수준을 넘어 공격용 위장 도메인과 템플릿을 서비스 형태로 공급하던 ‘얌 스토어(YAM Store)’, ‘코GUI(CoGUI)’, ‘아이언맨(Iron Man)‘의 도메인을 직접 압류하고 트래픽을 차단한 것입니다. 사법 당국과의 공조를 통해 얌 스토어와 연동된 피싱 계정 2만 개 이상이 즉각 비활성화되었습니다. 범죄 인프라 판매자(CaaS)의 공급망 자체를 끊어냄으로써 피싱 범죄 생태계의 공격 비용을 높이고 의료 기관 등 표적 피해를 효과적으로 예방했다는 평가를 받습니다.

The Hacker News

게스트 가상머신에서 호스트 메모리를 읽을 수 있는 치명적인 리눅스 커널 취약점 ‘PwnEscape’ 발견

가상머신 내부에서 호스트 컴퓨터의 메모리를 직접 훔쳐볼 수 있는 치명적인 리눅스 커널 취약점 ‘PwnEscape’가 공개되었습니다.

리눅스 커널의 네트워크 코드에서 가상머신(VM) 내부의 임의 코드가 하이퍼바이저 격리를 뚫고 물리 호스트의 메모리 영역을 무단으로 읽어올 수 있는 치명적인 취약점(CVE-2026-99999, 일명 ‘PwnEscape’)이 발견되었습니다. 보안 연구원은 실제 버셀(Vercel)의 라이브 클라우드 샌드박스 환경을 대상으로 호스트 메모리 내 민감 데이터가 유출되는 과정을 직접 시연해 입증했으며, 해당 플랫폼 업체도 이를 공식 확인했습니다. 이 결함은 특정 클라우드 벤더의 설정 오류가 아니라 리눅스 커널 자체의 네트워킹 계층에 뿌리를 두고 있어, 취약한 커널을 공유하는 광범위한 멀티테넌트 가상화 인프라 전반에 걸쳐 심각한 파급력을 미칩니다. 공격자가 게스트 VM 권한만 얻으면 호스트 서버에서 실행 중인 타 고객사의 데이터나 암호화 키를 가로챌 수 있어 클라우드 격리 체계를 근본부터 흔드는 사안입니다.

보안 위협 동향: 어도비 원격 코드 실행, DNS 기반 지갑 탈취, 엔비디아 컨테이너 탈출 외 다수

어도비 원격 코드 실행, 엔비디아 컨테이너 탈출 등 이번 주 다양한 보안 위협 이슈가 대거 보고되었습니다.

금주 보안 동향에서는 어도비 제품군의 취약점을 악용한 원격 코드 실행(RCE)부터 엔비디아 환경의 컨테이너 탈출 버그, 자가 복구형 백도어 등 20여 종이 넘는 고위험 공격 기법이 한꺼번에 보고되어 인프라 전반의 주의가 요구됩니다.

시티즌 랩, 알자지라를 겨냥한 타깃형 온라인 광고 기반 ‘칸디루’ 제로클릭 스파이웨어 감염 추적

이스라엘 스파이웨어 제조사 칸디루가 배너 광고 로딩만으로 기기를 감염시키는 제로클릭 광고 공격으로 알자지라 기자를 해킹한 사실이 드러났습니다.

캐나다 토론토 대학교의 보안 연구 기관 시티즌 랩(Citizen Lab)은 이스라엘 상용 스파이웨어 제작사 칸디루(Candiru)가 중동 언론사 알자지라 구성원들의 기기를 침해했다고 발표했습니다. 이번 공격의 핵심은 피해자가 특정 링크를 누르거나 파일을 실행하지 않아도 웹브라우저에 일반 온라인 배너 광고가 로드되는 즉시 악성코드가 실행되는 고도화된 ‘제로클릭(Zero-Click)’ 방식이 사용되었다는 점입니다. 심지어 일부 사례에서는 사용자가 볼 수 없는 화면 뒤편(백그라운드)에서 광고가 은밀히 로딩되는 과정만으로도 시스템 침투가 완료된 것으로 분석되었습니다. 온라인 광고 네트워크(애드 네트워크)의 복잡한 공급망을 악용해 고위험 타깃만을 정밀하게 감염시키는 수법으로, 광고 생태계 자체가 감시용 스파이웨어의 은밀한 무기가 될 수 있음을 입증했습니다.

사일런트 링스, 윈라 취약점을 악용해 CIS 정부 기관 공격에서 리버스 셸 배포

위협 행위자 ‘사일런트 링스’가 윈라 취약점과 파워셸을 악용해 CIS 정부 기관에 리버스 셸을 심는 공격을 지속하고 있습니다.

독립국가연합(CIS) 소속 정부 기관들을 노린 사이버 스파이 그룹 ‘사일런트 링스(Silent Lynx)‘의 정밀 공격 정황이 추가로 드러났습니다. 보안 분석에 따르면 공격자들은 2025년 6월부터 2026년 8월 사이에 걸쳐 매크로가 포함된 오피스 문서, 실행 파일로 변환된 PS2EXE 다운로더, 깃허브에 호스팅된 공격용 스크립트, 그리고 조작된 윈라(WinRAR) 압축 파일 등 4가지 감염 사슬을 정교하게 조합해 배포했습니다. 이들은 압축 해제 소프트웨어의 취약점을 악용해 피해 시스템에 초기 침투한 뒤 방화벽을 우회할 수 있는 리버스 셸(내부에서 공격자 서버로 역접속하는 통로)을 열어 내부 전산망에 영구적인 통제권을 확보했습니다. 공공 기관을 표적으로 한 끈질긴 첩보 수집 활동이 확인된 만큼 운영체제 및 서드파티 소프트웨어에 대한 철저한 패치 관리가 필수적입니다.

2만 개 이상의 클라우드플레어 페이지 도메인을 악용한 기술 지원 사기와 연계된 ‘Help TDS’

대규모 트래픽 분배 시스템 ‘Help TDS’가 2만 개 이상의 클라우드플레어 페이지 도메인을 악용해 가짜 기술 지원 사기 트래픽을 유도하고 있습니다.

최소 2017년부터 장기 운영되어 온 악성 트래픽 분배 시스템 ‘Help TDS’가 러시아 기반 제휴 프로그램인 ‘Hotejka’(과거 ROI777)와 연계되어 활동 중인 사실이 확인되었습니다. 이들은 감염되거나 변조된 정상 웹사이트에 PHP 스크립트 템플릿을 심어 무방비 상태의 방문자를 가짜 기술 지원 사기 사이트로 리디렉션하는 수법을 구사합니다. 특히 최근에는 2만 개 이상의 클라우드플레어 페이지(Cloudflare Pages) 서브도메인을 사기 인프라로 대거 호스팅하며 신뢰도 높은 클라우드 도메인의 평판을 방패막이로 삼았습니다. 사용자가 정상적인 검색 과정에서 기술 지원 사기 화면으로 납치되어 금전적 갈취로 이어지는 유해 트래픽 생태계의 위험성을 단적으로 보여줍니다.

오늘의 용어

위협 인텔리전스 공유 - 침해사고 조사 과정에서 식별된 공격자의 악성 행위 지표와 취약점 정보를 다른 기업들과 실시간으로 교환해 추가 피해를 사전 차단하는 보안 활동
공격 표면(Attack Surface) - 공격자가 시스템이나 네트워크에 무단으로 침투하기 위해 시도할 수 있는 외부 노출 접점과 모든 취약 요소들의 집합
XDR(Extended Detection and Response) - 엔드포인트, 네트워크, 클라우드, 이메일 등 다수의 보안 계층 데이터를 수집·상관분석하여 위협 탐지와 통합 대응을 자동화하는 기술
다형성 악성코드(Polymorphic Malware) - 백신 탐지를 피하기 위해 내부 암호화 루틴이나 코드 외형을 지속해서 변경하지만 원본 실행 기능은 그대로 유지하는 악성 프로그램
오픈랜(O-RAN) - 기지국을 구성하는 무선 하드웨어와 제어 소프트웨어 인터페이스를 표준화하여 개방함으로써 다양한 벤더의 장비를 상호 호환시키는 차세대 무선 접속망 기술
내부통제 평가 - 금융사 등 조직이 정보보호 관련 법규와 가이드라인을 자발적으로 준수하고 취약점을 파악하기 위해 정기적으로 수행하는 보안 감사 프로세스
리빙 오프 더 랜드(LotL, Living off the Land) - 공격자가 외부 악성 도구를 직접 들여오는 대신 시스템 내 기본 탑재 프로그램이나 정상적인 상용 서비스를 악용해 탐지를 피하는 침투 기법
피싱 서비스(PhaaS, Phishing-as-a-Service) - 기술적 능력이 없는 초보 공격자도 손쉽게 피싱 공격을 수행할 수 있도록 피싱 키트, 위장 웹사이트, 메일 전송 인프라를 대여해 주는 사이버 범죄 모델
가상머신 탈출(VM Escape) - 가상화된 게스트 운영체제 내에서 작동하는 공격자가 격리 장벽을 우회하여 이를 관리하는 하이퍼바이저나 호스트 OS의 제어권을 획득하는 공격 기법
말버타이징(Malvertising) - 공격자가 정상적인 온라인 디지털 광고 네트워크를 구매하거나 침투하여 배너 광고 내부에 악성 코드를 삽입해 일반 사이트 방문자를 감염시키는 기법
리버스 셸(Reverse Shell) - 외부에서 방화벽 안으로 들어오는 접속이 차단된 환경에서, 침투당한 내부 시스템이 외부에 위치한 공격자 서버로 거꾸로 접속을 시도하여 명령 셸을 넘겨주는 기술
트래픽 분배 시스템(TDS, Traffic Distribution System) - 감염된 웹사이트로 유입되는 방문자의 기기 종류, 국가, 브라우저 환경 등을 실시간 판별하여 조건에 맞는 악성 도메인이나 피싱 페이지로 트래픽을 분기시켜 주는 도구