뉴스 26
1건
1 CrowdStrike
1한국 금융사 7곳 연쇄 해킹, 크라우드스트라이크가 중국산 AI 침투도구 ARTEX 사용 정황을 공개했다
9월 30일부터 10월 초 사이 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 금융사 7곳에서 해킹 피해가 확인됐고, 신한은행에서만 고객 약 2만5천 명의 정보가 유출됐다. 크라우드스트라이크는 10월 7일 보고서에서 공격자가 중국에서 개발된 오픈소스 AI 침투테스트 도구 ARTEX를 딥시크·클로드 코드 등과 함께 썼고, 중국어 사용자이자 금전 목적일 가능성이 크다고 중간 신뢰도로 평가했다. 공격자 서버의 열린 디렉터리에서 클로드 코드 세션 기록과 ARTEX 설정 파일이 노출됐고, 훔친 한국 데이터를 팔 텔레그램 그룹을 찾아 달라는 요청도 발견됐다. 금융위원회는 10월 2일과 4일 긴급회의를 열어 전 금융권에 보안 점검 체크리스트를 배포했고, 한성숙 총리는 10월 6일 국가 보안체계 전면 개편을 지시했다. 5대 시중은행장은 10월 19일 금융감독원 국정감사에 증인으로 출석한다.
3건
2 Bitget
2비트겟, 핫월렛 해킹으로 3억 8750만달러 유출, 개인키 아닌 백엔드 침투 경로로 확인
암호화폐 거래소 비트겟이 2026년 9월 24일 핫월렛과 웜월렛에서 무단 이체를 탐지했고, 피해액은 초기 3억 5160만달러에서 3억 8750만달러로 정정됐다. 공격자는 개인키를 훔치지 않고 제3자 보안 제품의 제로데이 취약점으로 내부 자격증명을 얻어 지갑 백엔드에 가짜 출금 명령을 주입했다. 비트겟은 4억 6400만달러 규모 이용자 보호 기금으로 손실을 전액 흡수하겠다고 밝혔고, 9월 28일부터 출금을 단계적으로 재개했다. CEO 그레이시 첸은 IP 패턴과 온체인 분석을 근거로 북한 연계 조직을 의심했으나, 동결된 금액은 약 110만달러에 그친다.
3 개인정보보호위원회
3반복·중대 개인정보 유출에 전체 매출 10% 과징금, 개정 개인정보보호법 9월 11일 시행
개인정보보호위원회는 3월 개정된 개인정보 보호법과 시행령·고시가 2026년 9월 11일부터 시행된다고 9월 10일 발표했다. 고의·중과실로 3년 이내 위반을 반복하거나 1000만 명 이상 피해를 낸 경우, 시정명령 불이행으로 유출이 생긴 경우 전체 매출액의 최대 10%까지 과징금을 물릴 수 있다. 일반 과징금 상한은 기존 매출액 3%를 유지하며, 반복 위반 가중 비율은 최대 80%로 올라가고 사전 투자 기업은 최대 40%를 감경받는다. CEO의 최종 책임을 법에 명시하고 CPO 지정·변경 시 이사회 의결과 신고를 의무화했으며, 유출 가능성 단계에서 72시간 안에 통지하는 제도를 신설했다. 개정 규정은 시행 이후 위반에만 적용되며, SK텔레콤·KT·쿠팡 등 앞선 대형 유출 사건은 기존 기준으로 처분됐다.
4 IDScan.net
4신원확인 업체 IDScan.net, 다크웹에 운전면허 1억 5300만 건 매물 등장 뒤 침해 사실 인정
미국 신원확인 업체 IDScan.net이 9월 4일 공지에서 외부자가 클라우드의 고객 정보에 무단 접근했을 수 있다고 밝혔고, 9월 29일 갱신 공지에서 접근 기간이 4월 4일부터 9월 2일까지였으며 VeriScan 플랫폼에 한정됐다고 확인했다. 사건은 보안 기자 브라이언 크렙스가 9월 1일 다크웹 서비스 '넥서스'가 미국·캐나다 운전면허 스캔 1억 5300만 건 이상을 판매한다고 보도하며 알려졌다. 1억 5300만 건이라는 수치는 판매자의 주장이며, IDScan.net은 피해 인원을 밝히지 않았다. FBI 뉴올리언스 지부가 수사에 착수했고, 캐나다 개인정보보호위원회도 9월 21일 조사 개시를 발표했다. 루이지애나 동부 연방지방법원에 최소 4건의 집단소송이 제기됐다.
2건
5 개인정보보호위원회
5개인정보위, 펨토셀 해킹 KT에 과징금 540억 부과하고 조사 방해로 고발, LG유플러스는 수사의뢰
개인정보보호위원회는 2026년 7월 29일 전체회의에서 KT에 과징금 539억 7,900만 원과 시정명령·공표명령을 의결하고 30일 발표했다. 해커는 분실된 KT 펨토셀의 인증서를 자체 제작 장비에 심어 약 11개월간 KT 망에 접속했고, 1만 6,647명의 전화번호·IMSI·IMEI가 유출돼 368명이 약 2억 4,000만 원의 무단 소액결제 피해를 입었다. KT는 2024년 3월 악성코드 감염을 신고하지 않고 2025년 서버 로그를 삭제한 뒤 거짓 자료를 냈다는 이유로 고발됐고, 조사 착수 전 서버를 폐기한 LG유플러스는 공무집행방해 혐의로 수사의뢰됐다. SK텔레콤은 2025년 8월 유심 정보 유출로 역대 최대인 과징금 1,347억 9,100만 원을 받았으며 2026년 1월 서울행정법원에 취소 소송을 냈다. 개인정보위는 조사 착수 전 증거 인멸에 형사처벌과 전체 매출 3% 과징금을 도입하는 법 개정을 연내 추진하겠다고 밝혔다.
6 Minnesota IT Services
6미국 수도시설 OT 노린 연쇄 사이버 공격, 미네소타 30곳 넘게 피해 후 7월 한 달 100곳 이상으로 확산
2026년 7월 26~27일 미네소타주 커뮤니티 수도 시스템 30곳 이상의 운영기술(OT)이 조직적 사이버 공격을 받았다. CISA는 7월 한 달 동안 상하수도 부문 100곳 이상의 인터넷 노출 시스템이 공격 대상이 됐으며, 대부분 셀룰러 모뎀에 직접 연결된 PLC였다고 밝혔다. 공격자는 PLC의 비밀번호와 IP 주소를 바꿔 운영자를 잠그고 감시·제어 기능을 끊었으며, 일부 지역에서는 수압 저하·침수·끓여 마시기 권고가 발생했다. FBI는 7월 27일 이후 최소 7개 주에서 신고가 들어왔다고 했고, 언론은 8월 들어 12개 주 이상으로 집계했다. 당국은 이란 연계 조직을 유력하게 의심하지만 공식 귀속은 하지 않았고, CISA는 노출된 PLC를 즉시 인터넷에서 분리하라고 권고했다.
2건
7 Cybernews
7계정정보 240억 건 담긴 8.3TB 데이터베이스가 인증 없이 인터넷에 노출됐다
사이버뉴스 연구진이 2026년 6월 12일 인증 없이 접근 가능한 엘라스틱서치 클러스터에서 약 240억 건, 8.3TB가 넘는 계정정보를 발견했다. 기록 대부분은 인포스틸러 로그로, 이메일·사용자 이름·평문 비밀번호·로그인 주소가 함께 저장돼 있었다. 데이터는 36개 출처에서 모였고 이 중 30개 이상이 텔레그램 채널이었으며, 가장 큰 덩어리인 226억 건은 '컬렉션'이라는 이름만 붙어 출처를 알 수 없었다. 데이터베이스 주인은 위협 인텔리전스·유출 감시 업체로 확인됐고, 임시 이전 과정의 설정 오류가 원인이었으며 6월 15일 접근이 차단됐다. 특정 기업 해킹이 아닌 집적 데이터이지만, 중복 건수와 실제 피해자 수는 확인되지 않았다.
8 개인정보보호위원회
8개인정보위, 3,755만명 개인정보 유출 쿠팡에 역대 최대 과징금 6,247억원 부과
개인정보보호위원회는 6월 10일 전체회의에서 쿠팡에 과징금 6,246억 8,100만원과 과태료 1,680만원을 부과하기로 의결하고 11일 발표했다. 인증 서명키 관리와 접근통제 부실로 회원 3,322만명과 비회원 433만명 등 약 3,755만명의 개인정보가 유출됐다고 결론지었다. 민관합동조사단은 인증시스템을 개발한 전직 직원이 서명키를 탈취해 인증 토큰을 위조하고 2025년 4월 14일부터 11월 8일까지 공격했다고 밝혔다. 과징금은 유출 사고분 약 4,236억원과 타사 활동기록 무단 수집분 약 2,011억원으로 나뉘며, 종전 최대였던 SK텔레콤 1,348억원의 약 5배다. 쿠팡은 10월 7일 서울행정법원에 과징금 취소 소송 2건과 집행정지를 신청했다.
1건
9 Instructure
9해커 집단 샤이니헌터스가 캔버스 LMS에서 2억7500만명 데이터를 훔쳤다고 주장하자 인스트럭처가 침해를 인정하고 해커와 합의했다
학습관리시스템 캔버스를 운영하는 인스트럭처가 2026년 4월 29일 무단 접근을 탐지하고 5월 1일 보안 사고를 공개했다. 해커 집단 샤이니헌터스는 약 9000개 학교, 2억7500만명의 개인정보를 훔쳤다고 주장했으나 인스트럭처는 이 규모를 확인하지 않았다. 인스트럭처가 확인한 유출 항목은 이름, 이메일, 학번, 수강 정보, 이용자 간 메시지이며 비밀번호와 금융정보는 포함되지 않았다고 밝혔다. 5월 7일 해커가 약 330개 기관의 캔버스 로그인 화면을 변조하자 인스트럭처는 서비스를 중단했고, 5월 11일 해커와 합의해 데이터를 돌려받고 파기 기록을 받았다고 발표했다. 미 하원 국토안보위원회와 교육부가 정보를 요구했고, 인스트럭처는 9월 29일 포렌식 검토가 끝났다며 기관별 통보를 진행 중이다.
2건
10 LG유플러스
10LG유플러스, 가입자 식별번호에 전화번호 넣어온 사실 드러나자 전 고객 유심 무상 교체
LG유플러스가 2026년 3월 17일 전 고객 대상 유심 무상 교체와 재설정을 발표했고, 실제 시행은 4월 13일부터 시작됐다. 유심에 저장되는 가입자 식별번호(IMSI) 15자리 중 8자리가 가입자 휴대전화 번호와 일치하는 구조를 2011년 LTE 도입 이후 유지해 온 사실이 알려진 것이 계기다. 회사는 가입자 코드를 난수로 바꾸고, 5G 단독모드에서는 IMSI를 암호화하는 SUCI를 100% 적용하기로 했다. 대상에는 스마트워치 등 세컨드 디바이스, 키즈폰, LG유플러스 망 알뜰폰 고객도 포함되며 교체는 모두 무료다. 시행 6개월이 지난 10월 초 교체율이 30%대에 머물자 회사는 10월 22일부터 원격 자동 업데이트를 순차 적용하기로 했다.
11 Stryker
11의료기기 업체 스트라이커, 관리자 계정 탈취로 인튠 원격 와이프 당해 기기 수만대 초기화
미국 의료기기 업체 스트라이커가 2026년 3월 11일 마이크로소프트 환경 전체가 마비되는 사이버 공격을 받았다고 SEC에 공시했다. 공격자는 악성코드 대신 관리자 계정을 탈취한 뒤 마이크로소프트 인튠의 원격 와이프 명령으로 약 8만대의 기기를 초기화한 것으로 보도됐다. 이란 연계 해킹 조직 한달라는 20만대 이상을 지웠고 50TB를 훔쳤다고 주장했지만 조사진은 데이터 유출 증거를 찾지 못했다. 주문·제조·출하가 멈췄고, 스트라이커는 4월 초 완전 복구를 선언했으나 1분기 실적에 중대한 영향이 있었다고 인정했다. CISA와 마이크로소프트는 인튠 다중 관리자 승인 등 엔드포인트 관리 시스템 강화 지침을 내놨고 FBI는 한달라 웹사이트 2곳을 압수했다.
1건
12 Cloudflare Blog
12클라우드플레어, 정리 작업 버그로 고객 IP 프리픽스 1,100개 BGP 철회해 6시간 7분 장애
클라우드플레어는 2026년 2월 20일 17시 48분(UTC)부터 6시간 7분 동안 BYOIP 고객의 경로가 BGP에서 철회되는 장애를 겪었다고 밝혔다. 원인은 사이버 공격이 아니라 삭제 대기 프리픽스를 자동 정리하는 내부 작업의 버그였고, 빈 값으로 호출된 API가 전체 BYOIP 프리픽스를 반환해 약 1,100개가 삭제됐다. 약 800개는 변경 되돌리기로 복구됐지만 서비스 바인딩까지 지워진 약 300개는 전역 설정 재배포를 거쳐 23시 03분에야 복구됐다. 1.1.1.1 웹사이트는 403 오류를 냈으나 DNS 질의 자체는 영향이 없었고, 언론은 우버이츠·Bet365·스팀 등의 접속 장애를 보도했다. 클라우드플레어는 API 스키마 표준화, 상태 스냅샷 기반 롤백, 대량 철회 차단기 도입을 약속하며 "고객을 실망시켰다"고 사과했다.