뉴스 262
1건
1 CrowdStrike
1한국 금융사 7곳 연쇄 해킹, 크라우드스트라이크가 중국산 AI 침투도구 ARTEX 사용 정황을 공개했다
9월 30일부터 10월 초 사이 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 금융사 7곳에서 해킹 피해가 확인됐고, 신한은행에서만 고객 약 2만5천 명의 정보가 유출됐다. 크라우드스트라이크는 10월 7일 보고서에서 공격자가 중국에서 개발된 오픈소스 AI 침투테스트 도구 ARTEX를 딥시크·클로드 코드 등과 함께 썼고, 중국어 사용자이자 금전 목적일 가능성이 크다고 중간 신뢰도로 평가했다. 공격자 서버의 열린 디렉터리에서 클로드 코드 세션 기록과 ARTEX 설정 파일이 노출됐고, 훔친 한국 데이터를 팔 텔레그램 그룹을 찾아 달라는 요청도 발견됐다. 금융위원회는 10월 2일과 4일 긴급회의를 열어 전 금융권에 보안 점검 체크리스트를 배포했고, 한성숙 총리는 10월 6일 국가 보안체계 전면 개편을 지시했다. 5대 시중은행장은 10월 19일 금융감독원 국정감사에 증인으로 출석한다.
3건
2 New Mexico Department of Justice
2뉴멕시코 배심원단, 메타가 소비자를 4,390만 번 기만했다고 평결, 주정부는 350억~400억달러 벌금 요구
뉴멕시코주 샌타페이 배심원단이 9월 25일 메타가 이용자 데이터와 콘텐츠 정책에 관해 소비자를 기만해 주 불공정거래법을 약 4,390만 번 고의로 위반했다고 평결했다. 배심원단은 2010년 저커버그의 "이용자가 정보 공유를 통제한다"는 발언 등 대부분의 진술을 기만적이라고 봤고, 콘텐츠 관리에 관한 일부 진술만 기만이 아니라고 판단했다. 위반 1건당 최대 5,000달러 벌금이 가능해 이론상 최대 약 2,190억달러까지 부과될 수 있다. 주정부는 10월 1일 심리에서 350억~400억달러를 요구했고, 메타는 3억4,500만~34억5,000만달러 범위를 제시하며 헌법 위반이라고 맞섰다. 프랜시스 매튜 판사는 10월 말까지 벌금 액수를 결정하겠다고 밝혔다.
3 개인정보보호위원회
3반복·중대 개인정보 유출에 전체 매출 10% 과징금, 개정 개인정보보호법 9월 11일 시행
개인정보보호위원회는 3월 개정된 개인정보 보호법과 시행령·고시가 2026년 9월 11일부터 시행된다고 9월 10일 발표했다. 고의·중과실로 3년 이내 위반을 반복하거나 1000만 명 이상 피해를 낸 경우, 시정명령 불이행으로 유출이 생긴 경우 전체 매출액의 최대 10%까지 과징금을 물릴 수 있다. 일반 과징금 상한은 기존 매출액 3%를 유지하며, 반복 위반 가중 비율은 최대 80%로 올라가고 사전 투자 기업은 최대 40%를 감경받는다. CEO의 최종 책임을 법에 명시하고 CPO 지정·변경 시 이사회 의결과 신고를 의무화했으며, 유출 가능성 단계에서 72시간 안에 통지하는 제도를 신설했다. 개정 규정은 시행 이후 위반에만 적용되며, SK텔레콤·KT·쿠팡 등 앞선 대형 유출 사건은 기존 기준으로 처분됐다.
4 IDScan.net
4신원확인 업체 IDScan.net, 다크웹에 운전면허 1억 5300만 건 매물 등장 뒤 침해 사실 인정
미국 신원확인 업체 IDScan.net이 9월 4일 공지에서 외부자가 클라우드의 고객 정보에 무단 접근했을 수 있다고 밝혔고, 9월 29일 갱신 공지에서 접근 기간이 4월 4일부터 9월 2일까지였으며 VeriScan 플랫폼에 한정됐다고 확인했다. 사건은 보안 기자 브라이언 크렙스가 9월 1일 다크웹 서비스 '넥서스'가 미국·캐나다 운전면허 스캔 1억 5300만 건 이상을 판매한다고 보도하며 알려졌다. 1억 5300만 건이라는 수치는 판매자의 주장이며, IDScan.net은 피해 인원을 밝히지 않았다. FBI 뉴올리언스 지부가 수사에 착수했고, 캐나다 개인정보보호위원회도 9월 21일 조사 개시를 발표했다. 루이지애나 동부 연방지방법원에 최소 4건의 집단소송이 제기됐다.
1건
5 개인정보보호위원회
5개인정보위, 펨토셀 해킹 KT에 과징금 540억 부과하고 조사 방해로 고발, LG유플러스는 수사의뢰
개인정보보호위원회는 2026년 7월 29일 전체회의에서 KT에 과징금 539억 7,900만 원과 시정명령·공표명령을 의결하고 30일 발표했다. 해커는 분실된 KT 펨토셀의 인증서를 자체 제작 장비에 심어 약 11개월간 KT 망에 접속했고, 1만 6,647명의 전화번호·IMSI·IMEI가 유출돼 368명이 약 2억 4,000만 원의 무단 소액결제 피해를 입었다. KT는 2024년 3월 악성코드 감염을 신고하지 않고 2025년 서버 로그를 삭제한 뒤 거짓 자료를 냈다는 이유로 고발됐고, 조사 착수 전 서버를 폐기한 LG유플러스는 공무집행방해 혐의로 수사의뢰됐다. SK텔레콤은 2025년 8월 유심 정보 유출로 역대 최대인 과징금 1,347억 9,100만 원을 받았으며 2026년 1월 서울행정법원에 취소 소송을 냈다. 개인정보위는 조사 착수 전 증거 인멸에 형사처벌과 전체 매출 3% 과징금을 도입하는 법 개정을 연내 추진하겠다고 밝혔다.
2건
6 Cybernews
6계정정보 240억 건 담긴 8.3TB 데이터베이스가 인증 없이 인터넷에 노출됐다
사이버뉴스 연구진이 2026년 6월 12일 인증 없이 접근 가능한 엘라스틱서치 클러스터에서 약 240억 건, 8.3TB가 넘는 계정정보를 발견했다. 기록 대부분은 인포스틸러 로그로, 이메일·사용자 이름·평문 비밀번호·로그인 주소가 함께 저장돼 있었다. 데이터는 36개 출처에서 모였고 이 중 30개 이상이 텔레그램 채널이었으며, 가장 큰 덩어리인 226억 건은 '컬렉션'이라는 이름만 붙어 출처를 알 수 없었다. 데이터베이스 주인은 위협 인텔리전스·유출 감시 업체로 확인됐고, 임시 이전 과정의 설정 오류가 원인이었으며 6월 15일 접근이 차단됐다. 특정 기업 해킹이 아닌 집적 데이터이지만, 중복 건수와 실제 피해자 수는 확인되지 않았다.
7 개인정보보호위원회
7개인정보위, 3,755만명 개인정보 유출 쿠팡에 역대 최대 과징금 6,247억원 부과
개인정보보호위원회는 6월 10일 전체회의에서 쿠팡에 과징금 6,246억 8,100만원과 과태료 1,680만원을 부과하기로 의결하고 11일 발표했다. 인증 서명키 관리와 접근통제 부실로 회원 3,322만명과 비회원 433만명 등 약 3,755만명의 개인정보가 유출됐다고 결론지었다. 민관합동조사단은 인증시스템을 개발한 전직 직원이 서명키를 탈취해 인증 토큰을 위조하고 2025년 4월 14일부터 11월 8일까지 공격했다고 밝혔다. 과징금은 유출 사고분 약 4,236억원과 타사 활동기록 무단 수집분 약 2,011억원으로 나뉘며, 종전 최대였던 SK텔레콤 1,348억원의 약 5배다. 쿠팡은 10월 7일 서울행정법원에 과징금 취소 소송 2건과 집행정지를 신청했다.
1건
8 Instructure
8해커 집단 샤이니헌터스가 캔버스 LMS에서 2억7500만명 데이터를 훔쳤다고 주장하자 인스트럭처가 침해를 인정하고 해커와 합의했다
학습관리시스템 캔버스를 운영하는 인스트럭처가 2026년 4월 29일 무단 접근을 탐지하고 5월 1일 보안 사고를 공개했다. 해커 집단 샤이니헌터스는 약 9000개 학교, 2억7500만명의 개인정보를 훔쳤다고 주장했으나 인스트럭처는 이 규모를 확인하지 않았다. 인스트럭처가 확인한 유출 항목은 이름, 이메일, 학번, 수강 정보, 이용자 간 메시지이며 비밀번호와 금융정보는 포함되지 않았다고 밝혔다. 5월 7일 해커가 약 330개 기관의 캔버스 로그인 화면을 변조하자 인스트럭처는 서비스를 중단했고, 5월 11일 해커와 합의해 데이터를 돌려받고 파기 기록을 받았다고 발표했다. 미 하원 국토안보위원회와 교육부가 정보를 요구했고, 인스트럭처는 9월 29일 포렌식 검토가 끝났다며 기관별 통보를 진행 중이다.
1건
9 미디어오늘
9범여권 의원 96명, 쿠팡 수사 개입 중단 요구하는 항의서한을 주한 미국대사에 전달
2026년 4월 28일 더불어민주당·조국혁신당·진보당·사회민주당 소속 의원 96명이 '대한민국 사법주권 존중 촉구 항의서한'을 주한 미국대사 앞으로 보냈다. 서한은 사법주권 존중, 특정 개인의 사법 절차를 외교·안보 협력과 연계하지 말 것, 부당한 압력 중단 세 가지를 요구했다. 발단은 4월 21일 미 공화당 하원의원 54명이 강경화 주미대사에게 쿠팡 등 미국 기업에 대한 '차별적 조치'를 중단하라고 보낸 서한이다. 외교부는 5월 6일 강경화 대사 명의로 조사가 공정하고 비차별적이라는 답신을 보냈다고 밝혔다. 개인정보보호위원회는 6월 10일 쿠팡에 6247억 원의 과징금을 부과했고, 쿠팡은 10월 7일 취소 소송을 냈다.
1건
10 LG유플러스
10LG유플러스, 가입자 식별번호에 전화번호 넣어온 사실 드러나자 전 고객 유심 무상 교체
LG유플러스가 2026년 3월 17일 전 고객 대상 유심 무상 교체와 재설정을 발표했고, 실제 시행은 4월 13일부터 시작됐다. 유심에 저장되는 가입자 식별번호(IMSI) 15자리 중 8자리가 가입자 휴대전화 번호와 일치하는 구조를 2011년 LTE 도입 이후 유지해 온 사실이 알려진 것이 계기다. 회사는 가입자 코드를 난수로 바꾸고, 5G 단독모드에서는 IMSI를 암호화하는 SUCI를 100% 적용하기로 했다. 대상에는 스마트워치 등 세컨드 디바이스, 키즈폰, LG유플러스 망 알뜰폰 고객도 포함되며 교체는 모두 무료다. 시행 6개월이 지난 10월 초 교체율이 30%대에 머물자 회사는 10월 22일부터 원격 자동 업데이트를 순차 적용하기로 했다.