美 CISA, ProFTPD·ONLYOFFICE Docs·Strapi·Apache Struts·ISC BIND 취약점 KEV 추가(실제 악용 확인)

✅ 권고 조치해당 제품 사용 여부 확인 후 즉시 최신 보안 패치 적용

금융권 AI 해킹, 금융보안원이 사고 2주 전 실제 AI 에이전트 공격 사례까지 공유했는데도 연쇄 유출

✅ 권고 조치외부 노출 시스템(대출모집·영업지원 등) 상시 점검, 연 1~2회 진단에 의존 금지

금융권 AI 해킹 용의자, 中 디도스 대행조직 '갓넷·비타스' 연루 정황… 경찰 전담팀 43명으로 확대, 아르텍스(ARTEX) 개발 중단

서울대, 6년간 28차례 해킹 피해·1132명 개인정보 유출… 수사 의뢰는 0건

의료기관 사이버 침해 6년여간 114건, 89.5%(102건)가 랜섬웨어… 병·의원급에 80% 이상 집중

✅ 권고 조치중소 병·의원 오프라인 백업·원격접속 통제 점검

한국은행·국책은행 해킹 시도 올해 9개월 만에 102만건, 지난해 연간 건수 초과(실제 침해는 미확인)

쏘카, 내부용 회원조회 API 공격으로 고객 248명 개인정보 유출… 10분 만에 인지·차단

학회 홈페이지 운영사 해킹, 대한건축학회 등 학회 6곳 회원 개인정보 유출

여의도순복음교회 등 교회 성도 정보 유출 의심, KISA가 통보

한전 직원 개인정보 홍콩으로 유출, 정보보안 예산 축소 논란

바른손M카드 등 모바일 청첩장 데이터 유출, 혼주 계좌·돌잔치 정보까지 노출

다크웹 올리브영·카카오모빌리티 고객정보 판매글, 확인 결과 AI 생성 의심 '가짜' 데이터

국가 보안 R&D 과제 31건 중 28건 외국인 연구인력 사전승인 절차 부실

금융권, 지난해 정보보호 예산 70%만 집행

은행권 보안 투자 확대, KB국민은행 내년 보안 예산 1천억원대 편성

[국감] 주민번호 288만 건 유출, 한 번 해킹에 수십만 건 노출

연계정보(CI) 유출 대비 유효기간 도입 필요 제기

AI 해킹 비상 은행권, 보안 예산 비중 0.9% 지적… AI 보안투자 중 보안관제(SOC) 19%·이상거래탐지(FDS) 5%에 그쳐

LH 사이버공격 탐지 올해 8월까지 160만건, 국가철도공단 3.4만건… 친러 해킹그룹 디도스로 LH 홈페이지 접속 지연·장애

해킹된 CCTV·웹캠, 전쟁 정찰 도구로 악용… 시설관리 부서가 무단 운영하는 카메라는 랜섬웨어 침투 우회로로도 쓰여

정부, 앤트로픽 고성능 AI '미토스' 접근 권한 획득 재추진… 빠른 취약점 탐색·공격 준비가 가능해 AI 기반 사이버공격 위험 사례로 거론, 수출 통제 대상

美 대형 은행 사이버보안 전담인력, 국내 4대 은행의 최대 47배·예산은 37배… 은행 규모별 방어 체계 구축 필요 제기

개인정보 탈취범 처벌은 500만원 수준인데 피해 기업 부담은 4000억원… 개인정보 유출 범죄 처벌 수위 불균형 지적

정보 유출이 급증했는데도 주민번호 변경 신청은 감소… 변경위원회는 보이스피싱 감소(올해 1~8월 발생 49% 감소)를 주요 요인으로 제시

철도 분야 해킹 시도 19배 급증했는데 보안 인력은 5명뿐… 국감서 교통 핵심시설 보안 역량 부족 지적

구글 협업 해외 연구 사이트에서 디지털성범죄 피해자 개인정보 유출, 식별정보 노출 15건 포함 200여건 삭제·차단… 성평등부, 네이버·구글·메타 등 플랫폼과 대응 간담회

보험대리점(GA) 고객정보 유출 반복, 대기업 계열 GA도 보안 취약… 보험영업지원 IT업체 지넥슨 개발자 PC 악성코드 감염으로 솔루션을 쓰던 GA 14곳 관리자 계정 유출 추정, 하나금융파인드 등 포함

결혼정보업체 듀오, 회원 42만명의 이혼 사유·전 배우자 이름 등 민감정보 유출… 과징금 11억9700만원, 피해 보상 놓고 공방

금융권 AI 해킹 계기로 모의해킹 점검 범위·외부접점 관리 허점 지적, 이억원 금융위원장은 망분리 규제 개선 시사

[국감] 중앙선관위 망분리 사업 3년째 지연·개인정보 유출 반복 지적, 선거 보안체계 전면 재점검 요구

[국감] KT, 2024년 3~7월 서버 38대 악성코드 감염을 신고하지 않고 자체 삭제한 사실 드러나… 침해 서버 10대 로그 삭제도 확인, 신규 가입자 모집 금지 제재 거론

금융권 정보유출 잇따르자 정보보호최고책임자(CISO) 선임을 이사회 절차에 맡기는 등 독립성 강화 추진

국립대병원, 환자·직원 실명이 담긴 감사문서를 3년 이상 외부에 공개된 상태로 방치

[국감] 예가람저축은행 개인정보 유출 사고 신고서 공개… 고객 주민번호·성명·전화번호·계좌번호·주소 등 유출

연계정보(CI) 유출 피해자가 CI 사용 중단을 요구하자 기업이 요청하지 않은 회원탈퇴 처리… 피해자 선택권 보장 논란

공단 급여 정지 안내를 사칭한 피싱 메일이 네이버 메일 이용자에게 유포, 링크 클릭 주의

롯데카드 개인정보 유출 집단소송 1년, 피해자 2725명 소송 등 진행 중… '원고 특정'이 쟁점

LG유플러스·네이버, 과태료·시정명령 처분 후에도 발신번호 변작 방지의무 재위반… 보이스피싱 사실상 방조 지적, 반복 위반 사업자 제재 강화 필요 제기

국가재정망 해킹 시도 올해 651건으로 지난해 연간(820건)의 79.4% 도달… 기관별 재경부 237건, 6월 출범한 한미전략투자공사도 1개월여 만에 86건

개인정보보호위원회 예산은 늘었지만 2년 넘게 처리하지 못한 개인정보 유출 사건 30건… 2024년 학생 1만2천여명 정보가 유출된 홍익대 건, 과징금 9억원 처분 후 5개월 만에 재유출한 페이팔 건 등 포함

롯데카드, 1700억원 회사채 발행 하루 뒤 297만명 개인정보 유출 발표… 회사채 발행 시 정보유출 위험을 투자자에게 충분히 알리지 않았다는 지적

[단독] 개인정보 무단열람에 건보공단은 해임·정직 중징계, 우정사업본부는 형사처분까지 받은 유출 사건에 '불문경고'만

[단독] 외교부 대상 사이버공격 올해 약 46% 급증, 대응 인력은 수년째 제자리

[국감] 교육위, 연구자 등 약 12만명 개인정보 유출로 과징금 7억300만원을 받은 한국연구재단의 관리 부실 다룰 전망

김종철 방미통위 위원장, 개인정보 유출 사건이 잇따르자 연계정보(CI)를 1~3년마다 바꾸는 유효기간제 검토 밝혀

최근 2년간 금융사고 200건 넘었지만 임원 제재는 한 건도 없어… 금융·사이버공격 양쪽에서 AI 활용이 늘어나는 만큼 위험관리 임원 책임과 제재 기준을 구체화해야 한다는 지적

삼성생명·한화생명·KB라이프 등 주요 생명보험사, 금융권 해킹 시도가 잇따르자 금융당국이 공유한 공격 IP 외에 해외 IP 접속까지 전면 차단

서천호 의원, 방미통위가 '적합' 판정한 은행들에서 개인정보·연계정보(CI) 유출 지적… 우리은행은 7월 1만7천여명 개인정보와 CI가 함께 유출, 최근 2만5천명 개인정보·CI 97건 유출 사례도 거론

의료기관 영상 유출에 산부인과계 반발, 중소 병·의원에 완벽한 보안 책임을 요구하는 것은 비현실적이라며 CCTV 의무화 재검토 요구

[국감] 한국은행 디지털화폐 실증사업 '프로젝트 한강', 개인정보 감시 가능성·해킹 안전성 문제 제기… 신현송 총재 "개인 거래정보는 기존 금융제도처럼 개별 은행이 관리"

건강보험심사평가원, 280억건 규모 의료 빅데이터 유출 위험에 대비해 배상책임보험 추진… 의료기관 대상 랜섬웨어·해킹 시도가 잇따르자 선제 대응

경찰 국가수사본부장, 국감서 쿠팡 개인정보 유출 사건 피의자 신원 특정 밝혀… 피의자가 중국에 있어 현지와 협의 중이며 공범은 국제 공조로 수사

주택관리공단, 감사 7차례에도 개인정보 관리 부실 반복 지적… 주민등록번호 등을 취급하는 기관의 안전조치 미흡

KISA, 서버 취약점 공격에 이어 AI 프롬프트(명령어)와 개발자 플랫폼을 노린 새로운 형태의 해킹이 조만간 본격화할 것이라고 경고

서천호 의원, 법인 등 사업자 명의 대포폰 6,243건으로 2024년 대비 195배… 법인 명의 다회선 개통·저가 알뜰폰 요금제·부실한 가입자 확인 절차가 결합하면 보이스피싱·리딩방 사기 등에 악용될 우려

경찰 보디캠 '중국산 둔갑' 의혹, 개인정보·수사정보 중국 유출 우려 제기… 경찰청장 직무대행 "KISA 등 전문기관 정밀 감정 결과 백도어 탐지 안 돼"

금융위 해킹 사고 후 은행 보안점검, 은행별 확인기간 제각각 지적… 신한은행 해킹 공격자 IP가 인터넷은행 두 곳에도 접근한 흔적 확인돼 과거 접속기록까지 점검 범위 확대 요구

신한은행 해킹(약 2만5천명 개인정보·CI 유출) 계기로 '전면 집단소송법' 도입 논의 부상, 소액 보상에 그치는 피해 구제 한계 지적

방미통위, 불법스팸으로 얻은 부당이익 환수를 위한 과징금 신설 추진

소비자와함께, 국회서 유명인 사칭 피싱 광고를 플랫폼이 사전 차단하도록 하는 '사기광고금지법' 입법 촉구

이재명 대통령 '불법 사이트 직접 해킹해 폐쇄' 발언… 보안업계는 공격자 서버·인프라를 장악해 불법 데이터를 삭제·무력화하는 '합법적 해킹'이 기술적으로 가능하다고 평가

[금고 뒷문 해부] 부산은행 보안교육 예산 '0원' 지적… 유출된 개발자 신상정보는 스피어피싱과 내부 시스템·외주사 접근을 노린 2차 침입의 표적이 될 우려

저축은행중앙회에도 해킹 시도 확인, 저축은행 67개사가 이용하는 통합전산망 보안 우려… 앞서 예가람·웰컴저축은행은 해킹으로 개인정보 유출

해커는 공급망·업종 경계를 넘나드는데 정부 사이버 침해사고 대응은 IT·통신·금융 등 분야별 기관으로 나뉘어 있어 대응 체계를 통합해야 한다는 지적

은행권, 해킹에 따른 개인정보 유출 피해 '전액 보상'을 약속했지만 피해 인정 기준·절차는 불명확… 유출 정보가 보이스피싱·대출사기에 악용돼 고객이 직접 송금한 경우까지 보상하는지가 쟁점

웰컴저축은행·현대캐피탈, 정상 접근으로 위장한 공격에 탐지가 우회돼 해킹 인지가 닷새 늦어져… 금융당국 점검 부실 논란도 제기

앤트로픽 클로드, 최근 11개월간 오픈소스 소프트웨어에서 보안 취약점 후보 약 2만9천건 발견… 개발자에 통보한 6157건 중 수정이 확인된 것은 516건

[단독] 공공기관 개인정보 유출 772만건인데 담당자 징계 권고는 2건뿐… 사고 책임자 문책 제한적 지적(서일준 의원실 자료)

[국감] 김현정 의원, 고객정보 2만5727건이 유출된 신한은행 해킹 사고와 관련해 은행장 책임을 묻고 성과급을 환수해야 한다고 요구

정무위, 해킹 공격을 받은 5대 은행장 국감 증인 채택… 외부 해킹으로 개인정보가 유출된 국민·신한·하나은행 중 신한은행에 질의 집중 전망

북한 김수키, 국내 보안 컨퍼런스 'KCSCON 2026' 발표자 초청을 사칭한 이메일로 우크라이나 외교·안보 전문가 공격… 깃허브·깃랩을 악성코드 유포·정보 유출 경로로 악용

금융권 연쇄 해킹에서 시중은행은 정보 유출이 잇따른 반면 인터넷전문은행은 피해를 입지 않아… 외부에 노출된 전산시스템의 구조적 차이가 배경으로 거론

개인정보 유출 손해배상 책임보험 의무가입 기업 10곳 중 8곳이 법정 하한선(10억원)에 몰려… 제도가 실효성 없는 '면죄부'로 전락했다는 지적

금융권 해킹이 잇따르며 접속자 신원·권한을 지속 검증하는 제로트러스트가 주목받지만 정작 관련 예산은 줄어

쿠팡, 국감서 개인정보 유출 피해자 50명에게 각 10만원을 배상하라는 집단분쟁조정 결정을 수용하지 않은 점 질타받아… 쿠팡 측은 구매이용권 제공 등 자체 대응 조치를 마련했다고 해명

[단독] 2022년부터 개인정보 보호수준 평가에서 A등급 이상을 받아온 공공기관 3곳에서 개인정보 유출… 평가 제도가 실제 보호 수준을 반영하지 못한다는 지적

최형두 의원, 해킹에 따른 개인정보 유출 제재가 민간기업은 1300억원인데 법원은 2억원이라며 공공·민간 간 제재·문책 '이중잣대' 지적

김종양 의원, 국토부 소속·산하기관이 해마다 수십만건의 사이버공격을 받는데도 AI를 활용한 공격에 대한 대응체계는 미비하다고 지적

해킹으로 유출된 개인정보가 피싱에 악용돼도 유출과 피해 사이의 인과관계 입증이 어려워 배상 받기 어려워… 금융사 무과실 배상책임 도입 논의 부상

김건희 페이스북 계정이 해킹된 채 3개월간 방치… 계정 복구 권한 부여를 둘러싼 메타의 책임 문제 제기

CISA KEV 추가ProFTPD·ONLYOFFICE Docs·Strapi·Apache Struts·ISC BIND 실제 악용 확인, 즉시 패치

CVE-2026-108905 pH7Builder 18.6.0 미만 하드코딩 API 키 우회HIGH(8.7), 비인증으로 회원 이메일·전화·계좌정보 조회

CVE-2026-108902 pH7Builder 18.5.0 미만 경로 조작 임의 파일 삭제HIGH(8.1)

CVE-2026-108883 등 JeecgBoot 3.9.5 이하 권한검증 누락 다수최고 HIGH(7.1), 저권한 사용자가 서드파티 앱 연동 설정 변조

CVE-2026-108913 Omarchy 4.0.1 미만 서드파티 테마 통한 코드 실행HIGH(7.1)

CVE-2026-107761 Postiz API 응답에 채널 액세스 토큰·조직 API 키 노출

CVE-2026-19935 등 Zephyr RTOS 취약점 다수 공개블루투스 L2CAP CoC 채널 해제 시 UAF, 사용자 모드에서 커널 스택 오버플로(CVE-2026-19669), TCP 초기 시퀀스 번호 예측 가능(CVE-2026-19735) 등

CVE-2026-108768 CowAgent 2.2.0 이하 스트리밍 도구호출 인자 처리(json.loads) 자원 할당 제한 없음원격 서비스 거부 가능, 공개 익스플로잇 존재

CVE-2026-108963 Databasement 1.8.2 미만 인자 주입 원격코드실행인증 사용자가 DB 이름에 mariadb-dump 옵션(--result-file 등)을 넣어 웹 루트 파일을 덮어쓸 수 있음

CVE-2026-108976 GNU Emacs 31.2 미만(TRAMP 2.8.2 이하) 파일명 통한 OS 명령 주입HIGH(7.8), CVE-2026-79992 불완전 패치에서 비롯

CVE-2026-108773 JEEWMS 2026.09.27-W39 이하 SQL 인젝션WmOmNoticeHController docheck 함수의 goodscode 인자 조작, 원격 공격 가능

CVE-2026-108770 Appwrite 2.3.0 이하 브라우저 스크린샷 서비스 SSRFurl 인자 조작으로 서버측 요청 위조, 원격 공격 가능

CVE-2026-108772 abstruse 2.1.0 이하 캐시 엔드포인트 경로 조작download_cache.go의 File 인자로 경로 탐색, 원격 공격 가능

CVE-2026-108774 등 JEEWMS 2026.09.27-W39 이하 SQL 인젝션 추가 다수 공개WmInQmIController·WvGiController 등의 searchstr 인자 조작, 원격 공격 가능

CVE-2026-66086 모뎀 OTA 스택 스택 기반 버퍼 오버플로CRITICAL(9.8), SIB1 메시지 스케줄링 정보 검증 미흡으로 추가 권한 없이 원격코드실행·서비스 거부 가능

CVE-2026-108980 Blinko 1.8.8 이하 디렉터리 탐색 원격코드실행인증 사용자 누구나 installPlugin에 ../ 포함 이름을 넣어 root 권한으로 시작 파일 덮어쓰기 가능

CVE-2026-108982 VeraCrypt 1.26.29(macOS FUSE-T 빌드) 세션 종료 미흡볼륨 해제 후에도 보조 서비스(go-nfsv4)·헬퍼 프로세스가 남아 복호화된 데이터에 의도치 않게 접근 가능

CVE-2026-108981 ngx_cache_purge 3.0.4 미만 심볼릭 링크 통한 임의 파일 삭제nginx와 웹앱(WordPress 등)이 같은 계정으로 실행되고 공격자가 캐시 경로에 심볼릭 링크를 만들 수 있는 경우

CVE-2026-108783 Amnezia-Web-Panel 1.6.2/1.7.2 이하 백업 다운로드 기본 자격증명 사용원격 공격 가능, 공개 익스플로잇 존재

CVE-2026-108784 등 macrozheng mall 1.0.3 이하 결제 엔드포인트 비즈니스 로직 오류total_amount 인자 조작, 토큰 갱신 세션 만료 문제(CVE-2026-108785)도 함께 공개, 원격 공격 가능

CVE-2026-108791 등 CicadasCMS 템플릿 관리 경로 탐색TemplateController.input·save의 filePath 등 인자 조작

CVE-2026-108788 등 deepseek-ai deepseek-harness 0.1.1-rc.2 이하 샌드박스 취약점spawn 함수의 Profile 인자 조작, 로컬 공격, 공개 익스플로잇 존재

CVE-2026-108786 등 houtini-ai MCP 서버 SSRFseo-crawler-mcp 2.1.5 이하·voice-analyser-mcp 2.1.1 이하, 크롤링 URL 인자 조작으로 원격 서버측 요청 위조

CVE-2026-107406 Citrix NetScaler ADC·NetScaler Gateway 메모리 버퍼 경계 내 작업 제한 미흡KISA 보안 업데이트 권고, NetScaler ADC 13.1-64.29 미만 등 영향

CVE-2026-21120 등 삼성 모바일 SMR 2026년 10월 Release 1 취약점 다수 공개WSM 서비스 UAF로 시스템 권한 코드 실행 가능 HIGH(8.9), libsimba HEIF 디코더 입력 검증 미흡으로 코드 실행 가능(CVE-2026-21125·CVE-2026-21124, HIGH 8.6) 등, 모두 로컬 공격

CVE-2026-21139 등 삼성 앱 취약점 다수 공개Windows용 Samsung Continuity Service 4.6.1217.0 미만 접근통제 미흡으로 인접 공격자가 연결된 모바일 기기 조작 가능 HIGH(7.3), Smart Switch·Samsung Flow·Samsung Internet·Samsung Checkout 등도 함께 패치

CVE-2026-93582 등 OTRS 취약점 다수 공개Community Edition 6 이하 HTTP Basic 인증 모듈이 HTTP_REMOTE_USER 값을 사용자명으로 받아들여 헤더 위조로 인증 우회 가능, 비인증 Agent Frontend 설정 노출(CVE-2026-78356)·관리 기능 CSRF(CVE-2026-78358) 등

CVE-2026-109080 Flock Night Shift 호스팅 서비스 번호판 일괄 검색 SQL 인젝션인증 사용자가 다른 고객 조직의 번호판 인식 기록 등을 열람 가능(수정은 불가), Flock 내부 점검으로 발견

CVE-2026-108804 TRENDnet TEW-751DR·TEW-752DRU·TEW733GR(1.03B01/1.03B03) 웹 관리 백엔드 pigwidgeon.cgi OS 명령 주입service 인자 조작, 원격 공격 가능

CVE-2026-84167 등 WordPress Hotel Booking 플러그인 3.8 이하 IDOR구독자 권한 사용자가 다른 고객 예약의 이름·이메일·전화번호·주소 열람 가능, 예약 관리 기능 CSRF(CVE-2026-84166)도 함께 공개

CVE-2026-109082 Keycloak keycloak-services CIBA 기밀 클라이언트 전용 제약 미적용공개 클라이언트도 클라이언트 시작 백채널 인증(CIBA) 흐름을 사용할 수 있는 결함

CVE-2026-107203 등 Foreman 권한 검증 결함도메인·서브넷 인터페이스 API가 권한의 검색 제한을 적용하지 않아 전체 호스트 인터페이스 정보 노출, 필터 조회 API도 검색 제한을 무시해 저권한 사용자가 다른 역할의 필터 삭제 가능(CVE-2026-107193)

CVE-2026-108802 RuoYi 4.8.3 이하 사전 데이터 미리보기 renderDrawer 크로스사이트 스크립팅/system/dict/data/add의 cssClass 인자 조작, 원격 공격 가능

CVE-2026-107791 WordPress WP Comment Cleaner 플러그인 7.2 미만 권한·nonce 검증 누락구독자 권한 사용자가 사이트의 모든 댓글을 영구 삭제 가능