보안 가이드
비밀번호, MFA, 기기, 공용 Wi-Fi, 서버, 의존성, Git, 노출된 환경 — 오늘 바로 적용할 수 있는 방어책을 목표별로 정리한 실용 가이드입니다.
Fireworks AI 보안 사고(2026년 10월): 결제 정보와 일부 데이터셋·모델 가중치에 영향, 회사는 클라우드 업체 침해가 관련됐다고 설명. 고객이 해야 할 일
AI 모델 추론 인프라를 제공하는 Fireworks AI는 2026년 10월 9일에 처음 공개한 보안 사고에 대해 11월 9일 업데이트를 발표했습니다. 회사에 따르면 10월 6일에 발견한 최초 사고에서는 Fireworks에 저장된 비밀 정보(평가 작업에서 쓰는 것 등)만 영향을…
NEAR AI, 추론 엔진 결함으로 침해(사용자 약 100명의 계정 정보): 확인된 내용과 사용자·AI 인프라 운영자가 해야 할 일
AI 채팅과 에이전트를 제공하는 NEAR AI는 2026년 11월 9일자 공식 블로그 글에서 인프라 일부에 대한 무단 접근을 공개했습니다. 회사에 따르면 원인은 자사 서버에서 돌던 오픈 소스 추론 엔진 SGLang의 원격 코드 실행 결함이며, 공격자는 추론 서버 한 대…
SAP 보안 패치 데이 2026년 11월: CVSS 10.0 결함 4건. 인터넷에 노출된 Web Dispatcher와 ICM부터 패치하세요. 영향 여부 확인법과 오늘 할 일
2026년 11월 10일 SAP의 보안 패치 데이에서 새 보안 노트 35건과 GitHub 보안 권고 4건이 공개되었고, 기존 노트 3건이 업데이트되었습니다. SAP의 목록에서 Critical로 표시된 행은 9개입니다. 그중 4건이 CVSS 10.0입니다. NetWeaver AS ABAP의 Internet C…
Sharefull 내부 관리 시스템 무단 접근(최대 약 750만 계정): 이름, 은행 계좌 정보, 긴급 연락처 등 유출 가능성 — 근로자가 해야 할 일
Sharefull은 2026년 11월 9일, 제3자가 내부 관리 시스템에 무단으로 접근해 이용자의 개인정보가 유출됐을 수 있다고 발표했습니다. 접근은 11월 4일 23:30경에 일어났고 11월 5일 9:45경에 감지됐으며, 같은 날 경로를 차단했습니다. 최대 약 750만 개인 계…
스미토모생명 Vitality 신청 시스템 무단 접근(약 8만 명): 이름, 주소, 전화번호, 일부 마스킹된 카드 번호 유출 — 이용자가 해야 할 일
스미토모생명보험은 2026년 11월 9일, 시스템 업무를 위탁한 회사의 시스템에 제3자가 무단으로 접근해 '스미토모생명 Vitality 트라이얼·법인용'과 'Vitality Smart'(복리후생형 포함)를 이용 중이거나 이용한 적이 있는 약 8만 명의 정보가 유출됐다고 발표…
Amplifon Americas(청각 케어) 데이터 유출(보도 기준 약 133만 명): 청력·의료 정보와 운전면허 번호 등, 통지를 받았을 때 해야 할 일
Amplifon Americas는 2026년 2월 11일 네트워크 일부에서 수상한 활동을 감지했으며, 조사 결과 권한 없는 제3자가 1월 18일부터 2월 8일 사이 일부 시스템의 파일을 입수한 것으로 확인됐다고 밝혔습니다. 10월 6일 데이터를 검토해 일부 개인 정보가 영향을…
Ethersphere bee-js 13.3.0과 Swarm Desktop 0.56.2에 악성코드가 배포됨(2026년 11월): 영향받는 버전과 사용자가 해야 할 일
분산 스토리지 네트워크 Swarm의 개발사 Ethersphere의 npm 패키지 @ethersphere/bee-js 13.3.0에 악성 코드가 들어 있었습니다. 2026년 11월 9일 공개된 GitHub 권고(GHSA-hh7j-5m3j-23pf)는 영향받는 버전이 13.3.0뿐이며 패치된 버전은 없다고 밝힙니다.…
Mitsui Direct General Insurance 웹사이트 무단 접근(약 234,000건): 이름, 주소, 차량 정보 유출 — 견적을 받았거나 가입한 사람이 해야 할 일
2026년 11월 6일 Mitsui Direct General Insurance Co., Ltd.는 제3자가 자사 웹사이트에 무단 접근해 고객 정보 일부가 유출되었다고 발표했습니다. 회사는 11월 4일 이른 시각에 접근을 감지했고 웹사이트와 앱의 모든 절차를 중지했습니다. 영향을 받은 사…
mittwald MCP 서버 결함 악용으로 고객 프로젝트 56건 침해(2026년 11월): 공개된 경과와 사용자·AI 연동 운영자가 해야 할 일
독일 웹 호스팅 업체 mittwald는 공식 블로그 글에서 고객의 AI 어시스턴트를 관리 화면 mStudio에 연결하는 MCP 서버의 결함이 악용되어 고객 프로젝트 56건이 침해되었다고 밝혔습니다. 회사에 따르면 공격자는 10월 21일 결함을 처음 시험했고, 10월 23일…
니토리 무단 접근: 최대 3,762만 건의 개인정보(이름, 주소, 전화번호, 생년월일)가 유출되었을 수 있음, 개인 회원과 법인 회원이 해야 할 일
2026년 11월 9일, Nitori Holdings Co., Ltd.(니토리)는 11월 6일 자사가 관리하는 시스템에 대한 제3자의 무단 접근을 확인했으며, 서버에 보관된 개인정보 최대 3,762만 건이 외부로 유출되었을 수 있다고 발표했습니다. 대상은 니토리 그룹의 개인 회원과…
Raksul 인쇄 데이터 입고 시스템 무단 접근(건수 집계 중): 인쇄 데이터에 담긴 이름, 주소, 전화번호가 유출됐을 수 있음 — 고객과 인쇄물에 이름이 실린 사람이 해야 할 일
2026년 11월 9일 Raksul Inc.는 Raksul 서비스의 데이터 입고 처리와 관련된 시스템에 제3자가 무단 접근해 개인 정보가 외부로 유출됐을 수 있다고 발표했습니다. 접근은 2026년 11월 8일 0시 20분경에 드러났습니다. 회사는 자사 시스템의 자격 증명이 부정…
밴더빌트 대학교 사이버 보안 사고(진행 중): Wi-Fi, Okta, 이메일, CampusPrint 복구, 나머지 시스템은 제한, 완전 복구까지 수 주, 학생과 교직원이 해야 할 일
2026년 11월 9일 미국 테네시주의 밴더빌트 대학교는 대학 기기, 시스템, 클라우드 서비스에 영향을 줄 수 있는 진행 중인 사이버 보안 사고에 대응하고 있다고 밝혔습니다. 대학은 11월 10일 오후 6시 업데이트에서 교내 Wi-Fi, Okta(다요소 인증은 계속 사…
Euglena의 akyrise 온라인 스토어 무단 접근(최대 약 90만 건): 이름, 주소, 전화번호가 유출되었을 수 있음 — 구매자가 해야 할 일
2026년 11월 5일 Euglena Co., Ltd.는 화장품 브랜드 akyrise의 온라인 스토어에 11월 4일 제3자가 무단 접근했으며 회원 정보가 유출되었다고 발표했습니다. 회사는 같은 날 스토어를 닫고 일본 개인정보보호위원회에 속보를 제출했습니다. 유출되었을 수 있…
Rohto Pharmaceutical 통신판매 사업에 대한 무단 접근(고객 관리 시스템 2,797,545명, 통화 녹음 속 카드 번호 9,715명): 전화 주문 고객과 그 밖의 모든 사람이 해야 할 일
2026년 11월 6일 Rohto Pharmaceutical Co., Ltd.는 통신판매 사업에 쓰는 전화 시스템에 대한 무단 접근의 조사 결과를 발표했습니다. 고객 관리 시스템에 있던 2,797,545명의 이름, 주소, 전화번호(항목은 사람마다 다름)와, 통화 녹음에 담긴 9,715명의 신…
온라인 마작 게임 Maru-Jan 무단 접근(회원 1,855,578명): 이메일 주소와 비밀번호 유출 — 회원이 해야 할 일
2026년 11월 7일 Signaltalk Co., Ltd.는 자사가 운영하는 온라인 마작 게임 Maru-Jan에 대한 무단 접근으로 회원 1,855,578명의 이메일 주소와 비밀번호가 유출되었다고 발표했습니다. 회사는 관리 시스템의 한 기능이 악용되어 회원 정보를 포함한 데이터가…
SMBC Consumer Finance 대출 보증 시스템 유출(최대 320,118명): 운전면허 번호, 근무처 정보, 소득 유출 — 은행 카드론 이용자가 해야 할 일
2026년 11월 5일 SMBC Consumer Finance Co., Ltd.는 대출 보증 사업에 쓰는 시스템에 제3자가 무단 접근해 데이터가 시스템 밖으로 전송되었다고 발표했습니다. 회사는 11월 2일에 접근을 감지하고 그날 바로 해당 시스템에 대한 접근을 차단했으며, 추가 조…
Perry Johnson & Associates(PJ&A) 의료 정보 유출: 4개 주가 최대 1,000만 달러에 합의(1,330만 명), 노출된 정보와 해야 할 일
2026년 11월 6일 뉴욕, 코네티컷, 미시간, 뉴저지 주 법무장관은 의료 전사·코딩 업체 Perry Johnson & Associates, Inc.(PJ&A) 및 계열사 4곳(통칭 Perry Johnson 회사들)과의 합의를 발표했습니다. 2023년 3월에 발생해 전국 약 1,330만 명이 해당한 유출…
크레디 뮈튀엘 아르케아(프랑스) 사이버 공격: 서비스 제공업체 플랫폼을 통한 자사 계좌의 부정 이체, 고객 자산은 영향 없음
2026년 11월 4일, 프랑스 금융그룹 크레디 뮈튀엘 아르케아(Crédit Mutuel Arkéa)는 부정 거래를 가능하게 한 공격을 받았다고 밝혔습니다. 그룹에 따르면 공격자는 서비스 제공업체의 플랫폼을 통해 그룹에 도달했고, 아르케아 자사 계좌에서 다른 은행 관계…
DigiCert(인증 기관) 내부 업무 시스템 침해: 고객 담당자의 연락처와 일부 신분 증명 문서, 고객이 할 일
DigiCert는 Mozilla Bugzilla에 올린 사고 보고서(전체 보고서는 2026년 11월 2일경 일본 시간에 게시)에서, 고객이 신원을 검증하기 위해 제공한 정보를 보관하는 내부 업무 시스템에 무단 접근이 있었다고 밝혔습니다. 데이터에 접근한 기간은 2026년 6월 2…
NTT DOCOMO 'docomo Online Shop'·'My docomo' 정보 유출(최대 약 30만 건): 본인확인서류 번호 유출, 이용자가 해야 할 일
NTT DOCOMO는 2026년 11월 4일 docomo Online Shop과 My docomo에 대한 외부로부터의 부정 접근을 확인했고, 11월 5일 오전 1시 5분경부터 두 서비스의 각종 절차를 중단하고 긴급 점검에 들어갔습니다. 회사는 11월 5일 제2보에서 긴급 점검 전에 부정 접근…
Hotto Motto 뉴스레터 발송 서비스 무단 접근(최대 약 700만 건): 이름, 생년월일, 전화번호 유출, 회원이 해야 할 일
Plenus Co., Ltd.는 2026년 11월 4일, 외부 위탁업체가 제공하는 Hotto Motto 뉴스레터 발송 서비스가 제3자의 무단 접근을 받아 고객의 이메일 주소를 포함한 회원 정보가 유출됐다고 발표했습니다. 회사는 11월 2일 위탁업체로부터 보고를 받았습니다. 사고…
Iris Plaza 무단 접근(약 770만 명분 정보): 이름, 주소, 암호화된 비밀번호 유출 가능성, 회원과 구매자가 해야 할 일
Iris 그룹 소속 Iris Plaza Co., Ltd.는 2026년 11월 5일 제2보에서, Iris Ohyama 공식 온라인 스토어인 Iris Plaza에 대한 무단 접근으로 고객 개인정보 일부가 유출됐을 가능성이 있다고 밝혔습니다. 회사는 10월 28일 이용 중인 외부 클라우드 서비스에서…
「승리의 여신: 니케」PC 런처 파일이 변조되어 악성 프로그램이 배포됨: 9월 27일 15:41(일본 시간) 이후 Windows 버전을 실행한 사람이 할 일
2026년 11월 5일, 「승리의 여신: 니케」(GODDESS OF VICTORY: NIKKE)의 운영사 Level Infinite는 PC 런처의 일부 파일이 제3자에 의해 변조되어 런처 실행 시 악성 프로그램이 동작할 수 있었다고 발표했습니다. 운영사에 따르면 게임 서비스 일부가 사용하…
OpenSSH 10.6p2 긴급 수정(CVE-2026-123158): CISA KEV에 추가됨, Alpine 등 PAM이 없는 musl 시스템의 sshd에 비밀번호 없이 로그인될 수 있음
2026년 11월 5일 OpenSSH는 PAM을 끈 상태로 빌드·실행되는 일부 Linux 시스템(특히 Alpine Linux 같은 musl libc 사용 시스템)의 sshd 비밀번호 인증 우회 문제에 대한 중요한 회피 조치를 담은 10.6p2를 공개했습니다. CVE는 CVE-2026-123158입니다(CVSS 3.…
SonicWall SonicOS SSL-VPN CVE-2026-19868: SAML과 MFA 우회 가능, CISA KEV 등재(Gen7·Gen8 업그레이드)
CVE-2026-19868은 SonicWall 방화벽의 운영체제인 SonicWall SonicOS의 SSL-VPN 서비스 취약점입니다. 2026년 11월 6일 SonicWall의 권고 SNWLID-2026-0014에 따르면, SSL-VPN 로그인에 SAML을 활성화한 방화벽에서 다른 인증 방식(alternate authentication…
산토리 그룹 개인정보 유출(직원 및 파트너사 직원 약 90,000명, 그 밖의 그룹): 외부 클라우드 서비스 무단 접근으로 이름·이메일 주소 등 유출, 지원자와 고객이 할 일
산토리 그룹은 2026년 11월 2일, 그룹이 이용하는 외부 클라우드 서비스에 대한 제3자의 무단 접근을 확인했으며, 제3자가 내려받은 파일 일부에 개인정보가 포함되어 있었다고 발표했습니다. 10월 28일 이상을 감지해 접근을 차단했고, 10월 29일 개인정보가…
Arara의 이메일 발송 서비스 Arara Message에 대한 무단 접근(이메일 주소 약 8,130만 건): 이름 등 회원 데이터도 포함. 뉴스레터 수신자와 고객사가 해야 할 일
2026년 11월 6일, Arara Inc.(PayCloud Holdings의 자회사)는 3차 보고에서 별도 클라우드 환경(환경 B)에서 반출된 이메일 주소 3,249,492건을 더하면, 이메일 발송 서비스 Arara Message에 대한 무단 접근으로 반출된 이메일 주소가 구분 간 중복을 제외하…
아소비! 회원 정보 유출(15,821,184건): 이메일 발송 위탁업체를 통해 이름, 전화번호, 티켓 구매 내역이 유출됐습니다. 회원이 해야 할 일
레저 예약 서비스 아소비!를 운영하는 Asoview Inc.는 2026년 11월 3일, 이메일 발송에 사용하던 위탁업체의 서비스에 제3자가 무단으로 접근해 회원 정보 일부가 유출되었다고 발표했습니다. 회사는 원인이 자사 시스템이 아니라 위탁업체의 서비스에 있다고…
세븐일레븐 재팬 7NOW 고객 정보 유출(이름만 164,180건 등): 배송 위탁업체 침해로 노출된 정보와 이용자가 해야 할 일
세븐일레븐 재팬은 2026년 11월 3일, 배달 서비스 7NOW의 배송 일부를 맡은 위탁업체가 운영하는 서비스에 제3자가 무단으로 접근해 7NOW 주문자(배송 받는 사람) 정보 일부가 유출되었다고 발표했습니다. 회사에 따르면 위탁업체의 조사에서 11월 1일에 접근…
Trigger.dev 보안 사고(2026년 11월): 고객의 0.66%에서 루트 API 키와 환경 변수에 접근, 키를 재생성하고 시크릿을 교체하세요
백그라운드 작업과 AI 에이전트를 실행하는 플랫폼 Trigger.dev는 2026년 11월 1일 보안 사고를 공개하고 11월 6일 후속 보고서를 게시했습니다. 회사는 11월 1일 인프라 경보가 비정상 활동을 포착했고, 악의적인 활동으로 판단해 공격자를 차단했다고 밝혔…
WorkOS(개발자용 SSO 및 디렉터리 동기화 플랫폼) 내부 영업 앱 침해: 회사는 보안 연구자의 AI 에이전트 때문이라고 밝힘, 유출된 연락처와 지원·Slack 이력에 대해 고객이 해야 할 일
WorkOS는 2026년 11월 2일 영업 및 고객 대응 팀이 쓰는 내부 애플리케이션에 대한 무단 접근 공지를 게시했고 11월 6일 업데이트했습니다. 업데이트에 따르면 최초의 무단 접근은 10월 25일에 확인되었고, 10월 30일에 기록이 대량으로 추출되었으며, 회사는…
Chainstack(블록체인 노드·API 플랫폼) 운영 환경 침해: 개발자와 dApp 운영자가 계정 데이터와 노드 자격 증명에 대해 해야 할 일
Chainstack은 2026년 11월 3일자 공지에서 외부 공격자가 제3자 구성 요소를 통해 인프라 일부에 접근했다고 밝혔습니다. 10월 26일에는 개발 환경, 10월 29일에는 운영 환경 일부였고, 10월 31일에 감지해 차단했으며 11월 2일에 조사를 마쳤습니다. 고객 계…
istyle @cosme 유출(회원 약 300만 명 정보 유출): 유출된 이름·주소·전화번호·피부 타입에 회원이 해야 할 일
istyle Inc.는 2026년 11월 2일 10월 28일 제3자에 의한 @cosme 무단 접근을 확인했으며 @cosme 공통 ID로 등록된 회원 정보의 일부가 유출되었다고 발표했습니다. 영향을 받은 사람은 약 300만 명이며, 접근 당시 회원이었다가 이후 @cosme를 탈퇴한 사람도…
노지마 온라인·중고 휴대폰 매입 사이트 무단 접근(약 700만 건): 이름·주소·전화번호·암호화된 비밀번호 유출, 회원이 해야 할 일
Nojima Corporation은 2026년 11월 2일 노지마 온라인 회원 관리 시스템에 무단 접근이 있었고 노지마 온라인과 중고 휴대폰 매입 사이트의 회원 정보가 유출되었다고 발표했습니다. 회사에 따르면 11월 1일 접근을 감지해 확인했고 같은 날 개인정보가 외부…
Prestige International 로드서비스 시스템 유출(중복 포함 최대 약 550만 건): 이름·차량 정보·일부 은행 계좌 정보·신용카드 번호 3건이 반출됨, 보험·리스 고객이 해야 할 일
Prestige International Co., Ltd.는 2026년 11월 2일, 거래처 기업을 대신해 로드서비스 접수와 출동 수배를 맡고 있는 그룹 회사 Prestige Core Solutions의 시스템이 무단 접근을 받아 고객의 개인정보가 외부로 반출되었다고 발표했습니다. 건수는 중복…
Good Smile Company 공식 쇼핑몰 정보 유출(2,800명은 카드 정보 전체 유출 가능성, 402,466건은 카드 일부 정보, 최대 202건의 주문이 열람되었을 가능성): 그룹별로 해야 할 일
Good Smile Company Co., Ltd.는 2026년 10월 23일 공식 쇼핑몰에 제3자가 접근했다고 발표했고, 10월 30일의 4차 보고까지 피해 대상을 세 그룹으로 정리했습니다. B그룹(2,800명)은 2026년 10월 21일 13:55부터 10월 23일 7:00까지 설치되어 있던 악성 프로…
Jenkins 2.588과 LTS 2.580.2에서 취약점 15건 수정(CVE-2026-117612부터 117626까지): 버전 확인과 업데이트 후 점검할 것
2026년 10월 28일 Jenkins 프로젝트는 주간 릴리스 2.588과 LTS 2.580.2에서 Jenkins 코어의 취약점 15건(CVE-2026-117612부터 CVE-2026-117626까지)을 수정하는 보안 권고를 공개했습니다. 주간 2.587 이하와 LTS 2.580.1 이하가 영향을 받습니다. 권고는 13…
PingCAP(TiDB Cloud) 무단 접근 및 정보 유출(일본 내 최대 약 5만 건): TiDB Cloud 조직 관리자가 계정 정보, SQL 편집기 기록, 지원 티켓에 대해 해야 할 일
PingCAP는 2026년 9월 9일부터 10월 7일(미국 시간) 사이에 제3자가 탈취한 자격 증명으로 내부 시스템에 들어와 데이터를 복사했고, 일본 내 최대 약 5만 건의 개인 정보가 유출된 것으로 확인되었다고 밝혔습니다(일본어 공지). 회사가 영향을 받은 것으로…
Synology DSM 랜섬웨어 공격: 2024년 12월에 수정된 취약점으로 오래된 버전이 노려짐, 오늘 업데이트하고 점검할 것(SA-24:20)
Synology는 2026년 10월 29일, 2024년 12월에 패치된 취약점을 악용해 오래된 버전의 DSM을 쓰는 장치를 노리고 데이터를 암호화해 금전을 요구하는 공격자를 확인했다고 밝혔습니다. 취약한 버전을 쓰는 모든 사용자에게 DSM을 즉시 업데이트하라고 강력히…
구인 사이트 MyBRANDS 부정 접근과 개인정보 유출 가능성(최대 약 13만 5천 계정): 이름, 연락처, 경력 정보가 걸린 구직자와 기업 담당자가 해야 할 일
일본의 iDA 주식회사는 2026년 10월 30일, 자사가 운영하는 구인 사이트 MyBRANDS의 서버 환경에 제3자가 부정 접근해 등록된 구직자와 기업 담당자의 정보가 외부로 유출됐을 가능성이 있다고 발표했다. 회사에 따르면 위탁업체가 사용하던 클라우드 접근 키…
사가 대학 랜섬웨어 공격(재학생, 교직원, 졸업생의 개인정보 약 8만 명분과 환자 정보 유출 가능성): 이름, 주소, 비밀번호가 포함된 사람이 해야 할 일
일본의 국립대학인 사가 대학은 2026년 10월 30일, 9월 28일에 공표한 사무 정보 시스템의 랜섬웨어 피해와 관련해 환자 정보를 포함한 보유 개인정보가 학교 밖으로 유출됐을 가능성을 부정할 수 없음을 확인했다고 발표했다. 대학에 따르면 9월 24일 오전 8…
WordPress 7.1.4 취약점 CVE-2026-119977: 원격 코드 실행으로 이어질 수 있는 코어 업데이트 경쟁 상태 수정, 버전과 자동 업데이트 확인
2026년 10월 28일 WordPress 프로젝트는 원격 코드 실행으로 이어질 수 있는 코어 업데이트 과정의 결함을 수정한 보안 릴리스 7.1.4를 공개했습니다. WordPress의 GitHub 권고문에 따르면, 전체 패키지를 사용하는 코어 업데이트 중 WordPress는 웹으로 제공…
자신의 스택을 위한 취약점 모니터링 자동화: 실제로 쓰는 구성 요소 이름으로 매칭하기
이 사이트 운영자가 운영하는 사이트에서는 PHP 취약점, Python 패키지의 악성 코드, 컨테이너 기반 이미지 문제가 각각 자동 감시보다 먼저 사람에게 전달되었고, 이는 일주일 동안 세 번 발생했습니다. 재구축된 감시는 세 가지 원칙에 기반합니다. 기술 용…
Chainalysis 보안 사고(2026년 10월–11월): 전체 이용자의 이름, 사용자명, 비밀번호 해시, 유효한 토큰이 노출됨, 고객이 해야 할 일
블록체인 분석 기업 Chainalysis는 2026년 10월 30일 보안 사고에 대한 공지를 게시했고 이후 계속 업데이트했습니다. 11월 4일 업데이트에서 회사는 전체 이용자의 이름, 사용자명, 비밀번호 해시, 유효한 토큰이 악의적인 행위자에게 노출됐다고 밝혔습니다…
클럽투어리즘 무단 접근 및 개인정보 유출 가능성(약 432만 건): 이름, 주소, 전화번호, 긴급 연락처가 포함된 회원이 해야 할 일
일본의 여행사 클럽투어리즘(Club Tourism Co., Ltd.)은 2026년 10월 31일, 10월 30일 5시 45분에 외부로부터의 무단 접근을 감지했으며 인터넷 예약 시스템에 등록된 인터넷 회원의 정보가 외부로 유출되었을 가능성이 있다고 발표했습니다(제1보). 항목은…
IP별 요청 제한이 수만 개 IP에 분산된 검색 봇을 막지 못했던 사례
검색 때마다 외부 API를 호출하는 한 사이트에서 며칠 만에 검색 트래픽이 약 20배 늘었고, 거의 모든 검색이 503을 반환했습니다. IP별 제한이 이를 막아 줄 것이라는 초기 가정은 틀렸습니다. 하루 약 60,000건의 검색이 약 60,000개의 서로 다른 IP에서 들…
Linux 커널 CVE-2026-98432: 네트워크로 유발되는 TCP use-after-free(CVSS 9.8). 수정된 커널을 설치하고 재부팅하며 MPTCP도 확인하세요
CVE-2026-98432는 2026년 10월 15일에 공개된 Linux 커널 IPv4 TCP 코드의 use-after-free입니다. 커널 프로젝트의 CNA는 CVSS v3.1 9.8(네트워크, 권한 불필요, 사용자 조작 불필요)로 평가했습니다. 한 AI 기업의 연구자들이 자체 보고에서, 실험실 환경에…
Northflank 보안 사고(2026년 10월): 저장된 환경 변수가 복호화된 것으로 간주, AI API 키 부정 사용 보고
2026년 10월 30일(UTC), 클라우드 배포 플랫폼 Northflank는 상태 페이지에 보안 사고를 게시했습니다. 보안 업체의 위협 경보가 11:43 UTC에 들어왔고, 회사는 12:02 UTC부터 패치를 배포했으며, 13:40 UTC에 고객에게 환경 변수를 교체하라고 안내했고, 13:…
긴급 PHP 업데이트 후 확인할 사항: 웹 PHP와 명령줄 PHP 비교, set -e와 diff 종료 코드, 침입 재점검
2026년 10월 치명적인 PHP 취약점 대응 중, 이 사이트 운영자가 관리하는 한 사이트는 웹 PHP는 업데이트했지만 cron이 사용하는 명령줄 PHP는 여전히 이전 버전을 가리키고 있었습니다. 웹과 CLI를 따로 확인하세요. set -e 환경에서 diff와 grep은 '차이 발…
월드 자회사 틴 팬 앨리(보도상 RAGTAG 운영사) 개인정보 유출 가능성(총 약 120만 건): 이름, 주소, 전화번호가 유출되었을 수 있음, 회원이 해야 할 일
월드(World Co., Ltd.)는 2026년 10월 30일, 연결 자회사인 틴 팬 앨리(Tin Pan Alley Co., Ltd.)의 업무 서버에 제3자가 무단 접근했으며 서버에 저장된 회원 정보 일부가 유출되었을 가능성이 있다고 발표했습니다. 유출되었을 수 있는 회원 정보는 총 약 1…
Revolve 고객 계정 침해: 저장된 카드 번호와 유효기간에 접근됨(인디애나 법무장관 목록 기준 1,515,073명) — 고객이 해야 할 일
미국 패션 소매업체 Revolve는 The Record의 보도에 따르면 2026년 10월 29일 미국 증권 공시에서, 승인되지 않은 제3자가 자동화된 수단으로 이름, 연락처, 저장된 결제 카드 번호와 유효기간을 포함한 고객 계정 데이터에 접근했다고 밝혔습니다. 초기의 주…
2026년 10월 사이버 공격·개인정보 유출 총정리: 악용된 취약점 36건과 대규모 유출
2026년 10월 CISA는 알려진 악용 취약점(KEV) 카탈로그에 취약점 36건을 추가했습니다. 9월의 43건보다 7건 적습니다. 11건은 VPN 장비와 방화벽 같은 엣지 및 원격 접속 제품, 5건은 2015년부터 2023년 사이에 공개된 오래된 결함(모두 10월 8일 추가), 10건…
AOMEI Backupper 업데이트 서버 변조(2026년 4월–7월): 영향받을 수 있는 사람, 날짜, PC 확인 방법
Windows용 백업 소프트웨어 AOMEI Backupper의 개발사 AOMEI는 2026년 10월 19일(최종 업데이트 10월 30일), 자사 업데이트 서버를 통한 소프트웨어 공급망 침해에 관한 성명을 발표했습니다. 한 보안 회사의 조사를 인용해, 2026년 4월부터 7월 사이 AOMEI B…
바이낸스 암호화폐 탈취(약 63억 달러): 이용자 자금은 보전되나, 계정 보유자가 해야 할 일
바이낸스는 2026년 10월 29일 약 20:05 UTC에 핫월렛이 침해되어 무단 출금이 이어졌으며 추정 피해액은 약 63억 달러라고 밝혔습니다. 10월 31일 FBI는 북한이 60억 달러가 넘는 탈취에 책임이 있다고 발표하고, 탈취된 자산을 보유하고 있거나 보유했던 것…
Cisco Catalyst SD-WAN Manager CVE-2026-76504: 로그인 없이 관리자 권한 접근, 악용됨(수정 릴리스로 업그레이드)
CVE-2026-76504는 Cisco SD-WAN의 관리 시스템인 Cisco Catalyst SD-WAN Manager(구 vManage)의 API 세션 인증 취약점입니다. 2026년 9월 30일 Cisco의 권고에 따르면, HTTP 요청의 URI 인코딩을 잘못 처리해 인증되지 않은 원격 공격자가 인증 규칙을 우회하…
Cloudflare Workers AI가 155건의 응답에서 다른 고객의 데이터를 반환(GLM 5.3): 호스팅 AI를 쓰는 팀이 점검할 것
2026년 10월 26일 Cloudflare는 Workers AI의 요청 간 데이터 노출에 대한 설명을 게시했습니다. 2026년 8월 27일부터 9월 9일까지 GLM 5.3 모델에 681,280 토큰보다 긴 프롬프트를 보내면, 직전에 같은 모델로 보낸 다른 고객의 요청 데이터가 포함된 응답을…
Cursor 마켓플레이스의 변조된 'Claude Code' 확장(10월 29일, 약 11시간): SSH 백도어 확인 방법
Cursor는 2026년 10월 29일(10월 30일 업데이트) 보안 공지를 게시해, Anthropic 이름으로 게시된 확장(Anthropic.claude-code)의 변조된 버전 2.1.312와 2.1.313이 10월 29일 태평양 시간 오전 2시 27분경부터 오후 1시 35분경까지 Windows와 macOS용 Cursor…
DreamHost 보안 사고(2026년 10월): File Manager를 통해 FTP·SFTP 로그인 정보 노출, 웹메일 인증 정보도 탈취, 계정 소유자가 해야 할 일
2026년 10월 29일 DreamHost는 10월 23일 웹 기반 File Manager(files.dreamhost.com)를 실행하는 서버에 대한 무단 접근을 발견했다고 밝혔습니다. 공격자는 File Manager가 사용하는 서드파티 소프트웨어의 취약점을 악용해 대략 8월부터 10월 23일까지 Fil…
Drupal Commerce Core CVE-2026-118539: 비인증 접근 우회, 악용 중(8.x-2.41 또는 3.3.13으로 업데이트)
2026년 10월 28일 Drupal 보안 팀은 Commerce Core 모듈(CVE-2026-118539)에 대한 SA-CONTRIB-2026-254를 게시했습니다. 이 모듈은 특정 경로와 엔티티 필드를 충분히 보호하지 않아 접근 우회가 가능하며, 이는 상점 소유자에게 금전적 영향을 줄 수 있습니…
ETS 캘리포니아 학생 데이터 유출: 장애·504·시험 데이터 복사 — 가족이 해야 할 일
주와 계약해 캘리포니아 주 시험(CAASPP와 ELPAC)을 운영하는 비영리 단체 Educational Testing Service(ETS)는 캘리포니아주 교육부(CDE)의 지시에 따라 2026년 10월 16일부터 학생과 가족에게 통지를 시작했습니다. ETS의 데이터 유출 통지(Notice of Data…
Genesys 내부 시스템 침해(2026년 10월): 고객 연락처가 담긴 시스템에 무단 접근, 플랫폼은 영향 없음, 고객사가 해야 할 일
2026년 10월 19일, 컨택센터 플랫폼 Genesys Cloud를 제공하는 Genesys는 허가받지 않은 제3자가 관련된 사이버보안 사고를 발표했습니다. 회사가 이를 파악한 것은 10월 16일입니다. 조사 결과 제3자가 학습 관리 시스템(LMS)과 고객 관계 관리(CRM) 플랫폼…
GETTIIS 회원 데이터 유출(회원 ID 317,971건): 유출된 항목과 회원이 해야 할 일
2026년 10월 19일, 일본의 Linkstation Inc.는 무단 접근으로 GETTIIS 회원 정보가 유출되었다고 발표했고, 10월 20일에는 항목별 건수를 담은 제2보를 공개했습니다. 회사에 따르면 10월 18일 약 0:00부터 7:00 사이에 제3자가 주최자용 공연 등록 서비스 Ge…
Ivanti Connect Secure CVE-2026-111357 및 CVE-2026-118527: CISA KEV에 추가된 두 가지 추가 취약점(10월 공격에 대한 대처)
2026년 10월 30일 CISA는 Ivanti Connect Secure의 취약점 두 가지를 알려진 악용 취약점(KEV) 카탈로그에 추가했습니다. CVE-2026-111357은 root로의 로컬 권한 상승이고, CVE-2026-118527은 예측 가능한 식별자 결함으로 원격 인증된 공격자가 공격자가 통…
마쓰야 앱 관리 시스템 유출(2,377,127건 및 앱 회원): 이름, 전화번호, 배달 주소 유출, 회원이 해야 할 일
2026년 10월 30일, 일본의 소고기덮밥 체인 마쓰야푸즈 홀딩스 Co., Ltd.는 공식 마쓰야 앱(마쓰벤 넷, 모바일 오더, 마쓰벤 딜리버리)의 관리 시스템에 제3자가 무단으로 접근했으며 회원 데이터가 유출되었다고 발표했습니다. 회사는 10월 28일 침입과 유출…
료힌케이카쿠(MUJI) 앱·온라인 스토어 해킹(최대 약 2,726만 건): MUJI 카드 번호 약 109만 건도 영향 — 이용자가 해야 할 일
10월 30일 1차 공지에 이어 MUJI를 운영하는 일본 소매업체 Ryohin Keikaku Co., Ltd.(료힌케이카쿠)는 2026년 11월 4일 2차 공지에서 범위가 더 넓다고 밝혔습니다. MUJI 앱 이용자뿐 아니라 앱을 쓴 적 없는 MUJI 온라인 스토어 회원도 해당하며, 탈퇴한 고…
OpenCode Console 침해(2026년 10월, Console 이용자의 1.4%): AI 제공업체 API 키 노출 가능성과 해야 할 일
2026년 10월 17일, 오픈소스 AI 코딩 에이전트 OpenCode는 공식 X 계정에서 전날 밤 대규모 증류(distillation) 공격과 관련된 보안 침해가 있었으며 OpenCode Console 이용자의 1.4%가 영향을 받았다고 밝혔습니다. 회사는 그날 아침 영향을 받은 모든 이용…
Orkes Conductor CVE-2026-58138: 인증 없이 OS 명령 실행, 공격 시도 관측(3.30.2 이상으로 업데이트)
CVE-2026-58138은 conductor-oss 프로젝트의 오픈소스 워크플로 엔진 Conductor(CVE 기록상 Orkes Conductor)의 취약점입니다. 3.21.21부터 3.30.2 미만 버전에서는 스크립트 평가기가 격리되지 않아, 원격 공격자가 JavaScript나 Python 식이 담긴 워크플로…
Paradigm Healthcare Services 데이터 유출: Medi-Cal 회원 번호와 생년월일 열람 가능성 — 회원이 해야 할 일
캘리포니아주 보건의료서비스부(DHCS)를 위해 Medi-Cal 청구를 처리하고 Medi-Cal 회원 식별 번호를 보관하는 제3자 서비스 제공업체 Paradigm Healthcare Services는 데이터 유출 통지(Notice of Data Breach)를 게시하고 2026년 9월 14일자 편지를 보냈습니…
Photon Health 개인정보 유출(분석 도구 취약점): 이름, 주소, 전화번호, 생년월일, 처방 정보 — 영향을 받은 환자가 해야 할 일
2026년 10월 8일 미국의 전자 처방 플랫폼 Photon Health는 권한 없는 제3자가 자사 인프라에서 운영하는 데이터 분석 도구(Metabase)의 이전에 알려지지 않은 취약점을 악용해 일부 데이터에 접근했다는 공지를 게시했습니다. Photon은 8월 21일에 사고를 알…
Plex2Shell: Plex Media Server CVE 4건이 실제로 악용됨(1.43.3.10861 이상으로 업데이트)
Plex2Shell은 한 보안 연구자가 Plex Media Server의 취약점 4건, CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656에 붙인 이름입니다. Plex에 따르면 이들을 연결하면 인증되지 않은 원격 공격자가 Plex Media Server 프로세스의 권한으로…
폴리마켓, 제3자 스크립트 침해로 거래 중단: 이용자와 사이트 운영자가 해야 할 일
2026년 10월 29일 폴리마켓의 상태 페이지는 국제 플랫폼(Polymarket.com)이 미국 동부 시간 오후 2시 5분에 취소 전용 모드로 전환되었고, 제3자 제공업체가 침해되었으며, 이 사안을 법 집행 기관에 넘겼고, 영향을 받은 사람은 모두 보전받을 것이라고 보…
Ricardo(스위스 마켓플레이스) 정보 유출, 약 89만 계정: 이름·주소·전화번호 노출, 이용자가 해야 할 일
2026년 10월 9일, 스위스 온라인 마켓플레이스 Ricardo를 운영하는 SMG Swiss Marketplace Group은 Ricardo 플랫폼에서 주문에 연결된 개인 데이터에 대한 무단 접근이 있었다고 발표했습니다. Ricardo는 10월 7일 서버에서 의심스러운 활동을 감지하고 즉시…
SharePoint Server CVE-2026-65660: 로그인한 사용자가 코드 실행 가능, 악용됨(2026년 8월 업데이트 설치)
CVE-2026-65660은 온프레미스 Microsoft SharePoint Server(Subscription Edition, 2019, Enterprise 2016)의 코드 인젝션 취약점입니다. Microsoft에 따르면 낮은 수준의 접근 권한을 가진 인증된 공격자가 특수하게 조작한 요청을 보내 사용자 상호작용 없…
서드파티 스크립트 안전하게 관리하기: 목록 정리, SRI, CSP, 폼 전송 대상 확인
서드파티 스크립트는 자신이 실행되는 페이지의 내용과 사용자의 입력을 읽을 수 있다. 제공자가 침해되거나 파일이 바뀌면 내 서버가 무사해도 사용자가 영향을 받는다. 방어 순서는 실행 중인 것을 모두 적고, 필요 없는 것을 빼고, 내용이 고정된 파일에는…
Trezor, 전 판매업체에서 구입한 Safe 5에서 하드웨어 임플란트 가능성 보고(미확인): 소유자가 해야 할 일
2026년 10월 30일 Trezor는 보안팀이 10월 28일에 Trezor Safe 5의 하드웨어 임플란트에 대한 책임 있는 공개(responsible disclosure) 보고를 받았다는 공지를 게시했습니다. 해당 기기는 2026년 10월까지 동남아시아에서 Trezor의 공식 판매업체였던 회사로…
야쿠르트 본사 웹사이트 해킹(약 4만 건): 이름, 주소, 전화번호, 이메일, 문의 내용 유출 — 영향을 받은 사람이 해야 할 일
Yakult Honsha Co., Ltd.는 2026년 10월 26일 웹사이트에 대한 무단 접근을 확인하고 같은 날 사이트 기능을 중단했습니다. 10월 30일의 제2보에서 웹사이트를 통해 제공된 약 4만 건의 개인정보가 유출된 것을 확인했다고 밝혔습니다. 해당 그룹과 항목은 다…
Zeabur 보안 사고(2026년 10월, 환경 변수 322만 건 열람): 교체할 시크릿과 이용자가 해야 할 일
2026년 10월 19일, 앱 배포 플랫폼 Zeabur는 10월 14–15일(UTC)의 보안 사고에 관한 예비 보고서를 공개했습니다. 회사에 따르면 공격자는 유출된 Zeabur 내부 자격 증명으로 공유 클러스터, 일부 전용 서버(Dedicated Servers), 내부 시스템에 들어간 뒤, 10…
Aena EC 앱 무단 접근(최대 817,215명의 마이페이지 데이터): 열람되었을 수 있는 이름, 주소, 배송 정보 및 회원이 해야 할 일
일본의 오프프라이스 소매 체인 Aena Co., Ltd.는 2026년 10월 14일, EC 앱의 회원 마이페이지 데이터가 무단으로 열람되었을 수 있다고 발표했습니다. 회사에 따르면 시스템 로그 분석에서 10월 13일 5:58에 발견했으며, 최대 817,215명의 회원(정회원)이 영…
ASOS 고객 데이터 유출과 가짜 앱 알림: 이름과 연락처 접근, 생년월일과 검색 기록은 보도 — 고객이 해야 할 일
2026년 10월 6일, ASOS 고객은 ASOS 앱을 통해 무단 푸시 알림을 받았습니다. ASOS는 무단 접근한 제3자가 고객과 소통하는 데 사용하는 서드파티 플랫폼에 접근했다고 밝혔습니다. 고객의 이름과 연락처에 접근했을 수 있으며, 결제 카드 정보나 계정 비밀번…
베네핏 원 'Toku-Kai' 위탁처 침해(29,465명): 이름·생년월일·이메일 주소 유출, 회원이 해야 할 일
2026년 10월 28일 Benefit One Inc.는 위탁처가 운영하는 시스템에 무단 접근이 있었으며, Credit Saison Co., Ltd. 카드 회원용 서비스 Toku-Kai의 회원(이미 탈퇴한 사람 일부 포함) 29,465명의 개인정보가 유출되었다고 발표했습니다. 접근은 10월 14일부…
Bitget 암호화폐 도난(약 3억 8,750만 달러): 고객 잔액은 보호되는가, 계정 보유자가 해야 할 일
2026년 9월 24일(UTC), 암호화폐 거래소 Bitget은 핫월렛과 웜월렛 일부에서 무단 이체를 감지했습니다. 처음에는 약 3억 5,160만 달러로 추정했고, 9월 25일 약 3억 8,750만 달러가 공격자가 통제하는 주소로 전송된 것을 확인했습니다. Bitget은 고객 계정…
빗썸 내부 그룹웨어 무단 접근(고객 844명 개인정보 노출): 신분 번호·계좌 번호 등, 고객이 해야 할 일
한국의 가상자산 거래소 빗썸은 2026년 10월 27일 권한 없는 외부인이 내부 모바일 그룹웨어 시스템에 비정상적으로 접근한 것을 발견했고, 10월 29일 발표를 전한 한국 언론 보도에 따르면 고객 개인정보가 노출된 것을 확인했습니다. 관련된 고객 6,444명의…
ConnectWise Cloud Backup(구 SkyKick) 사건: Microsoft 365 테넌트 2,250개 이상에 대한 AI 기반 로그인 시도, 관리자가 확인할 것
2026년 10월 16일, ConnectWise는 관리 서비스 제공업체(MSP)용 Microsoft 365 백업 서비스인 Cloud Backup(구 SkyKick)과 관련된 애플리케이션 자격 증명에 무단 접근이 있었다는 공지를 게시했습니다. 10월 17일 애플리케이션 ID 7개를 비활성화하고 Cloud…
Covered California 에이전트 데이터 유출: 피싱 사고로 이름, 면허 번호, 사회보장번호 또는 FEIN 노출 — 에이전트가 해야 할 일
캘리포니아의 건강보험 마켓플레이스 Covered California는 캘리포니아주 법무장관에게 데이터 유출 통지를 제출했습니다(2026년 10월 16일 보고). 에이전트에게 보낸 통지는 2026년 5월 13일 무단 개인이 피싱 수법으로 에이전트에 관한 정보에 접근했고 에…
Double Counter 디스코드 봇 데이터 유출(디스코드 ID 약 2,800만 건, 이메일 100만 건): 유출된 것과 회원 및 서버 관리자가 해야 할 일
디스코드 인증 봇 Double Counter의 운영사 Tellter SAS는 2026년 10월 5일 사고 보고서를 게시했습니다(10월 21일 버전 2.0). 보고서에 따르면 공격자는 10월 4일 호스팅 업체의 폐기된 서버에서 인터넷에 공개되어 있던 분석 도구 Metabase를 통해 침입했고…
ENGIE 고객 정보 유출(프랑스): 제휴사 영업 도구를 통해 연락처와 계약 번호 노출, 은행 정보는 없음, 고객이 해야 할 일
프랑스의 에너지 공급사 ENGIE는 2026년 10월 말 프랑스 고객에게 이메일을 보내, 일부 제휴사가 고객을 발굴하고 상품을 판매하는 데 쓰는 도구가 공격(사이버 악의 행위로 보도된 표현)을 받았다고 알리기 시작했습니다. ENGIE의 고객 이메일을 인용한 보도…
플로리다 교육부 학자금 지원 웹사이트 유출(약 490만 명): 사회보장번호가 노출되었을 수 있음 — 해야 할 일
2026년 10월 29일, 플로리다 교육부는 직원들이 10월 19일에 플로리다 학생 학자금 지원 웹사이트(FloridaStudentFinancialAidSG.org)에 대한 범죄적 무단 접근을 알게 되었다고 발표했습니다. 교육부는 이번 사고가 해당 웹사이트에 한정된 것으로 보고 있으…
Frontline Education 데이터 유출(학교 소프트웨어 업체): 인디애나 법무장관 목록 기준 309만 명, 사회보장번호, 메디케이드 ID, 학생 ID 영향 — 교직원과 학부모가 해야 할 일
미국 K-12 학군용 행정 소프트웨어를 제공하는 Frontline Education은 2026년 10월 26일자 데이터 유출 통지(Notice of Data Breach)를 게시했습니다. 회사는 8월 14일에 자사가 사용하는 외부 소프트웨어 제품의 취약점을 보안팀이 발견했고, 그 취약점으로…
Hana-cupid 회원 데이터 유출(최대 4,238,242건): 사용자 ID, 암호화된 비밀번호, 이메일 주소 유출 및 회원이 해야 할 일
Hana-cupid Co., Ltd.는 2026년 10월 28일, 온라인 꽃집 서비스 Internet Hana-cupid와 Business Hana-cupid에 대한 제3자의 무단 접근으로 회원 정보 일부가 유출되었다고 발표했습니다. 회사에 따르면 제3자가 10월 14일(수)부터 10월 15일(목) 사이에 관리…
iRhythm 데이터 유출(HHS 등재 8,179,772명): Zio 환자 이름, 보험 번호, 기기 일련번호 유출 — 환자가 해야 할 일
착용형 심장 모니터 Zio를 만드는 미국 iRhythm Technologies는 2026년 6월 15일 미국 증권거래위원회(SEC)에 외부에서 호스팅되는 일부 업무용 애플리케이션에 대한 무단 접근을 감지했으며 데이터가 유출되었다고 보고했습니다. 2026년 10월 2일자 안내에서…
JAL, JTA, ANA, 대한항공, 아시아나항공 예약 시스템 업체에 대한 무단 접근(JAL/JTA 고객 약 92,000명, ANA 약 37,800명): 예약 번호, 이름 등과 여행객이 해야 할 일
Japan Airlines(JAL)와 Japan Transocean Air(JTA)는 2026년 10월 28일, 10월 23일에 자사 여객 서비스 시스템의 업체인 해외 기업으로부터 그 업체의 시스템에 대한 무단 접근으로 일부 예약 정보가 외부에서 열람된 흔적이 있다는 연락을 받았다고 발표했습…
Navigate360 침해와 Crime Stoppers 제보 플랫폼(P3): 제보자, 제보에 언급된 사람, 미국 통지 수신자가 해야 할 일
Navigate360는 데이터 유출 통지를 게시했습니다(페이지에 날짜는 없으며, Reuters는 이 회사가 2026년 10월 23일 유출을 인정했다고 보도했습니다). 통지에 따르면 무단 접근한 제3자가 2025년 11월 21일부터 2026년 3월 5일 사이에 자사 시스템에서 데이터…
소니생명 무단 접근으로 계약 데이터 유출(소니생명 자사 계약 약 290만 건, 메디케어생명 계약 약 385,000건): 이름, 주소, 증권 번호 등과 계약자가 해야 할 일
Sony Life Insurance Co., Ltd.(소니생명)는 2026년 11월 9일 제2보에서, 자사 시스템에 대한 무단 접근으로 인한 정보 유출을 새로 확인했다고 발표했습니다. 자사 보험 계약의 개인 정보(증권 번호, 이름, 주소, 전화번호 등)는 이미 종료된 계약의 기록을…
코펜하겐 대학교 개인정보 유출(약 525,000명): 이름·CPR 번호·전화번호·이메일 — 해야 할 일
코펜하겐 대학교(Københavns Universitet, KU)는 2026년 10월 23일 해커가 테스트 환경 중 하나에 접근했다고 발표했습니다. 대학 측을 인용한 일관된 보도에 따르면 약 525,000명의 데이터, 즉 성명, CPR 번호(덴마크의 주민등록번호), 업무용 및 개인 전화…
VMware ESX CVE-2026-41709(CVSS 2.7): CISA가 낮은 심각도의 로깅 결함을 악용 중으로 등재; VMSA-2026-0006 전체를 패치하고 호스트를 점검하세요
CVE-2026-41709는 VMware ESX의 불충분한 로깅 결함(CVSS 2.7, Low)입니다. 이미 관리자 권한을 가진 공격자가 특정 작업을 수행해도 로그에 기록되지 않을 수 있습니다. Broadcom은 2026년 7월 29일 권고 VMSA-2026-0006에서 이를 수정했으며 우회 방법은 없…
White Essence 무단 접근 및 개인 정보 유출(약 105만 계정): 이름, 주소, 전화번호, 암호화된 비밀번호 및 이용자가 해야 할 일
White Essence Co., Ltd.는 2026년 8월 12일 예약 사이트와 핵심 시스템에 대한 무단 접근으로 시스템을 중단했다고 발표했고, 10월 5일 '무단 접근에 의한 개인 정보 유출에 대한 사과 및 안내'라는 제목의 안내에서 조사 결과를 공개했습니다. 회사에 따르…
Beauty Garage 및 Eyelash Garage 무단 접근(775,725건): 살롱 이름, 전화번호, 이메일, 비밀번호 해시 유출과 사칭을 막는 방법
Beauty Garage Co., Ltd.는 10월 15일, 자사와 Eyelash Garage의 전자상거래 사이트 서버에 10월 10일부터 12일까지 무단 접근이 있었고 일부 고객 정보가 유출되었다고 발표했습니다. 회사는 10월 13일 사고를 감지하여 같은 날 경로를 특정하고 차단했습니…
Cisco ASA 및 FTD VPN 취약점 CVE-2026-76418: 인증 없는 공격자가 장비를 재시작시킬 수 있음(확인 방법, 수정 버전)
2026년 10월 28일(UTC) Cisco는 Cisco Secure Firewall ASA와 Secure Firewall Threat Defense(FTD)의 원격 접속 SSL VPN 서비스에서 CVE-2026-76418(CVSS v3.1 8.6)을 공개했습니다. 인증 없는 원격 공격자가 장비를 예기치 않게 재시작시켜 서비스 거부를…
Linux 커널 Fragnesia(CVE-2026-46300): CISA가 악용된 것으로 등재하고 10월 31일을 기한으로 지정. PHP와 커널을 패치하고 재부팅하십시오
별칭 Fragnesia인 CVE-2026-46300은 권한이 낮은 로컬 사용자가 root 권한을 얻을 수 있는 Linux 커널의 결함입니다(CVSS v3.1 7.8, 로컬 공격 벡터). 커널이 네트워크 버퍼 사이에서 데이터 조각을 옮길 때 데이터가 메모리 속 파일과 공유되고 있음을 나타…
So-net 회원 데이터베이스 무단 접근(So-net 214만 건, plala S-Course 44.3만 건): 이름, 전화번호, 생년월일 유출과 이용자가 해야 할 일
Sony Network Communications Inc.는 2026년 10월 27일, 인터넷 서비스 So-net의 회원 데이터베이스에 대한 무단 접근으로 정보 유출이 확인되었다고 발표했습니다. 회사에 따르면 10월 19일 외부에서 데이터베이스에 접근이 있었고, 10월 23일 이를 확인하여…
Toypo 앱 무단 접근(Toypo 발표 기준 이용자 697,209명 해당): 전화번호·이름·주소 유출, 매장 앱 이용자가 해야 할 일
Toypo Inc.는 고객 관리 앱 Toypo 앱에 대한 제3자의 무단 접근을 2026년 10월 4일 확인했다고 밝히고, 10월 14일자 공지에서 697,209명의 이용자가 해당되며 정보가 유출되었을 수 있다고 발표했습니다. 날짜와 인원이 없는 두 번째 공지 페이지는 정보가 유…
Adobe Commerce 및 Magento 취약점 CVE-2026-48356: CISA가 악용 확인(KEV), 7월 수정과 침입 여부 확인 방법
2026년 10월 27일, CISA는 Adobe Commerce와 Magento Open Source의 파일 업로드 취약점 CVE-2026-48356을 알려진 악용 취약점(KEV) 목록에 추가했습니다. 미국 연방 민간 기관의 대응 기한은 11월 10일입니다. Adobe는 2026년 7월 14일 보안 공지 APSB26-73…
이치방쿠지 ONLINE 배송 정보 유출 가능성(반다이 로지팔 무단 접근): 이름, 주소, 전화번호와 회원이 해야 할 일
2026년 10월 26일, BANDAI NAMCO Holdings Inc., BANDAI SPIRITS CO., LTD., Bandai Logipal Co., Ltd.는 BANDAI NAMCO Holdings의 물류 자회사인 반다이 로지팔이 관리하는 시스템이 제3자의 무단 접근을 받았으며, 이 사실이 10월 21일에 발견되었다고 발표…
Joshin(구 Joshin Denki) 무단 접근(최대 약 600만 건): 회원 이름, 주소, 전화번호가 유출되었을 가능성과 이용자가 해야 할 일
2026년 4월 1일 Joshin Denki Co., Ltd.에서 사명을 변경한 Joshin Corporation은 10월 17일, 10월 16일에 무단 접근을 인지했으며 외부로부터의 접근 제한 등의 조치를 취한 결과 일부 서비스를 제공할 수 없게 되었다고 발표했습니다(10월 19일 도쿄증권거…
설문 사이트 Qzoo 침해 사고(약 40만 건): 은행 계좌 정보를 포함한 회원 정보가 유출되었을 가능성, 회원이 해야 할 일
2026년 10월 21일, Monitas Inc.는 자사 설문 사이트 Qzoo가 제3자의 무단 접근을 받았으며 회원(패널)의 개인정보가 유출되었을 가능성이 있다고 발표했습니다. 경위에 따르면 무단 접근은 10월 17일 8:30에 시작되었고, 12:22에 SQL 인젝션을 통해 데이터베…
Brotli 취약점 CVE-2026-111497(Node2Shell): Node.js, Python, .NET 확인 방법과 업데이트 대상
2026년 10월 21일(미국 시간) Google은 공식 Brotli 라이브러리의 범위 밖 쓰기 취약점 CVE-2026-111497을 수정한 Brotli 1.2.1, 1.1.1, 1.0.10을 공개했습니다. Brotli 1.0.3–1.0.9, 1.1.0, 1.2.0이 영향을 받습니다. 조작된 Brotli 데이터를 압축 해제하면…
M3 'MR-kun' 유출(m3.com 회원 등 25,775명, 제약사 직원 2,260명): 무엇이 유출되었고 의사와 제약사 직원은 무엇을 해야 하나
2026년 10월 15일과 10월 23일(제2보), M3, Inc.는 제약사를 위해 운영하는 서비스 MR-kun의 시스템에 제3자가 무단으로 접근했으며 개인정보가 유출되었다고 발표했습니다. 회사에 따르면 10월 14일 무단 접근을 확인했고 같은 날 파악한 경로를 차단했습니…
피자헛 재팬 온라인 주문 정보 유출: 이메일 주소, 전화번호, 로그인 세션 토큰 유출 및 고객이 해야 할 일
2026년 10월 23일, 일본에서 피자헛을 운영하는 일본피자헛 주식회사(Pizza Hut Japan Ltd.)는 일본용 피자헛 온라인 주문 서비스와 연동된 시스템에 제3자의 무단 접근이 있었으며 고객 정보 일부가 유출되었다고 발표했습니다. 회사에 따르면, 10월 19일 제…
라쿠텐 트래블 무단 접근(최대 약 260만 건): 해외 호텔 예약의 이름, 연락처, 일부 카드 정보 대상, 이용자가 해야 할 일
2026년 10월 26일, 라쿠텐 그룹 주식회사(Rakuten Group, Inc.)는 자회사 Rakuten Travel Xchange가 관리·운영하는 라쿠텐 트래블 해외 호텔 예약 사이트의 일부 페이지와, 라쿠텐 그룹이 운영하는 다국어 예약 사이트에 대해 외부 제3자의 무단 접근을 확인…
인터넷 사용 기록·쿠키·저장된 비밀번호 삭제 방법(컴퓨터·휴대폰의 Chrome, Safari, Edge, Firefox): 유출 후 무엇을 지우고, 먼저 무엇을 남길까
Chrome(Windows, Mac, Android, iPhone), Safari(Mac, iPhone, iPad), Edge, Firefox에서 인터넷 사용 기록, 쿠키(사이트 데이터), 캐시, 저장된 비밀번호, 자동 완성 데이터를 삭제하는 방법을 각 회사 공식 도움말의 표기에 따라 정리한 가이드입니다. 인터…
FortiBleed(FortiGate 자격 증명 유출, 약 74,000대 장비): 새로운 취약점이 아니므로 관리자 및 VPN 비밀번호를 변경해야 함
FortiBleed는 Fortinet의 방화벽 및 VPN 장비인 FortiGate의 관리자 및 SSL VPN 자격 증명이 대규모로 유출되고 악용된 사건입니다. 2026년 6월 18일 CISA는 약 74,000대 장비와 관련된 자격 증명이 유출되었다고 경고했습니다. 6월 19일 Fortinet은 새로운…
후지코 캠페인 응모 데이터 유출 가능성(약 15,500건): 이름, 주소, 가족 정보, 응모자가 할 일
2026년 10월 22일, 카스피해 요구르트와 다시마 제품으로 알려진 일본 식품 회사 후지코 주식회사(Fujicco Co., Ltd.)는 캠페인 응모를 담당하는 위탁업체의 서버가 외부 제3자에 의해 무단으로 접근되었으며, 응모자의 개인정보가 유출되었을 수 있다고 발표…
Green Monster의 FX Navi 앱 정보 유출 가능성(약 619만 건): 이메일 주소와 설문 응답 포함, 이용자가 해야 할 일
2026년 10월 23일 Green Monster Inc.(도쿄증권거래소 그로스, 157A)는 FX 모의거래 앱 FX Navi의 이용자 정보가 외부인에게 취득되었을 가능성이 있다고 발표했다(첫 보고). 회사는 10월 17일 외부인에 의한 앱 무단 접근을 확인하고 조사를 시작했다. 조사…
Lindt 재팬 온라인 숍 및 앱 회원 데이터 유출(3,147,469건): 이름, 주소, 전화번호, 생년월일, 해시 처리된 비밀번호 유출 및 회원이 해야 할 일
2026년 10월 23일, 스위스 초콜릿 회사 Lindt & Sprüngli의 일본 법인인 Lindt & Sprüngli Japan은 온라인 숍 플랫폼을 제공하고 회원 데이터를 관리하는 외부 업체의 시스템에 무단 접근이 있었으며, 온라인 숍과 Lindt 공식 앱의 회원 기록 3,147,469건이…
피코마 뉴스레터 이메일 주소 유출(1,002,404건): 이메일 주소만 노출, 이용자가 해야 할 일
2026년 10월 24일, 일본 만화 앱 피코마를 운영하는 Kakao piccoma Corp.은 뉴스레터 발송에 사용하던 RAKUS Lite Cloud Corporation의 이메일 발송 시스템 blastmail에 제3자가 무단으로 접근했고, 뉴스레터 한 차례 발송의 수신자였던 고객 이메일 주소 1,0…
Value Card 선불 플랫폼 침해(레코드 142만 4,748건, MOS Card 113만 3,070건): 카드 번호, PIN, 잔액 유출 및 카드 소지자가 해야 할 일
2026년 10월 23일, 도쿄증권거래소 성장시장에 상장된 PayCloud Holdings는 자회사 Value Design Inc.가 카드 발행사에 제공하는 자사 전자화폐(매장 선불카드) 발행 서비스 Value Card의 서버에 제3자가 무단으로 접근했으며, ID 번호, PIN 및 잔액 정보 1,4…
Nextcloud 내장 Collabora CODE 서버 CVE-2026-110447 악용: 영향 범위와 대응 방법
2026년 10월 14일 Collabora Online 개발자들은 Nextcloud 앱 Collabora Online - Built-in CODE Server(앱 ID richdocumentscode)의 인증되지 않은 OS 명령 주입 취약점 CVE-2026-110447을 공개했습니다. 앱의 proxy.php를 통해 웹 서버 사용자 권한으로 명…
디지털아츠 클라우드 서비스 무단 접근(i-FILTER@Cloud 외 5개): 일부 고객 정보가 열람되었을 가능성, 관리자가 해야 할 일
2026년 10월 21일, 웹·이메일 필터링 및 파일 보안 제품을 만드는 일본 기업 디지털아츠 주식회사(Digital Arts Inc.)는 적시 공시와 자사 웹사이트를 통해 클라우드 서비스의 운영 환경과 내부 환경에서 무단 접근 흔적을 발견했다고 발표했습니다. 회사에…
FANCL·Attenir 온라인 스토어 정보 유출 (회원 368,184명 및 417,312명): 이름, 주소, 전화번호, 생년월일 노출, 회원이 해야 할 일
2026년 10월 16일, 일본 화장품·건강식품 기업인 FANCL Corporation과 Attenir Corporation은 두 회사의 온라인 스토어가 2026년 10월 3일부터 10일까지 외부 제3자에 의해 권한 없이 접근당했고, 일부 회원 데이터가 유출됐다고 발표했습니다. 이 접근은 10…
트러스트뱅크(Trustbank)의 후루사토 초이스 유출 사고(회원 정보 4,454,097건): 이름, 주소, 해시 처리된 비밀번호 유출 — 기부자가 해야 할 일
2026년 10월 20일, 고향납세 기부 사이트 후루사토 초이스를 운영하는 트러스트뱅크(Trustbank, Inc.)는 외부인이 회원 데이터에 무단으로 접근했고 기부자의 개인정보가 유출되었다고 발표했습니다. 회사는 10월 19일 비정상적인 접근 패턴을 확인한 뒤 무단…
GitLab CVE-2026-110264(CVSS 10.0)와 악용되는 CVE-2026-97229: 셀프 호스팅 GitLab 확인 및 업데이트 방법
2026년 10월 21일 GitLab은 Community Edition(CE)과 Enterprise Edition(EE)용 긴급 패치 버전 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13을 공개했습니다. 가장 심각한 취약점인 CVE-2026-110264(CVSS 10.0)는 특수하게 조작된 정규식을…
and ST HD 정보 유출(고객 정보 약 250만 건): 유출됐을 수 있는 정보와 회원이 해야 할 일
2026년 10월 23일, and ST HD Co., Ltd.는 제3자가 업무 서버에 부정 접속하여 고객, 거래처, 직원 정보의 일부가 유출됐을 수 있다고 발표했습니다. 회사에 따르면 10월 22일 오전 7시 30분경(일본 시간)부터 여러 서버에 대해 로그인 시도, 침입, 데이터 반…
VeloCloud Orchestrator CVE-2026-114625 악용 확인: 수정 버전과 점검 사항
2026년 10월 22일 Arista는 SD-WAN 관리 플랫폼인 VeloCloud Orchestrator(VCO) 온프레미스 에디션의 SQL 인젝션 취약점 CVE-2026-114625(CVSS v4.0 9.4, v3.1 9.9)를 공개했습니다. Arista는 이 문제를 자체적으로 탐지했으며 실제로 악용되고 있는 것으로…
blastmail 메일 발송 서비스 부정 접근(전 고객의 계정 정보, 345개 계약의 메일링 리스트 등): 뉴스레터 수신자와 이용 조직이 할 일
RAKUS Co., Ltd.의 자회사 RAKUS Lite Cloud Co., Ltd.가 제공하는 메일 발송 서비스 blastmail에 외부 제3자가 접근해 데이터를 반출했습니다. 회사는 2026년 10월 21일 오전 0시 30분에 서비스를 긴급 중단했고, 모회사 RAKUS는 같은 날 제1보와 제2보를 공…
악용된 엣지 장비 취약점, 2026년 10월 중순: Ivanti, PAN-OS, FortiOS, Cisco
2026년 10월 13일부터 16일 사이 CISA는 널리 사용되는 엣지 장비(네트워크와 인터넷의 경계에 놓이는 장비)의 취약점 4건을 알려진 악용 취약점(KEV) 카탈로그에 추가했습니다. Ivanti Connect Secure CVE-2026-104935(인증 우회, 로그인 불필요, CVSS 8.6),…
Medley 클리닉 시스템 @link(앳링크) 부정 접속: 환자 이름·생년월일(월·일)·로그인 ID·비밀번호 유출 — 환자와 의료기관이 해야 할 일
2026년 10월 15일 Medley, Inc.는 의료기관 관리 시스템 @link(앳링크)와 환자용 at-link 앱 및 관련 서비스에 제3자가 부정 접속했다고 발표하고, 10월 14일 늦은 밤부터 서비스를 중지했다고 밝혔습니다. 회사에 따르면 외부 전문 기관으로부터 부정 접속…
닛케이 부정 접속(약 183만 건): 이름·이메일 주소 등 약 15만 건 유출 — 이용자가 해야 할 일
일본 신문사 Nikkei Inc.는 2026년 10월 16일, 시스템 개발에 사용하는 클라우드 서비스에 부정 접속이 있었으며 16일 시점에 개인정보 약 183만 건이 유출됐다고 발표했습니다. 약 15만 건에는 이름, 이메일 주소, 우편 주소, 전화번호, 생년월일 중 하나 이…
eMudhra(emSign) 중간 CA 키 유출: Python 사용자가 pip, certifi, uv와 관련해 해야 할 일
2026년 10월 17일, 인도 인증기관 eMudhra의 중간 인증서 8개(TLS용 6개)의 개인 키가 누구나 복구할 수 있을 만큼 부실하게 생성되었다는 보고가 나왔습니다. eMudhra는 10월 18일 8개 모두를 폐기했고, Chrome과 Firefox는 10월 17일 푸시 메커니즘을 통해…
Railway 환경 변수 노출 가능성 (2026년 10월, 최대 1.85% 워크스페이스): 교체해야 할 시크릿과 사용자 조치
Railway는 2026년 10월 21일(UTC), 고객 환경 변수를 저장하는 시스템에서 이상 활동을 탐지했으며 권한 없는 제3자가 암호화된 환경 변수에 접근하고 그중 일부는 복호화된 내용을 확보했을 수 있다고 발표했습니다. 10월 22일자 예비 보고서(상태 페이지 기…
SiteGuard Server Edition CVE-2026-106931 악용 확인: 영향 대상과 대응 방법
2026년 10월 14일 EG Secure Solutions는 호스트형 웹 애플리케이션 방화벽(WAF)인 SiteGuard Server Edition의 통계 기능에 OS 명령 인젝션 취약점 CVE-2026-106931이 있다고 공표했으며, 이미 악용이 확인되었다고 밝혔습니다. 악용되면 제품이 동작하는 서…
트레저팩토리(트레팍) 정보 유출(이메일 기록 746,277건): 출장 매입·트레팍 이사 고객이 해야 할 일
2026년 10월 23일, 일본의 중고 상품 소매업체 트레저팩토리(Treasure Factory Co., Ltd.)는 외부 제3자가 출장 매입 서비스(출장 매입, shutchō kaitori)와 트레팍 이사 서비스의 의뢰를 접수·처리하는 안건 관리 시스템에 무단으로 접근해 그곳에 보관된 고…
Capcom CAPCOM ID 유출 사고(11,774,247건): 이메일 주소와 로그인 관련 데이터 유출 — 회원이 해야 할 일
2026년 10월 22일 Capcom Co., Ltd.는 온라인 회원 서비스 CAPCOM ID(Capcom 웹 서비스와 일부 온라인 게임에 쓰는 공통 계정)에 제3자가 무단으로 접근해 고객 정보 일부가 유출됐다고 발표했습니다. 유출된 정보는 이메일 주소와 시스템 고유의 식별 정보(…
코믹시모아 회원 정보 유출(로그 파일 최대 약 420만 건): 이메일 주소와 생년월일 유출, 이용자가 할 일
전자책 스토어 Comic Cmoa(코믹시모아)를 운영하는 NTT Solmare Corporation은 2026년 10월 15일 첫 공지부터 10월 21일 네 번째 보고까지 서비스에 대한 무단 접근과 관련해 네 차례 공지를 발표했습니다. 회사에 따르면 10월 15일 회사는 외부에서 서버에…
이와이 코스모증권 외부 위탁사 침해사고(고객 4,975명): 유출 내용, 의도하지 않은 거래, 고객이 할 일
2026년 10월 16일, 일본 증권사 이와이 코스모증권 주식회사는 모회사 이와이 코스모홀딩스의 적시공시를 통해, 온라인 거래 시스템의 운영·관리를 맡긴 외부 위탁사 시스템에 제3자가 접근했고 온라인 거래 고객 4,611명의 이름, 이메일 주소 등 기타 정보(…
Onamae.com Desktop Cloud(GMO인터넷) 무단 접근(26,739대 서버 영향 가능성): 고객 정보 유출, 보상, FX·증권 거래자가 오늘 해야 할 일
2026년 10월 21일 GMO인터넷주식회사는 FX 자동매매용 VPS(가상 전용 서버) 서비스인 Onamae.com Desktop Cloud에 제3자가 무단으로 접근했으며, 일부 고객의 서버 환경에 악성 프로그램이 설치되었다고 발표했다. 영향을 받을 수 있는 서버는 26,739대이며,…
Ymirlink Cuenote FC 이메일 발송 서비스에 대한 무단 접근(누적 약 5,163만 건으로 확대): 익스프레스 예약과 smartEX 회원 데이터 포함. 뉴스레터 수신자와 고객사가 해야 할 일
2026년 10월 26일, Ymirlink, Inc.(도쿄증권거래소 그로스, 4372)는 이메일 발송 서비스 Cuenote FC에 대한 무단 접근에 관한 2차 보고를 발표하고, 시스템 49개에서 누적 51,628,280건의 데이터가 유출되었다고 밝혔습니다. 10월 19일 1차 보고에서는 시스템…
리크루트 카센서넷·C-MATCH 정보 유출 (최대 3,709,551건): 판매점에 문의한 사람의 이름과 주소가 노출됐을 가능성 — 이용자와 판매점이 해야 할 일
2026년 10월 21일 리크루트 주식회사는 중고차 매물 사이트 카센서넷(앱 포함)과 중고차 판매점용 업무 지원 서비스 C-MATCH의 이용자 및 거래처 정보가 불법 접근으로 외부에 유출됐을 가능성이 있다고 발표했습니다. 회사에 따르면 10월 17일 카센서넷 관련…
LiteLLM 1.107.0에 자격 증명 탈취 악성코드 포함(2026년 10월): 영향받은 PyPI 릴리스와 Docker 이미지, 사용자가 해야 할 일
2026년 10월 21일(UTC), LiteLLM을 개발한 BerriAI는 릴리스 파이프라인이 침해되어 자격 증명을 탈취하고 원격 코드 실행 도구를 불러오는 악성코드가 담긴 v1.107.0이 배포되었다고 발표했습니다. 영향받은 대상은 PyPI의 litellm==1.107.0(11:39~13:23 UTC…
[속보] PHP 취약점 CVE-2026-109618과 CVE-2026-109619 악용 확인, CISA KEV 카탈로그에 추가: 지금 8.5.12, 8.4.27, 8.3.36 또는 8.2.35로 업데이트
2026년 10월 21일 PHP 보안팀은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35를 출시해 인증 없이 원격 코드 실행(RCE)이 가능할 수 있는 심각한 취약점 두 가지를 수정했으며, 모든 사용자에게 즉시 업데이트할 것을 촉구했습니다. CVE-2026-109618은 메모리 부족(ou…
H2O ID 개인정보 유출 (약 126만 건): 한큐·한신 백화점 예약 사이트 경유, 주소·전화번호·생년월일 유출 — 회원이 해야 할 일
2026년 10월 19일 H2O리테일링 주식회사와 주식회사 한큐한신백화점은 공동으로, 한큐한신백화점이 운영하는 한큐·한신 백화점 예약 사이트, HANKYU HANSHIN E-STORES, Remo Order에 제3자가 무단으로 접근했고 고객 개인정보 일부가 유출되었다고 발표했습니…
NIFTY 회선 신청 시스템 침해(최대 542,513건): 회원 ID, 이름, 주소, 전화번호 노출 가능성 — 광섬유 고객이 해야 할 일
2026년 10월 19일, 일본 인터넷 서비스 제공업체 NIFTY Corporation은 (첫 번째 보고) 회선 신청 및 접수 관리 시스템에 대한 외부로부터의 무단 접근을 확인했다고 발표했습니다. 회사에 따르면 10월 19일 약 10시 20분에 무단 접근을 확인했으며, 즉시 접근…
Rank Math PRO 3.0.123 악성코드 배포 사고(2026년 10월): 영향 범위와 WordPress 사이트 운영자의 대응
2026년 10월 16일(UTC), Rank Math는 자사 WordPress 플러그인의 유료 버전인 Rank Math PRO v3.0.123에 악성코드가 포함되어 있었다고 발표했습니다. 대상은 2026년 10월 15일 20:02(UTC)부터 10월 16일 07:12(UTC) 사이에 다운로드한 일부 사용자입니다. 플…
Studio 웹사이트 빌더 부정 접속: 전체 이용자 데이터와 폼 전송 내용 유출 가능성 — 폼 전송자와 사이트 운영자가 해야 할 일
2026년 10월 16일 Studio Inc.는 자사가 이용하는 클라우드 환경에 제3자가 부정 접속했으며, 웹사이트 빌더 Studio에 등록된 전체 고객의 데이터가 유출되었을 가능성이 있다고 발표했습니다. 제3자는 Studio 일부 기능의 취약점을 악용해 해당 환경에 접속…
버거킹 재팬 앱 개인정보 유출 (약 1,118만 건): 이름, 생년월일, 전화번호 유출 — 회원이 해야 할 일
2026년 10월 15일, 일본에서 버거킹을 운영하는 BK Japan Co., Ltd.는 자사가 운영하는 공식 버거킹 앱에 제3자가 무단으로 접근했고, 앱 회원 정보가 유출된 것을 확인했다고 발표했습니다. 접근은 2026년 10월 2일부터 10월 7일까지 이루어졌으며, 유출은 1…
SourceNext 회원 데이터 유출(22,519,960건): 이메일, 비밀번호, 주소 노출 가능성 — 회원이 해야 할 일
2026년 10월 15일, SOURCENEXT CORPORATION은 제3자가 회사가 관리하는 회원 데이터에 무단으로 접근했고, 등록 회원의 개인정보가 회사 외부로 유출되었다고 발표했습니다. 회사에 따르면 10월 9일 오전 10시경부터 제3자가 회원 데이터 조회 API를 악용해…
ConoHa WING(GMO인터넷) 일부 웹서버 무단 접근(426개 계정): 고객 웹서버 영역 데이터 영향, 사이트 운영자가 오늘 해야 할 일
2026년 9월 20일 GMO Internet, Inc.는 ConoHa WING 렌탈 호스팅 서비스의 일부 호스팅 서버(웹서버)에서 제3자가 일부 고객의 웹서버 영역에 무단으로 접근해 악성 프로그램을 설치했다고 발표했습니다. 426개 계정이 영향을 받았으며, 관련 데이터는 '고객…
웹사이트 보안은 SEO에 영향을 줄까? 취약점, 해킹된 사이트, HTTPS와 검색 순위를 Google 공식 문서로 정리
Google은 취약점을 순위 요소로 나열하지 않습니다. 피해는 취약점이 악용됐을 때 생깁니다. 해킹으로 스팸 페이지가 생기면 검색 결과에 '이 사이트는 해킹되었을 수 있습니다' 표시가 붙고, 멀웨어나 피싱이 있으면 Chrome에 '위험한 사이트' 경고가 뜨며(…
IDARE 데이터 유출(129,659명): 잔액, 거래 내역 및 일부 신분증 번호 유출 — 이용자가 해야 할 일
2026년 10월 13일 Fivot Inc.는 선불결제 앱 IDARE에 제3자의 무단 접근이 있었고 개인정보가 유출되었다고 발표했습니다. 회사가 고객 지원 등에 사용하던 외부 소프트웨어의 취약점이 악용되었고, 2026년 8월 10일부터 9월 27일 사이 여러 차례 회사 데이터…
SpeeCAN RAIDEN 유출 (2026): 재난 알림 메일 이용자와 사기 위험
2026년 10월 13일 Arcadia Inc.는 이메일 등을 일괄 발송하는 일제 통지 서비스 SpeeCAN RAIDEN이 제3자에게 무단 접근을 당했으며, 연락처 이름, 이메일 주소, 전화번호와 팩스 번호, 담당자 및 계약 정보, 이력으로 저장된 발송 메시지 본문이 유출되었을…
Commune 무단 접근(커뮤니티별 집계 회원 기록 166,505건): 기업 커뮤니티 회원 데이터 유출 — 회원과 운영자가 해야 할 일
2026년 10월 9일 Commune Inc.는 기업용 커뮤니티 서비스인 Commune과 Commune for Work가 외부 제3자에 의해 무단 접근을 받았고, 일부 커뮤니티에서 회원 데이터가 유출되었다고 발표했습니다. 유출은 10월 5일 18시경부터 10월 6일 21시경까지, 그리고 10…
누군가 내 계정에 접속했는지 확인하는 법: 로그인 활동, 로그인된 기기, 전달 설정 (Google, Microsoft, Apple, LINE, Instagram, X)
무단 접속을 확인하는 가이드. 세 곳을 본다. (1) 로그인 활동과 로그인된 기기(Google '내 기기', Microsoft '최근 활동', Apple 계정 기기 목록, LINE '접속 중인 기기', Instagram과 Facebook 'Where you're logged in(로그인한 위치)', X 'Apps and sessi…
내 웹사이트나 서버가 해킹됐는지 확인하는 법: 공유 호스팅, WordPress, VPS별 점검 순서와 발견했을 때 먼저 할 일
사이트의 침입 여부를 확인하려면 밖에서 보이는 징후와 안에 남은 흔적을 둘 다 본다. 징후: Search Console의 보안 문제 보고서, 검색 결과의 '이 사이트는 해킹되었을 수 있습니다' 표시, 호스팅 업체의 알림, 모르는 관리자, 모바일이나 검색에서 들어올…
바이토루 정보 유출(이메일 주소 최대 약 388만 건): 이메일만 유출됐다 — 회원이 가짜 면접 연락과 구인 사기를 구별하는 방법
2026년 10월 9일, 디프 주식회사는 10월 6일 일본에서 운영하는 구인 사이트 바이토루와 바이토루 NEXT에 대한 제3자의 부정 접근을 확인했으며, 일부 회원의 이메일 주소가 유출됐다고 발표했다. 유출 가능성이 있는 주소는 최대 3,885,771건이다. 회사는 이…
Bookoff 회원 정보 유출(6,383,279명): 이름·주소·이메일·비밀번호 해시가 노출됐을 수 있음 — 회원이 해야 할 일
2026년 10월 9일 BOOKOFF GROUP HOLDINGS LIMITED는 자회사 BOOKOFF CORPORATION LIMITED가 제공하는 일본 내 Bookoff 회원 관리 시스템에 제3자가 부정 접속했으며 회원 정보가 외부로 유출됐다고 발표했습니다. 10월 13일 2차 보고에 따르면 회원 정보는 10…
다이이치코쇼 협력업체 PC 악성코드 감염(약 872만 건): 빅에코·기타 회원의 이름, 생년월일, 전화번호 유출 가능성 — 대응 방법
2026년 10월 8일, 다이이치코쇼 주식회사는 개인정보 처리를 위탁한 회사의 직원 한 명이 사용하는 PC가 악성코드에 감염되었고, 다이이치코쇼의 고객 정보가 유출되었을 수 있다고 발표했습니다. 위탁 업무와 관련된 개인 데이터가 해당 PC에 일시적으로 저…
JR동일본, 뷰카드 및 JR규슈 이메일 유출 가능성(2026): 대처 방법
2026년 10월 9일, 동일본여객철도(JR동일본), 주식회사 뷰카드, 규슈여객철도(JR규슈)는 각각 회원에게 이메일을 보내는 데 쓰는 외부 서비스가 클라우드 서비스 제공업체에서 발생한 무단 접근의 영향을 받았으며, 회원의 이메일 주소 등 데이터가 열람 또는…
NewsPicks 데이터 유출 (카드 소지자 이름과 끝자리, 최대 362,000건): 내부 관리 도구를 통해 무엇이 유출됐는지와 이용자가 해야 할 일
2026년 10월 8일 Uzabase, Inc.는 뉴스 서비스 NewsPicks 운영에 사용되는 관리 도구에 제3자가 권한 없이 접근했고, 일부 이용자의 개인정보가 유출됐을 가능성이 있다고 발표했다. 10월 9일 발표한 두 번째 안내에서 회사는 이번 침입이 해당 관리 도구의…
스카이티켓(Adventure Inc.) 정보 유출 사고(약 1,464만 건): 비밀번호, 환불 계좌 정보 및 일부 이용자 카드 정보 노출 — 이용자가 오늘 해야 할 일
2026년 10월 9일 Adventure Inc.는 여행 비교·예약 사이트 스카이티켓에서 서로 다른 경로로 발생한 세 건의 불법 접근 사고를 발표했습니다. 첫 번째 사고에서는 관리 기능이 악용되어 이를 출발점으로 다른 서버와 클라우드에 저장된 데이터에 접근했고, 약…
PhotoGoods(Daiko Printing) 결제 페이지 카드 정보 탈취 프로그램: 2026년 8월 6일–9월 11일 결제한 사람이 해야 할 일
2026년 9월 16일 Daiko Printing Co., Ltd.는 운영 중인 서비스 PhotoGoods(photo-goods.com)에 권한 없는 제3자가 접근했다고 발표했으며, 결제 페이지에 입력된 신용카드 정보를 불법으로 빼낼 수 있는 프로그램이 설치되었다고 밝혔습니다. 해당 프로그램…
BitLocker 복구 키를 요구할 때: 48자리 키를 찾는 법과 찾지 못했을 때 할 수 있는 일
BitLocker 복구 키는 Windows가 드라이브를 자동으로 잠금 해제할 수 없을 때 요구하는 48자리 숫자다. BIOS/UEFI 업데이트, TPM 변경, 부팅 구성 변경 같은 일이 있은 뒤에 나타난다. 개인 PC라면 https://aka.ms/myrecoverykey 에 Microsoft 계정으로 로그…
BitLocker 끄는 방법: 일시 중단으로 충분한지 먼저 판단하고, 복구 키부터 저장하라
BitLocker를 끄면 드라이브 전체의 암호가 해독된다. Microsoft는 암호 해독은 보호가 더 이상 필요 없을 때 하는 것이며, 문제 해결 수단이 아니라고 설명한다. BIOS나 펌웨어 업데이트에는 '보호 일시 중단'으로 충분하다. 먼저 복구 키를 PC 바깥에 저장하…
내 비밀번호가 유출됐는지 확인하는 법: Have I Been Pwned를 안전하게 쓰는 법과 브라우저·휴대폰에 이미 있는 점검 기능
유출된 비밀번호를 확인하는 가이드. Have I Been Pwned(HIBP)는 이메일 주소가 알려진 데이터 유출에 포함되어 있는지, 어느 서비스에서 나왔는지, 어떤 종류의 데이터가 유출됐는지 알려 준다. 비밀번호 확인 기능(Pwned Passwords)은 기기에서 비밀번호를…
다이와증권 협력사 침해(고객 약 11만 명, 기록 22만 건): 유출되었을 가능성이 있는 정보와 고객이 해야 할 일
2026년 10월 5일, 일본 대형 증권사 중 하나인 다이와증권 주식회사는 고객 온라인 문의 관리에 사용하는 서비스의 협력사 서버에 무단 접근이 있었다고 발표했습니다. 문의 기록에 포함된 고객 약 11만 명의 이름, 이메일 주소, 계좌번호 등이 유출되었을 가…
덴마크 CPR 등록부 불법 조회 (약 880만 명): 유출된 정보와 주민 및 조회 권한을 부여한 기관이 해야 할 일
2026년 10월 5일, 덴마크 연구·교육·디지털화부는 민간 덴마크 기업이 주민등록 시스템(CPR)에서 데이터를 조회할 수 있도록 합법적으로 받은 권한이 권한 없는 사람들에 의해 악용되었고, 생존자, 해외 이주자, 사망자를 포함한 약 880만 명의 등록자에 대해…
GitHub 2단계 인증(2FA) 설정: 인증 앱, 패스키, 복구 코드, 그리고 휴대폰을 잃어버렸을 때 할 일
GitHub에서 2단계 인증(2FA)을 설정하고 잠김을 피하는 가이드. GitHub는 2023년 3월부터 GitHub.com에 코드를 기여하는 사용자에게 그룹별로 2FA를 의무화하고 있다. 대상이 되면 45일의 등록 기간과 7일의 유예 기간이 주어지고, 그 뒤에는 2FA를 켤 때까지…
infoQ 설문 사이트 침해 사고(894,082건): 유출된 정보와 회원이 해야 할 일
2026년 10월 5일 GMO리서치&AI 주식회사는 설문 사이트 infoQ에 제3자가 권한 없이 접근했고 회원의 개인정보가 외부로 반출되었다고 발표했습니다. 10월 14일 2차 보고에서 반출된 건수는 894,082건으로 확인되었습니다(1차 보고는 최대 948,498건이라고 했…
MrMax 앱·온라인 스토어 해킹(최대 약 174만 명): 이름, 이메일, 전화번호 유출 — 회원이 해야 할 일
2026년 10월 6일 일본 할인매장 체인인 MrMax Co., Ltd.는 자사가 운영하는 MrMax 앱과 온라인 스토어의 서버에 제3자가 무단으로 접근했고, 회원 개인정보의 일부가 유출됐다고 발표했습니다. 2026년 10월 3일 기준 회원으로 등록된 최대 1,735,154명이 영향…
오사카 공립대학교 랜섬웨어 공격(협력업체 클라우드 스토리지에서 개인정보 유출 확인): 학생, 졸업생, 학부모, 교직원이 해야 할 일
일본 오사카 공립대학교는 2026년 10월 2일 새벽 가상화 플랫폼에서 대규모 장애가 발생해 캠퍼스 네트워크, OMU 메일, 웹사이트, 학사·재무·급여·도서관 시스템이 중단되었다고 밝혔습니다. 10월 5일 기자회견에서 대학은 원인을 랜섬웨어 공격으로 결론지었…
라쿠텐 드라이브 침해 사고(15,382개 계정의 저장 데이터): 열람된 내용과 이용자가 해야 할 일
2026년 10월 6일, 클라우드 스토리지 서비스 라쿠텐 드라이브는 제3자가 서비스가 사용하는 일부 시스템의 관리 계정 인증 정보를 부정하게 취득해 시스템에 접근했고, 정보를 입수해 열람했다고 발표했습니다. 영향을 받은 대상은 2026년 1월 29일부터 9월 1…
GitHub에 공개된 인증 정보 543,699건이 여전히 유효했다 (2026년 연구): 삭제가 아니라 폐기해야 하는 이유와 개발자가 할 일
비밀값 검사 도구를 판매하는 보안 회사가 LLM 학습용으로 수집된 약 2억 2,400만 개 공개 저장소의 스냅숏을 조사해, 2026년 7월 말 시점에 543,699건의 인증 정보가 여전히 인증에 성공했다고 보고했다. 노출 후 경과 기간의 중앙값은 784일이었다. npm과 G…
아바하우스 개인정보 유출: 주문 내용까지 유출됐을 가능성, 가짜 환불 메일 대처법
2026년 10월 2일, 아바하우스 인터내셔널 주식회사는 제3자(해외 추정)에 의한 내부 시스템 무단 접근으로 회원 ID, 이름, 주소, 전화번호, 이메일 주소, 생년월일, 성별 및 주문 내용(주문 일시, 상품명, 금액, 배송지 등)이 유출됐을 가능성이 있다고 발표…
금융회사 7곳 잇단 해킹·정보 유출(신한은행 발표 고객 약 2만 5천 명): 연소득·대출한도·주민등록번호 유출과 고객이 지금 할 일
2026년 10월 1일부터 4일까지 국내 금융회사 7곳이 외부의 비인가 접근에 따른 정보 유출을 발표하거나 당국에 신고했다. 고객 정보는 신한은행 약 2만 5천 명(성명·전화번호·연소득·대출한도 등, 이 중 주민등록번호 66건), KB국민은행 119명(암호화된 주민…
라신방 데이터 유출: 신분증 번호와 환급 계좌 정보가 유출됐을 수 있음(신분증 이미지는 제외) — 판매자가 해야 할 일
2026년 10월 1일, 주식회사 라신방은 2026년 9월 14일부터 16일까지 회사가 운영하는 서비스에 대한 부정 접근으로 이름, 주소, 전화번호, 이메일 주소, 생년월일, 직업과 함께, 매입 신청 시 입력한 본인확인서류의 종류와 번호, 은행명, 지점명, 계좌번호,…
세이코마트 앱 정보 유출 사고(회원 약 57만 5천 명): 이름, 주소, 생년월일 열람 — 회원이 해야 할 일
2026년 9월 29일 일본에서 세이코마트 편의점 체인을 운영하는 Seicomart Co., Ltd.는, 세이코마트 스마트폰 앱 뒤편 서버를 통해 제3자가 회원 정보가 저장된 서버에 무단으로 접근했다고 발표했습니다. 10월 5일 발표한 네 번째 공지에서 회사는 영향을 받…
E-store ShopServe 데이터 유출(최종 보고: 약 2,336만 명): 구매자, 쇼핑몰 운영자, 제휴사(어필리에이트)가 해야 할 일
E-store Co., Ltd.는 2026년 10월 16일 최종 보고에서, 온라인 쇼핑몰 구축 서비스 ShopServe의 서버에서 제3자가 애플리케이션의 취약점을 악용하여 2026년 5월 21일부터 8월 1일 사이에 데이터베이스의 내용을 외부로 전송했다고 밝혔습니다. 영향을 받는…
TEMAIRAZU 불법 접근(2026): 투숙객과 숙박업소를 위한 안내
2026년 9월 28일 Temairazu, Inc.는 호텔과 료칸이 여러 경로의 예약을 한곳에서 관리하는 데 쓰는 시스템인 TEMAIRAZU 시리즈에 대한 불법 접근을 발표했습니다. 9월 21일 늦은 밤부터 이 시스템을 쓰는 숙소의 투숙 예약자들에게 WhatsApp 등 메시징 앱, 이…
야마토·사가와 데이터 유출 (2026): 영향 범위와 대응
야마토운송은 2026년 9월 28일 쿠로네코 후불결제 서비스에 대한 부정 접근을 발견했고, 사가와익스프레스는 9월 30일 택배 조회 서비스에 대한 부정 접근을 발견했다. 10월 1–2일 두 회사는 모두 개인정보가 유출되었을 수 있다고 발표했다. 두 사건은 별개…
부킹닷컴 예약 정보 유출: 숙소를 사칭한 사기 메시지를 구별하는 방법
2026년 4월 부킹닷컴(Booking.com)은 권한 없는 제3자가 일부 예약 정보에 접근할 수 있었을 가능성이 있다고 고객에게 통지하고, 해당 예약의 PIN을 변경했으며, 문제를 차단했다고 밝혔다. 통지문과 보도된 회사 대변인의 설명에 따르면 대상 정보는 예약…
채비(CHAEVI) 개인정보 유출(29만 8천 건): 무엇이 유출됐고 회원은 무엇을 해야 하나
채비(CHAEVI)의 2026년 7월 26일·30일 공지에 따르면, 7월 23일 외부의 불법적인 해킹 공격으로 개인정보 총 298,333건이 유출됐다. 이메일 단독 164,858건, 이메일+비밀번호(암호화) 131,411건, 이메일+이름·연락처(암호화)+성별·생년월일 등 1,235건, 여기…
TanStack, Nx Console, GitHub로 이어진 침해 연쇄 (2026년 5월): 개발자가 확인할 것
2026년 5월 11일 TanStack의 Router/Start 저장소의 배포 파이프라인이 악용돼 npm 패키지 42개, 84개 버전에 인증 정보를 훔치는 코드가 실렸다. 그중 하나를 설치한 Nx 기여자의 GitHub CLI 토큰이 탈취됐고, 5월 18일 변조된 Nx Console 확장(v18.95.0)이…
Trivy 공급망 침해 (2026년 3월): CI에서 Trivy를 쓰고 있다면 할 일
2026년 3월 19일 Aqua Security가 개발하는 오픈소스 취약점 스캐너 Trivy의 악성 v0.69.4가 배포됐고, GitHub Actions의 trivy-action(태그 77개 중 76개)과 setup-trivy(태그 7개 전부)가 악성 커밋을 가리키도록 바뀌었다. Aqua에 따르면 악성 코드는 CI…
티빙 개인정보 유출: 보상을 사칭한 사기 문자와 회원이 지금 할 일
과학기술정보통신부 민관합동조사단의 2026년 9월 3일 조사결과에 따르면 티빙 침해사고로 활성·휴면·탈퇴·테스트 계정을 합쳐 3,954만 개(중복 포함) 계정 정보가 유출됐고, 유출 항목은 ID, 성명, 생년월일, 연계정보(CI), 중복가입확인정보(DI), 환불 계좌…
Vercel 보안 사고 (2026년 4월): 환경 변수가 노출됐을 때 개발자가 할 일
2026년 4월 19일 Vercel은 일부 내부 시스템에 대한 무단 접근을 공개했다. Vercel에 따르면 직원이 쓰던 서드파티 AI 도구가 침해되면서 공격자가 그 직원의 Google Workspace 계정을 탈취했고, 그 직원의 Vercel 계정과 Vercel 환경에 들어가, 일부 제한된…
타임스카 데이터 유출(이름·주소 등 6,628,007건, 신분증 이미지 약 146만 건 외부 전송 흔적): 마이페이지 확인 방법과 회원·전 회원의 대응
2026년 10월 23일 발표한 다섯 번째 공지에서 Times Mobility Co., Ltd.는 외부 포렌식 조사가 종료되었다고 밝히고 최종 건수를 공개했다. 타임스카 웹 시스템에서는 이름, 주소, 생년월일, 전화번호, 이메일 주소, 운전면허 정보 6,628,007건에 대해 공격자…
'PC가 바이러스에 감염됐습니다' 경고는 거의 가짜: 닫는 법과 이미 전화했을 때 할 일
'컴퓨터가 감염되었습니다'라고 외치며 전화번호를 보여 주는 브라우저 화면은 기술 지원 사기다. 일본 IPA는 화면이 떴을 뿐이라면 PC는 감염되지 않았고 닫기만 하면 된다고 하며, 피해자 대부분은 창을 닫지 못해 전화를 걸었다가 피해를 입는다고 한다.…
내 이메일 주소로 스팸이 온다: 대개 보낸 사람 위조이며, 해킹 여부를 확인하는 법
내 주소에서 '보낸' 것처럼 오는 스팸의 대부분은 보낸 사람 필드가 위조된 것이고, 계정은 건드려지지 않았습니다. 일본의 IPA와 JC3는 이렇게 꾸민 협박 메일을 모두 경고했고, IPA는 상담 창구에서 영상이 실제로 공개된 사례를 한 건도 확인하지 못했다고…
VPN 장비는 랜섬웨어의 주된 침입 경로: 일본 디지털청 침해 사고로 본 원격 접속 방어
VPN 장비는 인터넷과 조직 내부망을 잇는 곳이며, 일본에서 경로가 밝혀진 랜섬웨어 사례의 약 3분의 2가 이곳으로 들어왔습니다. 디지털청 GSS 사고도 같은 형태로, VPN 취약점으로 들어온 뒤 유지보수 업체의 계정으로 대량의 파일에 접근했습니다. 본 사이…
클라우드 스토리지 공개 노출: 퍼블릭 액세스 차단을 켜도 데이터가 샐 수 있는 이유
버킷 유출은 공격이 아니라 설정에서 생긴다. 문서에서 중요한 한 줄: 퍼블릭 액세스 차단 설정은 기존 정책이나 ACL을 바꾸지 않는다. 공개 설정은 차단 아래에 남아 있고, 차단을 풀면 다시 공개된다. 그래서 목표는 '차단이 켜져 있다'가 아니라 '차단을…
흔한 보안 실수 4가지: 기본 설정, 잊힌 서비스, 모니터링 부재, 입력 검증에 대한 과신
사고는 몇 가지 반복되는 패턴에서 나오며, 그 패턴은 기술보다 믿음으로 분류할 때 더 분명해진다. 네 가지다. 기본값은 안전할 것이다(아무것도 설정하지 않았다), 쓰지 않는 것은 해가 없을 것이다(아무것도 닫지 않았다), 무슨 일이 있으면 알아차릴 것이…
안전하지 않은 역직렬화: 외부 데이터가 객체 타입을 고르게 두는 위험과 막는 법
역직렬화의 위험은 나쁜 값이 들어오는 데 있지 않다. 일부 형식에서는 어떤 타입의 객체를 만들지 외부 데이터가 정한다는 데 있다. 그래서 피해는 데이터 손상에서 멈추지 않는다. OWASP는 서비스 거부, 접근 제어 우회, 원격 코드 실행을 든다. 방어는 두…
비밀번호 재설정의 설계 결함: 로그인을 강화해도 계정이 탈취되는 5가지 경우와 해결책
재설정 기능은 비밀번호를 모르는 사람이 새 비밀번호를 정하게 해 주는 장치이므로, 그 자체로 하나의 인증 경로입니다. 로그인을 아무리 강화해도 재설정이 약하면 재설정의 강도가 실제 인증 강도가 됩니다. 실패의 형태는 5가지입니다. 추측 가능한 토큰,…
Node.js 프로토타입 오염: 런타임이 책임지지 않는 범위와 내 코드에서 방어하는 법
프로토타입 오염은 외부 입력에 든 특수한 키가 대개 재귀 병합을 통해 JavaScript의 내장 프로토타입에 닿을 때 일어납니다. 결과는 두 가지입니다. 설정한 적 없는 속성이 곳곳에 나타나거나(권한·옵션 판정이 틀어짐), 내장 메서드가 사라져 관계없는 곳에…
요청 횟수 제한과 남용 대책: 무차별 대입과 비용 폭주를 막는 제한 설계
요청 횟수 제한이 실패하는 것은 대개 제한이 느슨해서가 아니라 질문을 잘못했기 때문입니다. 질문은 세 가지입니다. 누구를 셀 것인가(IP는 위조할 수 있고 실제 사용자끼리도 공유하므로 주체가 먼저), 무엇을 셀 것인가(요청 수만으로는 한 번에 비싼 작…
보안 헤더 고르는 법: 아직 필요한 것, 쓸모없어진 것, 해가 되는 것
헤더는 많을수록 좋은 것이 아닙니다. 세 그룹으로 나누세요. 아직 효과가 있는 것(CSP, HSTS, X-Frame-Options, nosniff, Referrer-Policy, Permissions-Policy), 쓸모없어진 것(Expect-CT는 2021년 6월 이후 대부분 쓸모없음), 오히려 해가 되는 것(MDN은 X…
서브도메인 탈취(dangling DNS): 남겨진 DNS 레코드로 공격자가 내 도메인을 쓰는 구조
DNS 레코드를 지우지 않고 클라우드 리소스만 삭제하면 '매달린(dangling)' 항목이 남습니다. 누구든 같은 FQDN으로 리소스를 만들면 그 서브도메인을 차지할 수 있습니다. 내 서버는 건드려지지 않은 채, 정상 서브도메인이 공격자의 콘텐츠를 내보냅니다.…
어떤 CVE부터 고칠까 — CVSS·EPSS·KEV는 각각 무엇을 재는가
CVSS는 심각도, EPSS는 악용 확률, KEV는 악용이 확인된 사실입니다. 서로 대체할 수 없습니다. KEV 전체 1,695건을 센 본 사이트의 데이터: 64%가 CVSS 9 미만, 24%가 EPSS 0.1 미만 — '고득점만 고친다'도 'EPSS가 낮으니 둔다'도 실제 데이터 앞에서 실패…
osv-scanner 실전 — pnpm, CVE 무시, 오프라인 모드, 자주 만나는 오류
도입 다음 날의 질문만 공식 문서에 근거해 답합니다. pnpm-lock.yaml은 지원되고, 무시 설정은 osv-scanner.toml의 IgnoredVulns에 두며 기한을 붙일 수 있고, 오프라인 모드는 역할이 다른 세 플래그입니다. 본 사이트의 견해: 스캐너는 알려진 취약점을 보…
Next.js와 React는 취약점이 많은가? CVE 데이터가 실제로 보여 주는 것
데이터에 따르면 React 본체의 CVE는 거의 없고, Next.js의 CVE는 많으며 늘고 있다. 중요한 것은 그 위치다. 미들웨어, 캐시, 이미지 최적화, Server Actions에 몰려 있고, CWE는 SSRF, 역직렬화, 인가 우회가 상위다. 이 사이트의 결론: Next.js를 프런트엔…
npm 공급망 웜: 설치 순간에 자격 증명이 털리는 구조와 방어법
의존성 하나를 추가하는 것은 남이 쓴 코드를 내 권한으로 실행하는 일이므로, 방어는 설치 시점에 해야 합니다. 본 사이트의 견해: 이번 공격은 서명과 출처 증명을 통과했으므로 이것을 신뢰의 근거로 삼을 수 없습니다. 효과가 있는 것은 설치 스크립트를…
웹 호스팅 업체가 침해당했을 때: 고객이 해야 할 일
호스팅 업체 쪽 침해는 고객의 설정으로 막을 수 없으므로, 방어의 초점은 예방에서 잃을 수 있는 양을 줄이는 쪽으로 옮겨 간다. 9월 10일 조사 결과는 가장 중요한 부분을 확정했다. 판매 관리 시스템에 대한 부정 접근은 2023년 4월부터 2026년 3월 사이에…
파일 업로드 취약점 — 웹 셸과 RCE를 설계로 막는 법
업로드 취약점의 문제는 '파일을 받는 것'이 아니라 어디에 두느냐, 그리고 실행될 수 있느냐다. 인증 없는 엔드포인트 + 형식 검증 없음 + 웹 루트 아래 저장 + 그곳에서 스크립트 실행 = 웹 셸 → RCE. 여러 겹으로 막는다. (1) 엔드포인트에 인증·권한 확인…
인증과 인가의 차이: 로그인만으로는 다른 사용자의 데이터를 지킬 수 없다
인증＝'누구인가'를 확인하는 것, 인가＝'그 사람이 무엇을 해도 되는가'를 정하는 것. 둘은 별개이며, 로그인을 붙인 것만으로는 인가가 되지 않는다. 데이터에 소유자(user_id) 스코프가 없으면 '로그인＝전체 데이터 열람'이 된다(OWASP 최상위의 Broken A…
사람들은 비밀번호를 어떻게 보관할까? 데이터가 말하는 것 — 그리고 안전한 방법
대표성 있는 설문에 따르면 약 54%가 암기에 의존하고, 약 33%가 종이에 비밀번호를 적으며, 전용 비밀번호 관리자를 쓰는 사람은 약 36%에 불과합니다 — 그리고 약 25%가 비밀번호를 재사용합니다. 한편 Verizon DBIR은 침해의 약 38%에 자격 증명 유출이 관…
비밀번호를 안전하게 저장하는 법: 올바른 해싱과 솔트
서버에 비밀번호를 안전하게 저장하는 실전 가이드. 평문·암호화·생 해시가 모두 실패하는 이유를 이해한 뒤 하나의 답으로 수렴합니다: 사용자별 솔트 + 의도적으로 느린 해시(Argon2id 권장, bcrypt/scrypt는 대안). 직접 만들지 말고 표준 함수를 쓰며, 시…
AI 시대의 보안: 지금 다잡아야 할 기본기 (우선순위 체크리스트)
AI는 새로운 약점을 만들기보다 기존 약점(패치 안 된 CVE, 재사용된 비밀번호, 노출된 시크릿)에 대한 공격을 주로 증폭한다 — 자동으로, 빠르게, 대규모로 찾아내며. 따라서 가장 좋은 대비는 기본기를 올바른 순서로 다잡는 것이다: CVE 패치 + 의존성 모…
AI 시대에 효과가 있는 보안 대책과 없는 대책: 작은 사이트도 노려지는 이유
AI 시대의 네 가지 오해를 바로잡는다: (1) 너무 작아서 표적이 안 된다 → 자동화된 공격은 사람이 표적을 고를 필요가 없다; (2) 특별한 새 통제가 필요하다 → 여전히 기본기가 가장 효과적이다; (3) 제품이 안전하게 해준다 → 탐지보다 예방 설계가 먼저; (…
자기 도메인을 사칭한 이메일 스푸핑: 침해와 구분하는 법, 그리고 SPF·DKIM·DMARC로 막는 법
자기 도메인에서 온 것처럼 보이는 수상한 메일은 보통 침해가 아니라 From 위조다 — SMTP가 누구나 From 줄을 쓰게 허용하기 때문. 헤더(Authentication-Results, Received, Reply-To)를 읽으면 침해와 위조를 구분할 수 있다. 받은편지함에 도달하는 주된…
백업의 핵심: 3-2-1 규칙과 랜섬웨어를 견디는 복구 계획
'백업이 있다'로는 부족하다 — 복원할 수 있음을 검증한 백업만이 쓸모가 있다. 기본: 3-2-1 규칙(사본 3개, 매체 2종, 한 부는 외부). 랜섬웨어에는 '오프라인 또는 불변' 사본이 최소 하나 더 필요하다 — 늘 연결된 백업은 원본과 함께 암호화된다. 클라우…
gitleaks로 커밋 전에 시크릿을 막아라: push 전에 API 키 유출 잡기
시크릿은 '유출된 뒤 삭제'할 수 없다. 한 번 커밋되면 Git 히스토리에 남고, push되면 유출된 것으로 다뤄야 한다 — 키를 폐기/교체해야 한다. gitleaks는 정규식/엔트로피로 저장소 전체와 커밋 히스토리를 스캔해 API 키, 개인 키, 토큰을 찾는 무료 도구…
MFA를 제대로 고르기: '피싱 저항'이 무엇이고, SMS가 왜 약한가
MFA는 서로 다른 종류의 요소를 결합한다. 직접 입력하는 코드는 피싱으로 중계될 수 있고 SMS는 전화번호의 통제에도 의존한다. 중요한 계정에는 패스키나 FIDO2 보안 키 같은 피싱 저항 방식을 우선하고, 사용자 확인 요구와 복구 방법도 점검한다.
아직 Windows 10? 지원 종료 후 계속 쓸 때의 보안 위험
일반 Windows 10 Home/Pro 계열 22H2 지원은 2025년 10월 14일 종료되었습니다. 2026년 10월 16일 확인한 공식 안내에서 소비자 ESU는 2027년 10월 12일까지이며 기존 등록은 자동 연장됩니다. 기기의 등록·업데이트 상태와 지역 조건을 확인하고 업데이트가…
BitLocker vs '장치 암호화' — 같은 기술, 완전판 vs 자동 라이트판
BitLocker와 장치 암호화는 같은 암호화 엔진을 공유한다. 장치 암호화 = Home에서도 동작하는 자동·라이트판(Microsoft 계정으로 자동 켜짐, 복구 키 자동 위탁, 최소 옵션). BitLocker = Pro 이상의 완전판(시작 PIN, To Go로 외장 드라이브 암호화, 세밀한…
의존성 CVE를 제대로 고치기: 스캔, 수정, 격리, 그리고 계속 감시
취약점 작업은 '고쳤다'고 끝나는 게 아니다. 완료 = 1) 스캔, 2) 수정, 3) 격리/인계, 4) 모니터링. 모니터링(매일 변화 탐지)이 갖춰지기 전까지는 미완이다 — 의존성은 내일 다시 취약해진다. 다음 배포가 덮어쓰는 완벽한 수정은 가치가 0이다. 소규모 팀…
들고 다니는 노트북 지키기 — 도난, 분실, 어깨너머 훔쳐보기 방어
노트북을 들고 다니면 언젠가 잃거나 도난당한다고 전제하라. 주된 방어는 분실해도 내용이 새지 않게 설정해 두는 것이다: 디스크 암호화(BitLocker/FileVault), 짧은 자동 잠금이 있는 강한 로그인, 원격 잠금/위치 추적. HTTPS가 보편화돼 공용 Wi-Fi 도청…
osv-scanner 설치와 사용법: 의존성의 CVE를 자동으로 찾아내기
osv-scanner는 락파일과 컨테이너를 스캔해 의존성의 CVE를 무료로 드러냅니다. 설치·실행·CI 연동을 짚고, npm/pnpm audit·Dependabot과 언제 쓸지도 비교합니다. 본 사이트의 견해: 어떤 도구가 맞는지는 당신의 환경에 달려 있습니다. 다중 생태계나 GitHu…
비밀번호 관리자는 안전한가? 작동 원리, 클라우드 vs 로컬, 선택법
비밀번호 관리자는 서비스마다 강력하고 서로 다른 비밀번호를 쓰도록 돕는 도구입니다. 제로 지식 암호화는 제공자에서 암호화된 데이터가 유출되더라도 내용을 보호하기 위한 설계이지만, 안전성은 마스터 비밀번호 강도, 암호화 설정, 기기 보안에도 달려…
공용 Wi-Fi의 위험: 도청보다 가짜 액세스 포인트와 인증서 경고가 더 중요하다
공용 Wi-Fi '도청'은 HTTPS로 대부분 완화되어 이제 우선순위가 낮습니다. 진짜 위험은 (1) 이블 트윈 가짜 AP에 스스로 접속, (2) 인증서 경고 무시, (3) 공유 네트워크에 기기 노출입니다. 가장 효과적인 대책은 단순합니다: 폰 테더링을 쓰고, HTTPS와 인…
공개 디렉터리에 시크릿 파일을 남겨두지 않았나요? 웹루트를 점검하라
웹루트의 모든 것은 누구나 URL로 가져갈 수 있습니다. 남겨진 토큰/자격증명 JSON, .env, 백업은 즉각 노출을 뜻하며 — 공유 템플릿에서 왔다면 모든 사이트가 같은 파일을 갖습니다. 해법: 공개 디렉터리엔 공개해도 되는 것만, 시크릿은 웹루트 밖에 권한…
1인 개발자와 소규모 운영자를 위한 보안 베이스라인: 표준 통제를 우선순위 순으로
베이스라인은 '모두 똑같이 중요'가 아닙니다. 본 사이트의 우선순위: 1) 관리자 계정·도메인·이메일(MFA), 2) 시크릿과 코드, 3) 앱 자체, 4) 패치·탐지·복구. 시간이 유한할 때 위에서부터 채우세요. 심각한 침해는 대부분 새로운 공격이 아니라 이 기본 통…
조직 보안의 최소한: 2026년 일본 실제 사고에서 거꾸로 짚은 6가지 우선순위
조직의 '최소한'은 제품 목록이 아니라 실제 사고에서 뚫린 곳으로 정해야 합니다. 2026년 일본의 사고를 나란히 놓으면 침입구는 VPN 장비, 타사 소프트웨어, 조회 기능, 비공개로 제각각이지만, 피해를 키운 원인은 6가지로 정리됩니다. ①외부 노출 장비를…
보안 인벤토리: 서버 여러 대를 운영하는 사람이 놓치는 7가지 점검
1인/소규모 운영자에게 사고는 통제의 부재보다 추적되지 않은 상태에서 옵니다. 경계는 키를 쥔 PC입니다. 다른 계정을 복구할 수 있는 계정 순서로(이메일 먼저) 2FA의 우선순위를 정하고, 어느 SSH 키가 어느 서버를 여는지 목록으로 만들어 중복·미사용…
자체 호스팅 Git vs GitHub: 실제로 어느 쪽이 더 안전한가?
Git을 자체 호스팅한다고 '더 안전'해지지 않습니다 — 위험을 옮길 뿐입니다. 실수로 인한 공개 노출 부류는 사라지지만, 서버 패치·백업·커밋 전 시크릿 탐지가 당신에게 넘어옵니다. 그 일을 계속 해낸다면 옳은 선택이고, 방치하면 GitHub보다 나쁩니다.…
스마트폰 보안 기초: 비밀번호, 결제, 신분증을 담은 기기 하나를 지키기
폰은 2FA, 이메일, 뱅킹, 신분증을 한 기기에 집약하므로, 잃어버리면 많은 서비스에 영향이 미칩니다(단일 실패 지점). 가장 효과적인 보호는 보안 앱이 아닙니다: (1) 강한 잠금 + 짧은 자동 잠금(암호가 암호화 키); (2) 자동 OS/앱 업데이트; (3) 공식 스…
SSH 키 최소 권한: 침해될 수 있는 임시 환경에 프로덕션 루트 키를 두지 마라
임시·침해 가능한 환경(GPU 파드, CI 러너, 일회용 VM)에서 프로덕션에 루트 키를 등록한다는 것은, 그 환경이 침해되는 순간 공격자가 프로덕션의 루트 권한을 얻는다는 뜻입니다. 해법: 임시 환경에 루트 키 금지; 미사용 시 키 제거; 다시 필요하면 비루트…
비밀번호를 Google Drive에 저장하면 안전한가? 제대로 보관하는 법
비밀번호를 평문 Google 문서/시트에 두는 것은 위험합니다: Google 계정 하나가 모든 비밀번호의 단일 실패 지점이 됩니다 — 계정 탈취, 악성 연결 앱, 피싱이 한꺼번에 누출시킵니다. 가장 안전한 선택은 전용 비밀번호 관리자입니다(동기화해도 내용은 암…
OpenAI 계정이 정지되는 이유: 탈취된 API 키와 디스틸레이션 정책
탈취된 API 키가 '디스틸레이션'에 악용되면 피해자의 계정조차 자동 정지될 수 있습니다. 그 메커니즘과 예방, 이의 제기를 비식별화·방어적으로 정리한 가이드.
X-Forwarded-For(XFF) 스푸핑이란: 신뢰 프록시 설정 오류와 방어
XFF는 클라이언트가 위조 가능한 헤더입니다. 무차별 스캐너가 인젝션 탐침을 위조된 XFF에 넣고, '모든 프록시 신뢰(와일드카드)' 설정이 그것을 통과시킵니다. 단기 수정: 경계에서 IP 헤더 정제. 근본 원인 수정: 올바른 프록시(또는 없음)만 신뢰. 영향 0…
AI가 작성한 코드에서 API 키가 유출돼 부정 과금에 쓰였다: 원인은 패치되지 않은 CVSS 10.0 취약점
요금 급증은 증상이었다. 원인은 패치되지 않은 공개 CVSS 10.0 RCE였다. 익명화한 사례를 방어 교훈으로 정리한다.
보안 기본: .env와 API 키의 진짜 위험은 무엇인가
여기서 시작하라. .env와 API 키가 유출되면 무슨 일이 일어나는지(누군가 당신인 척 서비스를 쓰고, 그 요금이 당신에게 청구된다) 이해한 뒤, 오늘 네 가지 습관을 들이라: 노출하지 말 것, 커밋하지 말 것, 유출되면 전부 교체할 것, 스스로 점검할 것.
Laravel의 .env가 공개적으로 읽힌 사례: 공유 호스팅의 배치 실수와 고치는 법
원인: 앱 전체가 웹 루트 아래 있었다 — public/만 보여야 한다. 세 단계로 고친다 — .htaccess로 임시 차단, 키 교체, 구조 재배치 — 그리고 프로세스로 재발을 막는다.
Next.js를 안전하게 운영하기: 공개된 CVE에 뒤처지지 않기
프레임워크 최대 위험은 방치된 공개 CVE다. 네 가지 실천으로 방어한다: 가동 중인 버전으로 판단, Dependabot/osv-scanner로 모니터링, 빠른 업데이트, 최소 권한 운영. 본 사이트의 견해: 인디 개발자에게 부족한 것은 보통 지식이 아니라 운영을 지속하는…
공유 호스팅에서 .env를 공개 웹에 노출하지 않기
주된 해법: 앱 본체를 docroot 밖에, public/만 노출. 먼저 .htaccess로 접근을 막고, 재구성으로 영구화한 뒤, 자가 점검. 본 사이트의 견해: 이건 한 사람의 실수가 아니라 업계 전반의 표준이 되어 버린 위험한 배치 — 경계심이 아니라 프로세스로 고치세…