보안
19개의 글
AI 자동 승인, 비번 노출 경로와 계정 점검 순서
미래에셋운용 연기금투자풀 유출 신고에서 확인된 것은 비밀번호 해시 탈취로 307개 실계정에 로그인하고 API로 최고관리자 권한을 가져간 과정이며, 이 공격에 AI가 쓰였다는 근거는 보도에 없다. 그럼에도 AI 계정 담당자가 긴장해야 하는 이유는, AI 에이전트의 자동 승인이 바로 그 약한 고리인 자격증명과 과도한 권한을 사람보다 빠르고 넓게 건드리기 때문이다. 에이전트에 별도 신원과 최소 권한을 주고, 승인·접근 로그를 감사하며, 하드코딩된 비밀번호와 토큰을 교체했는지부터 점검해야 한다.
정보유출 통보받은 퇴직자, 순서대로 할 일
최근 대신증권과 빗썸 등 금융권 개인정보 유출이 잇따르면서 재직 당시 정보가 남아 있던 퇴직자도 통보 대상이 되고 있다. 연락처 유출인지 신분증·계좌 유출인지에 따라 대응 수위가 갈리며, 재직 때 쓰던 비밀번호의 재사용을 끊고 사칭 연락을 공식 채널로 역확인하는 것이 핵심이다. AI 챗봇은 의심 메시지의 1차 필터로만 쓰고, 개인정보를 붙여넣거나 안전 판정을 맹신해서는 안 된다.
계좌번호 유출 뒤 오는 사칭 전화 거르는 법
미래에셋증권 해킹으로 고객 약 3,800명의 계좌번호와 임직원 3만여 명의 정보가 유출됐고, 금전 피해는 아직 없지만 유출 정보를 미끼로 한 2차 사기 우려가 커졌다. 계좌번호만으로는 돈을 빼갈 수 없지만, 범인이 그 번호를 들이대며 진짜 증권사처럼 행세하면 피해자의 신뢰를 조작하는 재료가 된다. 사칭 연락의 공통 신호를 익히고 AI 챗봇으로 의심 문구를 1차 점검하되, 최종 확인은 반드시 공식 번호로 해야 한다.
ERP 업체 해킹, 내 회사 데이터부터 점검하기
더존비즈온 백업서버가 뚫려 고객사 데이터가 외부로 반출된 정황이 발견됐고, 정부는 이를 중대 침해사고로 보고 조사 중이다. 회계·급여·거래처 정보를 외부 ERP나 클라우드에 맡긴 기업은 자사 보안이 멀쩡해도 공급업체 한 곳이 뚫리면 함께 노출된다. 우리 회사 데이터가 어디에 저장·접근되는지, 위탁 계약서의 통지 조항과 접근권한을 지금 확인해야 한다.
현대이지웰 유출, 지금 점검할 5가지
현대이지웰이 10월 29일 회원정보 조회 API에 대한 외부 비정상 접근으로 이름·생년월일·휴대전화번호·이메일 등 회원 개인정보가 유출됐다고 밝혔다. 비밀번호와 카드정보는 공개된 유출 목록에 없지만, 실명과 연락처가 함께 빠져나가면 이를 엮은 사칭 문자·전화가 뒤따르기 쉽다. 지금 할 일은 유출 여부 조회, 아이디·비밀번호와 연동 계정 점검, 명의도용 차단 신청을 순서대로 확인하는 것이다.
빗썸 유출 뒤 거래소 계정에서 먼저 바꿀 설정
2026년 10월 빗썸에서 임직원 정보가 유출된 정황이 확인돼 금융당국이 현장점검에 들어갔고, 거래 핵심 시설은 아니지만 고객정보가 섞였을 가능성은 조사 중이다. 이 틈을 노린 사칭 연락 위험이 커진 상황이라 계정 보안 설정을 지금 점검해 둘 이유가 생겼다. 2단계 인증 방식, 출금 등록 지갑, 연동 기기를 먼저 확인하고 의심스러운 연락은 공식 대표번호로 되묻는 것이 핵심이다.
예약번호 유출, 지금 해야 할 3가지
대한항공과 아시아나항공이 협력사 아마데우스 해킹으로 예약번호 등 예약 정보가 유출됐다고 밝혔으며, 카드·결제 정보는 포함되지 않은 것으로 파악된다. 예약번호는 승객 이름과 함께 쓰이면 예약 조회의 열쇠가 돼, 유출 자체보다 이를 미끼로 한 피싱 등 2차 피해가 더 현실적인 위협이다. 공식 앱·홈페이지로 예약을 직접 확인하고 사칭 연락을 의심하며 계정 비밀번호와 등록 연락처를 점검하는 순서로 대응하면 된다.
비밀번호 돌려쓰기, 관리자 앱으로 끊는 법
한 서비스에서 유출된 아이디·비밀번호 조합은 크리덴셜 스터핑이라는 자동 공격으로 다른 서비스 로그인에 그대로 대입된다. 같은 비밀번호를 여러 곳에 돌려 쓰면 한 곳의 유출이 모든 계정의 위험으로 번진다. 비밀번호 관리자의 점검 기능과 패스키로 계정을 정리하되, 이메일·금융처럼 다른 계정 복구에 쓰이는 계정부터 바꾸면 된다.
AI 해킹, 달라진 건 '속도'와 '맞춤형'이다
2026년 10월 금융권에서 AI를 동원한 침해사고가 16개사로 번졌고, 구글은 2026년에 AI 공격이 기본 수단이 될 것이라고 경고했다. 핵심은 완전히 새로운 기술이 등장했다기보다, 피싱과 악성코드 같은 기존 수법이 더 빠르고 정교해졌다는 점이다. 이용자는 오타 없는 맞춤형 문자와 발신자 사칭을 경계하고, 링크와 요청을 별도 경로로 확인하는 습관을 점검해야 한다.
티빙 유출 공지 받았다면, 계정 점검 4단계
티빙에서 이름·휴대전화번호·이메일·연계정보(CI)를 포함한 3,954만 개 계정 정보가 유출됐고, 전화번호와 이메일은 암호화키까지 함께 새어 사실상 노출됐다. 가장 현실적인 위험은 계정 탈취보다 내 정보를 아는 정교한 피싱이므로, 비밀번호·연동 로그인·결제수단·피싱 경계 순으로 점검해야 한다. '\''AI 해킹'\''은 실제 침해 경로가 아니라 제도 차원의 경고로, 이용자 대응 순서를 바꾸지는 않는다.
직원용 시스템부터 뚫렸다, 중소기업 점검 순서
2026년 10월 금융사 7곳이 뚫린 공격에서 노려진 곳은 핵심 거래 시스템이 아니라 접근통제가 느슨한 직원·대출모집인 부가시스템이었고, 공개된 AI 취약점 점검 도구가 동원된 정황이 확인됐다. 공격이 자동화되면서 표적이 대기업에 한정되지 않게 돼, 보안 전담 인력이 적은 작은 회사의 업무지원 시스템도 같은 방식으로 노출될 수 있다. 외부에 열린 자산, 인증 없이 조회되는 화면, 방치된 계정과 외부 연동을 우선순위로 점검하면 하루 안에 가장 크게 열린 구멍부터 줄일 수 있다.
금융앱, 패스키·2단계 인증 이렇게 켜세요
크리덴셜 스터핑은 유출된 비밀번호 조합을 봇으로 대입하는 공격이라, 비밀번호를 재사용하면 한 곳의 유출이 금융 계정 탈취로 번진다. 패스키는 개인키를 기기에만 두고 서버에는 공개키만 남겨 빼낼 수 있는 비밀 자체를 없애고, 2단계 인증은 비밀번호 로그인을 한 단계 더 보강한다. 설정 뒤에는 계정 복구 경로와 동기화 패스키 유형, 기기 분실 대비까지 점검해야 비로소 완성된다.
은행도 뚫은 AI 해킹, 무엇이 달라졌나
2026년 9월 말 신한·KB국민·하나·부산은행 등에서 AI를 활용한 정황의 해킹으로 개인정보가 잇따라 유출됐다. AI 에이전트 해킹은 완전히 새로운 기술이라기보다 정찰·침투·데이터 탈취를 자동화해 속도와 규모를 키운 공격이다. 노출된 관리 페이지와 비밀번호 재사용부터 점검하는 것이 개인과 소규모 운영자 모두의 1순위다.
비번 하나 뚫리면 다 뚫린다, 막는 법
은행권 연쇄 정보 유출에 AI를 활용한 자동화 해킹 정황이 거론되면서, 개인이 가장 직접 노출되는 공격인 크리덴셜 스터핑이 다시 주목받고 있다. 유출된 비밀번호를 다른 사이트에 자동 대입하는 이 공격은 AI 봇이 로그인 시도와 캡차 우회까지 자동화하면서 더 빠르고 광범위해졌다. 비밀번호 재사용 여부를 점검하고 비밀번호 관리자와 2단계 인증을 순서대로 설정하면, 비밀번호가 유출돼도 계정 탈취를 상당 부분 막을 수 있다.
조회 API 인증 허점, 내 서비스 점검 3가지
신한은행에서 고객 약 2만5000명의 정보가 인증을 우회한 비정상 접근으로 유출됐고, 대출 관련 조회 시스템이 표적이 된 것으로 알려졌다. 거창한 해킹이 아니라 조회 기능의 권한 검사·호출 제한·로그 공백이 입구가 됐다는 점에서, 고객 조회나 AI 상담 서비스를 운영하는 모든 곳에 해당하는 신호다. 내 서비스가 요청 식별값을 그대로 믿는지, 호출 한도와 조회 로그가 있는지부터 점검표로 확인해야 한다.
양자컴퓨터 위협, 개인이 지금 챙길 것과 아닌 것
양자컴퓨터는 쇼어 알고리즘으로 RSA·ECC 같은 공개키 암호를 무너뜨릴 수 있고 필요 자원 추정치는 빠르게 줄고 있지만, 이를 실제로 구현할 대규모 하드웨어는 아직 나오지 않았다. NIST의 양자내성암호 표준과 이더리움 로드맵처럼 전환은 표준·서비스 차원에서 이미 진행 중이다. 개인이 지금 할 일은 새 암호 기술이 아니라 고유 비밀번호와 2단계 인증, 하드웨어 지갑 같은 기본 보안 습관이다.
AI 스팸필터도 못 막는 레터피싱, 이유는
레터피싱은 집 앞에 붙인 가짜 우체국 안내문에서 시작해 피해자가 직접 전화를 걸게 만드는 사기로, 시작점이 통신망 밖 종이라 AI 스팸 필터가 걸러낼 데이터 자체가 없다. 피해자가 능동적으로 전화를 걸고 앱 설치에 스스로 동의하는 구조라 필터가 개입할 지점도 없다. 그래서 명의도용 방지 설정과 '안내문 번호로 전화하지 않기' 같은 이용자의 습관이 마지막 방어선이 된다.
클릭 안 해도 감염되는 AI 해킹, 지금 할 점검
미국 보안업체 칼리프가 전화를 받지 않아도 벨이 울리는 몇 초 만에 감염되는 AI 제작 해킹 도구를 공개했고, 금융감독원은 9월 9일 전 금융권 정보보호책임자를 소집했다. AI가 취약점 발견부터 웜 제작까지 열흘 안에 끝내면서, 사용자가 실수하지 않아도 뚫리는 자동화 공격이 실험실을 벗어나기 시작했다는 신호다. 이제 개인 방어의 축은 '수상한 링크 조심'에서 운영체제·앱 최신 업데이트와 계정 이중 보안으로 옮겨갔는지가 핵심 점검 포인트다.
서강대 유출 뒤 AI 계정 지금 점검할 것
서강대 통합 로그인 계정 약 18만건이 외부 공격으로 유출되면서 이메일과 암호화된 비밀번호가 함께 노출됐다. 비밀번호가 암호화됐더라도 이메일 노출과 비밀번호 재사용은 다른 서비스의 계정 탈취로 번질 수 있다는 뜻이다. 자주 쓰는 AI 서비스에서 비밀번호 재사용 여부와 2단계 인증, 연결된 앱을 지금 확인하는 것이 이번 사고에서 개인이 할 수 있는 대응이다.