금융·가상자산 16개사 개인정보 약 10만 건 유출 외 8건

2026년 10월 8일부터 14일까지 나온 보안 소식 9건을 정리했어요. 국내 금융권 개인정보 유출과 출연연구기관 서버 백신 대책, 클라우드 서비스 권한 결함, 산업 제어 시스템 보안 권고, ChromeOS와 Android 보안 업데이트를 담았어요.

금융위, 16개 금융·가상자산 회사 개인정보 약 10만 건 유출 파악

지디넷코리아 보도에 따르면 금융위원회는 은행 4개사(신한은행·국민은행·부산은행·하나은행), 가상자산 2개사(스트리미·프라뱅), 상호금융 1개사(새마을금고중앙회) 등 전 업권에서 총 16개 금융회사의 침해 사고를 파악했어요. 유출 규모는 이름, 연락처, 주민등록번호, 이메일 등을 포함해 약 10만 건이에요. 금융위는 고객 수가 많은 대형사부터 취약점 점검·평가를 연 2회 이상으로 확대할 계획이에요.

출처: ZDNet Korea · 10/14

구글 클라우드 Application Integration, 서비스 계정 사칭 권한 상승 취약점 공지

구글 클라우드가 보안 공지 GCP-2026-068을 발표했어요. Application Integration의 2026년 8월 27일 이전 버전에서 AuthConfig 검증 및 통합 실행 런타임의 인가 오류(CVE-2026-85298, Critical)로 인해 인증된 사용자가 권한을 상승시켜 프로젝트 내 서비스 계정을 사칭할 수 있었던 결함이에요. 이 취약점은 2026년 8월 27일에 패치되어 고객 측 추가 조치는 필요하지 않아요.

출처: Google Cloud Security Bulletins · 10/14

CISA, Grid Protection Alliance openPDC 및 openHistorian 보안 권고 발령

미국 CISA가 에너지 분야 소프트웨어인 Grid Protection Alliance openPDC 및 openHistorian에 대한 보안 권고(ICSA-26-281-02)를 발표했어요. 신뢰할 수 없는 데이터 역직렬화, 중요 기능 인증 부재, 서버 측 요청 위조(SSRF), 하드코딩된 자격 증명 사용 등 5건의 취약점이 담겼고, 가장 높은 점수는 CVSS v3 9.8이에요. openPDC 2.9.477 및 2.9.482 미만, openHistorian 2.8.580 및 2.8.585 미만 버전이 영향 대상이에요.

출처: CISA · 10/8

CISA, Inductive Automation Ignition 소프트웨어 권한 상승 권고

CISA가 Inductive Automation Ignition 소프트웨어의 인가 결함(ICSA-26-286-01, CVSS v3 8.8)을 발표했어요. Ignition Perspective 모듈이 디자이너 수준 접근 권한을 결정할 때 세션 권한을 올바르게 검증하지 않아, Vision 프로젝트 접근 권한이 있는 사용자가 유효한 세션 식별자를 제공해 디자이너 권한을 얻고 게이트웨이 프로세스에서 임의 코드를 실행할 수 있는 결함(CVE-2026-92817)이에요. 8.3.9 버전 및 8.1.55 버전에서 해당 결함이 수정됐어요.

출처: CISA · 10/13

CISA, Red Lion Controls N-Tron 700 스위치 관리자 권한 및 재부팅 결함 권고

CISA가 Red Lion Controls의 N-Tron 700 시리즈 스위치(펌웨어 3.11.0 이하)에 대한 보안 권고(ICSA-26-281-01)를 발표했어요. 공격자가 관리자 권한을 획득해 설정 파일을 확인·수정·업로드하거나, 특정 URL 접속을 스크립트화해 스위치를 지속적으로 재부팅시킬 수 있는 취약점(CVE-2026-32645 등)이 포함되어 있어요.

출처: CISA · 10/8

CISA, Swann Communications 카메라 인증 부재 취약점 권고

CISA가 Swann Communications의 SWIFI-SE2KIC 카메라 제품에 대한 보안 권고(ICSA-26-286-02, CVSS v3 6.2)를 발표했어요. 2.0.22 이하 펌웨어에서 중요 기능에 대한 인증 부재 결함(CVE-2026-107605 등)이 있어, 로컬 네트워크 상의 공격자가 인증 없이 실시간 비디오 피드를 볼 수 있어요. Swann은 임시 조치로 포트 포워딩을 통해 RTSP 서비스를 인터넷에 노출하지 말라고 안내했어요.

출처: CISA · 10/13

Google ChromeOS 16805.33.0 안정화 채널 업데이트, 커널 메모리 손상 및 브라우저 취약점 수정

구글이 ChromeOS 기기를 위한 OS 16805.33.0(브라우저 154.0.8037.151) 안정화 채널 업데이트를 배포했어요. GPU 프로세스에서 커널 메모리 손상으로 이어질 수 있는 mali_kbase의 Use-after-free 오류와 crosvm 샌드박스를 약화할 수 있는 StartArcVm 검증 결함이 수정됐어요. 이와 함께 AdFilter(CVE-2026-95310), WindowDialog(CVE-2026-95356), Fullscreen(CVE-2026-95313), ServiceWorker(CVE-2026-95339), WebGL Out-of-bounds write(CVE-2026-103628) 등 Critical 등급 브라우저 취약점 패치가 포함됐어요.

출처: Google Chrome Releases blog · 10/9

구글, 안드로이드 신규 스캠 방어 기능 발표 및 AI 사기 탐지 현황 공개

구글이 안드로이드를 위한 신규 스캠 방어 기능들을 발표했어요. Google 메시지의 강화된 보호 모드와 더 많은 기기로 확대되는 채팅 사기 알림이 포함돼요. 구글은 구글 전화와 Google 메시지의 AI 기반 스캠 탐지가 매달 500만 건 이상의 의심스러운 사기 전화와 문자를 감지하고 있다고 밝혔어요.

출처: Google Blog · 10/14

과기정통부, 출연연구기관 서버 백신 보도에 대응 방안 설명

동아일보 보도에 따르면 23개 출연연구기관 중 18개 기관의 서버 백신 설치율이 3분의 1 미만이고, 한국과학기술정보연구원(KISTI)은 전체 1만 1,132대 서버 중 67대에만 백신이 설치되어 설치율이 0.6%였어요. 과학기술정보통신부는 이에 대한 보도설명자료에서 외부 접촉 서버 우선 백신 설치, 국가과학기술연구회 내 사이버보안 담당조직 신설을 통한 서버백신 공동 구매 지원, 기관 평가에 사이버 침해사고 지표 신설 등 대응 방안을 밝혔어요.

출처: ZDNet Korea · 10/14