KB 침해 집계 18.6배 오차, 미인증 내부 요청 방치 쟁점

3분 만에 읽는 핵심 브리핑

• 공개 전부터 이미 공격에 쓰인 PHP2Shell(CVSS 9.2)은 10월 17일부터 허니팟 3대에서 셸 실행 35건을 남겼고, 인증 없는 Webhook 요청 한 번이 인증정보를 살려둔 채 60일간 잠든 에이전트 76%를 깨워 세운다.

• 금감원 정기검사가 들어와서야 유출 규모가 첫 발표 119명에서 2,210명, 18.6배로 뒤집힌 KB국민은행 사태가 보여주듯, 민감 시스템에 닿는 에이전트의 99.4%는 DLP 검증조차 거치지 않았고 경기도 31개 시·군 중 23곳의 긴급우선신호는 기관 간 협력 부재로 행정구역 경계에서 주인 없이 끊긴 채 방치돼 있다.

• 지금 당장 mod_php·PHP-FPM·php-cgi 서버 버전을 점검해 8.5.12·8.4.27·8.3.36·8.2.35로 올리고, 에이전트 인벤토리에 소유자와 미사용 기간을 매핑해 60일 침묵 시 인증정보를 회수하며, 침해 인지 직후 첫 발표 전에 전수 로그 검증으로 유출 규모를 확정하는 절차를 대응 플레이북 맨 앞에 배치하라.

보안 사고/이슈

뚫리는 곳은 코어가 아니라 '일하는 시스템'—첫 유출 집계는 18.6배를 놓친다

최근 국내외 침해사고가 하나의 패턴으로 수렴한다—공격자가 인터넷뱅킹이나 컨택센터 클라우드 같은 핵심 서비스 계통을 비켜가고, 직원이 실제로 일하는 내부 지원 시스템으로 들어온다. KB국민은행은 9월 30일 금융거래와 무관한 직원용 모바일 업무지원 시스템에서 침해를 인지하고 시스템·서버를 중지해 접근 경로를 원천 차단했지만, 10월 2일 119명으로 발표한 유출 규모는 금융감독원 정기검사가 고객 1,631명과 전현직 임직원 460명 등 2,091명의 추가 유출을 짚어내면서 26일 총 2,210명, 18.6배로 불어났다. 제네시스는 Genesys Cloud와 Engage 플랫폼, 통화 녹음·분석 데이터가 무사하다고 밝혔지만, 외부 공격자가 10월 16일 내부 CRM과 LMS의 정보를 열람·다운로드했고 그 CRM은 기존·잠재 고객의 이름, 업무용 이메일 주소, 전화번호, 직책, 회사 및 계정정보를 저장하고 있었다. 서울경찰청 사이버수사과가 10월 26일 구속 송치한 30대 총책 일당은 생성형 AI 자율 침투 도구 '아르텍스(ARTEX)'를 앞세워 44일간 약 60개 업체를 해킹했고, 13개월에 걸쳐 90여 곳 전산망에서 약 820만 건의 개인정보와 내부 업무자료를 훔친 뒤 과징금 부과 가능성과 기업 이미지 훼손을 들먹이며 38곳에 총 3억6천만원을 요구했다. 지갑을 연 곳은 30만원을 낸 단 한 곳이었다. 뉴멕시코 유일의 Level 1 trauma center를 운영하는 University of New Mexico Health System은 사이버보안 문제로 응급실 방문을 중단하고 30개 넘는 클리닉 예약을 취소했으며 환자는 Presbyterian Healthcare Services와 Lovelace Health System 쪽으로 우회했다. 핵심 계통이 멀쩡해도 집계 정정, 전액배상, 계정정보 기반 사칭 피싱, 필수 서비스 중단의 비용이 조직 전체로 넘어온다. 직원용 업무지원 시스템과 내부 CRM·LMS가 저장하는 개인(신용)정보부터 걷어내고, 침해 인지 직후 첫 발표 전에 전수 로그 검증으로 유출 규모를 확정하는 절차를 사고 대응 플레이북 맨 앞에 배치해야 한다.

관련 뉴스:
- securityweek - Cybersecurity Issue Forces a Major New Mexico Hospital to Divert Patients and Close Clinics
- 보안뉴스 - KB국민은행 개인정보 유출 추가 확인…119명→2210명 확산
- 데일리시큐 - 글로벌 컨택센터 솔루션 기업 제네시스 해킹…내부 고객관리시스템 정보 유출 확인
- 데일리시큐 - AI로 국내 90여 곳 해킹…개인정보 820만 건 탈취 조직 검거
- 데일리시큐 - KB국민은행 해킹 피해 119명→2,210명으로 확대…초기 조사서 2,091명 누락


공개보다 공격이 빨랐다 — 무선 컨트롤러 72개 결함과 PHP2Shell(CVSS 9.2)이 조준하는 인증 없는 원격 경로

패치 창구가 열리는 속도보다 공격자의 검증이 앞서는 국면에서 인증 없는 원격 경로가 네트워크 허브와 웹 실행 환경 양쪽을 동시에 압박한다. HPE는 기업용 무선 네트워크 운영체제 아루바OS(ArubaOS)에서 취약점 72개를 수정하는 업데이트를 내놓고 8개에 최고 위험 등급을 매겼으며, 일부 취약점은 공격자가 원격코드실행(RCE) 공격으로 악용할 수 있다. HPE가 이번 취약점을 겨냥한 공개 공격 코드나 관련 공격 논의를 아직 확인하지 못한 것과 달리 PHP 진영은 이미 현실 침해로 넘어섰다 — 펄플렉시티 보안연구원 아델 카리미가 허니팟 3대에서 셸 실행 35건을 관찰했고, 공격자는 Apache mod_php 환경에서 PHP 8.4.26을 돌리는 시스템에 HTTP 요청으로 메모리 고갈과 메모리 정보 노출을 일으킨 뒤 명령을 실행했다. 아마존 위협 인텔리전스가 CVE-2026-109618·CVE-2026-109619(통칭 PHP2Shell, CVSS v4.0 기준 9.2점)의 공식 공개 이전인 10월 17일부터 공격 시도를 포착했고, PHP 개발팀은 8.5.12·8.4.27·8.3.36·8.2.35 수정 버전을 배포하며 즉각 업데이트를 권고했다. 여러 기기와 사내 시스템을 잇는 무선 컨트롤러와 게이트웨이에서 인증 없는 원격 취약점은 내부망 추가 접근 경로로 이어지고, mod_php 환경에서는 메모리 관리 오류 하나가 원격 서버 침해로 직결된다. 허니팟 3대의 관찰이 운영 서버 전체의 침해 성공을 입증하지 못하니 자기 서버의 PHP 버전과 HTTP 요청·셸 실행 흔적부터 직접 뒤져야 하고, 아루바OS 즉시 패치가 어려운 구간에는 관리망 분리·방화벽 정책·로깅 활성화를 먼저 깐 뒤 PHP-FPM과 php-cgi 실행 환경까지 점검 범위를 넓혀야 한다.

관련 뉴스:
- 보안뉴스 - HPE, 기업용 와이파이 보안 취약점 72개 발견…8개는 ‘최고 위험’ 등급
- 데일리시큐 - PHP2Shell 취약점, 실제 원격 명령 실행 확인...서버 침해 위험 현실화

기술 동향

LTE-V2X 단일망에 재난대응까지 얹는 순간, 광역 신호 인프라 전체가 공격 표면이 된다

ITS가 교통 편의 시스템을 넘어 재난 감지·전파·통제·대피를 지원하는 국가 안전 인프라로 자리를 옮겼다. 과학기술정보통신부와 국토교통부는 2023년 12월 12일 C-ITS 단일 통신방식을 LTE-V2X로 확정했고, 국토교통부는 'ITS 기본계획 2030' 보완안에 기후변화 대응을 반영하며 AI 기반 다기능 위험상황 관리체계를 안전성 분야 첫 과제로 내세웠다. 2026 강릉 ITS 세계총회(10월 19일~23일, 강릉 올림픽파크)에서 한국재난안전산업협회가 ITS Korea, TTA 등 6개 기관·협회와 'K-미래산업 혁신생태계 구축' 공동선언문을 채택한 대목도 같은 궤적 위에 있다. 열린 통신 구조가 확대되는 만큼 메시지 위·변조, 신호제어기 조작, GNSS 교란이 교통사고와 재난 대응 마비로 직결되고, 이지트래픽이 경기도 31개 시·군 중 23곳에 구축한 광역 긴급차량 우선신호 시스템 사례에서 연속성은 행정구역별 신호제어 방식과 재원 분담 합의가 결정하며 기관 간 협력 부재가 골든타임을 끊는 구조적 병목으로 나타난다. 조직 차원에서는 물리보안과 ITS 보안의 담당 경계가 흐려지고 도로 인프라 통제 권한이 재난대응 서비스와 맞물리는 국면을 상정해야 한다. LTE-V2X 메시지 위·변조 검증, 신호제어기 접근 통제, GNSS 교란 감지를 하나의 통합 위협 시나리오로 묶어 시·군 경계에서 끊기는 우선신호 연속 구간부터 짚어봐야 한다.

관련 뉴스:
- 보안뉴스 - [2026 ITS 리포트] 강릉 ITS 세계총회로 본 대한민국 ITS Next 30 Years의 조건


60일 잠든 에이전트 76%가 여전히 인증키를 쥐고 있다

AI 에이전트는 실행만 멈췄을 뿐, 인증정보와 시스템 연결은 살아 있는 채 현장에 남는다. Arrakis Security가 '2026 Autonomous Agents Threat Report'에서 짚었듯 최근 60일 동안 실행 기록이 없는 에이전트 76%가 인증정보와 시스템 연결을 그대로 유지했고, 장기 미사용 에이전트 24%는 외부에서 날아온 인증되지 않은 Webhook 요청 한 번에 깨어나는 상태였다. 클라우드 저장소와 AI 서비스 같은 민감한 시스템에 닿는 에이전트가 70%인데 그중 99.4%에서 DLP 통제를 걸었는지 검증할 수 없었고, 전체의 82%에서 한 가지 이상의 보안 노출 요인을 발견했다. Tal Baron이 지적한 대로 사용 중단 시점에 책임자가 없어 권한이 방치되는 구조가 바로 이 구멍의 본체다. 한국정보공학기술사회는 자율형 AI 워크플로우가 2028년까지 기업용 앱 33% 이상에 들어가고 연평균 35% 이상 자라며, 내년부터 글로벌 2000대 기업 조달에서 AI-BOM 제출이 필수 요건이 되고 침해 사고를 최대 66% 줄이는 CTEM이 검증된 대안으로 서는 국면을 내다봤다. 에이전트 도입이 속도를 내는 만큼 미사용·폐기 단계에 방치된 권한이 인증 없는 Webhook을 타고 내부 시스템으로 파고드는 길이 되는 까닭에, 사람 계정과 같은 잣대로 에이전트 인벤토리에 소유자와 미사용 기간을 매핑하고 60일 침묵 시 인증정보를 회수하며, 인증 없는 Webhook 호출이 에이전트를 실행하지 못하게 엔드포인트 검증을 붙이는 절차를 ID 거버넌스에 얹어야 한다.

관련 뉴스:
- 데일리시큐 - 기업 AI 에이전트 76%, 두 달간 사용 안 해도 접근권한 유지…보안 사각지대 경고
- 보안뉴스 - “도구에서 주체로”... 한국정보공학기술사회 꼽은 2027년 생존 조건

기업 솔루션 및 기술

프롬프트 전송 직전이 최후 방어선…개인정보 마스킹에 GS인증 1등급이 관문이 됐다

지란지교소프트·KT·이지서티가 프롬프트가 모델로 향하기 직전 구간이라는 같은 지점에서 제품 경쟁에 들어갔다. 지란지교소프트 AX필터 2.0은 생성형 AI에 입력하는 프롬프트를 전송 전 검사해 개인정보 등을 마스킹하거나 전송 자체를 차단하고, 접속 정책과 이용 이력을 ISMS-P 인증과 ISO/IEC 27001 심사의 요구사항 대응·증적 자료로 활용한다. 대진대학교와 한국노인인력개발원에 우선 공급·설치한다. KT 토큰팩토리는 국내외 500개 이상 AI 모델을 한 플랫폼에 묶어 국내 데이터센터에서 추론을 제공하고, 프롬프트의 개인정보·민감정보와 유해 표현을 점검한 뒤 AI 답변을 자체 가드레일 기술로 검사한다. 모델 라우팅과 프롬프트 압축으로 토큰 사용량을 최대 25% 줄여 비용 통제와 데이터 보호를 한 운영 흐름에 담았다. 이지서티는 공공기관에 유프라이버시 세이퍼 V4.0을 구축해 홈페이지와 B2B 업무시스템의 콘텐츠 등록 단계에서 개인정보를 자동 탐지·마스킹하고, 생성형 AI 문서 업무에서 주민등록번호·여권번호·신용카드번호·계좌번호·연락처를 사용자가 직접 확인해 비식별 처리하도록 지원한다. AX필터 2.0과 유프라이버시 세이퍼 V4.0이 GS인증 1등급을 확보했고(이지서티는 보안 확인서까지 취득), 이 등급이 공공기관 도입 과정에서 기능·성능·보안성 기준 충족을 확인하는 근거로 기능한다. 보안 통제가 별도 절차에서 업무 흐름 안으로 들어오면서 프롬프트 이용 이력과 검출 사유가 보안 교육 대상 부서 선별과 컴플라이언스 증적 관리를 떠받친다. 직원 프롬프트가 모델로 향하는 경로 앞단에 전송 전 검사·마스킹·차단 장치를 붙이고, 접속 정책과 검출 사유·이용 이력을 ISMS-P·ISO/IEC 27001 증적 파이프라인으로 묶는 구조를 먼저 그려봐야 한다.

관련 뉴스:
- 보안뉴스 - 지란지교소프트, 생성형 AI 보안 솔루션 ‘AX필터 2.0’ GS인증 1등급 획득
- 정보통신신문 - KT, AI 모델 선택부터 비용·보안까지 통합…‘토큰팩토리’ 공개
- 보안뉴스 - 이지서티, 공공기관에 '사용자 중심' 개인정보 비식별 체계 구축


해양 취약점 우선순위, 컨소시엄 공개 DB가 기준선을 깐다

해양 취약점 관리가 조직별 자체 조사를 벗어나 인증기관과 산업 컨소시엄이 함께 운영하는 공개 DB를 공통 기준선으로 삼는 단계에 들어섰다. Cydome, ClassNK, Bureau Veritas, MTS-ISAC, Rakuten Maritime가 공동 구축한 Blue Initiative 데이터베이스는 작성 시점 기준 약 30,000개 항목을 확보했고, 이 가운데 2,000개가 넘는 항목이 CVSS 점수 기준 critical 등급이다. 대부분 항목을 CISA ICS advisories와 KEV catalog에서 자동 수집해 maritime 시스템에 매핑했으며, 580개 이상의 공격 악용 취약점과 37개의 선박·항만 전용 제품 취약점을 별도로 구분해 담았다. 자동 수집·매핑 구조가 조직마다 반복하던 우선순위 판단 부담을 덜어주고, 37개라는 전용 취약점 집계는 해양 OT 공격 표면에 일반 IT와 다른 관리 잣대를 적용할 근거가 된다. 공격 악용 취약점 580여 개와 선박·항만 전용 37개 항목을 자사 해양 자산 인벤토리와 대조해 패치·완화 우선순위를 다시 세워야 한다.

관련 뉴스:
- securityweek - Maritime Coalition Launches Free Vulnerability Database for Ship and Port Systems

Security Desk 노트

이 업계는 인증받은 제품에는 열광하면서 인증되지 않은 요청에는 관대하다. KB국민은행과 제네시스는 내부라서 믿어도 된다는 전제 아래 방치된 직원 업무지원 시스템과 CRM·LMS로 뚫렸고, KB의 첫 발표 119명이 금감원 정기검사에서 2,210명, 18.6배로 뒤집힌 것은 공격의 교활함이 아니라 방어자가 자기 로그조차 읽지 못했다는 자백이다. 같은 균열이 도처에서 열려 있다—인증 없는 Webhook 한 번에 60일 잠든 에이전트 76%가 살려둔 인증정보와 함께 깨어나고, 민감 시스템에 닿는 에이전트의 99.4%는 DLP 검증조차 없으며, PHP2Shell(CVSS 9.2)은 공개 전부터 허니팟 3대에서 셸 35건을 남겼으며, 경기도 31개 시·군 중 23곳에 구축된 긴급우선신호는 기관 간 협력 부재로 행정구역 경계에서 주인 없이 끊긴다. GS인증 1등급 필터든 3만 항목의 해양 취약점 DB든—그중 580개 이상은 이미 실전에서 악용 중이다—조달 서류와 우선순위 표를 채워줄 뿐 주인 없는 권한 회수와 끊긴 경계의 봉합을 대신하지는 않으니, 연결마다 인증을 강제하고 폐기 단계의 신원까지 회수하는 자산·신원 인벤토리를 다시 그리기 전까지 다음 사고의 첫 발표 역시 18.6배의 오차로 시작될 것이다.

📢 SecurityDesk 인사이트 운영 정책
최신 보안 동향을 생성형 AI 기술의 도움을 받아 독자적인 분석을 통해 인사이트가 제공됩니다.
기사 제목과 링크는 정보 공유의 목적으로 인용되었으며, 기사 원문에 대한 저작권은 각 언론사에 있습니다. 상세 내용은 반드시 [관련 뉴스] 링크를 통해 원문 기사에서 확인하시기 바랍니다.