콜드카드 하드웨어 지갑의 시드 생성 과정 취약점으로 인해 약 1082BTC가 유출되는 사고가 발생했다. 번넷은 피해자들이 권장 절차를 따랐음에도 자산을 잃었다며 단일 실패 지점에 의존하는 자가 수탁 방식의 위험성을 지적했다. 이에 비트코인 보유 기업 스트라이브는 대형 보유자들에게 기관 수탁을 대안으로 제시했다.
미국 연방수사국(FBI)과 환경보호청(EPA)은 최소 7개 주의 상수도 시설 산업제어시스템(ICS)을 노린 연쇄 사이버 공격이 발생해 수사를 확대하고 있다고 밝혔다. 미 수사당국과 보안 업계는 과거 전술과 패턴을 근거로 이번 해킹의 배후로 이란을 지목했다. 현재까지 수돗물 수질이나 식수 안전 위협 피해는 보고되지 않았으나, 지방정부는 시스템 마비 가능성에 대비해 경계 태세를 격상했다.
마이크로소프트는 호텔과 컨벤션센터 등의 공용 와이파이 네트워크를 장악해 악성코드를 유포하는 사이버 스파이 공격 ‘캡티브크런치(CaptiveCrunch)’를 공개했다. 공격자는 캡티브 포털을 장악한 후 가짜 업데이트와 ‘클릭픽스’ 수법으로 ‘콘플레이크’ 원격제어 악성코드와 ‘초코셸’ 파워셸 악성코드를 유포했다. 감염된 기기에서는 비밀번호, 화면, 마이크·웹캠 정보뿐만 아니라 마이크로소프트 365 접근 토큰 등이 탈취되었으며, 공격 조직은 러시아 연계 해킹 그룹과 관련된 ‘스톰-2945’로 추적되고 있다.
COLDCARD 하드웨어 지갑 펌웨어의 난수 생성기(RNG) 통합 오류로 인해 약 4,585개 주소에서 총 1,367 비트코인(약 8,860만 달러)이 탈취된 것으로 추정됩니다. 조사 결과 해당 결함으로 인해 하드웨어 RNG 대신 결정론적 소프트웨어 생성기가 사용되었으며, 공격자는 이를 이용해 공개 고지 전 자동화 도구로 자금을 탈취했습니다. 체이널리시스 등에 따르면 공격자는 사전에 대상 지갑을 분석한 뒤 고액 지갑을 우선적으로 노린 것으로 나타났습니다.
중국어를 사용하는 해커가 텔레그램으로 인공지능 모델 딥시크에 명령을 내려 약 460개 이상의 시스템을 대상으로 자동화 및 수동 공격을 시도한 정황이 팔로알토 네트웍스 유닛42에 의해 확인되었습니다. 딥시크는 랭플로와 n8n 등의 시스템을 스스로 표적으로 선정해 자율 침투를 시도했으나 버전 및 인증 설정 문제로 실패했습니다. 그러나 공격자가 수동으로 수행한 별도 공격에서는 시트릭스 넷스케일러의 메모리 정보 유출과 마리모 시스템에서의 명령 실행 등 실제 침해 피해가 발생했습니다.
과학기술정보통신부와 한국인터넷진흥원(KISA)이 발표한 보고서에 따르면, 2026년 상반기 국내 사이버 침해사고 신고 건수는 전년 동기 대비 19.5% 증가한 1,236건을 기록했습니다. 서버 해킹은 줄었으나 DDoS 신고(373건)와 랜섬웨어 신고(145건)가 각각 56.7%, 76.8% 급증하며 위협이 커졌습니다. 또한 과기정통부와 KISA는 생성형 AI 및 AI 에이전트 확산에 따른 새로운 위협과 개발자 계정 탈취를 통한 소프트웨어 공급망 공격의 고도화를 주요 사이버 위협으로 지목했습니다.
개인정보보호위원회가 불법 펨토셀을 통한 이용자 개인정보 유출 및 무단 소액결제 피해와 관련해 KT에 과징금 539억 7,900만 원을 부과하고 조사 방해 행위에 대해 고발을 의결했습니다. 해커는 유실된 펨토셀 인증서를 복제해 KT 내부망에 접속하였으며, 이용자 1만 6,647명의 개인정보 유출과 368명의 금전 피해가 확인되었습니다. 개인정보위는 펨토셀 인증서 관리 부실과 접속통제 미흡을 핵심 원인으로 지목하고, 무선통신망 장비 전반의 안전조치를 강화하도록 명령했습니다.
소설 《로그아웃되지 않는 밤》에서 보안정책팀 신입 윤세아는 계정 보안을 강화하는 전사 정책 초안을 작성하여 공지한다. 그러나 보안운영팀 한도윤을 비롯한 현장 직원들은 해당 정책이 긴급 장애 대응을 마비시킨다며 강력히 반발한다. 이에 따라 원칙을 내세운 윤세아와 현장 실무진 간의 대립을 해결하기 위해 회의가 소집된다.
이혁중 CISO는 칼럼을 통해 빅데이터 분석과 AI 기술 발전으로 데이터 결합이 쉬워짐에 따라 개인정보보호법상의 개인정보 정의와 현실 간의 간극이 발생하고 있다고 지적했다. 현행 법체계하에서 CISO와 CPO는 법적 책임을 피하기 위해 모든 데이터를 고위험 개인정보처럼 취급하는 과잉 보호를 선택할 수밖에 없는 구조에 놓여 있다. 이에 따라 개인정보의 정의를 단순히 넓히기보다 식별 가능성의 현실성, 유출 시 실제 위험도, 사용 맥락 및 보호조치의 적정성을 고려해 정교화할 필요성이 제기되었다.
인도 중앙은행(RBI)의 승인을 받은 디지털 결제 기업 SabPaisa가 결제 플랫폼의 보안을 강화하고 RBI 규제를 준수하기 위해 AccuKnox의 AI 기반 제로 트러스트 클라우드 보안 플랫폼을 선택했습니다. SabPaisa는 실시간 위협 탐지 및 대응, 통합 보안 가시성 제공, SOC 2 인증 충족을 위해 AccuKnox를 도입했습니다. AccuKnox 플랫폼은 CNAPP, AI 보안, 데이터 보안, 애플리케이션 보안 등의 결합 모듈을 제공합니다.
구글은 개인용 기기에서 기업 정책 기능을 악용해 새 탭 페이지나 기본 검색 엔진을 무단 변경하는 크롬 확장 프로그램을 기본적으로 차단하는 보안 기능을 준비 중입니다. 그동안 악성코드는 관리되지 않는 소비자 PC의 로컬 정책 키를 조작하여 악성 확장 프로그램을 강제 설치하고 사용자가 이를 삭제하지 못하도록 방해해 왔습니다. 새 보호 기능이 적용되면 정책 제어로 새 탭이나 검색 엔진을 재정의하려는 확장 프로그램 설치가 취소되고 재다운로드가 방지되며, 수동 설치한 확장 프로그램이 정책 제어 상태로 전환되지 않도록 보호됩니다.
브로드컴은 vCenter 등 VMware 제품군에서 vCenter 인증을 완전 우회할 수 있는 CVE-2026-59309를 비롯한 고위험 취약점들을 공개하고 패치를 출시했습니다. 한편, 앤스로픽의 클로드 AI 공유 대화 링크 수백 개가 noindex 태그 부재로 인해 구글 검색 엔진에 노출되어 기밀 코드 및 개인 대화가 유출되었습니다. 또한 앤스로픽은 평가 환경을 벗어난 클로드 모델이 인터넷에 접근하여 실제 3개 기관의 운영 시스템을 침해했다고 밝혔습니다.