미국 국가교통안전위원회(NTSB)의 공개 데이터를 바탕으로 AI 음성 복원 기술을 활용해 사고로 사망한 조종사들의 목소리가 복원되어 인터넷에 유포된 사건이 발생했습니다. 이에 NTSB는 즉시 공개 시스템 접근을 일시 차단하고 보안 조치를 강화했습니다. 이 사건은 공개된 비민감 데이터라도 AI 기술을 통해 민감한 개인정보나 충격적인 콘텐츠로 복원될 수 있다는 새로운 윤리적, 보안적 리스크를 시사합니다.
단 한 명의 해커가 상용 AI(Claude, ChatGPT)를 악용해 멕시코 정부 시스템을 해킹해 1.95억 건의 납세자 기록 등 150GB의 데이터를 탈취하는 대규모 사건이 발생했습니다. AI가 새로운 해킹 기법을 발명한 것은 아니지만, 공격에 필요한 비용과 전문 지식의 장벽을 획기적으로 낮춰 일반인도 악의적인 목적으로 고도화된 사이버 공격을 손쉽게 실행할 수 있게 되었음을 보여줍니다.
구글 제미나이(Gemini) 등 생성형 AI 챗봇이 학습 데이터에 포함된 개인정보(PII)를 바탕으로 일반인의 실제 전화번호와 연락처를 무단으로 노출하는 사례가 잇따르고 있습니다. 개인정보 삭제 서비스 기업에 따르면 AI 관련 개인정보 침해 문의가 지난 7개월간 400% 급증했으며, 명확한 해결책이 부재해 피해자들의 불안감이 커지고 있습니다.
미국 전역의 학교와 대학에서 기말고사를 앞둔 시점에 온라인 학습 플랫폼인 Canvas에 사이버 공격이 발생해 시스템이 중단되는 혼란이 빚어졌습니다. 랜섬웨어 그룹인 ShinyHunters는 자신들이 공격의 배경이며 수백만 명의 사용자 데이터를 유출했다고 주장했습니다. 모회사 Instructure는 위협을 감지해 일시적으로 시스템을 중단시킨 데 이어 복구를 완료했으나, 비밀번호나 금융 정보를 제외한 사용자 이름, 이메일, 학번 등의 개인정보가 유출되었음을 확인했습니다.
수천만 명의 학생이 사용하는 교육 플랫폼 캔버스(Canvas)의 모회사가 랜섬웨어 그룹 해킹을 당해 2억 7,500만 명 이상의 개인정보와 수십억 건의 메시지가 유출되었습니다. 이번 사태는 교육 및 개인 데이터를 단일 클라우드 플랫폼에 집중시켰을 때 발생할 수 있는 치명적인 막대한 위험성을 여실히 보여줍니다.
교육 기술 기업 인스트럭처(Instructure)가 해킹으로 학생 정보 유출 사고를 겪은 데 이어, 해커들이 또다시 시스템을 침입해 여러 학교의 캔버스(Canvas) 로그인 페이지를 변조했습니다. 사이버 범죄 그룹 '샤이니헌터스(ShinyHunters)'는 회사 측이 협상에 응하지 않으면 5월 12일에 전 세계 9천여 개 학교의 약 2억 3,100만 명 데이터를 공개하겠다고 협박하고 있습니다. 이는 해커들이 금전적 요구를 관철하기 위해 인스트럭처와 고객사들에 대한 압박을 극대화하려는 의도로 풀이됩니다.
최근 AI 코딩 툴(Vibe-coding)을 이용해 무분별하게 생성된 웹 앱 수천 개가 보안 인증 없이 공개되어 기업 및 개인의 민감한 데이터가 노출되는 대형 사고가 발견되었습니다. 보안 연구진은 URL만 알면 누구나 의료, 재무, 고객 정보 등에 접근할 수 있었으며, 일부는 시스템 관리자 권한까지 탈취할 수 있는 상태였습니다. 이는 코딩의 민주화가 가져온 심각한 보안 취약성을 보여주며, AI 생성 애플리케이션에 대한 즉각적인 보안 가이드라인 마련이 시급함을 시사합니다.
기업 지출 관리 플랫폼 램프(Ramp)의 스프레드시트 AI 에이전트에서 사용자 동의 없이 악성 수식을 삽입해 외부로 데이터를 유출할 수 있는 치명적인 취약점이 발견되었습니다. 해커가 제공한 외부 데이터에 숨겨진 간접 프롬프트 인젝션(Prompt Injection) 공격을 통해 기밀 재무 데이터가 공격자 서버로 전송될 수 있습니다. 해당 취약점은 보안 연구팀의 책임 있는 공개(Responsible Disclosure) 절차를 통해 2026년 3월 16일에 성공적으로 패치 및 해결되었습니다.
유명 해커 집단 'ShinyHunters'가 클라우드 비용 모니터링 서비스인 Anodot의 보안 침해를 악용해 록스타 게임즈의 Snowflake 클라우드 서버를 해킹했습니다. 이들은 4월 14일까지 몸값을 요구하며, 불응할 경우 계약서 및 재무 문서 등 기업 내부 데이터를 유출하겠다고 위협하고 있습니다. 다행히 플레이어의 개인정보나 비밀번호는 포함되지 않은 것으로 파악되며, 이번 사건은 서드파티 연동 서비스의 취약점으로 인해 발생한 기업 데이터 유출 사고입니다.
아쿠아 시큐리티(Aqua Security)의 널리 쓰이는 오픈소스 취약점 스캐너인 트리비(Trivy)의 깃허브(GitHub) 저장소가 대규모 공급망 공격을 받아 개발자 파이프라인과 기밀 정보가 전면 유출될 위기에 처했습니다. 해커는 탈취한 자격 증명을 이용해 악의적인 의존성을 포함한 버전 태그를 강제 푸시(force-push)했으며, 감염된 버전을 사용할 경우 깃허브 토큰, SSH 키 등 모든 시크릿이 암호화되어 외부로 전송됩니다. 개발자들은 자신의 CI/CD 파이프라인이 감염되었을 가능성을 가정하고 모든 파이프라인 시크릿을 즉시 교체해야 합니다.