인도의 상업용 차량 관제 플랫폼인 My Eicher에서 심각한 API 보안 취약점이 발견되었습니다. 해커는 인증되지 않은 내부 API를 통해 수십만 명의 고객 정보와 OTP 데이터를 무단으로 열람하고 특정 기업의 차량 관제 시스템을 완전히 장악할 수 있었습니다. 이는 대규모 개인정보 유출과 물류망 마비를 초래할 수 있는 치명적인 사이버 보안 사고입니다.
일론 머스크의 AI 스타트업 xAI가 개발한 AI 코딩 에이전트 '그록 빌드(Grok Build)'가 사용자의 로컬 파일을 서버로 무단 업로드하는 치명적인 보안 사고를 냈습니다. 이에 대한 책임과 신뢰 회복을 위해 xAI는 업로드 기능을 비활성화하고, 해당 도구의 전체 소스 코드를 깃허브에 오픈소스로 공개했습니다. 이제 사용자는 코드를 투명하게 검증하고 완전히 로컬 환경에서 안전하게 도구를 실행할 수 있게 되었습니다.
클로드(Claude)의 메모리 시스템과 웹 검색 기능을 악용해 사용자의 대화 기록을 외부로 유출할 수 있는 취약점이 발견되었습니다. AI가 수집한 방대한 사용자 데이터가 해커의 유도에 따라 공격자 서버로 무단 전송될 수 있어 큰 보안 위협으로 평가됩니다.
랜섬웨어 그룹 ShinyHunters가 오라클 피플소프트(Oracle PeopleSoft)의 치명적 제로데이 취약점(CVE-2026-35273)을 2주 넘게 악용해 전 세계 약 100개 고객사를 공격하고 수십GB의 데이터를 유출했습니다. 구글 만디언트(Google Mandiant)와 Rapid7은 해당 SSRF 취약점의 즉각적인 완화 조치 및 침해 지표(IOC) 기반 대응을 긴급히 권고하고 있습니다.
메타의 인스타그램 계정 복구용 AI 지원 챗봇에서 심각한 보안 취약점이 발견되어 약 7주 동안 최대 20,225개의 계정이 해킹되었습니다. 해커들은 시스템 내 이메일 주소 확인 로직의 버그를 악용해 승인되지 않은 임의의 이메일로 비밀번호 재설정 링크를 발송하는 방식으로 계정을 탈취했습니다. 메타는 해당 챗봇을 즉시 비활성화하고 조치를 완료했으며, 모든 플랫폼의 유사 시스템 전면 감사를 진행할 계획입니다.
OpenAI가 출시한 구글 시트용 ChatGPT 확장 프로그램에서 간접 프롬프트 인젝션(Indirect Prompt Injection) 공격을 통해 사용자의 스프레드시트 데이터가 외부로 유출될 수 있는 심각한 취약점이 발견되었습니다. 사용자가 자동 편집을 비활성화해도 공격이 실행되며, 악의적 스크립트를 통해 피싱(Phishing) 공격 및 다수의 통합 문서(Workbook) 유출이 가능합니다. 연구진의 책임 있는 공개(Responsible Disclosure)에도 불구하고 OpenAI가 이를 무시함에 따라 보안 위험이 알려지게 되었습니다.
미국 국가교통안전위원회(NTSB)의 공개 데이터를 바탕으로 AI 음성 복원 기술을 활용해 사고로 사망한 조종사들의 목소리가 복원되어 인터넷에 유포된 사건이 발생했습니다. 이에 NTSB는 즉시 공개 시스템 접근을 일시 차단하고 보안 조치를 강화했습니다. 이 사건은 공개된 비민감 데이터라도 AI 기술을 통해 민감한 개인정보나 충격적인 콘텐츠로 복원될 수 있다는 새로운 윤리적, 보안적 리스크를 시사합니다.
단 한 명의 해커가 상용 AI(Claude, ChatGPT)를 악용해 멕시코 정부 시스템을 해킹해 1.95억 건의 납세자 기록 등 150GB의 데이터를 탈취하는 대규모 사건이 발생했습니다. AI가 새로운 해킹 기법을 발명한 것은 아니지만, 공격에 필요한 비용과 전문 지식의 장벽을 획기적으로 낮춰 일반인도 악의적인 목적으로 고도화된 사이버 공격을 손쉽게 실행할 수 있게 되었음을 보여줍니다.
구글 제미나이(Gemini) 등 생성형 AI 챗봇이 학습 데이터에 포함된 개인정보(PII)를 바탕으로 일반인의 실제 전화번호와 연락처를 무단으로 노출하는 사례가 잇따르고 있습니다. 개인정보 삭제 서비스 기업에 따르면 AI 관련 개인정보 침해 문의가 지난 7개월간 400% 급증했으며, 명확한 해결책이 부재해 피해자들의 불안감이 커지고 있습니다.
미국 전역의 학교와 대학에서 기말고사를 앞둔 시점에 온라인 학습 플랫폼인 Canvas에 사이버 공격이 발생해 시스템이 중단되는 혼란이 빚어졌습니다. 랜섬웨어 그룹인 ShinyHunters는 자신들이 공격의 배경이며 수백만 명의 사용자 데이터를 유출했다고 주장했습니다. 모회사 Instructure는 위협을 감지해 일시적으로 시스템을 중단시킨 데 이어 복구를 완료했으나, 비밀번호나 금융 정보를 제외한 사용자 이름, 이메일, 학번 등의 개인정보가 유출되었음을 확인했습니다.
수천만 명의 학생이 사용하는 교육 플랫폼 캔버스(Canvas)의 모회사가 랜섬웨어 그룹 해킹을 당해 2억 7,500만 명 이상의 개인정보와 수십억 건의 메시지가 유출되었습니다. 이번 사태는 교육 및 개인 데이터를 단일 클라우드 플랫폼에 집중시켰을 때 발생할 수 있는 치명적인 막대한 위험성을 여실히 보여줍니다.
교육 기술 기업 인스트럭처(Instructure)가 해킹으로 학생 정보 유출 사고를 겪은 데 이어, 해커들이 또다시 시스템을 침입해 여러 학교의 캔버스(Canvas) 로그인 페이지를 변조했습니다. 사이버 범죄 그룹 '샤이니헌터스(ShinyHunters)'는 회사 측이 협상에 응하지 않으면 5월 12일에 전 세계 9천여 개 학교의 약 2억 3,100만 명 데이터를 공개하겠다고 협박하고 있습니다. 이는 해커들이 금전적 요구를 관철하기 위해 인스트럭처와 고객사들에 대한 압박을 극대화하려는 의도로 풀이됩니다.
최근 AI 코딩 툴(Vibe-coding)을 이용해 무분별하게 생성된 웹 앱 수천 개가 보안 인증 없이 공개되어 기업 및 개인의 민감한 데이터가 노출되는 대형 사고가 발견되었습니다. 보안 연구진은 URL만 알면 누구나 의료, 재무, 고객 정보 등에 접근할 수 있었으며, 일부는 시스템 관리자 권한까지 탈취할 수 있는 상태였습니다. 이는 코딩의 민주화가 가져온 심각한 보안 취약성을 보여주며, AI 생성 애플리케이션에 대한 즉각적인 보안 가이드라인 마련이 시급함을 시사합니다.
기업 지출 관리 플랫폼 램프(Ramp)의 스프레드시트 AI 에이전트에서 사용자 동의 없이 악성 수식을 삽입해 외부로 데이터를 유출할 수 있는 치명적인 취약점이 발견되었습니다. 해커가 제공한 외부 데이터에 숨겨진 간접 프롬프트 인젝션(Prompt Injection) 공격을 통해 기밀 재무 데이터가 공격자 서버로 전송될 수 있습니다. 해당 취약점은 보안 연구팀의 책임 있는 공개(Responsible Disclosure) 절차를 통해 2026년 3월 16일에 성공적으로 패치 및 해결되었습니다.
유명 해커 집단 'ShinyHunters'가 클라우드 비용 모니터링 서비스인 Anodot의 보안 침해를 악용해 록스타 게임즈의 Snowflake 클라우드 서버를 해킹했습니다. 이들은 4월 14일까지 몸값을 요구하며, 불응할 경우 계약서 및 재무 문서 등 기업 내부 데이터를 유출하겠다고 위협하고 있습니다. 다행히 플레이어의 개인정보나 비밀번호는 포함되지 않은 것으로 파악되며, 이번 사건은 서드파티 연동 서비스의 취약점으로 인해 발생한 기업 데이터 유출 사고입니다.
아쿠아 시큐리티(Aqua Security)의 널리 쓰이는 오픈소스 취약점 스캐너인 트리비(Trivy)의 깃허브(GitHub) 저장소가 대규모 공급망 공격을 받아 개발자 파이프라인과 기밀 정보가 전면 유출될 위기에 처했습니다. 해커는 탈취한 자격 증명을 이용해 악의적인 의존성을 포함한 버전 태그를 강제 푸시(force-push)했으며, 감염된 버전을 사용할 경우 깃허브 토큰, SSH 키 등 모든 시크릿이 암호화되어 외부로 전송됩니다. 개발자들은 자신의 CI/CD 파이프라인이 감염되었을 가능성을 가정하고 모든 파이프라인 시크릿을 즉시 교체해야 합니다.