대규모 개인정보 유출의 상수화, AI가 만든 공격면, 그리고 '대응·복원력' 패러다임으로의 이동
목차
- 요약 (TL;DR)
- 시작하는 말 — "엑셀이지 오라클이 아니다", 공격 쪽에서도
- 주간 사건 검증 — 10건 팩트체크
- 심층 분석 1 — 대규모 PII 유출의 상수화 (티빙·모두의 창업)
- 심층 분석 2 — 갈취 생태계와 ShinyHunters (코닥 사건의 정정)
- 심층 분석 3 — AI가 만든 공격면 (HTTP/2 Bomb·평판 조작·노출 자산)
- 심층 분석 4 — 패러다임 전환 (화이트해커 신고제·사후 대응·클라우드 보안)
- 탐지·완화 권고
- 결론
- 참고 문헌
1. 요약 (TL;DR)
2026년 6월 셋째 주는 단발성 해킹 사고의 나열이 아니라 한국 사이버 보안의 구조적 변곡점으로 기록될 한 주였다. 본 보고는 이번 주 국내외 10건의 주요 사건을 (1) 1차 공개 소스로 교차 검증하고, (2) 언론 프레임을 위협 인텔리전스 관점에서 보정하며, (3) 세 가지 거시 흐름 — 대규모 유출의 상수화, AI가 만든 공격면, '대응·복원력' 패러다임 — 으로 수렴시킨다.
핵심 메시지는 단순하다. 이번 주의 사건들은 "새로운 공격 무기"가 등장한 것이 아니라, 기존 약점(허술한 접근통제, 미파기 계정, 노출된 내부 시스템, 오래된 프로토콜 결함)이 AI를 만나 속도·규모·자동화가 폭증한 결과다. 방어의 무게중심은 더 이상 '예방'만으로는 부족하며, '대응(조사)'과 '복원력(resilience)'까지 포괄하는 종합 전략으로 이동해야 한다.
Key Judgments
| # | 판단 | 신뢰도 |
|---|---|---|
| KJ-1 | 티빙 유출 규모는 1,953만 명으로 확정 수준에 근접했으며, 변경 불가능한 본인확인정보(CI·DI)가 포함돼 2차 피해가 장기화될 구조다. 유료회원(약 500만)의 4배에 달하는 규모는 '미파기 계정' 관리 부실 정황을 시사한다. | High |
| KJ-2 | '모두의 창업' 유출의 1차 원인은 "참여 기업 해킹"이 아니라 접근통제 결함(broken access control)— 프로필 공개 직후 비공개 정보가 9개 IP에 노출 — 과AI 기반 자동수집이다. 보도상 사이트가 AI 코딩 도구로 구축됐다는 점이 검증 과제로 남는다. | Medium-High |
| KJ-3 | 원문에서 별개로 다뤄진 "한국 특정 기업 협박"(6/18 시한)과 "코닥 220만 건 유출"은 동일 사건이다. 갈취 조직 ShinyHunters가 코닥(Eastman Kodak) 220만+ 건 탈취를 주장하며 6/18 시한을 건 협박이며, '한국법인 한정' 근거는 확인되지 않는다. | High |
| KJ-4 | HTTP/2 Bomb(CVE-2026-49975)는 AI(OpenAI Codex)로 발견·정리된 신규 DoS 취약점으로, 약 88만 사이트가 잠재 영향권이다. 단, '능력의 도약'이 아니라 오래된 약점 두 개의 조합이며, AI의 기여는 발명이 아닌 발견·정리의 가속이다. | High |
| KJ-5 | 정부의 '화이트해커 상시 신고제' 논의와 SK쉴더스의 '복구보다 조사' 강조는 방어 무게중심이 예방에서 대응·복원력으로 이동하는 신호다. 다만 신고제는 면책·법적 보호 설계가 동반되지 않으면 실효성이 제한된다. | Medium |
| KJ-6 | '평판 조작형 악성코드'(VirusTotal·GitHub·언론을 동원한 신뢰도 위조)는 탐지 회피의 새로운 표면으로, IOC·평판 기반 방어의 한계를 드러낸다. 방어는 행위(behavior)·TTP 중심으로 이동해야 한다. | Medium |
2. 시작하는 말 — "엑셀이지 오라클이 아니다", 공격 쪽에서도
#2-시작하는-말--AI는 엑셀이지-오라클이-아니다-공격-쪽에서도
이번 주 사건들을 관통하는 단어는 "AI"다. AI로 발견된 프로토콜 취약점, AI 자동수집에 털린 정부 플랫폼, AI 악용 해킹에 대응하는 신고제 논의가 한 주에 동시에 쏟아졌다.
본 아카이브가 일관되게 견지하는 명제를 다시 꺼낸다 — LLM은 엑셀이지 오라클이 아니다.계산을 가속하는 도구일 뿐, 없던 답을 내려주는 신탁이 아니다. 이 명제는 방어자뿐 아니라공격자에게도 동일하게 적용된다. HTTP/2 Bomb은 AI가 '발명'한 취약점이 아니라, 압축 폭탄과 Slowloris식 홀드라는 오래전부터 알려진 약점 두 개를 AI 도구가 빠르게 조합·정리해 무기화한 사례다. '모두의 창업' 유출 역시 제로데이가 아니라 기본적인 접근통제 부재라는 고전적 결함을, AI 자동수집기가 분 단위로 긁어간 사건이다.
즉 이번 주의 진짜 함의는 "AI가 새로운 공격을 만들었다"가 아니라, AI가 기존 약점의 발견·악용 비용을 0에 수렴시켰다는 것이다. 진입 장벽이 사라지면, 한국 기업·기관이 수년째 방치해 온 사소한 결함들이 더 이상 사소하지 않게 된다.
3. 주간 사건 검증 — 10건 팩트체크
| # | 사건 | 검증 등급 | 보정·근거 |
|---|---|---|---|
| 1 | '모두의 창업' 1차 합격자 5,000명 PII 유출 | ✅ 확인 (원인 정정) | 이메일·아이디어 요약·심사평 유출. 원인은 '참여 기업 해킹'이 아니라 프로필 공개 후 비공개 정보 노출(접근통제 결함) + 9개 IP의 AI 자동수집 [1][2] |
| 2 | 티빙 유출 1,953만 명으로 확대 | ✅ 확인 | 정부 초기 추산(1,300만)에서 650만+ 증가. CI·DI·환불계좌 포함, 집단소송 9만 명+, 정보보호 투자 2년간 약 20% 감소 [3][4] |
| 3 | ShinyHunters의 6/18 시한 협박 | ✅ 확인 (4번과 동일 사건) | '한국 특정 기업'이 아니라 코닥 대상 갈취. 4번과 동일 인시던트 [5] |
| 4 | 코닥 220만 건 유출 | ⚠️ 확인 (주체 정정) | 코닥(Eastman Kodak)이 무단 접근 사실 공식 확인. ShinyHunters가 220만+ 건 탈취 주장. '한국법인 한정' 근거 미확인 [5] |
| 5 | HTTP/2 Bomb, 88만 사이트 영향 | ✅ 확인 | CVE-2026-49975. Calif 연구원이 OpenAI Codex로 발견. NGINX·Apache·IIS·Envoy·Cloudflare Pingora 기본설정 영향 [6][7] |
| 6 | '화이트해커 상시 신고제' 논의 본격화 | ⚠️ 보도 기반 | AI 악용 위협 대응 취지. 18일 세미나에 주요 기업 참여 보도. 면책·법적 보호 설계가 실효성 관건 [8] |
| 7 | SK쉴더스 '복구보다 조사' 기술 보고서 | ⚠️ 보도 기반 | 사후 대응(조사)을 통한 재발 방지 강조. AI 시대 패러다임 전환 주장으로 제시됨 [8] |
| 8 | 구글 클라우드, 서울 리전에 보안 운영 플랫폼 출시 | ⚠️ 보도 기반 | 국내 클라우드 보안 선택지 확대 맥락. 제품 사양·SLA는 공식 문서 확인 필요 [8] |
| 9 | 인터넷 노출 내부 시스템의 위험성 경고 | ✅ 일반 명제 | 제로데이 없이도 잘못 노출된 내부 시스템이 주요 공격 경로. ShinyHunters의 PeopleSoft(CVE-2026-35273) 사례와 정합 [9] |
| 10 | '평판 조작형' 악성코드 유포 정황 | ⚠️ 보도 기반 | VirusTotal·GitHub·언론을 동원한 신뢰도 위조 정황. 백신 우회 신수법으로 제시됨 [10] |
종합 보정:10건 중 핵심 사실관계가 1차 소스로 확인되는 것은 1·2·3·4·5번이다. 6·7·8·10번은 단일 매체·보도 기반으로, 독립 기술 검증이 추가로 필요한 '정황'으로 다뤄야 한다. 특히 원문에서 분리됐던3·4번은 단일 ShinyHunters 인시던트이며, 이를 별개 사건으로 집계하면 위협 규모가 과대 계상된다.
4. 심층 분석 1 — 대규모 PII 유출의 상수화 (티빙·모두의 창업)
#4-심층-분석-1--대규모-pii-유출의-상수화-티빙모두의-창업
4.1 티빙 — 1,953만 명, 그리고 'CI·DI 문제'
티빙 유출의 최종 규모는 1,953만 명으로, 정부 초기 잠정치(1,300만)보다 650만 명 이상 늘었다 [3]. 국내 PII 유출 사고 중 쿠팡·SK텔레콤 등에 이은 최상위권 규모다. 위협 인텔리전스 관점에서 이 사건의 핵심은 '규모'가 아니라 유출 정보의 성격에 있다.
- 변경 불가능한 식별자(CI·DI) 유출 — 비밀번호는 바꿀 수 있지만, '디지털 주민등록번호'로 불리는 CI(연계정보)·DI(중복가입확인정보)는 사실상 변경이 불가능하다 [4]. 이름·생년월일 등과 결합되면 명의도용·계정탈취·금융사기의 장기 연료가 된다.
- 유료회원의 약 4배라는 미스터리— 월간활성이용자(약 882만)·유료회원(약 500만)을 크게 초과하는 1,953만이라는 수치는,탈퇴·휴면 계정의 미파기가 유출 범위에 포함됐을 가능성을 강하게 시사한다 [4]. 이는 과징금 산정 시 중대성 가중 요인이다.
- 대응 지연과 보안 투자 감소— 5/30 이상행위 최초 인지 후 대용량 외부 전송 확인까지 사흘이 걸렸고, 정보보호 공시상 최근 2년 보안 투자가 약 20% 감소한 것으로 보도됐다 [3]. CISO·CPO 비임원 겸직 정황도 지적됐다.함의:이는 '해킹 기술의 정교함' 문제가 아니라데이터 거버넌스(보존·파기 정책)와 보안 투자 우선순위의 문제다. 보유하지 않은 데이터는 유출되지 않는다 — 최소수집·적시파기 원칙이 가장 비용 효율적인 방어다.
4.2 모두의 창업 — '해킹'이 아니라 '설계 결함'
원문은 이 사건의 원인을 "프로젝트 참여 기업의 해킹"으로 기술했으나, 1차 보도를 교차 검증하면 실제 원인은 다르다 [1][2].
- 6/15 오전 9시, 1차 합격자 5,000명의 프로필이 플랫폼에 공개된 직후, 비공개 정보(이메일·아이디어 요약·심사평)에 대한 접근이 가능해졌다.
- 총 9개 IP가 비공개 정보에 접근했고, 정부는 오후 6시경 AI 기반 자동수집 차단 기능을 추가 적용했다 [2].
- 이는 외부 침투형 '해킹'이 아니라, 접근통제 결함(broken access control / IDOR류)에 AI 자동 스크래핑이 결합된 전형적 사례다. 일부 보도는 해당 사이트가 AI 코딩 도구로 구축됐다고 전했는데(검증 과제), 사실이라면AI 생성 코드의 권한 검증 누락이라는 신흥 리스크의 국내 첫 공공 사례가 된다.
함의:"AI로 빠르게 만든 서비스"가 늘수록,인가(authorization) 검증 누락이 구조적 취약점으로 부상한다. 공개 API·프로필 엔드포인트는 '공개 후 비공개 필드 노출' 여부를 반드시 사전 점검해야 한다.
5. 심층 분석 2 — 갈취 생태계와 ShinyHunters (코닥 사건의 정정)
#5-심층-분석-2--갈취-생태계와-shinyhunters-코닥-사건의-정정
원문의 3번('한국 특정 기업 협박, 6/18 시한')과 4번('코닥 220만 건 유출')은 동일한 ShinyHunters 갈취 인시던트다 [5]. 정정된 사실관계는 다음과 같다.
- 코닥은 6/17 무단 제3자의 일시적 데이터 접근을 공식 확인하고 외부 전문가·수사기관과 조사 중이라고 밝혔다.
- 갈취 조직 ShinyHunters가 자사 다크웹 유출 사이트에 코닥을 피해 기업으로 올리고, 고객 PII·내부 데이터 포함 220만+ 건탈취를 주장하며6/18까지 협상 없으면 공개하겠다고 협박했다.
- '한국법인 한정' 또는 '한국 특정 기업'이라는 별도 사건은 1차 소스에서 확인되지 않는다. 코닥은 미국 Eastman Kodak 기준으로 보도됐다.
ShinyHunters(UNC6240) 최근 동향:이 조직은 단순 PII 판매를 넘어공급망·SaaS 신뢰연결 악용으로 진화했다. 최근에는 Oracle PeopleSoft 제로데이(CVE-2026-35273, RCE, CVSS 9.8)를 정식 권고(6/10) 이전에 악용했고 [9], Salesforce–Gainsight 통합을 노려 200개+ 기업 침해를 주장했다. 즉 ShinyHunters는 "훔쳐서 팔거나 협박하는" 수익화 머신이며, 한국 기업도 SaaS 신뢰연결·ERP 노출면을 통해 직접 사정권에 있다.
한국 기업 시사점:갈취형 위협에 대한 방어는 '침해 후 협상'이 아니라(1) 탈취 가능한 데이터 최소화, (2) SaaS·제3자 앱 신뢰연결(OAuth 토큰) 상시 점검, (3) 인터넷 노출 ERP/관리 콘솔의 즉시 격리다.
6. 심층 분석 3 — AI가 만든 공격면 (HTTP/2 Bomb·평판 조작·노출 자산)
#6-심층-분석-3--ai가-만든-공격면-http2-bomb평판-조작노출-자산
6.1 HTTP/2 Bomb (CVE-2026-49975)
보안기업 Calif의 연구원이 OpenAI Codex를 활용해발견한 신규 DoS 취약점으로, 압축 폭탄과 Slowloris식 메모리 홀드를 결합해소량 트래픽으로 대형 웹서버를 수 초~수십 초 내 마비시킨다 [6][7]. 약 88만 개 사이트(NGINX·Apache HTTP·Microsoft IIS·Envoy·Cloudflare Pingora 기본설정)가 잠재 영향권이며, 100Mbps 가정용 회선만으로도 공격이 가능하다.
- 신규성 보정:이는 '능력의 도약'이 아니다. 2023년 Rapid Reset, MadeYouReset(CVE-2025-8671) 계열과 마찬가지로, 오래 알려진 약점의 재조합이다. AI의 기여는 발명이 아니라 발견·PoC 정리의 가속이다.
- 현재 정황:대규모 공격은 미보고지만, Imperva·Radware는취약 서버 탐색(정찰)이 이미 진행 중이며 PoC가 공개돼 있다고 경고했다 [6]. 통신·미디어(약 25%), IT(18%), 의료(17%)에 취약 서버가 집중됐다.
- 한국 관점: HTTP/2를 종단(edge)에 쓰는 국내 대형 서비스·공공 포털은 즉시 패치 적용 여부를 점검해야 한다. 임시 완화로 제어 프레임(WINDOW_UPDATE·PRIORITY) 레이트 리밋, 서버발 RST_STREAM 제한이 권고된다.
6.2 평판 조작형 악성코드 & 노출 자산
- 평판 조작(reputation poisoning):VirusTotal·GitHub·언론 보도를 동원해 악성코드의 '신뢰도'를 인위적으로 끌어올려 백신·평판 기반 탐지를 우회하는 정황이 포착됐다 [10]. 이는IOC·평판 점수 의존 방어의 구조적 한계를 드러낸다.
- 노출 자산:전문가들은 제로데이가 없어도인터넷에 잘못 노출된 내부 시스템(관리 콘솔·ERP·테스트 서버)이 주요 침투 경로라고 경고했다 [9]. ShinyHunters의 PeopleSoft 사례가 이를 실증한다.
공통 함의:두 사례 모두 방어가무엇으로 만들어졌는가(artifact·IOC·평판)"에서 "어떻게 행동하는가(behavior·TTP·노출면)로 이동해야 함을 보여준다.
7. 심층 분석 4 — 패러다임 전환 (화이트해커 신고제·사후 대응·클라우드 보안)
#7-심층-분석-4--패러다임-전환-화이트해커-신고제사후-대응클라우드-보안
이번 주 정책·산업 신호는 방어 무게중심의 이동을 가리킨다 [8].
- 화이트해커 상시 신고제 논의— AI 악용 고도화 위협에 대응해 취약점 상시 발굴·신고를 제도화하려는 논의가 본격화됐고, 18일 세미나에 주요 기업이 참여했다.다만 실효성의 관건은 신고자 면책·법적 보호(Good Samaritan) 설계다. 보호 장치 없는 신고제는 선의의 연구자를 위축시킨다.
- '복구보다 조사' (SK쉴더스)— 사고 발생 시 단순 복구가 아니라근본원인 조사를 통한 재발 방지를 강조. 이는 '예방 실패는 불가피'라는 전제 위에서 대응·복원력(resilience)을 핵심 역량으로 재정의하는 것이다.
- 구글 클라우드 서울 리전 보안 운영 플랫폼— 국내 클라우드 보안 선택지 확대. 단, 구체 사양·데이터 주권·SLA는 공식 문서로 검증해야 한다.보정: 패러다임 '전환'이라는 수사는 신중히 다뤄야 한다. 예방→대응으로의 대체가 아니라, 예방·탐지·대응·복원력의 동시 강화(defense-in-depth) 가 정확한 방향이다.
8. 탐지·완화 권고
- 데이터 최소화·적시 파기 — 탈퇴·휴면 계정의 보존주기를 정책화하고 자동 파기를 구현. CI·DI 등 변경불가 식별자는 분리 저장·암호화·접근로깅 필수. (티빙 교훈)
- 접근통제(인가) 사전 점검 — 공개 프로필·목록 엔드포인트가 비공개 필드를 노출하지 않는지 권한 매트릭스로 검증. AI 생성 코드는 authorization 누락을 별도 리뷰. (모두의 창업 교훈)
- AI 자동수집 방어 — 비정상 스크래핑(동일 IP군 대량 조회, 비공개 필드 순회 접근) 탐지·차단. 레이트 리밋·행위 기반 봇 관리 도입.
- HTTP/2 즉시 패치 — CVE-2026-49975 영향 여부 확인 후 NGINX·Apache·IIS·Envoy·Pingora 패치 적용. 임시 완화로 제어 프레임 레이트 리밋, 서버발 RST_STREAM 제한.
- SaaS·제3자 신뢰연결 점검 — OAuth 토큰·앱 연결을 정기 감사하고 미사용 연결 회수. 인터넷 노출 ERP/관리 콘솔(PeopleSoft 등) 즉시 격리·접근차단.
- 행위 기반 탐지로 전환 — IOC·평판 점수 의존을 줄이고, 데이터 대량 유출 시퀀스·비정상 외부 전송·정찰 패턴에 경보. (평판 조작 대응)
- 갈취 대응 플레이북 — 협상 전제가 아니라 '탈취 데이터 최소화 + 통지·신고(KISA/개보위) 절차 + 사칭 메일 경보'를 사전 정의. 코닥처럼 협박 시한이 걸리기 전에 대비.
- 복원력 지표화 — MTTD/MTTR, 백업 복구시간, 사고 조사 완료율을 KPI로 운영. '복구'가 아니라 '조사·재발방지'를 성공 기준으로.
9. 결론
이번 주 10건의 사건은 서로 무관해 보이지만, 하나의 문장으로 수렴한다 — 오래된 약점이 AI를 만나 더 빠르고 더 크게 터졌다. 티빙의 미파기 계정, 모두의 창업의 접근통제 부재, 노출된 ERP, 오래된 HTTP/2 결함은 모두 새로운 문제가 아니다. 달라진 것은 그 약점을 발견하고 악용하는 비용이 AI로 0에 수렴했다는 점이다.
따라서 방어의 좌표도 바뀌어야 한다. 유출의 보편화는 데이터 거버넌스를, AI 공격면은 행위 기반 탐지를, 갈취 생태계는 노출면 축소를 요구한다. 그리고 '화이트해커 신고제'와 '복구보다 조사'라는 신호가 가리키듯, 한국 사이버 보안은 예방 만능주의에서 벗어나 예방·탐지·대응·복원력을 함께 끌어올리는 종합 전략으로 진화해야 한다.
마지막으로 위협 인텔리전스의 기본을 재확인한다 — 숫자와 주체를 정확히 세는 것이 첫걸음이다. 동일 사건(코닥)을 둘로 세거나, 원인(설계 결함)을 '해킹'으로 오기하면, 위협 모델 자체가 왜곡된다. AI는 엑셀이지 오라클이 아니다 — 공격자에게도, 방어자에게도, 그리고 이 보고서를 쓰는 분석가에게도.
10. 참고 문헌 (References)
[1] "정부 주도 '모두의 창업' 1차 합격자 5000명 개인정보 유출", 한국일보, 2026-06-18.
[2] "'모두의 창업' 진짜로 털렸다… 5000명 아이디어까지 유출", 머니투데이, 2026-06-19. / "클로드코드로 만든 모두의 창업 사이트, 5000명 정보 줄줄 샜다", 이코노믹리뷰, 2026-06-19.
[3] "티빙 개인정보 유출 규모 1953만명…잠정치 대비 650만명↑", 더팩트, 2026-06-18. / 이비엔(EBN), 2026-06-19.
[4] "티빙 정보유출 1953만명…유료회원 500만명인데 왜?", 메디컬투데이/네이트, 2026-06-19. / 인사이트, 2026-06-19.
[5] "코닥, 해킹으로 220만 건 정보 유출 당해…샤이니헌터스, '6월 18일까지 협상없으면 공개' 협박", 데일리시큐, 2026-06-17.
[6] "AI가 찾아낸 'HTTP/2 폭탄'…88만 개 웹사이트 흔든 인터넷 핵심 취약점", 데일리시큐, 2026-06-17.
[7] "CVE-2026-49975: HTTP/2 폭탄 DoS 공격", SOC Prime, 2026-05~06. / 참고: "MadeYouReset (CVE-2025-8671)", The Hacker News, 2025-08.
[8] 2026년 6월 셋째 주 국내 보안 동향 보도(화이트해커 상시 신고제 세미나, SK쉴더스 기술보고서, 구글 클라우드 서울 리전 보안 운영 플랫폼) — 단일/소수 매체 보도 기반, 1차 검증 권장.
[9] "해커조직 샤이니헌터스, 오라클 제로데이로 대학·기업 해킹 (CVE-2026-35273)", 데일리시큐, 2026-06. / "구글 클라우드: 오라클 피플소프트 제로데이 악용 공격 발생", 바이라인네트워크, 2026-06-12.
[10] 2026년 6월 셋째 주 평판 조작형 악성코드 유포 정황 보도 — 보도 기반, 독립 기술 검증 권장.
[관련] CTI-2026-0601-IRANGENAI — GenAI 보조 사이버전과 능력의 국가 간 전이. / CTI-2026-0601-GREYVIBE — GenAI 보조 멀웨어 개발과 귀속 붕괴.
© 2026 Dennis Kim (김호광) · Cyber Threat Intelligence Division 본 문서는 독립 CTI 아카이브(TLP:CLEAR) 공개를 목적으로 하며, 공개 OSINT에 기반한다. 특정 조직·기관·국가의 공식 입장을 대변하지 않으며, 공격 기법의 운용 절차·익스플로잇 세부는 의도적으로 배제했다. 사건의 규모·주체·원인은 1차 소스로 교차 검증했으나, 일부 항목(참고문헌 [8][10])은 보도 기반 정황으로 추가 검증이 필요하다. 문의: [email protected] · GitHub: gameworkerkim/CYBER-THREAT-INTELLIGENCE-REPORT
"오래된 약점이 AI를 만나 공격 비용이 커피값으로 터진다. — CTI-2026-0621"