해킹 사고 해부: 국내 보안사고

가입자 2,324만 명의 유심 정보가 유출된 SK텔레콤 사고를 원리 수준에서 해부합니다. 약 4년 숨어 있던 백도어, 2022년에 발견하고도 신고하지 않은 감염, 평문으로 둔 계정정보와 인증키가 피해를 어떻게 키웠는지 보고, 내 서비스에서 점검할 다섯 가지를 정리합니다

2019년에 잃어버린 펨토셀 한 대의 인증서가 2025년 KT 무단 소액결제로 이어진 사고를 원리 수준에서 해부합니다. 모든 장비가 같은 10년짜리 인증서를 쓰고 접속 장비를 검증하지 않은 구조를 보고, 기기별 인증서와 폐기 목록, 결제 기기 바인딩으로 내 서비스를 점

쿠팡 유출(조사단 기준 3,367만 건)은 정상 로그인 없이 위조 토큰으로 일어났습니다. 게이트웨이는 서명만 확인했고, 서명키는 코드에 박혀 바뀌지 않았습니다. 조사 결과와 막을 수 있었던 네 지점, 내 서비스에서 고칠 코드를 정리합니다.

개발환경 접속키 하나로 들어온 공격자가 이틀 만에 티빙 3,954만 계정과 소스코드를 빼냈습니다. 2024년 모의해킹에서 지적받은 약점이었습니다. 조사 결과와 막을 수 있었던 네 지점, 커밋된 키를 고치는 코드를 정리합니다.

2017년에 나온 WebLogic 패치가 2025년까지 빠져 있던, 아무도 쓰지 않는 결제 서버로 297만 명의 정보가 빠져나갔습니다. 금감원 검사와 개인정보위 조사로 확인된 원인, 막을 수 있었던 네 지점, 결제 로그 마스킹 예시를 정리합니다.

예스24는 첫 랜섬웨어 감염에서 돌아오는 데 약 5일, 두 달 뒤 두 번째 감염에서는 백업으로 약 7시간이 걸렸습니다. SGI서울보증은 DB 서버 41대가 감염됐습니다. KISA 자료와 보도로 본 원인, 백업 권한 설정 예시, 점검 5줄을 정리합니다.

GS샵 회원 계정에는 약 8개월 동안 대량 로그인이 이어졌고, 회사는 알아차리지 못했습니다. 서버 침해가 없었는데도 GS리테일이 과징금 128억 3,600만 원을 받은 이유와, 내 로그인 코드에서 막을 지점을 정리합니다.

2026년 가을 금융권 16개사에서 약 10만 건이, AI를 활용한 해커 사건에서 약 820만 건이 유출됐습니다. 두 사건 모두 관리가 소홀한 외곽 시스템을 노렸습니다. 진행 중인 수사를 2026년 10월 말 기준으로 정리하고, 내 조회 API와 자산 목록에서 막을 지

바이낸스 약 64억 달러, 바이비트 약 15억 달러, 업비트 445억 원. 블록체인 암호는 그대로였고, 공격자는 개발자 PC·서명 화면·서명 서버로 이어지는 서명 경로를 장악했습니다. 세 사건의 원인과 서명 화면·서명 서버에서 막는 방법을 정리합니다.

2014년 마운트곡스부터 2026년 바이낸스까지 코인 해킹 13건을 한 줄로 세웠습니다. 공격 대상은 핫월릿에서 브리지·검증자, 서명 경로로 옮겨 갔고 시작점은 갈수록 사람이 됐습니다. 가짜 채용 과제와 회수하지 않은 권한을 점검하는 방법까지 정리합니다.

SK텔레콤, KT, 쿠팡, 티빙, 롯데카드, 예스24·SGI서울보증, GS리테일, 금융권 연쇄 해킹, 그리고 코인 거래소와 더존비즈온까지. 2025~2026년 보안사고 11건의 원인과 막을 수 있었던 지점을 개발자 시점으로 정리한 시리즈 목록입니다.

더존비즈온은 직원 VPN 계정으로 들어온 침입을 외부인이 보낸 메일로 처음 알았고, 닷새 뒤 백업 서버에서 암호화 데이터 일부가 반출된 정황이 나왔습니다. 회사 설명과 보도로 본 두 갈래 경로, 고객사별 키와 암호화 삭제 예시, 점검 5줄을 정리합니다.

2021년부터 2026년 6월까지 KISA에 들어온 기업 침해사고 신고 8,565건 중 81.6%가 중소기업이었습니다. 시스템 해킹은 5배 넘게 늘었고, 782곳은 두 번 이상 신고했습니다. 숫자로 본 흐름과 복구 뒤 원인을 닫는 예시, 점검 5줄을 정리합니다.

개인정보위는 2022년과 2023년 두 번의 전체회의에서 웹셸 공격으로 개인정보가 유출된 사업자들을 제재했습니다. 파일 업로드 확장자와 실행 권한을 제한하지 않았고, DB 접근도 IP로 막지 않았습니다. 안전한 업로드 예시와 점검 5줄을 정리합니다.

온라인 명품 쇼핑몰 발란에서 2022년 3월과 4월 두 차례 약 162만 건의 개인정보가 유출됐습니다. 해커는 쓰지 않는데 지우지 않은 관리자 계정으로 들어왔고, 접근 IP도 제한되지 않았습니다. 관리자 계정의 수명 관리 예시와 점검 5줄을 정리합니다.

건강기능식품 쇼핑몰을 운영하던 A사는 방화벽과 침입방지시스템을 두고도 고객 11만 9,856명의 개인정보를 잃었고, 법원은 과징금 4억 6,457만 원이 정당하다고 봤습니다. 판결이 짚은 두 빈틈과 관리 경로 제한·대량 조회 경보 예시, 점검 5줄을 정리합니다.

중소기업·소상공인이 받은 개인정보 유출 처분금액은 2024년 8,080만 원에서 2025년 21억 8,002만 원으로 약 27배가 됐습니다. 2026년 9월 시행된 개정 개인정보 보호법의 매출 10% 과징금, 72시간 통지, 감경·가중 규정을 보도 기준으로 정리하고,