EU 집행위원회 — 사이버보안 규정을 작성하는 바로 그 기관 — 이 ShinyHunters에게 침해당해 민감한 데이터 350GB를 탈취당했습니다. 한편 Citrix NetScaler와 F5 BIG-IP의 치명적 심각도 제로데이가 실제 악용 중이며, Fortinet FortiClient EMS는 무기화되고 있고, 새로운 연구는 LLM이 조직의 접근 통제를 조용히 무너뜨리고 있음을 보여줍니다. NIS2, DORA, GDPR, EU AI Act 컴플라이언스에 이 모든 것이 의미하는 바를 정리했습니다.
유럽집행위원회는 자사 Europa.eu 플랫폼이 해킹당한 뒤 데이터 유출 사실을 확인했습니다. ShinyHunters는 메일 서버 덤프, 데이터베이스, 기밀 문서, 계약서를 포함해 350GB 이상을 탈취했다고 주장합니다. 이는 위원회의 두 달 만에 두 번째 침해입니다.
냉철한 아이러니로밖에 표현할 수 없는 상황 속에서, 유럽집행위원회 — EU의 사이버보안 규제 프레임워크를 만들고 집행하는 책임을 진 기관 — 가 스스로 대규모 데이터 유출의 피해자가 되었습니다. ShinyHunters 갈취 조직은 위원회의 AWS(Amazon Web Services) 계정 중 최소 1개를 침해하고 350GB가 넘는 데이터를.
유출했다고 주장하며 책임을 인정했습니다. 탈취된 데이터에는 메일 서버 덤프, 데이터베이스, 기밀 문서, 계약서가 포함된 것으로 알려졌습니다. ShinyHunters는 이미 90GB 규모의 샘플 아카이브를 다크웹 유출 사이트에 게시했습니다. 위원회는 보도자료를 통해 침해 사실을 확인했으며, 내부 시스템은 영향받지 않았다고 밝혔지만 "해당 웹사이트들로부터 데이터가 탈취되었다"는 점은 인정했습니다.
이는 위원회가 2월에 별도의 침해 사실을 공개한 지 불과 몇 주 만에 벌어진 일로, 당시 침해는 위원회의 모바일 기기 관리 플랫폼과 관련이 있었습니다. 두 달도 채 안 되는 기간 동안 동일한 EU 기관에서 발생한 두 건의 주요 보안 사고는 위원회 자체의 보안 태세에 대한 중대한 의문을 제기합니다 — 특히 회원국에 엄격한 NIS2 준수를 압박하고 있는 상황에서 더욱 그렇습니다.
GDPR: 이번 침해는 직원 개인정보를 노출시켜 제33-34조에 따른 통지 의무를 발생시킵니다. 데이터에 회원국 시민에 관한 정보가 포함되어 있다면, 관련 데이터보호청은 72시간 이내에 통지받아야 합니다. 위원회 스스로도 자신이 집행하는 바로 그 규정을 따라야 합니다.
NIS2: 핵심 디지털 서비스를 운영하는 EU 기관으로서, 위원회는 NIS2와 유사한 의무를 집니다. 클라우드 인프라(AWS 계정)의 침해는 NIS2가 다루고자 했던 정확히 그 공급망 및 클라우드 보안 위험을 부각시킵니다. 조직들은 자사의 클라우드 구성이 유사한 공격에서 살아남을 수 있을지 점검해야 합니다.
Citrix NetScaler ADC와 Gateway의 치명적 취약점(CVSS 9.3)이 인증된 관리자 세션 ID를 포함한 민감한 데이터를 유출시키기 위해 실제로 악용되고 있습니다. 즉시 패치하십시오.
Citrix NetScaler ADC와 NetScaler Gateway의 치명적 심각도 취약점 (CVE-2026-3055, CVSS 9.3)이 2026년 3월 27일부터 실제 악용 중입니다. 이 결함은 불충분한 입력 검증으로 인한 메모리 초과 읽기이며, 공격자가 인증된 관리자 세션 ID를 포함해 애플리케이션 메모리에서 민감한 정보를 유출시킬 수 있게 합니다.
악용에 성공하려면 어플라이언스가 SAML 신원 제공자(SAML IDP)로 구성되어 있어야 하며, 이는 공격 표면을 좁히지만 여전히 상당수의 엔터프라이즈 배포에 영향을 미칩니다. 공격자가 메모리에서 관리자 세션 ID를 확보하면, 세션을 탈취해 완전한 통제권을 장악할 수 있습니다 — 트래픽 검사 규칙, SSL 인증서, 접근 정책 수정을 포함합니다.
Citrix NetScaler는 유럽 전역 수천 개 조직의 네트워크 경계에 위치하며, 로드밸런서이자 VPN 게이트웨이 역할을 동시에 수행합니다. 이 기기들을 침해하면 공격자는 조직의 인프라를 통과하는 트래픽을 가로채고, 리디렉션하고, 조작할 수 있는 특권적 위치를 확보하게 됩니다.
NIS2: NetScaler 어플라이언스는 "취약점 처리 및 공개"에 관한 NIS2 제21조 요건에 따라 핵심 네트워크 인프라로 간주됩니다. 합리적인 기한 내에 패치하지 못하는 필수 또는 중요 기관으로 분류된 조직은 최대 1,000만 유로 또는 전 세계 매출의 2%에 달하는 벌금 위험에 처합니다. NIS2는 또한 악용 사실을 인지한 지 24시간 이내에 CSIRT에 사고 보고를 요구합니다.
DORA: Citrix NetScaler를 원격 접근이나 애플리케이션 전달에 사용하는 금융기관은 악용이 탐지될 경우 이를 DORA 제19조에 따른 중대한 ICT 관련 사고로 취급해야 합니다. DORA는 금융기관이 모든 ICT 자산의 등록부를 유지하고 지속적인 취약점 관리를 보장하도록 요구합니다 — 엣지 네트워크 기기도 포함됩니다.
F5는 BIG-IP APM 취약점을 고위험 DoS에서 치명적 심각도의 원격 코드 실행으로 재분류했습니다. 공격자들은 이미 패치되지 않은 기기에 웹셸을 활발히 배포하고 있습니다.
우려스러운 상황 전개 속에서, F5는 BIG-IP 접근 정책 관리자(APM) 취약점을 재분류했으며, 이는 원래 고위험 서비스 거부 결함으로 공개되었던 것입니다. 이 취약점은 이제 치명적 심각도의 원격 코드 실행(RCE)으로 등급이 매겨졌으며, 공격자들은 이미 패치되지 않은 기기에 웹셸을 배포하는 데 실제로 악용하고 있습니다.
이번 재분류는 대단히 중요합니다. 원래의 DoS 권고문을 평가해 위험 수용 가능한 DoS 등급을 근거로 패치 우선순위를 낮췄던 조직들은 이제 완전히 다른 위협에 직면합니다: 웹셸을 통한 지속적인 원격 접근입니다. BIG-IP 어플라이언스는 SSL 오프로딩, 로드밸런싱, 애플리케이션 전달을 세계 최대 규모의 금융기관, 헬스케어 제공업체, 정부기관 다수를 위해 처리합니다.
BIG-IP 기기의 웹셸은 공격자에게 암호화된 트래픽을 가로채고, 사용자를 리디렉션하고, 악성 콘텐츠를 삽입하고, 내부 네트워크로 더 깊이 이동할 수 있는 능력을 제공합니다 — 그러면서도 다운스트림 보안 통제에는 정상 트래픽으로 보입니다.
DORA: BIG-IP를 애플리케이션 전달에 사용하는 금융기관은 즉각적인 의무에 직면합니다. DORA 제9조는 금융기관이 치명적 취약점의 신속한 패치를 포함한 ICT 자산 관리 정책을 시행하도록 요구합니다. DoS에서 RCE로의 취약점 재분류는 즉각적인 위험 재평가와 패치 우선순위 재조정을 촉발해야 합니다. 규제 당국은 "DoS로 평가해 우선순위를 낮췄다"는 변명을 받아들이지 않을 것입니다.
NIS2: 필수 서비스(헬스케어, 에너지, 교통)의 로드밸런서로 사용되는 BIG-IP 기기는 NIS2의 취약점 관리 요건에 정확히 해당됩니다. 웹셸 배포는 CSIRT 통지가 필요한 중대한 사고에 해당합니다.
Fortinet의 FortiClient 엔터프라이즈 관리 서버(EMS)의 치명적 취약점이 이제 실제로 악용되고 있습니다. EMS를 침해하면 공격자는 조직 전체의 엔드포인트 보안 정책을 통제할 수 있게 됩니다.
공격자들은 치명적 취약점을 실제로 악용하고 있으며 이는 Fortinet의 FortiClient 엔터프라이즈 관리 서버(EMS)에 존재합니다 — 이는 엔터프라이즈 환경 전반에서 Fortinet의 엔드포인트 보안 에이전트를 관리하는 중앙집중식 플랫폼입니다. 위협 인텔리전스 업체 Defused는 실제 환경에서의 악용을 확인했습니다.
FortiClient EMS는 침해될 경우 특히 위험한데, 이는 엔드포인트 보안의 관리 평면이기 때문입니다. EMS를 장악한 공격자는 모든 관리 대상 엔드포인트에 악성 구성을 푸시하고, 보안 정책을 비활성화하고, 악성코드를 화이트리스트에 등록하거나, 백도어를 배포할 수 있습니다 — 모두 보안팀이 신뢰하는 정상 관리 인프라를 통해서 말입니다.
이번 공격은 우려스러운 흐름을 따르고 있습니다: 위협 행위자들이 개별 엔드포인트보다 보안 관리 인프라 자체를 점점 더 표적으로 삼고 있다는 것입니다. Cisco FMC, Ivanti EPMM, SolarWinds에서도 유사한 캠페인이 목격되었습니다 — 조직이 보안 유지를 위해 의존하는 도구들이 주요 공격 벡터가 되어가고 있습니다.
NIS2 제21조(2)(d)는 필수 및 중요 기관이 "각 기관과 직접 공급업체 또는 서비스 제공업체 간 관계에 관한 보안 측면을 포함한 공급망 보안"을 시행하도록 요구합니다. 엔드포인트 관리 플랫폼은 공급망 신뢰의 전형입니다 — 관리 서버가 침해되면 관리 대상 엔드포인트 전체가 연쇄적으로 침해됩니다. 조직은 자사의 보안 관리 인프라가 최고 수준의 패치 우선순위를 받도록 보장해야 하며, 이는 그것이 관리하는 자산과 동등한 우선순위가 아니어야 합니다.
새로운 연구에 따르면 LLM은 구문상 정확하지만 미묘한 논리적 오류를 담은 접근 통제 정책(Rego, Cedar)을 작성할 수 있으며 — 최소 권한 보안 모델을 조용히 해체하고 있습니다.
이번 주 발표된 연구는 보안 운영에서 대규모 언어 모델(LLM)을 사용하는 데 따른 치명적이면서도 과소평가된 위험을 조명합니다: AI 시스템은 구문상 정확한 접근 통제 정책을 작성하지만 그 안에는 미묘한 논리적 오류가 담겨 있어, 어떤 경보도 촉발하지 않은 채 조직의 보안을 조용히 잠식합니다.
이 현상은 "조용한 표류(Silent Drift)"라고 명명되며, 조직이 다음과 같은 언어로 작성된 접근 통제 정책을 생성하거나 수정하는 데 LLM을 사용할 때 발생합니다: Rego (Open Policy Agent가 사용) 또는 Cedar (AWS Verified Access가 사용). LLM은 오류 없이 컴파일되고 기본 테스트를 통과하는 정책을 만들어내지만, 그 안에는 누락된 조건, 환각으로 생성된 속성, 또는 잘못된 논리 연산자가 포함되어 있어 의도한 것보다 더 넓은 접근 권한을 부여합니다.
트래픽 분석으로 포착될 수 있는 잘못 구성된 방화벽 규칙과 달리 — 지나치게 관대한 접근 통제 정책은 결코 경보를 촉발하지 않을 수 있습니다. 이 정책이 부여하는 접근 권한은 관리자의 의도가 아니었더라도 기술적으로는 정책에 의해 "승인된" 것입니다. 이는 접근 권한의 느리고 눈에 보이지 않는 확장을 만들어내며, AI가 생성한 정책이 더 많이 배포될수록 시간이 지나며 누적됩니다.
EU AI Act: 민감한 데이터나 핵심 인프라에 대한 접근 권한을 결정하는 접근 통제 시스템은 EU AI Act 부속서 III에 따라 고위험 AI 시스템으로 분류될 수 있습니다. LLM이 이러한 정책을 생성하거나 수정하는 데 사용된다면, 조직은 인간 감독 메커니즘을 (제14조) 구현하고 AI 시스템의 산출물이 해석 가능하고 감사 가능하도록 보장해야 합니다. 인간 검토 없이 LLM이 생성한 접근 정책을 맹목적으로 배포하는 것은 미준수에 해당할 수 있습니다.
GDPR: 접근 통제는 GDPR 제32조("처리의 보안")의 근간이 되는 요소입니다. AI가 생성한 정책이 실수로 개인정보에 대한 과도한 접근을 허용한다면, 해당 조직은 데이터 최소화(제5조(1)(c)) 위반에 해당할 수 있으며 개인정보를 보호하기 위한 "적절한 기술적 조치"를 입증하지 못하게 됩니다. AI가 정책을 작성했다는 사실은 방어 논리가 되지 못합니다 — 데이터 관리자는 여전히 책임을 집니다.
헬스케어 IT 업체 CareCloud가 전자건강기록 환경 중 하나와 관련된 침해 사실을 공개했습니다. 환자 데이터가 노출되었습니다.
헬스케어 IT 업체 CareCloud가 전자건강기록(EHR) 환경 중 하나와 관련된 사이버보안 사고를 공개했습니다. 이 공격은 약 8시간의 네트워크 중단을 초래했으며 민감한 환자 데이터 탈취로 이어졌습니다. 전체 규모는 아직 조사 중이지만, EHR 데이터가 관련된 침해는 GDPR과 헬스케어 분야별 규정 양쪽에서 가장 민감한 유형으로 분류됩니다.
헬스케어는 여전히 랜섬웨어와 데이터 탈취의 최다 표적 분야이며, IBM의 최신 데이터 유출 비용 보고서에 따르면 헬스케어 침해 1건당 평균 비용은 1,093만 달러에 달합니다. CareCloud 사건은 헬스케어 데이터를 다루는 관리형 서비스 제공업체가 고가치 표적임을 재확인시켜 줍니다 — MSP 1곳을 침해하면 수백 개 헬스케어 제공업체의 데이터가 노출될 수 있습니다.
GDPR: 건강 데이터는 제9조에 따라 개인정보의 특별 범주로 분류되며, 가장 높은 수준의 보호 요건이 적용됩니다. 건강 데이터가 관련된 침해는 거의 항상 영향받은 환자 개개인에 대한 통지를 요구하며 최대 수준의 과징금 가능성(2,000만 유로 또는 전 세계 매출의 4%)을 수반합니다.
NIS2: 헬스케어는 NIS2에서 명시적으로 필수 분야로 열거되어 있습니다. 여러 헬스케어 제공업체를 서비스하는 클라우드 기반 EHR 플랫폼은 핵심 디지털 인프라에 해당합니다. CareCloud와 그 헬스케어 고객사 모두 NIS2 사고 보고 의무를 집니다.
| 위협 | 규제 | 우선 조치 |
|---|---|---|
| Europa.eu 침해(ShinyHunters) | GDPR, NIS2 | 클라우드 IAM 감사, SSO 보안 검토, 침해 통지 워크플로우 준비 |
| Citrix NetScaler CVE-2026-3055 | NIS2, DORA | 즉시 패치, 패치 불가 시 SAML IDP 비활성화 |
| F5 BIG-IP RCE(재분류됨) | DORA, NIS2 | 긴급 패치, 웹셸 스캔, 위험 재평가 |
| FortiClient EMS 악용 | NIS2 | 패치, 관리 접근 제한, 정책 변경 감사 |
| LLM 접근 통제 표류 | EU AI Act, GDPR | AI 생성 정책에 대한 인간 검토 구현, AI 사용 문서화 |
| CareCloud 헬스케어 유출 | GDPR, NIS2 | 헬스케어 MSP 노출 평가, 처리자 계약 검토 |
KENSAI는 이번 주 악용된 것과 같은 취약점에 대해 여러분의 공격 표면을 지속적으로 모니터링하며 — 발견 사항을 NIS2, DORA, GDPR 컴플라이언스 요건에 자동으로 매핑합니다.
무료 보안 스캔 시작하기 →KENSAI 보안 리서치 · 일일 규제 브리핑
2026년 3월 31일 발행 · 다음 브리핑은 내일 05:30 CET