정보보안 10대 위협 2026 ── 랭킹을 보는 법과 중소기업이 정말 대비해야 할 것

“랜섬웨어”, “공급망 공격”, “AI 리스크”. 뉴스에서 접하는 용어가 자사와 얼마나 관련이 있는지 판단하지 못한 채 흘려보내는 분들이 많을 것입니다.

그 판단의 재료로 매년 활용할 수 있는 것이 IPA(독립행정법인 정보처리추진기구)가 공표하는 정보보안 10대 위협입니다. 전년도에 사회적 영향이 컸던 위협을, 연구자와 기업 실무 담당자 등 약 250명으로 구성된 선정 위원회가 심의·투표로 선정하는 것으로, 2026년판은 2026년 1월 29일에 공개되었습니다.

이 글에서는 2026년판 조직편 상위 10위를 살펴본 뒤, 중소기업이 어느 항목을 자사의 문제로 받아들여 무엇부터 손을 대야 하는지 정리합니다.

1. 먼저 결론

• 2026년판 조직편은 1위 랜섬 공격(11년 연속), 2위 공급망 공격(8년 연속)으로, 상위권의 면면이 고정되어 있다. 즉 “유행이 바뀐” 것이 아니라 “같은 공격이 계속 통하고 있다”
• 처음 선정된 “AI 이용을 둘러싼 사이버 리스크”가 3위. 공격자의 AI 악용뿐 아니라 자사 직원의 AI 이용으로 인한 정보 유출도 포함된다
• 중소기업과 특히 관련이 깊은 것은 랜섬 공격, 공급망 공격(표적이 되는 쪽으로서), 취약점 악용, 비즈니스 이메일 사기
• 상위 위협 대부분은 OS·소프트웨어 업데이트, 백업, 비밀번호 강화, 수법을 아는 것과 같은 기본 대책이 토대다. 랭킹을 보고 새로운 제품을 사기 전에 기본을 얼마나 철저히 하고 있는지부터 확인한다
• 랭킹은 “자사의 대책을 연 1회 재점검하는 계기”로 활용한다. 순위 자체보다 자사에서 발생했을 때의 영향을 기준으로 우선순위를 정한다

2. 조직편 상위 10위(2026년판)

개인편도 있지만, 이쪽은 순위를 매기지 않고 가나다순으로 10개 항목을 제시하는 형식입니다. “순위가 낮으니 안심”이라는 오독을 막기 위한 장치이며, 이 사고방식은 조직편을 읽는 방식에도 그대로 적용됩니다. 내용은 “피싱에 의한 개인정보 등의 편취”, “신용카드 정보의 부정 이용”, “지원 사기(가짜 경고)에 의한 금전 피해”, “인터넷 서비스에 대한 부정 로그인” 등, 직원이 사생활에서 마주치기 쉬운 항목들이 나열되어 있습니다. 회사의 대책 항목이 되지는 않지만, 사내 연수에서는 “나와 가족의 이야기”로 다룰 수 있어 관심을 얻기 쉽고, 그 결과 조직편에 대한 이해도 함께 깊어집니다.

전년판과의 비교

목록을 살펴보면 알 수 있는 것은 면면의 고정화입니다. 2025년판과 나란히 놓아 보면 그 점이 뚜렷해집니다.

구도는 이렇습니다. 2025년판의 1~9위는 전부 그대로 남았고, 10위였던 “부주의로 인한 정보 유출 등”만 빠졌습니다. 그 빈자리 하나에 처음 선정된 “AI 이용을 둘러싼 사이버 리스크”가 곧바로 3위로 들어오면서, 밀려나는 형태로 하위 항목들이 한 칸씩 내려갔습니다. 순위 변동 폭도 최대 3칸(내부 부정의 4위→7위)에 그쳐, 위아래가 뒤바뀌었다기보다 옥돌리기에 가깝습니다. 참고로 위협 명칭은 매년 조금씩 수정되며, 2025년판에서는 “시스템 취약점을 노린 공격”, “기밀 정보 등을 노린 표적형 공격”, “분산형 서비스 거부 공격(DDoS 공격)”이라는 표기였습니다.

1위와 2위는 4년 이상 순위가 바뀌지 않았고, 상위 10위 대부분이 5년 이상 계속 선정되고 있습니다. 공격 수법은 해마다 정교해지고 있지만, “무엇이 표적이 되는가”는 달라지지 않았습니다. 즉 대책의 방향성도 매년 처음부터 다시 고민할 필요는 없고, 기본을 얼마나 철저히 하는지를 계속 높여 가는 것이 중심이 됩니다.

3. 중소기업의 시각에서 본 상위 위협

1위 랜섬 공격 ── “데이터를 인질로 삼아 사업을 멈춘다”

데이터를 암호화하는 등의 방법으로 몸값을 요구하는 공격입니다. 대기업만의 이야기가 아니라, 보안 대책이 허술한 중소기업은 침입하기 쉬운 표적으로 노려집니다. 피해는 정보 유출에 그치지 않고 수주도 출하도 할 수 없는 사업 정지로 직결됩니다.

대책의 핵심은 침입 경로를 막는 것(VPN 기기나 OS·소프트웨어 업데이트, 비밀번호 강화)과, 침입당하더라도 사업을 재개할 수 있는 대비(백업 취득·격리 보관·복구 확인)입니다. IPA의 “중소기업 정보보안 대책 가이드라인” 제4.0판이 “정보보안 6개조”에 “백업을 받아 두자!”를 추가한 것은 바로 이 위협에 대한 대비입니다(자세한 내용은 가이드라인 제4.0판 해설 기사를 참고해 주세요).

참고로 “정보보안 6개조”는 IPA가 중소기업을 위해 제시하고 있는 최소한의 대책 항목입니다. (1) OS와 소프트웨어는 항상 최신 상태로 유지하자 (2) 백신 프로그램을 도입하자 (3) 비밀번호를 강화하자 (4) 공유 설정을 재점검하자 (5) 백업을 받아 두자 (6) 위협과 공격 수법을 알아 두자, 이렇게 6가지이며, 제4.0판에서 (5)가 추가되었습니다. 이 글에서 “기본 대책”이라고 부르는 것은 대체로 이 6가지 항목을 가리킵니다.

2위 공급망·위탁처를 노린 공격 ── 중소기업은 “입구”로 노려진다

표적 기업을 직접 공격하지 않고, 보안이 약한 거래처나 위탁처를 발판 삼아 침입하는 공격입니다. 중소기업 입장에서 이 위협은 “자사가 피해를 입는다”는 것뿐 아니라 “자사가 거래처에 대한 가해의 입구가 된다”는 이중의 의미를 갖습니다.

거래처로부터 보안 체크시트가 날아오게 된 것은 이런 흐름 때문입니다. 앞으로 공급망 전체에서 대책 수준을 확인하려는 움직임은 강해질지언정 약해지는 일은 없을 것입니다. 자사의 대책을 진행해 설명할 수 있는 상태로 만들어 두는 것이 보안 대책인 동시에, 거래를 이어 가기 위한 영업 요건이 되어 가고 있습니다.

3위 AI 이용을 둘러싼 사이버 리스크 ── 첫 선정

처음으로 위협 후보가 되어 곧바로 3위에 올랐습니다. 내용은 공격과 이용 양쪽에 걸쳐 있습니다. IPA의 보도 발표에서는 AI에 대한 이해 부족으로 인한 의도치 않은 정보 유출과 타인의 권리 침해, AI가 가공·생성한 결과를 충분히 검증하지 않고 그대로 받아들여서 발생하는 문제, AI 악용에 따른 사이버 공격의 용이화·수법의 정교화가 거론되고 있습니다.

중소기업에게 현실적인 쟁점은 공격자의 AI 이용 그 자체보다 자사 직원의 생성형 AI 이용입니다. 고객 정보나 설계 정보를 AI 서비스에 입력해도 되는지, 생성된 문장이나 코드를 검증하지 않고 사용해도 되는지. 전면 금지도 방임도 사고로 이어지므로, “무엇을 입력해도 되는가”, “결과를 어떻게 확인할 것인가”라는 간단한 사내 규칙을 정하는 것이 첫걸음이 됩니다.

4위 시스템 취약점을 악용한 공격 ── “업데이트 방치”가 입구가 된다

소프트웨어의 알려진 약점을 노리는 공격입니다. 수정 프로그램이 이미 공개되었는데도 적용되지 않은 기기·소프트웨어가 표적이 됩니다. VPN 기기, 지원이 종료된 OS, 업데이트가 멈춘 WordPress 사이트 등이 전형적입니다.

이는 기술적으로 고난도의 이야기가 아니라, “업데이트를 누가 언제 할지 정해져 있는가”라는 운영의 문제입니다. 자사 웹사이트가 해당할 것 같다면, IPA “안전한 웹사이트 만드는 법” 해설 기사도 함께 참고해 주세요.

7위 내부 부정·10위 비즈니스 이메일 사기 ── 사람과 절차의 위협

내부 부정으로 인한 정보 유출은 퇴사자에 의한 고객 데이터 반출 등, 직원·전직 직원이 관련된 위협입니다. 접근 권한 정리, 퇴사 시 계정 정지, 폐기 PC의 데이터 삭제 같은 수수한 절차의 축적이 대책이 됩니다.

비즈니스 이메일 사기는 거래처나 경영자를 사칭해 가짜 입금 계좌로 송금하게 만드는 사기입니다. 기술적 대책과 동시에 “입금 계좌 변경은 반드시 전화로 확인한다” 같은 업무 규칙이 결정타가 됩니다. 이메일 운영을 재점검할 때는 PPAP를 그만두자는 이야기도 같은 맥락에서 검토할 수 있습니다.

다루지 않은 4개 항목에 대해

이 장에서는 5위·6위·8위·9위를 건너뛰었습니다. 중소기업과 무관해서가 아니라, 대응책이 상위 위협과 겹치거나, 해당되는 회사가 한정적이기 때문입니다. 한 줄씩 짚어 둡니다.

• 5위 기밀 정보를 노린 표적형 공격: 특정 조직을 노려 업무를 가장한 이메일 등으로 침입하는 공격입니다. 중소기업 쪽의 대응책(수상한 이메일 처리, 철저한 업데이트, 침입 후 알아챌 수 있는 구조)은 1위·2위에 대한 대비와 거의 같은 내용이 되므로 그쪽에 묶어 정리했습니다. 독자적인 설계 데이터나 연구 정보를 보유한 회사는 순위와 무관하게 상위로 취급해 주십시오
• 6위 지정학적 리스크에 기인한 사이버 공격: 국제 정세를 배경으로 한 공격이나 정보전입니다. 한 회사가 단독으로 정세에 대처할 수 있는 것이 아니며, 실제로 할 수 있는 일은 1위·4위 기본 대책을 철저히 하는 것으로 귀결됩니다. 다만 중요 인프라나 방위 관련 공급망에 속해 있는 경우에는 발주처로부터 개별 요구가 오는 영역입니다
• 8위 재택근무 등의 환경·구조를 노린 공격: VPN 기기나 자택 PC를 경유한 침입입니다. 중소기업에도 충분히 해당하지만, 현장의 대응책은 “VPN 기기 업데이트”, “개인 PC의 업무 이용 규칙”이며, 4위의 취약점 대책과 겹칩니다. 재택근무를 상시 운영하고 있다면 4위의 이야기를 그대로 자사의 원격 환경에 적용해 주십시오
• 9위 DDoS 공격: 대량의 통신을 보내 서비스를 멈추게 하는 공격입니다. 주로 노려지는 것은 온라인 서비스를 제공하는 사업자이며, 자사 사이트가 회사 소개 중심이라면 예상되는 피해는 작아집니다. 쇼핑몰이나 회원제 서비스를 자체 운영하고 있다면, 이용 중인 호스팅이나 CDN의 방어 기능을 확인해 볼 가치가 있습니다

“건너뛰었다=무시해도 된다”는 뜻이 아닙니다. 자사의 업태가 여기에 해당한다면 순위와 무관하게 상위로 끌어올려 생각하는 것이, 다음 장의 “랭킹의 올바른 활용법”입니다.

4. 랭킹의 올바른 활용법

10대 위협은 매년 화제가 되지만, 활용법을 잘못하면 “올해 1위 대응 제품을 사고 안심한다”는 본말전도가 일어납니다. IPA가 강조하는 것은 위협 정보를 지속적으로 수집하고, 자사와 관련된 위협의 리스크를 파악해 대책을 세우는 것입니다.

실무적으로는 다음을 연중행사로 삼는 것이 현실적입니다.

• 매년 1월 말 발표 시점에 상위 10위를 살펴보고 “자사에서 발생하면 무엇이 멈추는가”를 하나씩 생각해 본다
• 자사와 관련이 깊은 위협에 대해 기본 대책(OS·소프트웨어 업데이트, 백업, 비밀번호, 공유 설정, 수법을 아는 것)을 얼마나 철저히 하고 있는지 확인한다
• 부족한 부분이 있으면 중소기업 정보보안 대책 가이드라인의 자사 진단과 부록을 활용해 메운다

IPA는 조직편 해설서(64페이지)와 프레젠테이션 자료도 무료로 공개하고 있어, 조회나 사내 연수 교재로 그대로 사용할 수 있습니다. “위협과 공격 수법을 알아 두자”는 정보보안 6개조의 한 항목이기도 하며, 10대 위협을 연 1회 사내에서 공유하는 것만으로도 그 실천이 됩니다.

먼저 확인할 3가지

자사 진단의 25개 항목까지는 손이 미치지 않는 단계라 하더라도, 다음 3가지는 오늘 확인할 수 있습니다. 어느 것이든 1위·2위·4위·7위에 직접적으로 효과가 있는, 가장 비용 대비 효과가 높은 부분입니다.

1. 백업에서 실제로 복원할 수 있는가. “받아 두었는가”가 아니라 “복원해 본 적이 있는가”입니다. 최근 1년 동안 복구를 시도해 보지 않았다면, 테스트용 파일 하나를 복원해 보는 것부터 시작합니다. 아울러 운영 환경에서 분리해 보관하고 있는지(항상 연결된 상태의 외장 디스크만 있는 것은 아닌지)도 확인합니다
2. 외부에서 접근 가능한 기기·서비스의 업데이트가 멈추지 않았는가. VPN 기기, 라우터, NAS, 공개 웹사이트(WordPress 등). 사내 PC의 Windows Update는 신경 쓰면서도 이런 것들은 “작동하고 있으니 건드리지 않는다”는 이유로 몇 년씩 방치되기 쉽습니다. 기종명과 현재 버전을 적어 보고, 제조사의 지원 종료일과 최신 버전을 확인합니다
3. 퇴사자·부서 이동자의 계정이 남아 있지 않은가. 업무 시스템, 클라우드 서비스, 공유 폴더, VPN. 유효한 상태로 남아 있다면 7위의 내부 부정에도, 1위의 침입 경로에도 될 수 있습니다. 재고 조사는 “사람” 단위가 아니라 “서비스별 이용자 목록”을 나열해 대조하는 편이 확실합니다

이 세 가지에 대해 자신 있게 “예”라고 말할 수 없는 항목이 있다면, 10대 위협 중 어느 것부터 손을 댈지 고민하기 전에 그쪽이 우선입니다.

정리

정보보안 10대 위협 2026의 핵심을 정리합니다.

• 조직편은 1위 랜섬 공격, 2위 공급망 공격, 3위에 처음 선정된 AI 리스크. 상위권은 몇 년째 고정되어 있어, “같은 공격이 계속 통하고 있다”는 것을 보여준다
• 중소기업은 랜섬·공급망·취약점 악용·비즈니스 이메일 사기를 특히 자사의 문제로 받아들여야 한다
• AI 리스크는 공격 측면뿐 아니라 직원의 생성형 AI 이용에 따른 정보 유출·무비판적 수용도 포함한다. 간단한 사내 규칙부터 시작한다
• 상위 위협 대책의 토대는 기본 대책을 철저히 하는 것. 랭킹은 연 1회 재점검의 계기로 활용한다
• 순위는 “사회 전체에 대한 영향”의 순서일 뿐이며, 자사에 대한 우선순위는 업무에 미치는 영향으로부터 스스로 판단한다

자사와 관련된 위협 파악에 어려움을 겪고 계신 분께

“어떤 위협이 자사와 관련이 있는가”를 판단하려면 자사의 시스템 구성과 업무 흐름을 파악하고 있어야 합니다. VPN은 있는가, 오래된 소프트웨어는 어디에서 동작하고 있는가, 백업은 복원할 수 있는가. 이 파악 작업은 일반론이 아니라 개별적인 확인 작업입니다.

합동회사 코무라소프트에서는 Windows 업무 앱과 웹 시스템의 개발·유지보수 경험을 바탕으로, 업무 시스템 관련 리스크 파악과 업데이트가 멈춘 기존 소프트웨어의 개수·유지보수 상담을 받고 있습니다. “무엇부터 확인해야 할지 모르겠다”는 단계에서도 상담해 주셔도 됩니다.

관련 기사

같은 태그를 공유하는 최신 기사입니다. 더 가까운 주제로 지식을 넓힐 수 있습니다.

관련 토픽

이 기사와 가까운 토픽 페이지입니다. 기사를 출발점 삼아 관련 서비스와 다른 기사로 이어집니다.

이 주제와 연결되는 서비스

이 기사는 다음 서비스 페이지로 이어집니다. 가까운 입구부터 확인해 주세요.

자주 묻는 질문

이 기사 주제에 대해 상담 시 자주 나오는 질문을 모았습니다.

정보보안 10대 위협이란 무엇인가요?

IPA(독립행정법인 정보처리추진기구)가 매년 발표하는, 전년도에 사회적 영향이 컸던 정보보안 위협의 순위입니다. IPA가 위협 후보를 선정하고, 연구자와 기업 실무 담당자 등 약 250명으로 구성된 '10대 위협 선정 위원회'의 심의·투표를 거쳐 결정됩니다. 조직편과 개인편이 있으며, 2026년판은 2026년 1월 29일에 공개되었습니다. 조직편은 해설서와 프레젠테이션 자료도 무료로 공개되어 있어 사내 교육에도 사용할 수 있습니다.

2026년판 조직편에서 새로 추가된 위협이 있나요?

'AI 이용을 둘러싼 사이버 리스크'가 처음으로 위협 후보가 되어 곧바로 3위에 선정되었습니다. AI에 대한 이해 부족으로 인한 의도치 않은 정보 유출과 타인의 권리 침해, AI가 생성한 결과를 검증하지 않고 그대로 받아들여서 발생하는 문제, AI 악용에 따른 사이버 공격의 용이화·수법의 정교화 등 이용 측면과 공격 측면 양쪽의 리스크가 포함되어 있습니다.

중소기업은 랭킹 중 어느 항목부터 대책을 세워야 하나요?

순위보다 '자사에서 발생했을 때의 영향'을 기준으로 선택하는 것이 기본이지만, 많은 중소기업과 공통적으로 관련이 깊은 것은 1위 랜섬 공격(백업과 침입 경로 대책), 2위 공급망 공격(거래처로서 표적이 되거나 대책을 요구받는 경우), 4위 시스템 취약점을 악용한 공격(VPN 기기나 오래된 소프트웨어 방치), 10위 비즈니스 이메일 사기(입금 계좌 변경 등의 속임수)입니다. 어느 항목이든 OS·소프트웨어 업데이트, 백업, 비밀번호 강화 같은 기본 대책이 토대가 됩니다.

랭킹 밖의 위협은 무시해도 되나요?

그렇지 않습니다. 10대 위협은 어디까지나 전년도에 사회적 영향이 컸던 순서일 뿐이며, 자사에 대한 중요도는 랭킹과는 별개입니다. IPA도 위협 정보를 지속적으로 수집하고, 자사와 관련된 위협의 리스크를 파악해 대책을 세우는 것의 중요성을 강조하고 있습니다. 랭킹은 '세상의 흐름을 파악하고 자사의 대책을 재점검하는 계기'로 활용하는 것이 적절합니다.

저자 프로필

기사 저자의 프로필 페이지입니다.

Go Komura

합동회사 코무라소프트 대표

Windows 소프트웨어 개발, 기술 상담, 장애 조사를 중심으로 재현이 어려운 장애 조사와 기존 자산이 남아 있는 프로젝트에 강점이 있습니다.