아침 브리핑 — 2026년 10월 9일(금) (공개판)

• 뉴욕증시는 오픈AI 매출 충격으로 기술주가 크게 내렸다. 나스닥 -1.25%, 필라델피아 반도체 -3.39%, 다우는 +0.10%로 마감했다.
• 코스피는 6,625.93(-2.62%)으로 사흘째 내렸다. 외국인이 약 1조 9,900억원, 기관이 약 1조 6,700억원을 순매도했다.
• 삼성전자는 3분기 잠정 영업이익 107조 4,000억원으로 국내 기업 첫 분기 100조원을 넘었지만 주가는 내렸다.
• WTI는 91.49달러(+3.64%)로 뛰었다. 호르무즈 해협 일대 선박 공격과 허리케인에 따른 미국 멕시코만 생산 차질이 겹쳤다.
• 오늘(10/9)은 한글날로 국내 증시가 쉰다. 금융권 AI 해킹 사고는 국정감사에서 긴급점검 기준과 망분리 규제 문제로 번졌다.

• 뉴욕증시(8일)는 기술주 중심으로 내렸다. 오픈AI가 투자자에게 밝힌 9월 말 연환산 매출이 약 500억달러로, 시장에 알려졌던 680억달러보다 180억달러 적었던 것이 AI 투자 거품 우려를 키웠다. 엔비디아·TSMC는 약 3%, 브로드컴·마이크론·AMD는 4% 안팎 내렸다.
• 국제유가가 급등했다. WTI는 3.6% 올라 91.49달러, 브렌트유는 4.1% 올라 104달러대다. 호르무즈 해협 일대 선박 공격과 허리케인에 따른 미국 멕시코만 생산 차질이 원인이다.
• 개장 전 미군의 대규모 대이란 군사작전 가능성이 보도돼 증시가 약세로 출발했다. 이후 트럼프 대통령이 이란과 대화 중이며 11월 중간선거 전에는 군사작전을 하지 않겠다고 밝혀 낙폭이 줄었다.
• 미 국채금리는 7일 10년물이 장중 5.36%를 넘어 2002년 이후 최고를 기록했다. 유가 상승에 따른 물가 우려와 재정 지출 확대 전망이 원인이다. 390억달러 입찰 수요가 확인된 뒤 5.276%로 마감했다.
• 미국 신규 실업수당 청구는 19만 7,000건으로 예상(약 20만건)을 밑돌았다. 뉴욕 연방준비은행은 관세가 비석유 소비재 67개 품목군의 연간 물가상승률을 2.9%포인트 높였다는 연구를 냈다.
• 중동에서는 사우디아라비아와 예멘 후티 반군의 충돌이 격화되고 있다. 시리아가 사우디에 대한 군사 지원을 검토 중이라고 로이터가 전했다.
• WTO는 올해 세계 상품무역 성장률 전망을 1.9%에서 3.9%로 올렸다. 반도체·AI 데이터센터 관련 교역이 67% 늘었다. 서비스무역 전망은 4.8%에서 3.3%로 낮췄다.
• TSMC 3분기 매출은 약 1조 4,900억 대만달러로 1년 전보다 51% 늘어 시장 예상(1조 4,600억 대만달러)을 웃돌았다. 상세 실적은 15일에 나온다.

• 코스피는 8일 177.97포인트(2.62%) 내린 6,625.93으로 마감했다. 6,700선 아래 종가는 14거래일 만이다. 외국인 약 1조 9,900억원, 기관 약 1조 6,700억원 순매도, 개인 약 2조 9,100억원 순매수였다. 금융업이 4% 넘게 내렸다.
• 삼성전자 3분기 잠정 실적은 매출 195조원(+126.6%), 영업이익 107조 4,000억원(+782.5%)이다. 국내 기업 첫 분기 영업이익 100조원이다. 그래도 주가는 사흘째 내렸다. 미 금리 상승, 옵션 만기·ETF 조정에 따른 매도, 메모리 가격 정점 우려가 이유로 꼽혔다.
• LG에너지솔루션 3분기 잠정 영업이익은 7,650억원으로 시장 예상(약 3,217억원)의 2배를 넘었다. 매출은 9조 6,400억원으로 분기 최대다. 북미 ESS(에너지저장장치)와 유럽 전기차 물량이 늘었다.
• 8월 경상수지는 461억달러 흑자로 역대 2위를 기록했다. (검색 요약)
• 이재명 대통령이 CPTPP(환태평양경제동반자협정) 가입 신청을 연내에 하지 말라고 지시했다. 농어민과의 신뢰 회복이 먼저라는 이유다. 농어촌상생협력기금 부족분 7,000억원은 재정으로 채울 계획이다.
• 정부가 주우크라이나 대사를 본국으로 소환하기로 했다. 젤렌스키 대통령이 북한군 포로 2명의 한국 송환 사실을 공개한 데 따른 조치다. 대사 소환은 2008년 이후 18년 만이다.
• 증권가는 다음 주 코스피가 박스권 눈치보기 장세를 이어갈 것으로 봤다. 미국 물가 지표와 16일 미국 옵션 만기가 변수다.

국내 사고·법제

• 쿠팡이 7일 개인정보보호위원회를 상대로 과징금 취소 소송 2건과 집행정지 신청을 서울행정법원에 냈다. 대상은 유출 사고 과징금 4,235억 7,500만원과 타사 활동기록 무단 수집 과징금 2,011억 600만원이다. 개인정보위는 6월 총 6,249억 2,900만원을 부과했다.
• 골프 예약 앱 골프몬에서 10월 4~5일 이름·전화번호·닉네임이 유출됐다. 회사는 6일 이상 접속을 알아채고 KISA와 경찰에 신고했다. 유출 건수는 공개하지 않았다. 2024년 10월에 이어 두 번째 사고다.
• 미국 보안업체 크라우드스트라이크가 7일 보고서에서 국내 금융권 해킹 공격자가 중국 광둥성에 사는 26세 인물일 수 있다고 밝혔다. 다만 특정 국가·조직·신원은 확정할 수 없다고 했다. 지목된 당사자는 누명이라고 반박했다.

AI 보안

• 국내 금융권 연쇄 유출은 오픈소스 AI 자율 침투 도구 ARTEX가 규모와 속도를 키운 것으로 S2W가 분석했다. 악성코드가 아니라 대출 조회 같은 외곽 서비스의 권한 검증 결함을 노려 고객번호를 자동으로 바꿔가며 정보를 빼냈다. 해외 가상서버·프록시·국내 IP를 섞어 해외 IP 차단을 피했다.
• 공격자 서버에는 AI 코딩 도구 클로드 코드 작업 기록이 남아 있었다. 한국에서 유출된 개인정보를 어디서 파는지 묻는 요청이 있어 금전 목적으로 추정됐다. 실제 판매 여부는 확인되지 않았다.
• 외부에 노출된 AI 서버를 노리는 채굴 봇넷 PoeLLM이 3,400대 넘는 서버를 감염시켰다. LiteLLM·Ollama 등이 대상이고 LiteLLM 취약점 CVE-2026-42271을 쓴다. 명령 서버 주소를 깃허브에 올린 시 한 편의 단어에 숨긴다.
• 마이크로소프트가 팀즈 회의에 외부 업체의 딥페이크(합성 음성·영상) 탐지와 사칭 경고 기능을 넣는다. 11월 일반 제공 예정이다.

금융 보안 정책

• 이억원 금융위원장이 8일 국정감사에서 "AI를 막으려면 결국 AI를 쓸 수밖에 없다"며 망분리 규제를 단계적으로 개선하겠다고 밝혔다. AI 보안 시범 사업은 기간이 1년뿐이라 대상 49개사 중 20개사만 신청했다.
• 금융당국이 2일 배포한 12개 항목 긴급점검 체크리스트에 점검 기간 기준이 없다는 지적이 나왔다. 한 은행은 3개월 치 접속기록만 보고 '이상 없음'으로 보고했고, 1년 치를 본 인터넷전문은행에서는 해킹 의심 IP 접속 흔적이 나왔다.
• 금감원 자료에 따르면 2022년부터 2026년 8월까지 금융사가 사고를 아는 데 한 달 넘게 걸린 사례가 91건이다. 1년 넘게 걸린 사례는 17건, 가장 긴 사례는 902일이다. 국회는 모든 금융사의 1년 치 접속기록 재점검을 요구했다.

글로벌

• 일본 소프트뱅크 계열 IDC프론티어의 클라우드(IDCF Cloud)가 7일 랜섬웨어 공격을 받아 동일본 지역 서비스가 멈췄다. 기업과 지방자치단체 495곳이 영향을 받았다.
• 아틀라시안 제품의 치명적 취약점 CVE-2026-21589가 공개 검증 코드가 나온 지 약 2시간 만에 실제 공격에 쓰이기 시작했다. 지라·컨플루언스·비트버킷 등 자체 설치형 8개 제품이 대상이며 인증 없이 파일을 읽을 수 있다.
• 미국 FBI가 포티게이트 방화벽·SSL VPN을 노린 '포티블리드' 공격이 계속된다고 경고했다. 공격자가 관리자 계정을 지우거나 비밀번호를 바꿔 관리자를 쫓아낸다. 피해 장비는 86,644대로 집계됐고 INC·Lynx 랜섬웨어의 침투 경로로 쓰였다.
• 시스코가 넥서스 3000·9000 스위치 운영체제(NX-OS)의 치명적 취약점 5개를 공개했다. 최고 권한으로 코드를 실행할 수 있다. 아직 실제 악용 사례는 없다고 했다. 가나·시에라리온·미국령 사모아 국가 도메인 운영 업체가 뚫려 구글 도메인의 인증서가 무단 발급되는 일도 있었다.