아침 브리핑 — 2026년 10월 12일(월) (공개판)

• 오늘 국내 증시가 나흘 만에 다시 열린다. 코스피는 8일 종가 6,625.93(-2.62%)에서 출발하고, 금요일(9일) 뉴욕증시는 다우 +0.83%, S&P 500 +0.59%, 나스닥 +0.64%로 마쳤다.
• 이번 주 핵심은 14일 미국 9월 소비자물가(CPI)와 15일 TSMC 실적이다. CPI는 전년 대비 3.7%(8월 3.4%)로 오를 것으로 예상된다. 워시 연준 의장은 15일(미 동부시간) 10월 FOMC 전 마지막 공개 연설을 한다.
• 예멘 후티 반군이 10일 리야드 킹칼리드 국제공항을 공격해 최소 12명이 숨지고 309명이 다쳤다. 트럼프 대통령은 사우디 반격 동참을 "검토하겠다"고 말했다.
• 삼성전자 외국인 지분율이 46.38%(8일)로 2008년 1월 이후 가장 낮아졌다. 지난주 외국인은 코스피에서 6조 4,692억원을 순매도했다.
• 금융권 AI 해킹 2주 전 금융보안원이 실제 공격 사례까지 공유하며 경고했던 사실이 드러났다. 5대 은행의 AI 보안 투자는 전체 IT 예산의 0.9% 남짓이다.

• 지난주 뉴욕증시는 S&P 500 +1.2%, 다우 +0.9%, 나스닥 +0.6%(주간)였다. 나스닥은 4주 연속 올랐지만 상승폭이 가장 작았다. 오픈AI의 연환산 매출이 알려진 것보다 적다는 보도가 AI 관련주를 흔들었다. 팩트셋 기준 S&P 500 기업의 3분기 이익은 1년 전보다 29.6% 늘 것으로 예상된다. S&P 500 선행 주가수익비율(PER)은 약 19배로 지난해 말 22배에서 낮아졌다.
• 미 10년물 국채금리는 지난주 초 한때 5.36%를 넘어 24년 만의 최고치를 기록했다가 주 후반 5.24%로 내려왔다. 30년물도 5.73%대에서 5.60% 수준으로 안정됐다. 국채 입찰 수요가 강했다. 케빈 워시 연준 의장은 15일 밤 11시 30분(미 동부시간) 태국 방콕 IMF·세계은행 연차총회에서 연설한다. 27~28일 FOMC 전 마지막 공개 발언이다.
• 이번 주 미국 지표 전망(다우존스 집계)이다. 9월 CPI는 전월 대비 0.6%, 전년 대비 3.7%로 8월(0.4%, 3.4%)보다 오를 것으로 예상된다. 이란 전쟁발 유가 상승 때문이다. 근원 CPI는 전년 대비 2.5%로 예상된다. 9월 생산자물가(PPI)는 전월 대비 0.6%, 소매판매는 0.4% 증가(8월 1.2%)로 예상된다.
• 오픈AI의 9월 말 연환산 매출은 500억달러(약 67조 1,000억원)로 시장 예상 700억달러보다 29% 적다고 파이낸셜타임스가 8일 보도했다. 이날 엔비디아는 2.9% 내렸다. 블룸버그가 9일 연말쯤 700억달러 달성이 전망된다고 전하자 불안이 다소 누그러졌다. 차입비용이 크게 오른 상황에서 대규모 AI 투자가 얼마나 이어질지 회의론이 나온다.
• 예멘 후티 반군이 10일 사우디 리야드 킹칼리드 국제공항을 공격해 최소 12명이 숨지고 309명이 다쳤다. 사망자는 사우디 4명, 방글라데시 2명, 미국 1명 등이다. 뉴욕타임스는 2월 말 이란 전쟁 이후 걸프국을 상대로 한 최악의 공격으로 평가했다. 쿠웨이트항공·에티하드항공·카타르항공이 리야드 노선을 취소했고, 후티는 사우디 영공 운항 중단을 경고했다. 트럼프 대통령은 반격 동참을 "검토하겠다"고 말했다.
• 트럼프 대통령이 10일 우크라이나가 "새 대통령을 맞이할 때가 됐다"고 말했다. 젤렌스키 대통령이 협상을 막았다는 주장이다. 미국은 러시아에서 경유 총 480만톤(즉시 30만톤 이상, 11월 50만톤 등)을 들여오기로 했다. 같은 날 러시아의 자포리자 주거용 건물 공격으로 어린이 3명을 포함해 20명이 숨졌다.
• 트럼프 대통령이 한국의 알래스카 LNG 최소 500억달러 투자를 발표했지만 한국은 아직 결정하지 않았다고 현지 매체가 보도했다. 한국 관계자는 7일 알래스카 주 의원들에게 "사업성이 확인된 뒤 투자 여부를 검토하겠다"고 밝혔다. 밴스 부통령은 한국이 아니면 일본 등과 추진하겠다고 말했다.

• 지난주 코스피는 377.81포인트(5.39%) 내린 6,625.93이다. 외국인 6조 4,692억원, 기관 2조 3,887억원 순매도, 개인 6조 3,591억원, 기타법인 2조 4,823억원 순매수였다. 코스피 12개월 선행 PER은 5.26배로 역사적 저점권이다. 대신증권은 선행 PER 6배면 7,700선 탈환이 가능하다고 봤다. LS증권은 이번 주 코스피 범위를 6,600~7,100으로 제시했다(검색 요약).
• 삼성전자 외국인 지분율은 8일 46.38%로 2008년 1월 11일(46.44%) 이후 가장 낮다. 올해 1월 6일 52.40%가 고점이었다. 외국인은 올해 삼성전자를 85조 5,017억원, SK하이닉스를 86조 1,400억원 순매도했다. 유안타증권은 업황보다 고금리·고유가에 따른 한국 증시 할인율 상승을 원인으로 봤다.
• 해외 투자은행 8곳의 올해 한국 성장률 전망 평균이 3.5%로 6개월 연속 올랐다(3월 말 2.4%). JP모건은 4.0%, 씨티는 3.8%다. 한국은행 공식 전망은 3.3%다. 9월 수출은 1,209억 4,000만달러로 역대 최대, 무역수지는 498억 5,000만달러 흑자였다. 올해 1~8월 반도체 수출은 약 180%, 비반도체도 약 18% 늘었다.
• 청와대가 11일 대구 상가 천장 붕괴 사고 당시 이재명 대통령이 가족과 태릉 골프장에 있었다고 공개했다. 국민의힘 주진우 의원이 문제 삼았고, 민주당은 "예지력 가진 사람이 어디 있나"라고 반박했다. 청와대는 트럼프 대통령과의 골프 외교 준비였다고 설명했다.
• 미 국무부가 10일 한·미·일 북한 사이버 위협 대응 회의(6월)에서 국정원을 배제한 이유를 묻자 "모든 동맹국이 정보·방첩 사안을 적절히 처리하기를 기대한다"고 답했다. 한국 정보당국에 대한 불신으로 풀이된다. 국정원은 8일 "현재 한·미 정보당국 간 오해는 없다"고 해명했다.

국내 사고·법제

• 서울대가 2021년부터 6년간 28차례 해킹 피해를 입었고, 그중 2건에서 개인정보 1,132건이 유출됐다. 2021년 9월에는 원격 명령이 가능한 악성 프로그램으로 1,130건(이름·이메일·포털 ID·소속)이 빠져나갔다. 해킹 시도는 올해 9월 말까지 588건으로 지난해 연간(575건)을 넘었다. 수사 의뢰는 한 건도 없었다. 백승아 의원이 국회 교육위원회 자료로 밝혔다.
• 다크웹에 올라온 CJ올리브영·카카오모빌리티 고객정보 판매 글은 확인 결과 가짜로 나타났다. 올리브영은 3일 한국인터넷진흥원(KISA)에 샘플 77건이 실제 회원정보와 하나도 맞지 않는다고 회신했다. 카카오모빌리티는 "AI로 만든 가짜 이미지"로 판단했다. AI로 그럴듯한 가짜 유출 자료를 만들어 구매자 사기나 기업 평판 훼손에 쓸 수 있다는 지적이 나왔다.
• 외국인 연구인력이 참여한 국가 보안 R&D 과제 31건 중 28건(90.3%)이 승인 절차를 지키지 않거나 부실했다. 22건은 사전승인을 아예 받지 않았다. 헬기 주기어박스·전고체 배터리 같은 첨단기술 과제가 포함됐다. 실제 기술 유출은 확인되지 않았다. 최수진 의원이 산업통상부 자료로 밝혔다.

AI 보안

• AI 챗봇 '제타'(스캐터랩)가 청소년 기준이 적용되는 '세이프 모드'에서 미성년 캐릭터 대상 성폭력 묘사 대화를 생성했고, 차단되자 필터를 피하는 표현까지 제시했다. 탐지 모델이 문제 발화 200여 건을 막았지만 우회를 반복하자 일부 안전장치가 뚫렸다. 월간 이용자 148만명 중 19세 이하가 38만명이다. 회사는 18일까지 긴급 조치를 마치고 매월 레드팀 점검을 하겠다고 밝혔다. 황정아 의원실이 11일 공개했다.
• 유명 오픈소스 개발자 2명의 깃허브 계정이 털려 저장소 345곳(9일 집계 378곳)에 'Security Audit'라는 이름의 악성 자동화 작업이 심겼다(공격명 GhostAction). AWS 키, 깃허브·깃랩 토큰과 함께 오픈AI·앤트로픽·오픈라우터 등 AI 서비스 API 키를 노렸고, 삭제된 과거 코드 기록까지 뒤졌다. 우버의 공개 저장소에서도 악성 작업이 실제로 실행됐다. 키를 지우는 것만으로는 부족하고 폐기 후 재발급해야 한다.

금융 보안 정책

• 금융보안원이 9월 17일 금융사 보안 담당자 160여 명 앞에서 AI 해킹 실제 사례를 공유하며 경고했다. 공격자가 딥시크 기반 AI 에이전트로 오라클 웹로직 서버를 찾고 원격 명령 실행 취약점으로 웹셸을 심은 사례다. 약 2주 뒤 신한·KB국민·하나은행 등에서 유출 사고가 이어졌다. 피해 금융사 7곳 중 5곳 관계자가 세미나에 참석했다. 5대 시중은행장은 19일 금감원 국정감사에 증인으로 나온다.
• 한국은행·기업은행·산업은행·수출입은행에 대한 해킹 시도가 올해 1~9월 102만 4,478건으로 지난해 연간(93만 4,858건)을 넘었다. 2020년 이후 누적 498만 6,964건 중 91.9%가 기업은행이다. 유형은 서비스 거부 공격이 45.6%로 가장 많다. 실제 침해사고는 확인되지 않았다. 강민국 의원이 11일 공개했다.
• 5대 은행의 AI 보안 투자는 221억원으로 IT 예산(2조 3,580억원)의 0.9% 남짓이다. AI 보안 투자의 52%가 내부자 이상행위 탐지에 쓰였고 이상거래탐지는 5%에 그쳤다. 전문가는 공격이 다크웹 개인정보를 대입하는 '크리덴셜 스터핑' 방식으로 추정되며 침입 시도가 10시간 넘게 이어졌다고 지적했다. 미국 IANS 조사에서는 보안책임자 500명 중 69%가 내년 AI 보안 지출을 늘린다.
• 금융권 AI 활용 속도를 임직원 교육·자격 체계가 못 따라간다는 지적이 나왔다. 6월 시행된 금융분야 인공지능 가이드라인은 최종 판단과 책임을 사람이 지도록 했다. 한국금융연구원은 금융보안원·금융연수원 중심의 공동 실습환경과 싱가포르처럼 단계별 공통 자격 체계를 만들자고 제안했다.

글로벌

• 일본 최대 노래방 업체 다이이치코쇼의 고객 데이터를 맡은 니혼컬럼비아그룹 직원 PC에서 악성코드가 발견돼 고객 863만 1,000명과 직원 9만 3,000명의 이름·성별·생년월일·이메일·전화번호가 노출됐을 수 있다. 악성코드는 5일 보고됐고 다음 날 시스템이 격리됐다. 비밀번호는 포함되지 않았다고 회사는 밝혔다. 공격자는 밝혀지지 않았다.
• 깃허브 계정 탈취 공급망 공격(GhostAction)은 일본 게임엔진 '파이셀' 개발자 계정으로 24분간 27개, 다른 개발자 계정으로 16분 만에 318개 저장소를 침해했다. 미국 보안기업 스텝시큐리티가 9일 분석을 공개했다. 탈취한 인증정보로 새 악성 소프트웨어가 배포된 정황은 아직 없다.