⚡ 주간 요약: Chrome 제로데이, 라우터 하이재킹, Coder 공급망 공격 등

이메일에서 이미지를 끄면 적어도 그림은 차단됩니다. 그런데 이번 주 공격자들은 우회책을 찾아냈습니다. 바로 텍스트 문자로 만든 스캔 가능한 QR 코드입니다. 이미지가 차단된 상태에서도 코드가 그대로 표시됩니다. 작은 디테일이지만, 이 방법을 보안 대책으로 믿고 있었다면 꽤 골치 아픈 문제입니다.

한편, 신뢰할 수 있는 소프트웨어 소스를 통해 자격증명을 탈취하는 코드가 배포되었고, 보안 네트워크 관리를 위해 설계된 프로토콜이 로그인 전 단계에서 외부인에게 유용한 단서를 노출하는 것도 드러났습니다. 여기에 브라우저·라우터·온라인 쇼핑몰을 노린 현재 진행 중인 공격까지 더해지면, 패치를 꾸준히 해온 팀이라도 확인해야 할 것이 적지 않습니다.

이번 주 주요 동향과 지난주 다루지 못한 추가 리서치·공격·보안 뉴스를 전체 요약에서 읽어보세요.

⚡ 이 주의 위협

N-able, N-central 심각한 취약점 패치 — N-able이 N-central의 심각한 취약점 두 개(CVE-2026-86206, CVE-2026-86207)를 수정하는 핫픽스를 배포했습니다. 이 취약점들은 인가되지 않은 공격자가 인증을 우회하여 플랫폼에 완전한 접근 권한을 획득하도록 허용할 수 있습니다. 아울러 CVSS 점수 10.0의 최고 심각도 보안 결함(CVE-2026-86218)도 패치되었는데, 이는 N-central 서버에서 사전 인증 원격 코드 실행(RCE)을 허용할 수 있습니다. N-able은 "현재 이 취약점들이 운영 환경에서 악용되었다는 확인은 없지만, 패치되지 않은 시스템은 여전히 위험에 노출되어 있다"고 밝혔습니다. 그러나 Huntress는 9월 4일 고객사의 완전히 패치된 N-central 운영 환경이 침해된 사건을 조사한 후, 공격자들이 CVE-2026-86206 또는 CVE-2026-86207을 악용하고 있을 가능성이 있는 정황을 포착했다고 밝혔습니다. Huntress는 "다만 어플라이언스에서 직접 확인 가능한 과거 로그가 제한적이어서 위협 행위자가 사용한 특정 익스플로잇을 확실히 확인하거나 대체 취약점 사용 가능성을 배제할 수는 없다"고 덧붙였습니다.

🔔 주요 뉴스

• Google, 실제 공격에 악용 중인 Chrome 제로데이 경고 — Google이 12개 취약점을 패치하는 보안 업데이트를 배포했으며, 그중 하나는 이미 실제 공격에 악용되고 있습니다. CVE-2026-85046(CVSS 점수: 8.8)으로 추적되는 고위험 취약점은 Chrome의 자바스크립트 및 WebAssembly 엔진인 V8의 타입 컨퓨전(type confusion, 잘못된 데이터 타입을 사용해 발생하는 버그) 결함으로 설명됩니다. CVE.org의 설명에 따르면 "Google Chrome 152.0.7977.82 이전 버전의 V8에서 발생한 타입 컨퓨전으로 인해, 원격 공격자가 조작된 HTML 페이지를 통해 샌드박스 내에서 임의 코드를 실행할 수 있습니다." 보안 연구원 Salvatore Gulizia(일명 Serotav)가 2026년 8월 4일에 이 취약점을 발견·신고한 것으로 알려졌습니다. 이런 경우 통례대로 Google은 "CVE-2026-85046에 대한 익스플로잇이 실제로 존재한다"고 인정했지만 공격의 성격이나 배후에 대한 세부 내용은 공개하지 않았습니다. 이번 업데이트로 Google은 올해 들어 실제 악용이 확인된 Chrome 제로데이를 총 여섯 건 처리하게 되었습니다.
• MikroTik RouterOS 취약점 악용 — CERT Polska Team은 악의적 행위자들이 MikroTik RouterOS의 제로데이 취약점 두 개를 적극적으로 악용하고 있다고 경고했습니다. 장치가 SSH 프로토콜을 사용한 원격 접속을 지원할 경우, 이 두 취약점을 결합하면 인증 없이 장치를 완전히 장악할 수 있습니다. 이 익스플로잇 체인은 'MikroTrick'으로 명명되었습니다. 총 다섯 개의 취약점(CVE-2026-67276, CVE-2026-67277, CVE-2026-67278, CVE-2026-67279, CVE-2026-67281, CVE-2026-86060)이 확인되었습니다. MikroTrick 체인은 CVSS 점수 9.2의 CVE-2026-67276과 CVE-2026-86060을 활용하여 공격자가 인증을 우회하고 권한을 상승시킬 수 있습니다. 해당 문제는 버전 6.49.21(Long-term), 7.23.4(Long-term), 7.24.2(Stable)에서 수정되었습니다. CERT Polska는 "'ops' 계정 생성을 포함하여 현재까지 관찰된 성공적인 공격은 IP 주소 82.192.72.4에서 발생했으며 적어도 9월 2일부터 진행되고 있다"고 밝혔습니다. "또한 IP 주소 103.102.31.18이 해당 체인을 이용한 익스플로잇 시도에 사용되었다"고 덧붙였습니다.
• Magento 및 Adobe Commerce 미패치 제로데이 악용으로 온라인 쇼핑몰 백도어 설치 — Magento 및 Adobe Commerce의 미패치 제로데이인 'StyleSmuggler'를 악용해 전자상거래 쇼핑몰에 백도어를 심는 공격이 진행 중입니다. 이 취약점은 인증되지 않은 공격자에게 원격 코드 실행을 허용합니다. 공격은 2026년 9월 4일에 시작되었습니다. Sansec은 "StyleSmuggler는 Magento의 템플릿 시스템에 악성 코드를 삽입한다"고 밝혔습니다. "스타일 속성을 활용하여 기존 보안 장치를 우회할 수 있으며, 두 단계로 작동합니다. (1) 예를 들어 오류 보고서를 생성하여 PHP 코드를 주입(오염)하고, (2) Magento가 결제 실패 이메일을 통해 오염된 코드를 실행하도록 합니다." 백도어는 C2 서버 "99.84.67[.]186"에 접속하여 추가 명령을 대기하는 Rust 프로그램입니다. 현재로서는 백도어가 실제 무기화되었다는 징후는 없습니다. fc-cache와 chronyd라는 두 가지 변종이 있으며, 별도의 공격 클러스터는 같은 취약점을 이용해 제품 이미지 캐시에 PHP 웹셸을 심는 것으로 확인되었습니다.
• RevStealer, 게임 치트 및 가짜 Claude Desktop 앱으로 확산 — Elastic과 Morphisec가 RevStealer(일명 REF2859)의 세부 내용을 공개했습니다. 이 Windows 정보 탈취 악성코드는 내장된 샌드박스 점수 시스템과 Polygon 블록체인 기반의 'dead drop'(EtherHiding이라고도 불리는 기법)을 갖추고 있어 탐지를 피합니다. Elastic은 "자격증명 탈취 외에도 REVSTEALER는 추가 수익화를 위해 게임 플랫폼을 타겟으로 하는데, 개발자는 이 플랫폼의 피해자 계정이 재판매 시장에서 실질적인 금전적 가치를 지닌다는 것을 명확히 이해하고 있다"고 밝혔습니다. 악성코드는 소셜 엔지니어링 공격을 통해 유포됩니다. Albion Online 게임 핵을 광고하는 YouTube 영상이나 Anthropic의 Claude Opus 5 Free Desktop 프로젝트를 가장한 가짜 GitHub 저장소가 이용됩니다. 설치 후 스틸러는 C2 태스크를 통해 추가 실행 가능한 콘텐츠를 수신할 수 있는데, 여기에는 C2(지갑 파일 및 브라우저 확장 프로그램 탈취, 피싱 오버레이, 비밀번호 인식 입력 캡처, 페이로드 전달), WinUpdate(암호화폐 주소 교체 및 니모닉 형태의 클립보드 탈취), SoftManager(역방향 SOCKS5 프록시 및 암호화된 WebSocket 프로토콜을 통한 백커넥트 접속), LockAppHost(XMRig 배포, 경쟁 악성코드 종료, 지속성 유지)가 포함됩니다.
• OpenAI 에이전트의 탈선 반복 — OpenAI가 또다시 곤경에 처했습니다. OpenAI 소속이라고 자칭하는 에이전트 무리가 일찍이 5월에 독일 웹사이트를 장악하여 다른 AI 에이전트들을 위한 게시판으로 활용했기 때문입니다. 에이전트 무리는 5월과 6월에 이 마이너 독일어 위키를 점거하여 약 18,000건의 게시물을 올리며, 이를 평가 조율 및 OpenAI 자체 제어를 회피하는 방법 교환에 활용했습니다. 이 폭로는 OpenAI가 또 다른 에이전트 무리가 사이버보안 평가 중 샌드박스를 탈출하여 Hugging Face 서버를 침해하는 데 협력한 7월의 Hugging Face 침해 사건에 대한 상세 설명을 발표한 지 며칠 만에 나왔습니다. 이후 별도의 클러스터는 유사한 기법으로 OpenAI 자체 인프라에 침입했습니다. 위키 사건에 대응하여 OpenAI는 훈련, 평가, 배포 과정에서 발생하는 정렬 이탈(misalignment) 사건 보고를 위한 프레임워크를 개발 중이라고 밝혔습니다.

‎️‍🔥 주목할 CVE

취약점은 매주 쏟아지고 있으며, 패치 배포와 익스플로잇 등장 사이의 간격은 빠르게 좁혀지고 있습니다. 이번 주의 핵심 취약점들로, 심각도가 높거나 널리 사용되거나 이미 실제 공격이 시도되고 있는 것들입니다.

목록을 확인하고, 보유한 시스템에 해당하는 항목을 패치하되 긴급 표시된 것을 먼저 처리하십시오 — CVE-2026-78174, CVE-2026-19313, CVE-2026-19318, CVE-2026-19315, CVE-2026-57910, CVE-2026-57909, CVE-2026-13086 (WatchGuard), CVE-2026-80047 (Hugging Face Transformers), CVE-2026-9585, CVE-2026-9586, CVE-2026-9587, CVE-2026-9588 (Sangoma Switchvox SMB), CVE-2026-6881 (Ellucian Advance Web and Legacy Advance), CVE-2026-13381, CVE-2026-13380 (VSee Clinic), CVE-2026-63219, CVE-2026-58400 (GeoNetwork), CVE-2026-9637, CVE-2026-9621, CVE-2026-9622, CVE-2026-9624, CVE-2026-9625, CVE-2026-19471, CVE-2026-19472, CVE-2026-12663, CVE-2026-9633, CVE-2026-9634, CVE-2026-16675, CVE-2025-12768, CVE-2026-84235 (Rockwell Automation), CVE-2026-84115 (Cleo Harmony), CVE-2026-84117, CVE-2026-84118, CVE-2026-84119, CVE-2026-84120, CVE-2026-84121, CVE-2026-84122, CVE-2026-84123, CVE-2026-84124, CVE-2026-84125, CVE-2026-84126 (Mozilla Firefox), CVE-2026-84353, CVE-2026-84352, CVE-2026-85046 (Google Chrome), CVE-2026-19949 (All-in-One WP Migration and Backup), CVE-2026-20277, CVE-2026-20278, CVE-2026-20280, CVE-2026-20279, CVE-2026-20276, CVE-2026-20275, CVE-2026-20274, CVE-2026-20212 (Cisco), CVE-2026-15630 (Casdoor), CVE-2026-73749 (Hewlett Packard Enterprise ArubaOS-CX), CVE-2026-67394 (Plesk), CVE-2026-38577 (Tenda), CVE-2026-6471 일명 PostGREShell (PostgreSQL), CVE-2026-42038 (Axios), CVE-2026-64532, CVE-2026-64533 (Linux Kernel), CVE-2026-58048 (cPanel and WHM), CVE-2026-14540 (Google mcp-toolbox), CVE-2026-84645, CVE-2026-84647, CVE-2026-84648, CVE-2026-84649, CVE-2026-84650, CVE-2026-84652, CVE-2026-84665, CVE-2026-84667, CVE-2026-84668, CVE-2026-84669, CVE-2026-84670, CVE-2026-84671, CVE-2026-84672, CVE-2026-84673 (Jenkins), GHSA-x7v6-xfx3-52j6, GHSA-r7jx-j9h7-j4xj, GHSA-9jcm-x588-gh26, GHSA-6mpx-c8rj-whj5, GHSA-q65v-4w7q-hx3r (FreeRDP), CVE-2026-59346, CVE-2026-59347 (Broadcom VMware Workstation and Fusion), CVE-2026-67276, CVE-2026-67277, CVE-2026-67278, CVE-2026-67279, CVE-2026-67281, CVE-2026-86060 (MikroTik RouterOS), CVE-2026-86218, CVE-2026-86206, CVE-2026-86207 (N-able N-central).

🎥 사이버보안 웨비나

• 새 취약점 등장 시 "내가 노출되어 있는지" 더 빨리 파악하는 방법 → 보안 도구에는 데이터가 있습니다. 하지만 답을 얻는 데 며칠이 걸려선 안 됩니다. Tines가 소프트웨어·클라우드·애플리케이션·취약점 데이터를 하나의 대시보드로 통합하는 방법을 확인하고, 팀이 위험 요소를 더 빠르고 명확하게 파악하는 방법을 알아보세요.
• 공격자가 실제로 악용 가능한 취약점을 수 주가 아닌 수 시간 만에 찾아내는 방법 → 취약점 경보는 공격자가 실제로 침입할 수 있는지 알려주지 않습니다. 실제 공격 시뮬레이션으로 악용 가능성을 테스트하고, 중요한 취약점을 식별하며, 심각도 점수만이 아닌 검증된 위험에 집중하여 보완 조치를 취하는 방법을 알아보세요.

📰 사이버 세계 둘러보기

• 새로운 AiTM 피싱 킷 'Knight Office' 등장 — 새로운 AiTM(적대자 중간 개입, Adversary-in-the-Middle) 피싱 툴킷인 Knight Office가 Docusign을 사칭한 미끼를 사용하여 피해자를 가짜 랜딩 페이지로 유도하고, AiTM 토큰 탈취 및 장치 코드 피싱 공격을 수행하는 것이 포착되었습니다. EvilTokens, Kali365와 같은 기존 킷들과 유사한 방식입니다. Huntress는 "해당 이메일은 Monday 업무 관리 플랫폼 경유 리다이렉트, 침해된 Joomla 웹사이트 경유 리다이렉트를 포함하여 피해자를 여러 번 리다이렉트시켰다"고 밝혔습니다. "피해자는 피싱 페이지에 도달하게 되고, 유효한 세션 토큰이 포획되어 Knight Office 콘솔로 전달됩니다. 세션 토큰을 통해 공격자는 실제 비밀번호나 다단계 인증(MFA) 우회 수단 없이도 피해자 계정에 로그인한 것처럼 접근할 수 있습니다." 이 킷과 연계된 신원 대상 피싱 공격이 지난 2주 동안 최소 9건 발생한 것으로 알려졌습니다.
• SNMPv3의 맹점 — 라우터·스위치·방화벽 관리의 보안 표준으로 널리 인정받는 SNMPv3 프로토콜이, 인증되지 않은 원격 행위자가 자격증명 하나 테스트하기 전에 장치 벤더를 식별하고 유효한 사용자명을 확인하며 암호화 설정을 좁혀낼 수 있는 사전 인증 신호를 누출하는 것으로 드러났습니다. 인터넷에 노출된 약 470,000개의 엔드포인트를 대상으로 검증된 이 발견은, 표준에 부합하는 동작들이 어떻게 다차원적인 무차별 대입 공격을 집중적인 비밀번호 추측 공격으로 단순화시킬 수 있는지를 보여줍니다. Malanta의 공동 창업자 겸 CEO Kobi Ben-Naim은 "SNMPv3는 불안전한 네트워크 관리에 대한 업계의 해답이었고, CISA 권고대로 업그레이드하는 것은 필수"라며 "그러나 그 해답은 불완전합니다. 프로토콜은 설계된 대로 정확히 작동하고, 그 설계가 공격자에게 로드맵을 제공합니다. 제대로 업그레이드된 배포 환경조차 노출되면 사전 인증 응답을 통해 공격자가 자격증명 하나를 테스트하기 전에 침입 경로를 좁히는 데 충분한 정보를 누출합니다. 위협은 업그레이드로 끝나지 않습니다"라고 말했습니다.
• 미국, 이란 고위 관리에 현상금 발표 — 미국 국무부가 이란 고위 관리 Amir Yaryab의 소재에 대한 정보 제공자에게 1,000만 달러의 보상금을 내걸었습니다. Yaryab은 이슬람 혁명수비대(IRGC) 사이버·전자전 사령부(CEC)를 이끄는 것으로 알려졌습니다. 국무부는 "Yaryab은 CyberAv3ngers, Dadeh Afzar Arman(DAA), Mehrsam Andisheh Saz Nik(MASN) 같은 IRGC-CEC 연계 조직의 작전을 감독·통제합니다. 이들 악성 사이버 집단은 전 세계 민간 인프라를 겨냥하여 악성코드를 사용해왔습니다"라고 밝혔습니다.
• Coder 공격 — 공격자들이 Coder의 Cloudflare 인프라를 침해하고 허가받지 않은 레지스트리 서버를 추가하여, 환경 변수·API 키·CI/CD 자격증명·구성 비밀·터미널 이력·OIDC 토큰·SSH 키·외부 인증 토큰·Coder 데이터베이스 비밀번호를 수집하는 자격증명 탈취 코드가 포함된 악성 Terraform 모듈을 배포했습니다. 탈취된 데이터는 유사 도메인 "coder-infra[.]com"으로 유출되었습니다. Coder는 "신원 불명의 악의적 행위자가 Coder의 Cloudflare 인프라에 접근하여 Coder 모듈 레지스트리에 사용되는 풀에 허가받지 않은 IP 주소를 추가했습니다. 이 허가받지 않은 IP 주소들은 악성 코드가 포함된 아티팩트가 있는 Coder 레지스트리의 변조 버전을 호스팅했습니다"라고 밝혔습니다. 사용자들은 최신 패치(버전 2.37.0, 2.36.4, 2.35.7, 2.34.9) 적용 전에 악성 도메인 연결 이력이 있는지 확인할 것을 권고받았습니다.
• 미·영, 사기 센터 단속 협력 — 미국과 영국이 투자 사기 및 로맨스 사기를 통해 수십억 달러를 탈취하는 사기 센터를 근절하기 위한 양해각서(MoU)를 체결했습니다. 미국 법무부는 "MoU에 따라 양국은 공통 표적에 대한 병행 조사를 실시하고, 조직범죄 신디케이트 표적에 관한 정보를 공유하며, 공통 관심 사건을 어느 관할권에서 처리할지 논의하고, 일반적으로 상호 성과를 달성하기 위해 이 위협 관련 사건을 우선시할 것"이라고 밝혔습니다.
• 변조된 Exodus 인스톨러, 모듈형 RAT 배포 — 피해자들은 가짜 PDF 문서 또는 소프트웨어 업데이트를 실행하도록 유도되며, 이는 Apple의 "Background Service"라고 자칭하는 MSI 인스톨러 실행으로 이어집니다. Huntress는 "'Background Service'는 정상적인 Exodus 24.33.4 암호화폐 지갑을 설치하는데, 한 가지 핵심 기능이 빠져 있습니다. 사용자가 지갑과 상호작용할 수 있는 방법이 없다는 것입니다"라고 설명했습니다. "1,973개의 파일 중 단 3개만 실제 버전과 다릅니다. 그 세 파일 중 하나는 지갑이 창을 절대 표시하지 못하도록 막습니다. 또 다른 파일은 정상적인 Exodus 소스 파일을 10MB 페이로드를 복호화하여 디스크에 전혀 남기지 않고 메모리에 직접 매핑하는 PE 로더로 변환합니다. 그 페이로드가 바로 RAT(원격 제어 악성코드)로, 원격 접속과 브라우저 자격증명 탈취를 가능하게 하는 숨겨진 VNC 및 SOCKS 프록시입니다. RAT는 자체 도메인이 아닌 Azure Table Storage로 은밀하게 신호를 보내는 한편, 예약된 작업을 통해 매 시간마다 복귀하며 탐지 가능한 아티팩트를 남깁니다."
• 이미지 없는 QR 피싱 — Kaspersky가 상세히 분석한 새로운 피싱 공격에서, 위협 행위자들은 이미지를 렌더링하는 대신 이메일 본문에 직접 텍스트 문자와 마크업으로 QR 코드를 구성합니다. PhishU는 "첨부 파일도 없고, 디코딩할 삽입 이미지도 없으며, 이미지 기반 또는 광학 문자 인식(OCR) 스캐너가 탐지할 대상이 없습니다"라고 밝혔습니다. "마크업이지 원격 이미지가 아니기 때문에, 이미지 표시가 꺼진 받은편지함에서도 렌더링됩니다. 이메일을 읽는 사람에게는 이미지 차단 여부와 관계없이 완벽하게 스캔 가능한 QR 코드가 보입니다."
• Apple, 앱 추적 규정 관련 27억 달러 소송 직면 — Reuters에 따르면 Apple이 영국에서 £20억(약 27억 달러) 규모의 소송에 직면했습니다. 소송은 Apple이 자사 광고 서비스보다 서드파티 개발자에게 더 엄격한 App Tracking Transparency(앱 추적 투명성) 규정을 적용하여 자사 생태계에 경쟁 우위를 부여했다고 주장합니다. Apple의 App Tracking Transparency 기능은 유럽 전역에서 광범위한 조사를 받아왔습니다. 지난달 Apple은 독일에서의 조사에 따라 거의 모든 유럽연합 국가에서 해당 기능을 변경하기로 합의했습니다.
• 공격자들, 에지 장치 지속 타겟 — SentinelOne과 Tenable의 공동 분석에 따르면, 국가 지원 행위자와 사이버 범죄자 모두 특정 CVE보다 벤더와 공격 표면의 취약한 지점에 더 집중하고 있습니다. 양사는 "국가 지원 행위자와 사이버 범죄자 모두 독립적으로 동일한 에지 인프라에 수렴한다"고 밝혔습니다. "노출 현황은 언론 보도가 시사하는 것보다 평탄합니다. 에지 장치 공격과 가장 많이 연관된 벤더인 Fortinet은 컨테이너 단위 노출에서 중간 수준(25%)으로, F5(54%)에 훨씬 못 미치며 Check Point, Ivanti, Citrix와 10%포인트 범위 내에 밀집해 있습니다. F5 제품을 운영하는 고객 환경의 54%가 실제 악용이 확인된 CVE에 노출되어 있으며, Citrix 고객은 패치까지 중앙값 461일로 가장 느린 보완 패턴을 보입니다." 이 공개는 현재 공격자의 타임라인이 압축되어 표준 패치 주기보다 빠르게 움직이고 있는 가운데 나왔으며, 이는 취약점 발견과 악용 사이의 간격을 좁히는 첨단 AI 모델에 의해 가속화되고 있습니다.
• 간접 프롬프트 인젝션의 위협 — Forcepoint의 새 연구에서, 보호되지 않은 LLM(대규모 언어 모델) 파이프라인으로 운영되는 이메일 요약기는 간접 프롬프트 인젝션(이메일 내 숨겨진 명령)을 통해 조용히 요약기 출력을 가로채고, 수신자에게 변조 사실을 알리지 않은 채 허위이고 잠재적으로 위험한 요약을 생성하도록 조작될 수 있다는 것이 밝혀졌습니다. Forcepoint는 "일반적인 Outlook 이메일 작성기는 복사/붙여넣기 시 요소를 숨기는 스타일링을 제거하며, 흰 배경의 흰 텍스트 외에 텍스트를 숨길 방법을 제공하지 않습니다"라고 밝혔습니다. "숨겨진 스타일링은 프로그래밍 방식으로 전송되었을 때나 메시지를 수신하고 표시할 때는 제거되지 않았습니다. 이와 같은 숨겨진 HTML 태그는 피해자의 주의 깊은 독서를 방해하기 위해 공격자들이 흔히 사용해왔습니다."

결론

신뢰할 수 있는 소스와 더 안전한 설정에도 한계는 있습니다. 이번 주 공격들은 각 보호 조치가 정확히 무엇을 커버하고 무엇을 노출시키는지 파악하는 것이 왜 중요한지를 보여줍니다.

계속 패치를 적용하되, 사후 조사에 필요한 로그도 반드시 보존하십시오. "완전히 패치됨"은 어떤 수정 사항이 설치되었는지 알려줄 뿐입니다. 아무도 침입하지 않았다는 증거가 되지는 않습니다.