ThreatsDay: CEO 피싱 킷, 5천 개 Dropbox 계정 해킹, OAuth 함정 + 17건의 추가 소식

가장 불편한 진실은 이런 공격들이 얼마나 평범해 보이느냐는 점입니다. IT팀에서 온 전화, 공유된 파일, 신뢰할 수 있는 앱, "허용"을 클릭하라는 간단한 요청. 굳이 침입할 필요가 없는 이유는, 누군가가 문을 열어줄 수도 있기 때문입니다.

이번 호 전체를 관통하는 생각입니다. 공격자들은 실제 도구, 가짜 로그인 페이지, 오래된 계정 연동, 그리고 안전하지 않은 다운로드로 연결되는 소프트웨어 안내문을 활용합니다. 웹 주소에서 철자 하나만 틀려도 충분합니다.

랜섬웨어, 도난된 신원정보, 숨겨진 공격 서버, 그리고 오래전에 수정됐어야 할 취약한 설정들도 있습니다. 전체 목록은 다음과 같습니다.

1. 가짜 IT팀, 진짜 접근권한 Microsoft는 Microsoft Teams 외부 협업 기능을 악용해 IT 또는 헬프데스크 직원을 사칭하고 사용자를 속여 대화형 원격 세션 권한을 부여하도록 유도하는 인간 주도 침투 캠페인에 대해 경고했습니다. "RMM(원격 관리·모니터링) 도구를 통해 원격 제어권이 확립되면, 위협 행위자는 PowerShell을 사용해 악성 MSI 패키지를 다운로드하고 자동으로 설치하며, 이는 차례로 이식 가능한 Node.js 런타임과 난독화된 JavaScript 임플란트를 준비해 지속적인 명령 실행 및 C2(명령·제어) 채널을 제공합니다"라고 Microsoft는 밝혔습니다. "임플란트가 배포된 후, 위협 행위자는 광범위한 호스트 및 Active Directory 정찰을 수행하고, 피해자의 데스크톱 스크린샷을 주기적으로 캡처하며, 신뢰할 수 있는 Windows 바이너리를 통해 후속 페이로드를 실행하고, 도메인 컨트롤러 등 고가치 자산을 향해 WinRM(Windows 원격 관리)을 통해 기업 전체로 횡이동합니다." Microsoft는 이 '침투 패턴'을 외부 공격자에게 내부 인프라에 대한 대화형 접근권을 부여하는 고위험 사안으로 규정했습니다.
2. 대규모 Teams 음성 피싱 Teams 관련 악용 사례로, Spring Ring이라 명명된 조직적 사회공학 작전이 외부 Microsoft Teams 계정을 이용해 IT 헬프데스크 직원을 사칭하고, 2026년 1월~4월 사이 다양한 업종 10개 이상 기업의 150명 이상 직원을 표적으로 삼은 것이 관찰됐습니다. Palo Alto Networks Unit 42는 "겉으로는 평범한 채팅처럼 보이지만, 실제로는 음성 피싱(vishing) 전화로, 공격자들이 피해자에게 RMM 도구 또는 맞춤형 악성코드를 실행하도록 강요하려 합니다"라고 밝혔습니다. "더 고도화된 변종에서는, 공격자들이 vishing 전화에서 조직의 도메인 컨트롤러(DC)를 겨냥한 완전한 NTLM(Microsoft NT LAN Manager) 릴레이 공격으로 전환했습니다." 채팅·통화 시도 배후에서 최대 26개의 별개 공격자 신원이 확인됐습니다.
3. 랜섬웨어 계열사 플레이북 Sophos의 새 보고서에 따르면, Gold Sherwood로 추적하는 The Gentlemen 랜섬웨어 조직이 2026년 7월 말까지 총 683명의 피해자를 주장했습니다. 7월 한 달에만 169명의 피해자가 추가됐다고 합니다. Sophos는 "The Gentlemen 랜섬웨어 침투는 기회주의적 초기 접근, 신속한 권한 상승, 합법적인 원격 접근 메커니즘, 신뢰할 수 있는 시스템 경로에서의 도구 준비, 표적 데이터 유출, 공격적인 방어 회피, 백업 교란, 랜섬웨어 배포를 결합한 반복 가능한 계열사 플레이북을 보여줍니다"라고 밝혔습니다. "계열사들은 운영상 유연합니다: 네이티브 Windows 유틸리티, 상업용 및 오픈소스 도구, BYOVD(취약한 드라이버를 이용한 EDR 무력화) 기반 킬러, 백업 서비스 변조를 사용해 피해자 환경에 적응하고 암호화 전에 최대한의 피해를 줍니다."
4. 단속 후에도 살아남은 PhaaS Outsider 피싱 서비스(PaaS) 플랫폼은 관련 도메인 다수를 차단한 법 집행 조치에도 불구하고 지속적인 위협으로 살아남고 있습니다. 이 킷은 "ChenLun"이라는 위협 행위자가 운영합니다. Group-IB는 Google이 운영자들을 상대로 민사 소송을 제기한 후 한 달 이내에 해당 킷으로 생성된 700개 이상의 새로운 피싱 페이지를 확인했으며, 계열사들이 계속 서비스를 이용하고 있음을 보여줬습니다. 캠페인은 SMS를 통해 전달됩니다. Group-IB는 "한때 기술적으로 까다로운 작업이었던 것이 구독 하나와 Telegram 채널로 축소됐습니다"라고 밝혔습니다. "피싱 킷은 전용 Telegram 생태계를 통해 배포됩니다. 운영자들은 실시간 키로깅 및 MFA 챌린지 조작을 위해 WebSocket 연결을 사용했습니다."
5. 서명된 소프트웨어, 숨겨진 페이로드 정부 테마의 세금 고지서 캠페인이 U.A.E. 및 인도 테마의 세금 사정 미끼를 통해 수신자들에게 악성 디스크 이미지를 열도록 유도하고 있습니다. iZOOlogic은 "디스크 이미지에는 합법적으로 유효하게 서명된 상용 실행 파일과 함께 숨겨진 미서명 악성 DLL이 포함되어 있습니다"라고 밝혔습니다. "이것은 소프트웨어 신뢰 남용과 DLL 사이드로딩을 캠페인의 핵심 메커니즘으로 만듭니다. 악성 DLL은 로더 역할을 하며 여러 실행 및 지속성 메커니즘을 구축합니다. 로더에는 세 가지 암호화된 페이로드가 포함되어 있습니다. 두 개는 무관한 상용 제품의 합법적으로 서명된 커널 드라이버로 복호화되며, 세 번째는 지속성 스크립트입니다." 공격 체인은 레지스트리 상주 2단계로 이어지며, 이는 UDP를 통해 외부 서버에 연결합니다.
6. 서비스형 임원 피싱 ZeroBEC는 금융업계 그룹 CEO를 표적으로 삼아 BitM(브라우저-인-더-미들) 인프라를 사용한 자격 증명 도용을 용이하게 하는 BlueKit이라는 턴키 피싱 서비스의 세부 정보를 공개했습니다. 캠페인은 문서 공유 미끼를 사용해 공격 체인을 트리거하고 ZeroBot을 사용해 봇을 필터링합니다. ZeroBEC는 "캠페인은 자격 증명이나 세션 도용에서 멈추지 않았습니다"라고 밝혔습니다. "BlueKit 브라우저-인-더-미들 플로우 이후, 선택된 피해자들은 공격자가 사용하는 ScreenConnect 클라우드 인스턴스에 구성된 합법적인 ScreenConnect 클라이언트를 제공하는 가짜 문서 뷰어 워크플로우로 이동됐습니다." 이 서비스는 7일에 $250, 14일에 $480, 30일에 $940의 접근권을 광고하며, Tycoon 2FA($350/월), Greatness($289/월), Forg365($400/월) 등과 비교해 현재 PhaaS 시장에서 상위권에 위치합니다.
7. 휴면 도메인, 대기 중인 C2 사이버보안 연구자들이 피해자 프로파일링 및 고가치 표적에서 민감한 데이터를 수집하기 위해 Foudre와 Tonnerre 악성코드 패밀리를 배포하는 것으로 알려진 소규모 이란 해킹 그룹 Prince of Persia(일명 Indy)의 인프라를 분석했습니다. Whisper Security의 Kaveh Azarhoosh에 따르면, 백엔드는 자체 권한 부여 방식으로, 각 활성 C2 서버가 자체 도메인의 네임서버도 함께 운영합니다. 또한 그룹 자체 네임서버에 등록·위임됐지만 현재 어떤 서버도 가리키지 않는 58개의 휴면 예비 도메인도 확인됐습니다. Azarhoosh는 The Hacker News에 이메일로 "이것들은 준비된 것이지, 활성화된 것이 아닙니다: 그 중 하나라도 주소 레코드를 획득하는 순간, 새로운 명령 서버가 활성화된 것이며 — 서버가 어떤 행동을 하기 전에 이미 식별 가능합니다"라고 밝혔습니다.
8. 원격 제어 고무 오리 공격 Intezer는 가짜 사이트("www.mxsetuplogi.com")에서 다운로드된 가짜 "프라이버시 브라우저"가 원격 공격자의 명령을 피해자 컴퓨터에서 시뮬레이션된 마우스 및 키보드 입력으로 전환한다고 상세히 밝혔습니다. 해당 사이트는 피해자가 주소창에 도메인 이름("www.mxsetup.logi.con")을 잘못 입력한 후 Google 후원 검색 결과를 통해 노출됩니다. 이 사이버보안 회사는 이를 인터넷을 통해 전달되는 USB Rubber Ducky 공격으로 묘사했습니다. "이 공격은 EDR을 우회하며 VirusTotal에서 0~2건의 탐지율을 보입니다"라고 밝혔습니다. "감염은 일상적인 마우스 설정 중 단순히 철자 하나를 잘못 입력한 것에서 시작됐으며, 이것이 피해자를 악성 광고 네트워크를 통해 Microsoft 자체 인프라로 서명된 MSIX 설치 프로그램으로 유도했습니다." 이 캠페인은 2016년 1월의 유사한 작전까지 추적되며, 활동이 최소 10년간 지속됐음을 나타냅니다.
9. 1억 5,300만 개 신원정보 판매 중 미국 FBI(연방수사국)가 미국과 캐나다 사람들의 디지털 운전면허증 스캔본 1억 5,300만 건 이상을 보유하고 있다고 주장하는 Nexus라는 새로운 신원 도용 서비스를 수사하고 있습니다. 독립 보안 저널리스트 Brian Krebs에 따르면, 이 서비스는 루이지애나주 기반의 신원 확인 회사 IDScan.net이 수집한 이미지를 빼돌리는 것으로 알려졌습니다. 2026년 8월 31일 다크웹에서 출시된 이 서비스는 1,000만 건 이상의 신분증, 300만 건 이상의 여행 서류 및/또는 국제 신분증, 최소 579,000건의 의료 카드도 보유하고 있다고 자랑합니다. 각 레코드는 $100에 잠금 해제할 수 있습니다. 폭로 기사가 게재된 직후 Nexus는 오프라인으로 전환됐습니다. IDscan.net은 자체적으로 사건을 조사 중인 것으로 알려졌습니다.
10. AI 지침이 함정이 되다 방산업체, Fortune 500, 빅테크 기업에 속한 6,214개의 라이브 도메인을 스캔한 결과, robots.txt와 함께 웹사이트 루트에 배치된 llms.txt 또는 llms-full.txt가 발견됐습니다. 이스라엘의 한 스텔스 스타트업은 "이 파일은 사이트맵도 아니고 면책 조항도 아닙니다"라고 밝혔습니다. "이것은 AI 에이전트를 위한 큐레이션된 지침 세트입니다: 무엇을 읽을지, 어떤 API를 호출할지, 어떤 패키지를 설치할지, 어떤 도메인을 신뢰할지. OpenAI, Anthropic, Google은 자체 파일을 공개하고 있습니다." 스캔에서 발견된 8,265개의 llms.txt 및 llms-full.txt 파일 중 120개는 각각 다른 사이트에 있으며, 한 번도 등록되지 않은 PyPI 또는 npm 패키지명과 도메인을 가리키는 설치 지침을 포함하고 있었습니다. 연구자 중 한 명인 Alon Hertz는 "우리는 분명히 알고 있는 기업들의 llms.txt 파일에 등장하는 소수의 패키지명을 선택해 PyPI와 npm에 등록했습니다"라고 밝혔습니다. "각각에 단일 전화 신호를 내장했습니다 — 설치 사실을 우리가 제어하는 인프라에 보고하는 최소한의 비콘이었습니다. 첫 번째 콜백은 4분도 안 되어 도착했습니다." 더욱 우려스러운 점은, 인증 벤더 Clerk의 llms.txt가 범위 지정 패키지 @clerk/eslint-plugin을 참조하는 대신 "clerk-next-fix-auth-protection"이라는 npm 패키지를 참조하는 사례에서 이미 이 잘못된 설정을 악용한 실제 공격이 최소 하나 발생했다는 것입니다. 알 수 없는 위협 행위자가 동일한 이름의 공개 패키지를 등록했고, 해당 패키지에는 설치자의 사용자명, 머신명, 작업 디렉토리, 타임스탬프를 외부 서버로 전송하는 코드가 포함되어 있었습니다. Clerk는 이후 해당 문제를 해결했습니다.
11. AI 방어자들의 경고 Anthropic, Google, OpenAI, Microsoft, Perplexity 등 100개 이상의 기업 연합이 AI가 사이버 공격 타임라인을 압축하고 공격의 속도와 규모를 가속화하면서 방어자들이 취약점이 악용되기 전에 보안 문제를 해결할 시간이 점점 줄어들고 있다며 사이버보안 개선을 촉구하는 공개 서한을 발표했습니다. 서명자들은 현재의 사이버보안 접근 방식이 AI 기반 공격의 급증에 대응할 준비가 되어 있지 않으며, 위협 행위자들이 AI 도구를 활용해 오래된 취약점, 과도한 권한, 잘못된 구성, 안전하지 않고 패치되지 않은 소프트웨어, 약한 인증, 레거시 시스템의 기술적 부채를 표적으로 삼을 수 있다고 지적했습니다. "앞으로 몇 달 안에, 전 세계의 AI 모델이 점점 더 발전함에 따라 AI 기반 사이버 공격은 훨씬 더 광범위하고 정교해질 것입니다"라고 서한은 경고합니다. "우리 커뮤니티가 의존하는 기업과 공공 서비스 — 병원에서 수처리 시설, 인터넷을 지탱하는 인프라에 이르기까지 — 가 위험에 처해 있습니다. 오늘날의 AI 발전은 이미 방어자들에게 수년간 쌓인 취약점을 수정할 새로운 방법을 제공하고 있습니다. 우리가 결단력 있게 행동한다면, 방어자의 기회를 활용해 디지털 세계를 훨씬 더 안전하게 만들 수 있습니다."
12. 레거시 로그인으로 5,000개 계정 노출 Dropbox는 지난달 약 5,000개의 계정이 침해되어 위협 행위자들이 클라우드 스토리지 플랫폼에 저장된 콘텐츠를 열람하고 다운로드할 수 있었다고 공개했습니다. 회사는 Reuters에 "이중 인증(2FA)이 활성화되지 않은 Lenovo ID에 연결된 계정에 영향을 미치는 무단 접근을 확인했습니다"라고 밝혔으며, Lenovo ID를 통해 인증된 모든 세션을 종료했다고 덧붙였습니다. Lenovo는 이 문제가 Lenovo ID와 Dropbox 간의 "레거시 연동"과 관련이 있으며, "특정 Dropbox 계정을 부적절하게 인증하는 데 사용될 수 있었습니다"라고 밝혔습니다.
13. 기본값으로 강화되는 커널 보호 Microsoft는 2026년 10월부터 지원 가능한 기기 전반에 메모리 무결성 보호를 확대 적용해 사용자들이 "추가 구성 없이 또는 최소한의 구성으로 기본적으로 더 강력한 커널 수준의 정교한 공격 보호를 누릴 수 있도록" 하겠다고 발표했습니다. 회사는 이어 "이번 변경은 보안 복잡성을 줄이는 동시에 환경 전반에 걸쳐 더 강력한 보안 기준을 수립하는 데 도움을 줍니다. VBS(가상화 기반 보안)를 기반으로 구축된 메모리 무결성은 Windows의 핵심 부분을 변조로부터 보호합니다. 이는 사용자 경험과 생산성을 향상시키는 핫패치 업데이트 등 현대적인 보안 혁신과 보호의 기반을 형성합니다"라고 설명했습니다.
14. 친우크라이나 랜섬웨어 리브랜딩 VantaCore라는 새로운 랜섬웨어 그룹이 자체 랜섬웨어 종으로 러시아 기업 최소 7곳을 공격하며 수백만 달러의 몸값을 요구했습니다. 위협 행위자는 F6에 따르면 Thor로 추적되는 알려진 친우크라이나 그룹의 리브랜딩으로 평가됩니다. 공격에는 또한 랜섬웨어 및 기타 악성 프로그램을 배포하는 VantaCoreLoader, 감염된 시스템 정보를 수집하고 명령을 실행할 수 있는 백도어 VantaCoreRAT, 그리고 BYOVD 기법을 사용해 보안 소프트웨어를 종료할 수 있는 SnowKiller가 사용됐습니다.
15. 성착취 피의자들, 종신형에 직면 나이지리아 국적의 Adebola Festus Adekunle(26세)과 Mudasiru Afeez Olawale(24세)가 미시시피 북부지구와 노스캐롤라이나 중부지구에서 모두 미성년자의 사망으로 이어진 금전적 목적의 미성년자 성착취 혐의로 미국에 인도돼 별도 사건으로 기소됐습니다. 두 사람 모두 최대 종신형과 필수 최소 징역형에 직면하며, 사망을 초래한 아동 착취 혐의는 최소 30년 징역을 요구합니다.
16. 하드웨어 기반 디지털 신원증명 Google은 실리콘 벤더, 기기 제조업체, 지갑 개발자, 정부 발급 기관을 한데 모아 모바일 생태계 전반에 걸쳐 인증된 하드웨어 보안 규정 준수를 간소화하고 확장하기 위해 Android Ready SE 이니셔티브를 확대한다고 밝혔습니다. 이번 발전은 하드웨어 기반 모바일 지갑에 국가 전자 ID(eID) 및 모바일 운전면허증(mDL)을 안전하게 저장하려는 전 세계적 수요 가속화에 발맞춰 고신뢰·변조 방지 디지털 신원증명을 확장하는 방법으로 평가됩니다.
17. OAuth 접근권, 비밀번호 변경 후에도 지속 FBI는 악의적인 사이버 행위자들이 저명한 피해자, 그 가족 및 지인들을 대상으로 OAuth 동의 피싱(OAuth consent phishing)이라는 기법을 활용한 악성 링크가 포함된 메시지를 개인 계정으로 직접 보내 계정 접근권을 얻고 있다고 경고했습니다. 이 활동은 상업용 메시징 앱(CMA)에서 정부 관리, 미디어, 기타 공인들을 표적으로 삼아, 악의적인 행위자가 제어하는 앱을 통한 파일 공유 서비스로 위장해 악성 링크에 접근하도록 촉구합니다. FBI는 "이전 피싱 캠페인에서도 이벤트 코디네이터 및 플래너를 사칭해 이벤트 초대와 악의적인 행위자가 제어하는 악성 앱을 통한 신원 확인이 필요하다는 명목으로 표적에게 악성 링크를 보낸 사례도 있었습니다"라고 밝혔습니다. 당국은 이 공격으로 피해를 입은 인원 수나 배후에 대한 세부 정보는 제공하지 않았습니다.
18. 정보 탈취 악성코드를 숨긴 Electron 앱 합법적인 소프트웨어를 사칭한 트로이목마 Electron 데스크톱 앱이 RevStealer라는 Windows 정보 탈취 악성코드를 배포하는 데 사용되고 있습니다. 해당 앱은 GitHub 저장소와 게임 치트 테마 사이트를 통해 공유되며, 가짜 Claude Opus 5 Free Desktop 프로젝트도 포함됩니다. Morphisec은 "앱 리소스 내에 AES로 암호화된 네이티브 페이로드를 숨기는 Electron 로더로 전달되며, 사용자의 AppData 폴더를 Microsoft Defender의 제외 목록에 추가하려 시도하고, 표시 창 없이 페이로드를 실행합니다"라고 밝혔습니다. 악성코드는 또한 기본 페이로드를 언패킹하기 전에 일련의 안티 분석 및 안티 VM 검사를 수행합니다. "기본 C2에 연결할 수 없을 경우, RevStealer는 Polygon 블록체인의 스마트 계약에서 대체 주소를 읽어, 악성코드를 재구축하지 않고도 운영자가 인프라를 교체할 수 있도록 합니다"라고 해당 회사는 밝혔습니다. 이 악성코드의 주목할 점은 지속성을 위해 설계되지 않았다는 것입니다. 오히려 단 한 번의 실행으로 최대한 많은 데이터를 캡처하는 것을 우선시하며, 암호화된 형태로 유출한 후 스스로 삭제합니다.
19. 신뢰할 수 있는 도구, 불법 접근 위협 행위자들이 합법적인 엔드포인트 관리 플랫폼인 Faronics Deploy를 무기화해, 피싱 피해자가 소프트웨어를 설치한 후 공격자가 제어하는 PowerShell을 실행하고 있습니다. Huntress는 457개 이상의 엔드포인트에서 Faronics 관련 미끼를 발견했다고 밝혔습니다. "관찰된 사례에서, 위협 행위자들은 Faronics Deploy를 ScreenConnect에 연결해 신뢰할 수 있는 소프트웨어 워크플로우에 악성 원격 접근 활동을 혼합했습니다"라고 밝혔습니다. "전달 방법은 스크립트마다 다르며, 관찰된 사례는 curl 또는 MSHTA를 사용해 추가 콘텐츠를 가져오거나, 다른 경우에는 msiexec를 사용해 공격자 제어 인프라에 호스팅된 페이로드를 설치합니다. 이 스크립트들은 이후 ScreenConnect를 설치하여 침해된 엔드포인트에 추가적인 원격 접근 메커니즘을 구축하는 데 사용됩니다."
20. ClickFix, 크로스플랫폼으로 확장 사이버보안 연구자들은 CRPx0을 Windows 및 macOS 업데이트 프롬프트와 reCAPTCHA 검사 관련 미끼를 사용해 피해자를 속여 복사된 명령을 실행하게 하는 ClickFix 방식으로 전달되는 RaaS(서비스형 랜섬웨어) 작전으로 설명했습니다. Ransom-ISAC 연구팀은 "Windows에서는 다단계 DLL 체인을 시작하고, macOS에서는 Python 페이로드를 직접 다운로드합니다"라고 밝혔습니다. "최종 페이로드는 암호화 전에 데이터를 유출하고, Fernet을 통해 AES-128-CBC로 파일을 암호화하며, 피해자별 키를 내장된 RSA-4096 공개 키로 감싸고, 횡이동을 시도하며, 48시간 내 Bitcoin 또는 Monero 결제를 요구하는 랜섬 노트를 남기는 크로스플랫폼 Python 랜섬웨어입니다." 이 RaaS 프로그램은 2026년 6월 7일 처음 등장했습니다. 8월 말 현재, 그룹은 일반 인터넷 사이트("crpx0[.]su/v3.txt")에서 침해된 머신 관리, 파일 및 자격 증명 수집, 도난된 암호화폐 추적, 원격 명령 실행, 수동 랜섬웨어 실행 기능을 갖춘 공격 제어 패널로 해당 작전을 광고하고 있습니다.

놓치기 쉬운 한 가지 포인트: 비밀번호를 변경한다고 해서 모든 문이 닫히는 것은 아닙니다. 악성 앱 승인이나 원격 세션은 비밀번호 없이도 공격자에게 접근권을 줄 수 있습니다. 복구 작업에서는 열린 세션 종료, 미승인 앱 접근 해지, 원격 도구 점검도 반드시 포함해야 합니다.

더 나은 보안 설정이 점차 기본값으로 채택되고 있다는 점은 도움이 됩니다. 하지만 오래된 계정 연동, 취약한 로그인 옵션, 신뢰할 수 있는 소프트웨어는 여전히 공격자에게 여지를 주고 있습니다. 이번 주 가장 안전한 원칙은 단순합니다: 새로운 것을 추가하기 전에 이미 무엇이 접근권을 갖고 있는지 먼저 확인하십시오.