보안 뉴스

위협 행위자들, 사이버 공격에서 AI 에이전트의 역할 확대

Google 위협 인텔리전스 그룹(GTIG)이 2026년 3분기 AI 위협 추적 보고서에서 공격자들이 AI 에이전트를 이용해 취약점 스캔, 자격증명(계정 정보) 탈취, 문제 해결 등 사이버 공격의 여러 단계를 자동화하고 있다고 밝혔습니다. 실제 사례로, 한 공격자는 6시간도 안 되는 시간 안에 수천 개의 제3자 자격증명을 탈취했으며, 2만 3,800개 이상의 비밀 정보가 실시간으로 관리되는 노출된 서버도 발견됐습니다. 중국과 연계된 사이버 첩보 행위자들은 Gemini, Claude 등 AI 도구를 활용해 자동화된 침투 테스트 및 익스플로잇(취약점 공격 코드) 파이프라인을 구축하는 실험을 진행하고 있습니다. 완전히 자율적인 공격 파이프라인은 아직 실전에서 관찰되지 않았지만, AI 기반 공격 기술이 빠르게 성숙하고 있어 기업 보안 담당자들의 각별한 주의가 요구됩니다.

#AI #AI 에이전트 #API 키

"제로클릭" WeChat 웜, 전화 한 통으로 계정 탈취 및 전파 가능

보안 기업 Calif의 연구팀이 중국 메신저 앱 WeChat에서 '제로클릭(사용자가 아무것도 하지 않아도 감염되는)' 취약점을 발견했습니다. 이 취약점을 이용하면 공격자가 WeChat으로 전화를 거는 것만으로도 상대방 계정을 완전히 탈취하고, 그 연락처를 통해 수백만 명에게 빠르게 퍼져나가는 웜(자가 전파 악성코드)을 만들 수 있습니다. 피해자가 전화를 받지 않아도 감염되며, 거절하더라도 공격자가 다시 전화를 걸면 됩니다. 연구팀은 이 취약점을 WeChat 운영사 Tencent에 비공개로 신고했고, Tencent는 iOS·Android 앱 업데이트와 서버 측 조치를 통해 이미 패치를 완료했습니다. 사용자는 별도 조치 없이 보호되지만, AI를 활용한 고급 공격 기법이 비전문 공격자에게도 퍼질 수 있다는 경고가 주목됩니다.

#AI #RCE #결제

BleepingComputer·2026. 09. 08.

해커들, 대규모 자격증명 탈취를 위한 AI 프레임워크 구축

해커들이 단순한 AI 채팅봇 활용을 넘어, 공격의 모든 단계를 스스로 처리하는 '멀티에이전트 프레임워크'를 구축해 대규모 계정 탈취에 나서고 있습니다. Google 위협 인텔리전스 그룹(GTIG)에 따르면, 한 공격자는 불과 6시간 만에 클라우드 인프라를 침해하고 수천 건의 자격증명(아이디·비밀번호)을 훔쳐냈습니다. AI 에이전트가 취약점 스캔, IP 주소 교체, 실시간 문제 해결까지 사람의 개입 없이 자동으로 수행하여 방어 측이 대응할 시간이 크게 줄었습니다. 중국·러시아 연계 국가 배후 그룹들도 AI를 활용한 정찰·피싱·악성코드 개발에 나서고 있어 기업 보안 담당자의 즉각적인 주의가 필요합니다.

#AI #AI 에이전트 #API 키

WeChat 제로클릭 웜, 수신 전화만으로 iPhone·Android 계정 탈취

보안 기업 Calif의 연구팀이 WeChat(위챗)에서 전화 한 통만으로 상대방의 계정을 완전히 탈취할 수 있는 '웜(worm, 스스로 전파되는 악성코드)' 공격 기법을 발견했습니다. 피해자는 전화를 받지 않아도, 심지어 화면을 건드리지 않아도 공격이 성공하는 '제로클릭(zero-click)' 방식이라 사용자 스스로 막을 방법이 없습니다. 공격자는 탈취한 계정으로 메시지 열람·전송, 통화, 결제 등 모든 기능을 사용할 수 있으며, 장악된 계정이 다시 지인에게 전화를 걸어 연쇄적으로 전파됩니다. 텐센트(Tencent)는 8월 21일 Android 8.0.77, iOS 8.0.76 버전을 출시해 취약점을 완화했고, 8월 28일에는 서버 측 차단까지 적용했습니다. 현재는 서버 차단이 적용되어 있어 미패치 기기도 어느 정도 보호되지만, 최신 버전으로 업데이트하는 것이 가장 안전합니다.

#AI #RCE #Windows

FreeIPA 취약점 체인, 익명 클라이언트가 재사용 가능한 관리자 자격증명 생성 가능

FreeIPA(리눅스 도메인 전체의 로그인 권한과 사용자 정보를 관리하는 시스템)에서 로그인한 적도 없는 익명 사용자가 관리자 권한을 스스로 만들어낼 수 있는 취약점 체인이 발견됐습니다. CVE-2026-76578(CVSS 9.8, 위험도 최상)과 389 Directory Server의 CVE-2026-76560이 결합되면, 아무 계정도 없는 외부인이 Kerberos(네트워크 인증 프로토콜) 관리자 자격증명을 직접 생성해 관리자 그룹에 진입할 수 있습니다. Red Hat은 기본 설치 상태에서 이 공격을 직접 재현했습니다. FreeIPA 4.13.4에서 수정됐으나 Red Hat Enterprise Linux용 ipa 패키지는 확인 시점 기준 아직 패치가 없어, 즉시 LDAP 포트(389, 636)를 방화벽으로 제한하거나 익명 LDAP 바인드를 비활성화하는 임시 조치가 필요합니다.

#CVSS #Windows #계정 탈취

Adobe, Rust 백도어 및 PHP 웹셸 배포에 악용된 Magento 제로데이 긴급 패치

Adobe가 온라인 쇼핑몰 구축 플랫폼인 Adobe Commerce와 Magento Open Source에서 발견된 최고 심각도(CVSS 10.0) 취약점 CVE-2026-75650을 긴급 패치했습니다. 'StyleSmuggler'라는 이름이 붙은 이 취약점은 인증 없이 서버에서 원하는 코드를 실행할 수 있게 해 주며, 2026년 9월 4일부터 실제 공격에 활용된 것이 확인됐습니다. 공격자들은 이 취약점을 이용해 Rust 기반 백도어(원격에서 서버를 제어하는 악성 프로그램)와 PHP 웹셸(웹을 통해 서버 명령을 실행하는 도구)을 피해 서버에 심었습니다. 첫 공격이 보고된 지 불과 50분 만에 추가 서버가 침해된 사례도 있어 매우 빠른 공격 확산이 우려됩니다. Adobe는 긴급 핫픽스(VULN-39341)를 배포했으며, 영향받는 버전 사용자는 즉시 패치 적용과 암호화 키 교체를 해야 합니다.

#CVSS #RCE #결제

BengalSEO, Bing 검색 결과 조작으로 MayaBot 악성코드 및 기술지원 사기 유포

'BengalSEO'라는 이름의 사이버 범죄 조직이 마이크로소프트 Bing 검색 결과를 조작해 악성 사이트를 상위에 노출시키고 있습니다. 피해자가 해당 사이트에서 가짜 소프트웨어를 내려받으면 'MayaBot'이라는 악성코드가 설치되어 해커의 명령을 받거나 암호화폐 채굴에 악용됩니다. 이 조직은 인도 라자스탄주에 기반하며 2015년부터 활동해 왔고, 스트리밍 서비스 인증·백신 프로그램·게임·세금 유틸리티 등을 사칭한 가짜 페이지를 수백 개 운영하고 있습니다. 아울러 중국어권 사이버 범죄 집단인 Gambling Goblin도 브라질 정부·교육기관 웹사이트를 해킹해 비슷한 방식으로 검색 순위를 조작하고 있어 유사 수법의 피해가 전 세계로 번지는 추세입니다. 기업 담당자는 직원들이 검색 결과 상위 링크라도 소프트웨어 다운로드 전 출처를 반드시 확인하도록 교육하고, 비공식 경로의 실행 파일 실행을 차단하는 정책을 점검할 필요가 있습니다.

#GitHub #Windows #교육기관

Jellyfin 12.0, 보안 수정 사항 공개 및 레거시 클라이언트 로그인 지원 종료

오픈소스 미디어 서버 Jellyfin이 12.0 버전을 출시하면서 여러 보안 취약점을 수정했습니다. 주요 수정 사항으로는 서버가 허용된 폴더 밖의 파일에 접근하는 경로 탐색(Path Traversal) 공격 차단, 설정되지 않은 서버에서 비인증 사용자가 관리자 계정 생성 페이지(설정 마법사)를 다시 실행할 수 있던 문제, XSS(공격자가 삽입한 악성 코드가 다른 사용자의 브라우저에서 실행되는 취약점) 수정 등이 포함됩니다. 다만 개별 취약점에 CVE 식별자나 심각도 등급이 부여되지 않아 패치 우선순위를 판단하기 어렵습니다. 업그레이드 전에 서드파티 플러그인 호환성 확인과 중복 사용자명 정리가 반드시 필요합니다.

#TLS #XSS #백업

ZDNet Korea·2026. 09. 08.

"개인정보 유출땐 큰 일"...과징금 10% 시대

한국에서 개인정보 유출 사고에 대한 과징금 상한을 관련 매출액의 3%에서 10%로 대폭 높이는 개인정보보호법 개정안이 2026년 9월 11일부터 시행됩니다. 이 법은 고의나 중대한 과실로 1,000만 명 이상 피해를 낸 경우, 또는 반복 위반 시 최대 매출액 10%의 과징금을 부과할 수 있도록 합니다. 반면 보안에 충분히 투자한 기업은 과징금을 최대 40%까지 깎아주는 감경 제도도 함께 도입됩니다. 전문가들은 과징금 산정 기준이 아직 모호하다는 아쉬움을 나타내면서도, 기업들이 보안 인력·예산·설비에 즉시 투자해 기본을 지켜야 한다고 강조했습니다. "예산이 없어서, 인력이 없어서"라는 변명은 더 이상 통하지 않는 시대가 됐습니다.

#ISMS #개인정보 #개인정보 유출

랜섬웨어 협상 전술, 체계적인 비즈니스 프로세스로 진화

랜섬웨어(중요 데이터를 암호화해 몸값을 요구하는 악성 프로그램) 공격자들은 이제 체계적인 비즈니스처럼 협상을 진행합니다. 피해 기업의 연매출과 사이버 보험 가입 여부를 미리 조사한 뒤, 요구 금액을 연매출의 1~5% 수준으로 정하고 협상가·연구원·홍보 담당자 역할까지 분업화하고 있습니다. 단순 암호화를 넘어 데이터 탈취, DDoS 공격(서버를 마비시키는 공격), 고객·언론 접촉 등 복합 협박 수단도 동원합니다. 피해를 최소화하려면 사고 발생 전에 대응 권한자, 관련 이해관계자, 커뮤니케이션 절차를 미리 정해 두는 것이 핵심입니다.

[KCSCON 2026] KISA 한승원 수석 "AI가 바꾼 것은 공격 속도…보안의 본질은 여전히 '신뢰'"

KISA 한승원 수석이 KCSCON 2026 기조강연에서 AI 시대의 사이버 공격 변화와 대응 방향을 설명했습니다. 공격자들은 AI를 활용해 악성코드 제작·취약점 탐지·정보 유출 등 공격 과정 상당 부분을 자동화하고 있으며, 로컬 AI 모델을 써서 탐지를 피하려는 움직임도 나타나고 있습니다. 방어 목적으로 사용하는 AI 도구 자체도 공격 대상이 돼, 악성코드 안에 AI의 분석을 방해하는 명령을 숨기는 '프롬프트 인젝션(AI에게 몰래 명령을 심는 기법)' 사례가 확인되었습니다. 공격의 본질은 변하지 않아 공격자는 여전히 피해자가 신뢰하는 사람·사이트·소프트웨어·접속키를 노립니다. 대응책으로는 피싱 저항형 다중인증(MFA) 적용, 자격증명 코드 분리 관리, 망 분리, 불변(변경 불가) 백업 체계 구축이 권고되었습니다.

#AI #AI 에이전트 #KISA