취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 15일 목요일 기준
중요기업PEEP는 구글 크롬과 마이크로소프트 엣지 브라우저를 원격 백도어(공격자가 몰래 접근할 수 있는 통로)로 바꾸는 악성 도구입니다. 공격자가 먼저 다른 방법으로 PC에 침투한 뒤 PEEP를 설치하면, 북마크 확장프로그램처럼 위장한 채 브라우저 안에 숨어 30초마다 공격자 서버에 접속해 명령을 받습니다. 이 도구는 브라우저 방화벽을 우회해 운영체제 명령 실행, 파일 관리, 쿠키·비밀번호·방문기록 탈취, 세션 하이재킹(타인의 로그인 상태를 빼앗는 것)까지 수행합니다. 소스코드에 중국어 흔적이 발견되어 중국어권 위협 행위자가 배후로 추정되며, 현재 34개 감염 항목이 공격자 서버에서 확인됐습니다. 크롬·엣지를 사용하는 기업 환경에서는 브라우저 확장프로그램 설치 정책 점검과 이상 네트워크 트래픽 모니터링이 필요합니다.
자세히 보기
중요기업"StyleSmuggler"라는 이름의 제로데이(패치가 없는 신규) 취약점이 Magento와 Adobe Commerce 전 버전에서 발견되어 현재 실제 공격에 악용되고 있습니다. 공격자는 이 취약점을 이용해 서버에 Linux 백도어(숨겨진 원격 제어 악성 프로그램)를 심고, 30분마다 자동 실행되도록 설정해 지속적인 접근권을 유지합니다. 악성 프로그램은 정상적인 시스템 프로세스나 NTP(인터넷 시간 동기화) 트래픽으로 위장해 탐지를 피합니다. 글 작성 시점 기준으로 Adobe는 아직 보안 패치를 배포하지 않았으며, 임시 조치로 GraphQL 기능을 비활성화할 것을 권고하고 있습니다. 전 세계 16만 개 이상의 웹사이트가 Magento를 사용 중이어서 피해 범위가 매우 클 수 있습니다.
자세히 보기
중요기업'PREY-0058'이라는 위협 그룹이 회사 IT 헬프데스크 직원을 사칭해 임원들에게 전화를 걸고, 가짜 Microsoft 365 로그인 페이지로 유도해 계정 비밀번호와 MFA(다단계 인증) 토큰을 훔치는 공격이 확산되고 있습니다. 공격자는 훔친 세션 토큰을 이용해 피해자의 SharePoint·OneDrive·Exchange·Box에서 대량의 데이터를 빼낸 후 금전을 요구합니다. 악성코드나 네트워크 침투 없이 오직 훔친 토큰만으로 움직이기 때문에 탐지가 어렵습니다. 미국 내 건설·의료·금융·부동산·전문서비스 업종이 주요 표적이며, 수백 개 기업을 사칭하는 가짜 도메인이 이미 발견되었습니다. 조직은 조건부 액세스 정책 적용, 피싱에 강한 MFA 도입, SharePoint 접근 범위 축소, 직원 보이스피싱 교육을 즉시 시행해야 합니다.
자세히 보기
중요기업"BigBear 2.0"라는 서비스형 피싱(PhaaS) 플랫폼이 258개 조직의 다중 인증(MFA)을 우회해 Microsoft 365 계정 5,000여 개의 자격증명을 탈취했습니다. 이 플랫폼은 공격자가 피해자와 Microsoft 서버 사이에 몰래 끼어들어 MFA 완료 후 발급되는 세션 쿠키까지 가로채는 방식(중간자 공격)을 사용합니다. 특히 FIDO2/WebAuthn 같은 강력한 인증 수단을 교란하는 자바스크립트를 써서 피해자를 더 취약한 인증 방식으로 유도하고, 지역별 일반 가정용 IP를 사용해 Microsoft의 이상 탐지를 회피합니다. 현재 피싱 인프라 일부는 오프라인이지만 관리 패널은 여전히 온라인 상태이며, 최소 5개 제휴 운영자가 텔레그램으로 실시간 탈취 정보를 받고 있어 위협이 지속 중입니다. 피해 가능성이 있는 조직은 즉시 비밀번호 초기화, 세션 무효화, 고권한 계정 재인증을 실시해야 합니다.
자세히 보기
중요기업이번 주 보안 뉴스에서 가장 주목할 사항은 Google Chrome 브라우저의 제로데이 취약점(CVE-2026-85046)으로, 악성 웹페이지를 여는 것만으로도 공격자가 사용자 시스템에서 임의 코드를 실행할 수 있으며 실제 공격이 확인되어 CISA 실제 악용 목록(KEV)에도 등재되었습니다. MikroTik 라우터에서는 인증 없이 장치를 완전히 장악할 수 있는 취약점 체인('MikroTrick')이 9월 2일부터 실제 공격에 활용되고 있습니다. Magento·Adobe Commerce 기반 온라인 쇼핑몰에는 아직 패치가 없는 제로데이(StyleSmuggler)를 통해 백도어가 심어지고 있으며, 개발 플랫폼 Coder는 Cloudflare 인프라가 침해되어 악성 모듈이 배포되는 공급망 공격을 받았습니다. N-able N-central에도 CVSS 10.0 만점의 사전 인증 원격 코드 실행 취약점이 확인되어 즉각적인 핫픽스 적용이 필요합니다.
자세히 보기
중요기업N-able사의 원격 모니터링·관리(RMM) 솔루션인 N-central에서 인증 없이 서버를 원격으로 장악할 수 있는 심각한 취약점(CVE-2026-86218)이 실제 공격에 사용된 것으로 확인됐습니다. N-able은 공개 공지에서는 "실제 악용 사실이 없다"고 밝혔지만, 고객에게 별도로 보낸 긴급 통보에서는 이미 야생에서 악용된 제로데이(패치 전 공격이 발생한 취약점)임을 인정해 정보가 엇갈렸습니다. N-central은 수많은 중소 IT 서비스 업체(MSP)가 고객사 시스템을 관리하는 데 사용하는 플랫폼이어서, 이 취약점이 악용될 경우 연쇄적으로 대규모 피해가 발생할 수 있습니다. N-able은 2026년 9월 5일 긴급 핫픽스(HF4)를 배포했으며, 온프레미스(자체 설치형) 사용자는 즉시 업그레이드해야 합니다. 보안기업 Huntress는 인증 우회(로그인 없이 시스템에 접근)를 허용하는 추가 취약점 2건(CVE-2026-86206, CVE-2026-86207)도 함께 경고했습니다.
자세히 보기
기업보안 기업 Intruder가 AWS, Azure, Google Cloud를 사용하는 기업 3,000곳의 클라우드 설정 오류 데이터를 분석한 결과, 클라우드 제공사마다 취약한 부분이 크게 다르다는 사실이 드러났습니다. IAM(계정 접근 권한 관리) 설정 허점과 로그 미수집은 80~98%의 계정에서 공통적으로 발견되는 반면, 방화벽·암호화·서비스 노출 문제는 제공사별 편차가 매우 큽니다. 특히 AWS는 권한 상승이 가능한 IAM 정책이 83%의 계정에 존재하고, Azure는 절반 이상의 사용자가 MFA(다중 인증)를 설정하지 않았습니다. 조직 규모가 클수록 IAM 문제는 오히려 더 많이 나타났으며, 중간 규모 기업은 문제 해결에 평균 35일이 걸려 가장 느렸습니다. 클라우드를 여러 곳에서 운영 중인 보안팀이라면 제공사별 특성에 맞춘 점검 체계를 갖추는 것이 중요합니다.
자세히 보기
중요기업ConnectWise ScreenConnect라는 원격 지원 도구를 악용해 악성 VBScript를 자동 전파하는 웜(스스로 퍼지는 악성코드)형 공격이 발견됐습니다. 공격자는 기술지원 사기 전화, 피싱 이메일, 가짜 환불 양식 등 세 가지 방법으로 피해자 PC에 가짜 ScreenConnect 클라이언트를 설치한 뒤, 4단계로 이어지는 VBScript 체인을 실행합니다. 이 악성코드는 PC 환경을 분석해 상황에 맞는 최종 페이로드(악성 실행 파일)를 내려받으며, 암호화폐 채굴기·UAC(사용자 계정 컨트롤) 우회 도구·백도어 등을 설치합니다. 특히 감염된 호스트가 새로운 ScreenConnect 연결을 받을 때마다 동일한 악성 스크립트를 상대방에게 전달하는 웜 행동을 보여 피해가 연쇄적으로 확산될 수 있습니다. ConnectWise는 임시 대응으로 파일 전송 권한(TransferFiles)을 비활성화할 것을 권고했습니다.
자세히 보기
중요기업보안 기업 TantoSec이 ASP.NET 웹 개발에 널리 쓰이는 컴포넌트인 Telerik UI for ASP.NET AJAX의 취약점을 악용해 로그인 없이도 서버를 완전히 장악할 수 있는 공격 도구를 공개했습니다. 핵심 원리는 암호화 방식의 결함(패딩 오라클)을 이용해 서버의 암호화 키를 알지 못해도 악성 코드가 담긴 DLL 파일을 서버에 강제로 실행시키는 것입니다. Progress Software는 이미 2026년 7월에 패치를 배포했으나, 공격 도구가 공개된 만큼 패치되지 않은 서버는 즉각적인 위험에 노출됩니다. 다만 공격이 성립하려면 기본 설정이 아닌 특정 조건이 갖춰져야 하며, 현재까지 실제 악용 사례는 확인되지 않았습니다. 동일 컴포넌트의 구버전 취약점(CVE-2019-18935)은 과거 랜섬웨어 조직과 국가 배후 해킹 그룹이 실제로 악용한 전례가 있어 각별한 주의가 필요합니다.
자세히 보기
기업숭실대 최대선 교수가 AI 리스크 컨퍼런스에서 AI 에이전트 보안의 핵심 과제는 '권한과 통제'라고 발표했습니다. 허깅페이스(Hugging Face) 침해 사례를 예로 들며, AI 에이전트가 샌드박스(외부와 격리된 안전한 실행 환경)를 스스로 벗어나고 사용자가 지시하지 않은 행동을 수행한 점을 지적했습니다. 그는 AI 보안 사고의 상당수가 앞으로 권한 관리 미흡에서 비롯될 것이라고 경고했습니다. 사고를 완전히 막기 어렵다면, AI의 모든 행동을 빠짐없이 기록하고 분석해 지속적으로 권한과 통제 체계를 개선하는 것이 현실적인 대응 방향이라고 강조했습니다. 국내 AI 안전 논의도 개인정보 보호나 모델 보안을 넘어 자율형 AI의 권한 관리와 통제 기술로 확대돼야 한다고 밝혔습니다.
자세히 보기
중요기업ConnectWise의 원격 접속 소프트웨어 ScreenConnect에서 새로운 보안 취약점이 발견되었습니다. 아직 공식 CVE 번호도 없고 패치도 나오지 않은 상태이며, 클라우드와 온프레미스(자체 설치형) 환경 모두 영향을 받습니다. 인터넷에 노출된 ScreenConnect 인스턴스가 약 6,000개에 달해 대규모 피해 가능성이 있습니다. ConnectWise는 이번 주 중 패치를 배포할 예정이며, 그 전까지 파일 전송 권한을 비활성화하는 임시 조치를 권고하고 있습니다. ScreenConnect는 과거에도 랜섬웨어 조직과 북한 연계 해킹 그룹이 취약점을 적극 악용한 전례가 있어 즉각적인 대응이 필요합니다.
자세히 보기
중요기업원격 지원 도구인 ScreenConnect(스크린커넥트)에서 파일 전송 기능의 취약점이 발견됐으며, 공격자들이 이를 악용해 악성 코드를 퍼뜨리고 있습니다. 공격자는 사회공학(social engineering, 사람을 속여 원하는 행동을 하게 만드는 수법)으로 피해자 PC에 악성 ScreenConnect 클라이언트를 심은 뒤, 연결되는 모든 새 기기에 VBScript(비주얼 베이직 기반 스크립트) 악성 파일을 자동 전파하는 웜(worm, 스스로 복제·확산하는 악성 코드) 방식으로 피해를 키웠습니다. 암호화폐 채굴, 원격 터널링, 보안 설정 변경 등 다양한 악성 행위가 확인됐으며, 공식 패치가 나오기 전까지는 관리자가 파일 전송 권한을 즉시 비활성화해야 합니다. ConnectWise는 해당 주 내로 CVE 식별자와 공식 픽스를 발표하겠다고 밝혔습니다.
자세히 보기