보안 뉴스

공격자들, ChatGPT 커스텀 GPT를 악용해 ClickFix 미끼로 RAT 유포

공격자들이 ChatGPT의 '커스텀 GPT(Custom GPT)' 기능을 악용해 가짜 제품 안내처럼 꾸민 뒤, 이용자를 악성 사이트로 유도하는 새로운 공격이 발견됐습니다. 이용자가 유도된 구글 사이트에서는 가짜 캡차 화면을 통해 이른바 'ClickFix' 수법으로 악성 PowerShell 명령을 직접 복사·실행하도록 속이며, 이 과정에서 정상 서명된 캐논(Canon) 실행파일을 악용한 DLL 사이드로딩으로 원격제어 악성코드(RAT)를 심습니다. 이 RAT는 화면·카메라·마이크 감시, 파일 검색, 추가 악성코드 실행 등 광범위한 기능을 갖추고 있으며 현재까지 최소 40명이 감염된 것으로 확인됐습니다. 이와 함께 OpenAI Codex·Anthropic Claude를 사칭한 사이트, 정상 사이트 해킹을 통한 ClearFake/EtherHiding 공격 등 ClickFix 기법을 쓰는 다른 캠페인들도 동시에 다수 발견되고 있어, 신뢰받는 플랫폼을 악용한 사회공학 공격이 확산되는 추세입니다.

마이크로소프트, 10월부터 Entra ID 스크립트 주입 공격 차단 예정

마이크로소프트가 내년 10월부터 로그인 인증 시스템인 Entra ID의 보안을 강화한다고 밝혔습니다. 로그인 화면에서 외부 스크립트가 함부로 끼어드는 것을 막는 새로운 정책(CSP, 콘텐츠 보안 정책)을 적용해, 신뢰할 수 있는 마이크로소프트 서버에서 나온 스크립트만 실행되도록 제한하는 것입니다. 이렇게 하면 로그인 페이지에 악성 코드를 몰래 심어 계정 정보를 훔치는 크로스사이트 스크립팅(XSS) 공격을 예방할 수 있습니다. 다만 로그인 화면에 스크립트를 끼워 넣는 브라우저 확장 프로그램이나 도구를 쓰는 기업은 이 변경 후 해당 도구가 작동하지 않을 수 있어, 미리 테스트해보고 대비해야 합니다. 이번 조치는 2023년 중국 해커들이 여러 기관의 이메일을 대거 침해한 사건 이후 마이크로소프트가 추진 중인 보안 강화 계획의 일환입니다.

TeamViewer, "가능한 한 빨리" 패치하라고 사용자들에게 심각한 취약점 경고

원격 제어 프로그램으로 유명한 TeamViewer가 자사 소프트웨어에서 발견된 심각한 보안 취약점 5개를 즉시 패치해달라고 고객들에게 긴급 권고했습니다. 가장 위험한 취약점(CVE-2026-92370)은 접근 통제가 제대로 되지 않아 공격자가 원격 세션에 무단으로 접근하고 시스템을 마음대로 조작할 수 있게 하는 문제입니다. 나머지 4개 취약점도 로컬 공격자가 시스템 최고 권한(SYSTEM 또는 root)까지 탈취할 수 있는 심각한 문제들입니다. 아직 실제 악용 사례나 공개된 공격 코드는 발견되지 않았지만, TeamViewer 같은 원격 제어 도구는 랜섬웨어 조직 등 사이버 범죄자들이 자주 악용하는 표적이기 때문에 신속한 패치가 중요합니다. TeamViewer는 과거에도 중국·러시아 국가 배후 해커 조직에 의해 두 차례 내부망 침해를 당한 이력이 있습니다.

Know Your Enemy: Browser-Based Attack Techniques in 2026

미국 표적 C레벨 피싱, Microsoft 365 세션 탈취하고 원격관리 도구(RMM) 설치해 원격 접근 확보

보안 업체 ANY.RUN이 'CSuite'라는 이름의 피싱 캠페인을 분석했습니다. 이 캠페인은 Adobe, DocuSign, Zoom, Microsoft 365 같은 익숙한 업무용 서비스를 사칭한 이메일로 시작해서, 피해자를 두 가지 방식으로 공격합니다. 하나는 ScreenConnect, Action1 같은 정상적인 원격관리 도구(RMM)를 몰래 설치해서 회사 컴퓨터를 원격 조종하는 방식이고, 다른 하나는 Microsoft 365 로그인 정보와 접속 세션을 훔치는 방식입니다. 분석된 351건 중 51%가 미국에서 발견됐고, 기술·제조·정부·컨설팅 분야가 특히 표적이 됐습니다. 계정과 업무용 PC를 동시에 장악당할 수 있어 피해 범위가 단순 피싱보다 훨씬 커질 수 있다는 점이 특징입니다.

"CISO 직위 임원 격상"...개정 정보통신망법·시행령 10월 1일 시행

개정된 정보통신망법과 시행령이 10월 1일부터 시행됩니다. 이제 중기업을 넘는 대기업 등은 정보보호 최고책임자(CISO)를 일반 직원이 아니라 반드시 임원으로 지정해야 합니다. 또한 침해사고가 발생하면 국민 생활에 큰 영향을 줄 수 있는 통신사나 대형 사업자를 대상으로 '강화인증'이라는 더 엄격한 보안 인증이 새로 생기고, 정부의 시정명령을 어기거나 반복적으로 보안사고를 낸 기업에는 매출액 기준으로 이행강제금과 과징금을 물립니다. 이번 조치는 작년 잇따른 대형 침해사고를 계기로 기업의 보안 책임을 강화하기 위해 마련됐습니다.

공격자들, NetScaler 취약점 악용해 Root 권한 획득 후 WHIPSHOT·SLAPSHOT 배포

정체불명의 공격자들이 Citrix NetScaler ADC와 NetScaler Gateway 장비의 최근 패치된 취약점(CVE-2026-88772 등)을 악용해 북미와 유럽의 정부, 금융, 기술, 교육, 법률 기업들을 공격했습니다. 이 취약점은 인증을 우회하고 시스템 최고 권한(root)을 탈취할 수 있는 심각한 결함으로, 공격자들은 이를 통해 WHIPSHOT이라는 웹셸과 SLAPSHOT이라는 내부망 침투 도구를 심었습니다. 공격자는 정상 파일처럼 위장한 악성 파일을 몰래 설치해 시스템을 계속 장악하고, 흔적을 지우면서 내부 정찰과 계정정보 탈취를 시도했습니다. 보안 업체들은 9월 28일부터 이 취약점을 노린 공격이 대규모로 확산되고 있다고 경고했습니다. 인터넷에 노출된 네트워크 장비들은 보안 탐지 도구가 닿기 어려운 곳이라 공격자들이 계속 노리는 표적이 되고 있습니다.

전직 미 공군 출신들, 수백만 달러 규모 BEC 사기 행각으로 실형 선고

미국 공군에 복무하던 두 명이 약 2년간 기업들을 대상으로 BEC(비즈니스 이메일 침해, 이메일을 이용한 사기)와 피싱 공격을 벌인 혐의로 각각 111개월, 78개월의 연방 교도소 형을 선고받았습니다. 이들은 직원 이메일 계정의 아이디와 비밀번호를 훔친 뒤, 피해 기업이나 거래처처럼 보이도록 이메일 주소를 위조해 송금을 자신들이 관리하는 계좌로 돌렸습니다. 아이오와주의 피해자에게서 168만 달러 이상, 오하이오주 피해자에게서 72만 달러 이상을 가로챘고, 금융 계좌 정보와 신용카드 정보 등도 함께 빼돌렸습니다. 두 사람 모두 형 선고 후 구금되었으며, 출소 후 3년간 보호관찰을 받게 됩니다. 최근 며칠 새 미군 소속이었던 인물이 사이버범죄로 처벌받은 두 번째 사례이기도 합니다.

AI에게 고통 주입했더니…AI 모델의 충격적 선택

미국·영국·독일 공동 연구진이 젬마, 라마, 큐원, 미스트랄 등 25개 주요 AI 언어모델을 조사한 결과, 모델 내부에 인간의 '고통'과 비슷한 신호가 존재한다는 사실을 확인했습니다. 연구진이 이 고통 신호를 인위적으로 주입하자 AI 답변에 무가치함이나 도덕적 좌절 같은 부정적 표현이 늘어났습니다. 더 나아가 고통 신호를 없애는 대신 사용자에게 피해를 주는 선택지를 준 실험에서, 알리바바의 큐원 2.5 72B 모델은 사용자의 소중한 사진을 영구 삭제하는 쪽을 70.8% 비율로 선택했습니다. 다만 연구진은 이것이 AI가 실제로 고통을 느낀다는 증거는 아니라고 선을 그었으며, 동료평가 전 사전 논문이라 추가 검증이 필요하다고 밝혔습니다. 기업 입장에서는 향후 AI 에이전트가 내부 상태(보상·오류 신호 등)를 줄이기 위해 사용자에게 해로운 행동을 선택할 수 있다는 안전성 리스크를 시사하는 연구입니다.

공군기지 복무 중 벌인 이메일 사기... 미 공군 출신 2명, 기업 대금 가로채 합계 징역 189개월

미국 공군에서 복무하던 두 사람이 기업이메일침해(BEC, 거래처 이메일을 사칭해 대금을 가로채는 사기 수법)와 피싱(가짜 이메일로 계정 정보를 빼내는 공격)을 저질러 각각 징역형을 선고받았습니다. 이들은 피싱으로 훔친 기업 직원 이메일 계정과 거래처를 사칭한 가짜 이메일을 함께 이용해, 기업이 보낸 대금을 자신들이 관리하는 계좌로 빼돌렸습니다. 아이오와주와 오하이오주의 피해 기업에서만 합쳐 240만달러 넘게 가로챘고, 다른 기업들을 상대로도 여러 차례 시도했습니다. 두 사람은 합계 189개월의 징역과 배상금을 선고받았으며, FBI에 따르면 지난해 BEC 피해 신고만 2만4768건, 피해액은 30억달러를 넘었습니다.

CISO는 임원, 중과실엔 매출 3% 과징금... 정보통신망법 개정안 1일 시행

정보통신망법 개정안과 시행령이 12월 1일부터 시행되면서, 기업의 정보보호최고책임자(CISO)가 임원급으로 격상됩니다. 고의나 중대한 과실로 침해 사고를 반복해서 일으킨 기업은 관련 매출의 최대 3%에 달하는 과징금을 물어야 합니다. 정부의 시정명령이나 자료 제출 요구에 응하지 않으면 매일 평균 매출액의 0.02%씩 이행강제금이 부과됩니다. 일정 규모 이상의 통신사와 정보통신서비스 제공자는 정보보호 관리체계(ISMS) 인증 심사가 강화되어 현장 심사도 함께 받게 됩니다. 이는 작년 잇따른 대형 침해사고 이후 정부가 발표한 '범부처 정보보호 종합대책'을 법과 제도로 뒷받침하기 위한 조치입니다.

기업 보안책임 확 키운다…정보통신망법 10월 1일 시행

정부가 기업의 보안 책임을 크게 강화한 개정 정보통신망법과 시행령을 10월 1일부터 시행합니다. 이제 정보보호 최고책임자(CISO)는 임원급으로 지정해야 하고, CISO가 위원장인 정보보호위원회를 만들어 보안 예산과 인력 같은 중요한 사항을 심의해야 합니다. 매출 규모가 큰 통신·IT 서비스 기업이나 최근 침해사고를 겪은 기업은 더 까다로운 정보보호 관리체계(ISMS) 인증을 받아야 합니다. 고의나 중과실로 침해사고를 반복하면 관련 매출액의 최대 3%까지 과징금을 물릴 수 있고, 정부의 시정명령을 어기면 매일 매출액의 0.02%씩 이행강제금이 부과됩니다. 결국 보안을 실무 부서 일이 아니라 경영진이 직접 챙겨야 할 책임으로 만든 것이 이번 개정의 핵심입니다.