TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

통신/IT 분야 뉴스

중요통신/IT

The Hacker News·2026. 09. 28.

JADEPUFFER 연계 공격자, 탈취한 서비스 프린시펄로 Azure 리소스 삭제

JADEPUFFER(마이크로소프트 명칭: Storm-3168)라는 공격 조직이 마이크로소프트 Azure 클라우드 환경에서 탈취한 서비스 프린시펄(자동화 인증 계정)을 이용해 저장소, 데이터베이스, 백업 등 여러 리소스를 삭제한 사건이 확인됐습니다. 이 공격은 2026년 6월 초 약 18시간에 걸쳐 진행됐고, 스토리지 계정 100여 건이 삭제 시도됐으며 대부분 실제로 삭제됐습니다. 이 조직은 앞서 Langflow의 취약점(CVE-2025-3248)을 악용해 침투한 뒤 AI(인공지능) 에이전트가 스스로 판단해 자격증명을 훔치고 내부로 이동하며 랜섬웨어 공격을 수행한 것으로도 알려져 있어, 사람 개입 없이 AI가 전체 공격을 조율한 사례로 주목받고 있습니다. 서비스 프린시펄의 계정 정보(클라이언트 ID, 비밀키 등)가 공개 GitHub 이슈에 평문으로 노출됐던 것이 침해 원인으로 추정됩니다. 리소스 잠금과 삭제 방지 기능이 걸려 있던 일부 자원은 삭제를 막을 수 있었다는 점에서, 독립적인 보호 장치의 중요성이 다시 확인됐습니다.

#AI #AI 에이전트 #Azure

통신/IT

Help Net Security·2026. 09. 28.

전직 미군, AT&T·Snowflake 데이터 탈취 가담 혐의로 70개월 선고

미군 현역 군인이었던 캐머런 존 와그니어스가 AT&T 등 통신사와 Snowflake(스노우플레이크) 고객사들을 해킹해 데이터를 훔치고 금품을 요구한 혐의로 징역 70개월과 배상금 약 29만5천 달러를 선고받았습니다. 그는 2023년 4월부터 2024년 12월까지 'kiberphant0m'이라는 닉네임으로 활동하며 직접 개발한 해킹 도구로 로그인 정보를 빼내 최소 10개 조직을 공격했습니다. 훔친 데이터는 다크웹 포럼에 공개하겠다고 협박하거나 판매하는 데 쓰였고, 일부는 유심 스와핑(SIM-swapping, 타인의 전화번호를 가로채는 사기 수법) 같은 추가 범죄에도 악용됐습니다. 이들은 피해 기업들로부터 총 100만 달러 이상을 갈취하려 했으며, 현역 군인 신분으로 군 복무 중 이런 범죄를 저질렀다는 점이 특히 논란이 됐습니다.

#XSS #공급망 #다중인증

통신/IT

BleepingComputer·2026. 09. 28.

미군 병사, 기술·통신사 10곳 갈취 혐의로 징역 70개월 선고

미군 현역 병사였던 21세 Cameron John Wagenius(별명 'kiberphant0m')가 2023년 4월부터 2024년 12월까지 AT&T, Verizon 등 최소 10개 미국 기술·통신 기업을 해킹하고 갈취한 혐의로 징역 70개월을 선고받았습니다. 그는 공범들과 함께 자체 제작한 SSH 무차별대입(brute force) 해킹 도구로 기업 네트워크 로그인 정보를 훔쳤고, 훔친 데이터를 BreachForums, XSS.is 같은 범죄 포럼에 공개하겠다고 위협하며 최소 100만 달러를 갈취하려 했습니다. 일부 데이터는 실제로 판매되었고 SIM 스와핑 등 추가 사기에도 악용되었습니다. 이번 사건은 Snowflake 클라우드 저장소를 노린 대규모 해킹 캠페인과도 연결되어 있으며, 그 여파로 AT&T, Ticketmaster, Santander 등 수억 명의 고객 정보가 유출된 바 있습니다.

#AI #MFA #SaaS

중요통신/IT

The Hacker News·2026. 09. 28.

CISA, 전 세계에서 악용 중인 Citrix NetScaler의 두 심각한 취약점 경고

미국 CISA(사이버보안·인프라보안국)가 Citrix NetScaler ADC·Gateway 제품의 심각한 취약점 두 개가 실제 공격에 악용되고 있다며 '실제 악용 확인 목록(KEV)'에 등록했습니다. 두 취약점 모두 CVSS 점수 9.5로 매우 위험하며, 인증 절차 없이도 공격자가 시스템 명령을 마음대로 실행하거나 서비스를 마비시킬 수 있습니다. Citrix는 이미 패치 버전을 배포했고, 침해가 의심되면 장비 격리, 자격증명 교체, 인증서 재발급 등 세부 대응 절차도 안내했습니다. 미국 연방 행정기관은 2026년 9월 30일까지 패치를 완료해야 하며, 일반 기업도 서둘러 조치가 필요합니다.

#CVSS #RCE #SSL

통신/IT

ZDNet Korea·2026. 09. 28.

통신 3사 CEO, 보안사고 예방 직접 챙긴다…"국민 신뢰 쌓을 것"

개인정보보호위원회가 SK텔레콤, KT, LG유플러스 등 통신 3사 대표와 간담회를 열고 '국민이 신뢰하는 AI·디지털 사회를 위한 공동선언문'을 발표했습니다. 최근 통신 분야에서 개인정보 유출 사고가 잇따르자, 사고 발생 후 대응하는 방식에서 벗어나 서비스 기획 단계부터 위험을 미리 차단하는 사전 예방 체계로 전환하고, 개인정보 보호를 담당 부서가 아닌 CEO와 이사회가 직접 챙기도록 하겠다는 내용입니다. SK텔레콤은 5년간 7000억원, KT는 5년간 2조 2000억원을 정보보호와 IT 인프라 개선에 투자하기로 했으며, KT 대표는 지난해 발생한 유출 사고에 대해 다시 사과했습니다. 통신 3사는 AI 서비스에도 '개인정보 보호 중심 설계(Privacy by Design)'를 적용하고, 유통망 전반의 개인정보 관리 강화와 보안 전문인력 양성에도 정부와 협력하기로 했습니다.

#AI #AI 거버넌스 #ISMS

통신/IT

전자신문 보안·2026. 09. 28.

통신3사 CEO "개인정보 보호가 기업 최우선 경영 가치"…개인정보위원장과 공동선언문 발표

SK텔레콤·KT·LG유플러스 통신 3사 대표와 개인정보보호위원회 위원장이 첫 간담회를 열고 '국민이 신뢰하는 AI·디지털 사회를 위한 공동 선언문'을 발표했습니다. 최근 잇따른 개인정보 유출 사고로 통신사에 대한 신뢰가 흔들리자, 이사회가 개인정보 보호 현황을 상시 점검하는 책임 체계를 만들고 예방 중심의 보안 관리를 강화하겠다는 내용입니다. 서비스 기획 단계부터 개인정보 보호를 설계에 반영하는 '프라이버시 바이 디자인(PbD)'을 도입하고, AI 서비스에서 개인정보가 어떻게 쓰이는지 이용자가 쉽게 알 수 있도록 투명성을 높이기로 했습니다. 개인정보 보호를 강화하는 기술(PET) 연구도 확대할 계획입니다.

#AI #개인정보 #개인정보 유출

통신/IT

Help Net Security·2026. 09. 28.

양자 난수, 통계 검사를 통과해도 공격자에게 단서를 줄 수 있다

유럽전기통신표준협회(ETSI)가 양자 난수 생성기(QRNG)의 보안 취약점을 다룬 기술 보고서(ETSI TR 104 171)를 발표했습니다. QRNG는 암호화 키 생성 등 보안 시스템의 핵심 요소인데, 통계 검사를 통과한 숫자라도 공격자에게 다음 출력값을 예측할 단서를 줄 수 있다는 점이 핵심 우려입니다. 특히 AI를 활용하면 장치의 전력 소비나 전자기 신호 변화를 분석해 난수 패턴을 파악하는 공격이 가능해질 수 있습니다. 보고서는 하드웨어 차폐, 출력값 처리 방식 강화, 운영 중 지속적인 모니터링을 권고하며, 고보안 환경에서는 '엔트로피 제로 트러스트(entropy zero trust)' 접근법을 적용할 것을 제안합니다.

#AI #규제 #사고 대응

통신/IT

BleepingComputer·2026. 09. 27.

Cloudflare, 고객 데이터를 노출시킨 Containers 크로스 테넌트 취약점 수정

Cloudflare의 컨테이너 서비스(Containers)에서 서로 다른 고객의 데이터가 노출될 수 있는 취약점이 발견되어 수정되었습니다. 컨테이너 디스크를 삭제할 때 저장 블록을 초기화하지 않고 재사용하는 설정 결함 때문에, Workers Paid 계정을 가진 공격자가 같은 물리 서버에 있던 다른 고객의 디렉터리 구조, SQLite 데이터베이스, .env 파일, 자격증명 파일 등을 읽을 수 있었습니다. 보안 연구자 Oren Yomtov가 2026년 9월 4일 HackerOne을 통해 신고했고, Cloudflare는 9월 19일까지 인프라 패치를 완료했습니다. 실제 고객 데이터가 유출된 증거는 발견되지 않았으며, 고객이 별도로 취해야 할 조치는 없습니다.

새 컨테이너에 이전 고객 데이터가 남았다…클라우드플레어 격리 취약점 발견

클라우드플레어(Cloudflare)의 컨테이너 서비스에서 한 고객이 이전 고객의 데이터를 읽을 수 있는 취약점이 발견됐습니다. 컨테이너가 삭제된 뒤 그 저장 공간을 새 고객에게 재배정할 때 기존 데이터를 지우는 기능이 꺼져 있어 이전 데이터가 남아 있었던 것이 원인입니다. 실제 공격자가 특정 고객의 데이터를 골라 훔치는 것은 어려웠지만, 폴더 구조·데이터베이스 페이지·환경설정 파일·인증정보 파일 등이 노출될 수 있었습니다. 클라우드플레어는 9월 19일 전체 서버에 대한 수정과 정리를 완료했으며, 고객이 별도로 조치할 사항은 없습니다. 다만 취약한 설정이 언제부터 적용됐는지는 밝혀지지 않아 과거 노출 기간은 확인되지 않습니다.

#브라우저 #취약점 #컨테이너

통신/IT

전자신문 보안·2026. 09. 27.

가비아, 외부 해킹으로 고객정보 2998명 유출…"사고 인지 직후 경로 차단"

국내 도메인·웹호스팅 서비스 기업 가비아가 외부 해커의 공격으로 고객 2,998명의 개인정보가 유출되는 사고를 겪었습니다. 공격자는 가비아 웹 서비스의 외부 요청 검증(입력값을 제대로 확인하지 않는 취약점)이 부족한 부분을 노려 내부 시스템에 무단 접근했습니다. 유출된 정보는 성명, 아이디, 이메일, 휴대전화번호이며, 비밀번호는 유출되지 않았습니다. 가비아는 사고 인지 후 약 80분 내에 접근 경로를 차단하고 취약점을 조치했으며, KISA(한국인터넷진흥원)와 개인정보보호위원회에 신고해 합동 조사 중입니다. 유출된 아이디를 이용한 다른 사이트 계정 도용(크리덴셜 스터핑) 피해가 우려되므로 가비아 이용자는 즉시 비밀번호를 변경할 것을 권장합니다.

#KISA #개인정보 #개인정보 유출

통신/IT

ZDNet Korea·2026. 09. 26.

AI발 부품난에 외산공유기 규제 삐걱…美정부, 잇단 예외 허용

미국 연방통신위원회(FCC)는 외국산 통신 장비가 미국 네트워크에 유입되는 것을 막기 위해 올해 3월부터 외산 소비자용 공유기의 신규 승인을 원칙적으로 금지하고 있습니다. 그런데 AI 데이터센터 확산으로 메모리 등 전자부품 수급이 어려워지면서, 이미 승인받은 공유기라도 부품을 교체하려면 별도 허가가 필요한 상황이 됐습니다. 이에 FCC는 2027년 9월까지 한시적으로 통신사와 제조사가 기존 제품의 부품을 변경할 수 있도록 예외를 허용했습니다. AT&T, 버라이즌, 넷기어, 노키아 등 주요 업체가 면제를 받았으며, 국내 업체 휴맥스네트웍스도 조건부 승인을 획득했습니다. 이는 보안 규제와 공급망 현실이 충돌한 사례로, 향후 규제 방향에 주목할 필요가 있습니다.

#AI #공급망 #공유기

중요통신/IT

The Hacker News·2026. 09. 25.

Cloudflare, 한 컨테이너가 다른 고객의 잔여 디스크 데이터를 읽을 수 있는 취약점 수정

클라우드 서비스 기업 Cloudflare의 컨테이너 제품에서, 한 고객의 컨테이너가 이전에 같은 서버를 사용했던 다른 고객의 잔여 디스크 데이터를 읽을 수 있는 취약점이 발견됐습니다. 문제의 원인은 리눅스 '씬 프로비저닝(얇은 저장 공간 할당)' 기능에서 사용이 끝난 디스크 블록을 새 컨테이너에 넘기기 전에 내용을 지우지 않은 것이었습니다. 연구자들은 실제 테스트에서 24번 중 18번 꼴로 다른 고객의 디렉터리 구조, SQLite 데이터베이스, 환경설정 파일(.env), 자격증명 파일 등을 회수했습니다. Cloudflare는 이미 전체 서비스에 걸쳐 수정을 완료했으며, 고객이 별도로 취해야 할 조치는 없다고 밝혔습니다.

#AI #AI 에이전트 #PoC

이전3 / 6다음