TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

결제 키워드 뉴스

중요기업

The Hacker News·2026. 09. 12.

앤트로픽, 중국 기반 AI 기업 7곳이 산업적 규모의 클로드 증류 공격 수행했다고 밝혀

앤트로픽(Anthropic)은 알리바바, 딥시크(DeepSeek), 문샷(Moonshot AI) 등 중국 기반 AI 기업 7곳이 클로드(Claude)의 능력을 몰래 빼내는 대규모 '불법 증류(distillation)' 공격을 수행했다고 밝혔습니다. 이들은 수천 개의 가짜 계정과 훔친 신용카드·API 키를 이용해 클로드에 접근하고, 사용자 대화 내용을 무단으로 수집해 자사 AI 모델 훈련에 활용했습니다. 피해 규모는 최대 1억 5,100만 건의 대화 교환에 달하며, 일반 사용자·다국적 기업·국가 연계 기관의 민감한 정보도 포함된 것으로 확인됐습니다. 앤트로픽은 재판매 계정 차단, 내부 추론 요약 처리, 추론 암호화 등 기술적 대응책을 이미 적용했으며, 미국 사이버보안 당국도 중국 AI 기업들의 조직적인 미국 프론티어 모델 탈취 행위를 공식 경고했습니다.

#AI #API 키 #결제

중요기업

The Hacker News·2026. 09. 11.

ThreatsDay: 안드로이드 취약점 200건, 브라우저 내 피싱 페이지 생성, 가짜 쇼핑몰 11만9천 개 외 23건

이번 주 보안 뉴스 모음집에는 기업 보안 담당자가 즉시 확인해야 할 사안들이 여럿 포함되어 있습니다. 가장 주목할 항목은 안드로이드 9월 보안 패치로, 200개의 취약점 중 CVE-2026-28662(Wi-Fi를 통해 아무런 사용자 조작 없이 원격으로 코드를 실행할 수 있는 심각한 결함)가 포함되어 있어 기업 내 안드로이드 기기 전체에 즉시 업데이트를 배포해야 합니다. 중국어 사용자로 추정되는 공격자가 Claude Code·Qwen·DeepSeek 같은 AI 도구를 활용해 정부·금융 시스템 침투를 자동화한 캠페인도 공개됐으며, 이는 AI 기반 사이버 공격이 실전에 사용되고 있음을 보여줍니다. 또한 BigBear 2.0이라는 서비스형 피싱(PhaaS) 플랫폼이 40개국 이상의 461개 조직을 표적으로 삼아 MFA(다중 인증)를 우회하고 세션 쿠키를 탈취했으며, Google의 합법적 서비스 6종을 경유한 다단계 피싱 캠페인도 발견됐습니다. 랜섬웨어 연계 공격(EtherRAT→TukTuk→The Gentlemen 랜섬웨어), 가짜 쇼핑몰 119,000개 운영, npm 악성 패키지 13종 등 다양한 위협이 동시에 진행 중입니다.

#AI #AI 에이전트 #DNS

기업

ZDNet Korea·2026. 09. 11.

MS "AI 악용 100만 건 이상 송장 사기 메일 전송 발견"

마이크로소프트(MS)가 AI를 이용해 100만 건 이상의 금융 사기 이메일을 발송한 대규모 공격 캠페인을 발견했습니다. 공격자는 여러 기업의 CEO·CFO 등 경영진을 사칭하고, 서비스나우(ServiceNow)의 가짜 연간 구독 송장을 덧붙여 회계·지급 담당 직원이 약 5만 달러를 공격자 계좌로 이체하도록 속였습니다. AI를 활용해 수신자별 맞춤형 이메일을 자동 제작하고, 가짜 이메일 대화까지 삽입해 의심을 피하도록 정교하게 설계됐습니다. 이메일 주소와 발신자 표시 이름이 일치하지 않거나 'ACH Payment' 같은 금융 키워드가 제목에 들어가는 등 몇 가지 탐지 단서가 있습니다. MS는 Microsoft Defender for Office 365, ZAP(Zero-hour Auto Purge) 등 다계층 보호 기능 활용과 이메일 인증 설정을 권고했습니다.

#AI #결제 #금융 사기

중요금융

The Hacker News·2026. 09. 10.

Gigabud, 은행 앱 보안 검사 회피 위해 안드로이드 직장 프로필 악용

Gigabud는 2022년부터 활동 중인 안드로이드 뱅킹 트로이목마(금융 정보를 훔치는 악성 앱)로, 최근 'Vwork'라는 두 번째 악성 앱을 함께 설치해 탐지를 더욱 어렵게 만드는 새로운 기법을 사용하고 있습니다. Vwork는 안드로이드의 '직장 프로필(Work Profile)' 기능을 악용해 가짜 은행 앱을 별도의 격리된 공간에 심어두는데, 이 공간은 기존 백신이나 은행 앱의 보안 검사가 닿지 않습니다. 피해자가 진짜 은행 앱을 열면 가짜 로그인 화면이 위에 덮여 계정 정보와 화면 잠금 비밀번호를 탈취하고, 해커는 피해자 몰래 실시간으로 금융 거래를 실행합니다. 2026년 2월~7월 사이 인도네시아에서만 약 1,469개 기기 감염과 96만 달러(약 13억 원) 상당의 피해가 확인됐으며, 브라질·멕시코·필리핀·태국 등 11개국을 겨냥한 샘플도 발견됐습니다. 공식 앱스토어 외부에서 앱을 설치하지 않고, 불필요한 앱에 접근성(Accessibility) 권한을 주지 않는 것이 핵심 예방책입니다.

[단독] 해커는 왜 버그바운티 대신 기관 제보를 택했나…대형 PG 사고 둘러싼 의문과 팩트 체크

국내 대형 전자결제(PG)사 관련 사고의 실체가 추가 취재로 드러났습니다. PG사 내부 서버를 직접 해킹한 것이 아니라, 특정 가맹점에서 외부로 유출된 결제 연동 인증키(API Key)를 제3자가 확보해 정상적인 API 호출 방식으로 결제내역을 조회한 사건입니다. 조회된 정보는 구매자 이름·마스킹 카드번호·결제금액 등 수천 건 규모의 '영수증 수준' 거래정보이며, 직접 결제 악용은 어렵지만 개인 소비내역 파악이 가능해 개인정보 보호 측면에서 문제가 됩니다. 금융위원회·금융감독원에 사고가 보고됐고, 9월 11일 침해사고조사심의위원회가 열릴 예정입니다. 전문가들은 이번 사고를 계기로 API 키 유효성만 확인하는 보안 방식에서 벗어나, IP·호출량·패턴 등을 분석하는 이상탐지 체계와 결제 공급망 전체를 아우르는 보안관리가 필요하다고 강조합니다.

#API 키 #개인정보 #결제

중요금융

The Hacker News·2026. 09. 10.

美 법무부, Xinbi Guarantee 사기 마켓플레이스 해체 — 암호화폐 5,280만 달러 동결

미국 법무부가 불법 온라인 마켓플레이스 'Xinbi Guarantee'를 단속해 하루 만에 약 5,280만 달러(약 720억 원) 상당의 암호화폐를 동결했습니다. Xinbi는 중국어 기반의 텔레그램 마켓으로, 사기꾼들에게 피싱 웹사이트 제작, 자금 세탁, 피해자 인신매매 등 다양한 범죄 서비스를 제공해온 곳입니다. 특히 '돼지 도축(pig butchering)'이라 불리는 로맨스 사기와 연계되어 수십억 달러의 피해를 낳았으며, 북한 해커와 미국 재무부 제재 대상 기업들도 이 플랫폼을 이용한 것으로 드러났습니다. 미국 비밀경호국과 블록체인 분석 기업 Elliptic의 협력으로 52개 지갑이 동결됐고, 마다가스카르의 사기 거점 13곳도 함께 해체됐습니다. 단속 이후 Xinbi는 동결이 불가능한 스테이블코인으로 자산을 전환하려 시도하고 있어 추가 추적이 필요한 상황입니다.

#거래소 #결제 #금융 사기

중요기업

The Hacker News·2026. 09. 09.

미국 기관들, 중국 AI 기업들이 Claude·GPT·Gemini·Grok 증류 공격 수행했다고 고발

미국 NSA(국가안보국), CISA(사이버보안·인프라보안청), FBI가 공동으로 중국 AI 기업들이 Anthropic Claude, OpenAI GPT, Google Gemini, Grok 등 미국 최상위 AI 모델에서 수십억 개의 데이터를 산업 규모로 무단 추출했다고 경고했습니다. DeepSeek, Moonshot AI, Alibaba, MiniMax 등의 기업들이 VPN·프록시·우회 계정 등을 이용해 지리적 접근 제한을 뚫고 이용약관을 위반하며 이 작업을 수행했습니다. 중국 기업들은 자사 AI 모델 개발 비용과 기간을 크게 줄이기 위해 이 기법을 핵심 전략으로 활용하고 있습니다. 기업 보안 담당자는 AI API 키와 서비스 계정이 이런 악용의 표적이 될 수 있으며, 고객·파트너에게 발급한 AI 접근 권한도 노출 위험이 있음을 주의해야 합니다.

#AI #API 키 #결제

금융

ZDNet Korea·2026. 09. 09.

"소형 쇼핑몰 API키가 문제...하드코딩돼 해커 먹이감"

토스페이먼츠의 가맹점인 소형 쇼핑몰 한 곳이 해킹을 당해 고객 2,671명의 결제내역 4,131건이 유출됐습니다. 해커는 해당 쇼핑몰 웹사이트의 자바스크립트 소스코드에 그대로 노출된 API 키(시스템 간 통신에 사용하는 인증 암호)를 발견하고, 이를 이용해 정상 사용자처럼 위장해 결제정보를 조회했습니다. 카드 비밀번호·유효기간·CVC 등 결제 실행에 필요한 민감 정보는 포함되지 않아 2차 결제 피해는 없을 것으로 보입니다. 토스페이먼츠는 유출 사실 확인 즉시 해당 접근 경로를 차단하고, 신용정보법에 따라 피해자 통지 및 금융감독원·금융위원회에 신고했습니다. 보안 인력이 부족한 영세 쇼핑몰에서 API 키를 코드 안에 직접 박아두는(하드코딩) 관행이 주요 원인으로 지목됩니다.

#AI #API 키 #결제

중요금융

전자신문 보안·2026. 09. 09.

금감원, 코엠·토스페이먼츠 현장검사 착수…개인정보 유출

금융감독원(금감원)이 전자지급결제대행(PG)사인 코엠페이먼츠와 토스페이먼츠를 대상으로 현장검사에 나섰습니다. 코엠페이먼츠는 해킹 공격으로 카드번호, 유효기간, 생년월 정보, 카드 비밀번호 앞 두 자리 등이 유출됐을 가능성이 있으며, 정확한 피해 규모는 아직 파악 중입니다. 토스페이먼츠는 자사 시스템이 직접 해킹된 것이 아니라, 가맹점이 연동해 사용하던 외부 결제 플랫폼의 인증정보가 부주의한 관리로 외부에 노출된 사례입니다. 조회된 고객 정보(이름, 일부 가려진 카드번호)만으로는 실제 결제가 불가능하며, 외부 반출 정황도 현재까지 확인되지 않았습니다. 금감원은 카드정보 보관·관리 체계와 침해 경로, 사고 대응 과정을 집중 점검할 예정입니다.

#API 키 #개인정보 #개인정보 유출

중요기업

BleepingComputer·2026. 09. 09.

DoppelCart 사기 네트워크, 11만 9천 개 가짜 쇼핑몰로 신용카드 정보 탈취

'DoppelCart'라는 대규모 사기 네트워크가 11만 9천 개가 넘는 가짜 쇼핑몰 도메인을 운영하며 소비자의 신용카드 정보를 실시간으로 훔치고 있습니다. 이 가짜 사이트들은 SodaStream, Daniel Wellington 등 실제 브랜드의 상품 이미지와 설명을 그대로 복사해 최대 65% 할인을 미끼로 구매자를 유인합니다. 결제 단계에서 카드 번호·유효기간·보안코드·이름·연락처 등 모든 정보를 실시간으로 공격자 서버로 전송하며, 심지어 은행의 일회용 인증번호(OTP)까지 가로채 추가 보안 절차도 우회합니다. 현재 10만 5천 개 이상의 가짜 쇼핑몰이 여전히 운영 중이므로, 기업은 자사 브랜드가 사칭되고 있는지 확인하고 소비자에게 주의를 안내하는 것이 필요합니다.

#결제 #은행 #이메일

중요금융

The Hacker News·2026. 09. 09.

Slim Spider, 브라질 금융기관에서 암호화폐 수탁 기밀 탈취

'Slim Spider'라는 이름의 신규 해킹 그룹이 2026년 3월부터 브라질 금융기관을 집중 공격하고 있습니다. 이들은 클라우드 환경에 침투해 임시 자격증명(비밀번호·키 등)을 훔친 뒤, 암호화폐 지갑의 개인 키까지 탈취하는 고도화된 수법을 사용합니다. 공격자는 브라질의 즉시결제 서비스인 Pix와 디지털 자산 플랫폼에 대한 깊은 지식을 바탕으로, 합법적인 시스템 파일로 위장한 백도어와 악성 자동화 도구까지 동원했습니다. 별도의 해킹 그룹 'Breeze Comet'도 동일한 Pix 인프라를 노려 수백 건의 부정 거래를 실행한 것으로 확인됐습니다. 두 그룹의 동시 활동은 브라질 결제 인프라가 사이버범죄의 핵심 표적이 됐음을 보여주며, 금융기관의 클라우드 자격증명 및 디지털 자산 보안 강화가 시급합니다.

#Azure #devops #결제

의료

ZDNet Korea·2026. 09. 09.

개인정보 유출 강남언니, 1인당 5만 포인트로 보상

미용의료 플랫폼 강남언니(운영사 힐링페이퍼)에서 약 22만 명의 회원 개인정보가 유출되는 사고가 발생했습니다. 공격자는 상담내역 조회 기능(API)의 허점을 이용해 이름, 휴대폰 번호, 기기정보, 상담·시술 정보 등 민감한 데이터를 탈취했습니다. 피해는 한국뿐 아니라 일본, 대만, 태국 등 해외 이용자에게도 미쳤습니다. 회사는 KISA(한국인터넷진흥원)와 경찰에 신고를 마쳤고, 피해 고객에게 1인당 5만 원 포인트와 최대 1,000만 원 규모의 금융사기 보험을 제공하겠다고 밝혔습니다. 재발 방지를 위해 API 인증 절차를 다단계로 강화하고, 외부 보안 전문기관과 모의 침투 테스트를 진행 중입니다.

#ISMS #KISA #개인정보

이전6 / 9다음