TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

다중인증 키워드 뉴스

중요금융

The Hacker News·2026. 09. 24.

TeamFiltration 캠페인, 기본 비밀번호로 Microsoft 365 계정 7개 침해

'UNK_CondorFiltration'이라는 이름의 해킹 캠페인이 TeamFiltration(계정 열거·패스워드 스프레이·데이터 탈취에 사용되는 공격 프레임워크)을 이용해 칠레의 금융기관과 소매업체 28개 Microsoft 365 테넌트, 5,700개 이상의 계정을 공격했습니다. 공격자는 1,487개의 AWS IP 주소를 동원해 2026년 7월~8월 세 차례에 걸쳐 무차별 대입을 시도했고, 결국 7개 계정을 탈취했습니다. 피해 계정 모두 IT팀이 발급 후 비밀번호를 한 번도 바꾸지 않은 채 방치된 서비스 계정이었으며, MFA(다중 인증)도 적용되지 않았습니다. 공격자는 계정 탈취 2분 이내에 독일 VPN을 경유하여 Azure Portal, SharePoint, Microsoft Graph API 등에 접근했으며, 데이터 수집·유출 가능성이 있습니다. 이번 사례는 방치된 비인간 계정(서비스 계정)이 기업 보안의 심각한 취약 고리임을 보여줍니다.

#AWS #Azure #MFA

기업

Help Net Security·2026. 09. 23.

가짜 Claude Max 무료 이벤트로 사용자 구글 계정 자격증명 탈취

보안 연구기업 Malwarebytes가 Claude Max 무료 구독을 미끼로 구글 계정 로그인 정보를 훔치는 피싱 캠페인을 발견했습니다. 공격자들은 실제 Anthropic 홈페이지와 똑같이 생긴 가짜 페이지를 만들고, 카운트다운과 '잔여 슬롯'으로 긴박감을 조성해 사용자를 유인합니다. 피해자가 구글 로그인 버튼을 누르면, 현재 탭 안에 가짜 구글 로그인 창이 그려지는 '브라우저-인-더-브라우저(Browser-in-the-Browser, 탭 안에 가짜 팝업 창을 그려 실제 팝업처럼 속이는 기법)' 수법으로 자격증명을 탈취합니다. 구글 계정이 탈취되면 이메일·문서·다른 서비스의 비밀번호 재설정까지 공격자에게 노출됩니다. 악성 기능이 러시아어 주석이 달린 재사용 가능한 외부 위젯 코드 한 줄로 구현된 점이 특징으로, 동일 도구를 활용한 유사 캠페인이 확산될 가능성이 있습니다.

#MFA #Windows #결제

기업

ZDNet Korea·2026. 09. 23.

추석 연휴 D-1…조심해야 할 사이버 위협은

추석 연휴를 앞두고 한국인터넷진흥원(KISA)과 금융보안원이 기업과 개인에게 사이버 위협 대비를 강력히 권고했습니다. 연휴 기간에는 보안 담당자 부재로 인해 침해사고가 발생해도 대응이 늦어질 수 있어, 공격자가 랜섬웨어를 퍼뜨리거나 내부 시스템에 오래 숨어 있을 가능성이 높아집니다. 특히 택배·공공기관 사칭 스미싱(문자 메시지를 이용한 피싱 사기)과 AI 기술을 악용한 '딥보이스' 사기가 기승을 부리며, 명절 포함 달에는 보이스피싱 범죄가 평시보다 32.5% 급증한 통계도 있습니다. 기업은 API 인증, 클라우드 접근 키, 다중인증(MFA), 백업 분리 등 5대 보안 항목을 연휴 전에 반드시 점검하고 비상연락체계를 정비해야 합니다. 개인은 문자 속 링크를 함부로 누르지 않는 것이 가장 기본적인 예방법입니다.

#AI #ASM #KISA

중요기업

BleepingComputer·2026. 09. 23.

악성 외부 MFA 제공자를 이용해 로그인 중 비밀번호를 탈취하는 공격 기법 공개

보안 연구팀 Varonis가 'TrustSink'라는 새로운 공격 기법을 공개했습니다. 이 기법은 마이크로소프트 Entra(기업용 계정 관리 서비스)의 외부 MFA(다중 인증) 연동 기능을 악용해, 정상적인 로그인 과정 중에 사용자의 비밀번호를 몰래 탈취합니다. 공격자는 먼저 높은 권한의 관리자 계정을 탈취한 뒤, 가짜 외부 MFA 제공자를 등록해 마이크로소프트 로그인 화면을 흉내 낸 피싱 페이지를 끼워 넣습니다. 피해자가 비밀번호를 입력하면 공격자 서버로 전송되지만, 로그인은 정상적으로 완료되어 피해자는 이상을 전혀 느끼지 못합니다. 비밀번호를 바꿔도 가짜 MFA 제공자가 그대로 남아 새 비밀번호까지 재탈취되므로, 반드시 악성 제공자를 먼저 제거한 뒤 자격증명을 교체해야 합니다.

#AI #MFA #PoC

중요기업

BleepingComputer·2026. 09. 23.

EvilTokens PhaaS, Microsoft 계정 12,000개 침해 후 운영 중단

EvilTokens는 2026년 2월 등장한 피싱 대행 서비스(PhaaS, 피싱 공격을 구독 방식으로 판매하는 플랫폼)로, 전 세계 10,000개 이상 조직에서 Microsoft 계정 12,000개 이상을 탈취했습니다. 이 플랫폼은 '디바이스 코드 피싱'이라는 기법으로 다중 인증(MFA)을 우회해 인증 토큰을 훔치고, AI를 이용해 침해된 메일함에서 임원 서신·이체 정보 등 고가치 데이터를 자동으로 찾아냈습니다. Microsoft 디지털 범죄 수사팀(DCU)과 법집행기관이 공조해 인프라를 압수하고 영국에서 운영자 2명을 체포했으나, 완전한 서비스 차단은 아니어서 위협은 여전히 존재합니다. 피해 조직은 도매·건설·금융·부동산·교육·의료 등 다양한 업종에 걸쳐 있으며, 침해 계정의 97.5%가 기업 도메인 소속이었습니다. 조직은 불필요한 디바이스 코드 인증을 비활성화하고 FIDO2 보안 키 같은 피싱 저항성 인증 방식으로 전환해야 합니다.

#AI #AWS #MFA

중요기업

Help Net Security·2026. 09. 22.

Elsevier 도메인, 잠시 LAPSUS$ "Chapter II" 페이지로 강제 리다이렉트

네덜란드 학술 출판사 Elsevier의 주요 도메인 3개가 약 78분간 LAPSUS$ 그룹을 사칭하는 페이지로 강제 이동(리다이렉트)되는 사건이 발생했습니다. 공격자는 Elsevier의 DNS 레코드 또는 CDN(콘텐츠 전송 네트워크) 설정을 변경해 방문자를 납치된 페이지로 보낸 것으로 추정되며, Cloudflare의 리다이렉트 규칙이 조작됐다는 주장도 있습니다. 피해 도메인에는 메인 홈페이지, 의료교육 학습관리 포털, 논문 투고 포털이 포함돼 사용자 로그인 정보 유출 여부가 우려됩니다. Elsevier는 현재까지 공식 입장을 내놓지 않았으며, 계정 정보 탈취 여부도 확인되지 않았습니다. 한편 이번 사건에 쓰인 LAPSUS$ 브랜드는 2022년 이후 사실상 해체된 것으로 알려져 있었으나, 최근 들어 동일 브랜드를 내건 공격 활동이 다시 포착되고 있어 주의가 필요합니다.

#DNS #MFA #다중인증

기업

BleepingComputer·2026. 09. 21.

Microsoft, 관리자에게 Entra ID 사용자를 패스키로 전환 촉구

Microsoft가 2027년 2월부터 Entra ID(기업 계정 관리 서비스)에서 SMS를 첫 번째 인증 수단으로 사용하는 방식을 폐기한다고 공식 발표했습니다. 이 변경이 적용되면 SMS나 음성 통화로 로그인하던 사용자는 더 이상 인증을 완료할 수 없으므로, 기업 관리자는 그 전에 사용자를 패스키·FIDO2 보안 키·QR 코드 인증 등 피싱(이메일 등을 이용한 사기성 계정 탈취) 방지 방식으로 전환해야 합니다. SMS 인증을 계속 유지하려면 Microsoft Security Store를 통해 서드파티 통신사를 별도로 연동해야 합니다. 관리자는 Microsoft가 제공하는 PowerShell 스크립트로 아직 SMS/음성 인증을 쓰는 사용자를 찾아낼 수 있습니다. 이번 달부터 패스키가 Entra ID의 기본 인증 방식으로 순차 적용되기 시작합니다.

#AI #Azure #MFA

공공

전자신문 보안·2026. 09. 21.

국세청·질병관리청 '개인정보 이노베이션 존' 지정

개인정보보호위원회가 국세청과 질병관리청을 '개인정보 이노베이션 존' 운영기관으로 새로 지정했습니다. 이노베이션 존이란 다중 인증(여러 단계로 본인을 확인하는 방식)과 실시간 화면 녹화 같은 강화된 보안 환경 안에서 가명처리된 개인정보를 안전하게 연구·분석할 수 있도록 마련된 공간입니다. 개인정보위는 이 공간 전반에 제로 트러스트(아무도 기본적으로 신뢰하지 않고 매번 검증하는 보안 원칙)를 적용해 데이터 처리의 안전성을 관리합니다. 국세청은 서울 국세통계센터에, 질병관리청은 충북 청주 별관에 각각 분석공간을 구축할 예정이며, 현장실사를 거쳐 내년 초부터 본격 운영됩니다. 기업 보안 담당자 입장에서는 직접적인 즉시 대응 사안은 아니지만, 국내 공공 데이터 보안 인프라 확장 흐름으로 참고할 수 있습니다.

#AI #개인정보 #개인정보위

기업

Help Net Security·2026. 09. 18.

발각될 때쯤이면 사기 채용자의 98%는 이미 회사 자격증명을 손에 쥔 상태

기업이 직원을 채용한 뒤 실제 입사까지 걸리는 약 90일의 공백 기간에 사기 채용(신분을 속기거나 AI로 만들어진 가짜 지원자)이 파고들고 있다는 조사 결과가 나왔습니다. 보안회사 HYPR의 보고서에 따르면, 사기 채용이 발각될 때쯤에는 이미 98%의 경우에서 회사 계정과 내부 시스템 접근 권한이 발급된 상태였습니다. 자동화된 보안 도구가 탐지하는 비율은 53%에 불과하고, 나머지는 직원 신고나 내부 감사 같은 수작업에 의존하고 있습니다. 특히 HR(인사)팀과 IT·보안팀 사이에 책임 공백 구간이 존재해 공격자가 이를 틈타 조직에 침투할 수 있습니다. 신원 확인 기술과 MFA(다중 인증) 등 보안 투자의 약 60%가 사고 발생 후에 이루어지는 사후 대응 방식이라는 점도 문제로 지적됩니다.

#AI #MFA #다중인증

기업

ZDNet Korea·2026. 09. 17.

랜섬웨어, 네트워크 분할·ZT로 확산 방지

랜섬웨어 공격에서 실제 피해 규모는 공격자가 내부 네트워크를 얼마나 자유롭게 돌아다닐 수 있느냐에 따라 크게 달라집니다. 박정수 강남대 교수는 네트워크를 구역별로 나누는 '세그멘테이션'과, 위치가 아닌 신원·행위를 기반으로 매번 접근을 검증하는 '제로트러스트(Zero Trust)' 원칙을 함께 적용하면 공격자의 이동 경로를 차단할 수 있다고 설명했습니다. 실제 사례로 2024년 미국 의료기업 Change Healthcare는 MFA(다중인증)와 네트워크 분할이 미흡해 크리덴셜(계정 정보) 탈취 후 단 9일 만에 대규모 랜섬웨어 피해를 입었습니다. 핵심은 침투 자체를 막는 것뿐 아니라, 이미 침투한 공격자가 조직 전체로 퍼지지 못하도록 이동 경로와 접근 가능 자산을 최소화하는 '전주기 대응 체계'를 갖추는 것입니다.

일본 디지털청, VPN 구멍으로 24만명분 정보 새어나가

일본 정부 디지털청에서 약 24만 6000건의 개인정보가 외부로 유출됐습니다. 공격자는 VPN(가상사설망) 제품의 취약점(보안 구멍)을 악용해 직원 계정을 통해 정부 파일 서버에 몰래 접근했습니다. 유출된 정보에는 이름, 이메일 주소, 전화번호 등이 포함되며, 주민번호나 금융 계좌 정보는 포함되지 않았습니다. 디지털청은 침해를 발견한 직후 해당 서버의 외부 접속을 차단하고 공격에 사용된 직원 계정을 정지했습니다. 이번 사고는 공개된 VPN 취약점이 패치 전에 실제 공격에 활용된 사례로, 빠른 취약점 대응의 중요성을 보여줍니다.

[카드뉴스] "신분증 털려 5천만원 빚더미?"… 3분 만에 끝내는 '내 명의 도용' 전수조사 방법

신분증 사본이나 개인정보(PII)가 유출되면 공격자가 이를 이용해 대포폰을 개통하고, 금융 본인인증(MFA)을 우회한 뒤 비대면으로 거액의 대출을 받아 피해자에게 빚을 떠넘기는 범죄가 늘고 있습니다. 피해를 막으려면 사고가 난 뒤 대응하는 것보다 미리 차단 장치를 등록해 두는 것이 훨씬 효과적입니다. 한국정보통신진흥협회의 엠세이퍼(M-Safer)에서 내 명의 통신 가입 현황을 확인하고 신규 가입을 제한할 수 있으며, 계좌정보통합관리서비스(Account Info)에서 몰래 만들어진 계좌나 대출을 점검할 수 있습니다. 추가로 KCB·NICE 등 신용평가사의 '명의도용 방지 서비스'를 신청하면, 누군가 내 이름으로 대출이나 카드 발급을 시도할 때 신용조회 자체를 실시간으로 차단하거나 알림을 받을 수 있습니다.

#MFA #개인정보 #금융권

이전2 / 4다음