TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

보안 정책 키워드 뉴스

중요기업

BleepingComputer·2026. 09. 18.

Brevo 공급망 공격: 고객 사이트에 ClickFix 악성 스크립트 주입

이메일 마케팅·CRM 서비스 Brevo의 소스코드에 하드코딩(고정 저장)된 Cloudflare API 키가 공격자에게 탈취되어, 2026년 9월 14일 약 5시간 30분 동안 공급망 공격이 발생했습니다. 공격자는 이 키를 이용해 CDN(콘텐츠 전송 네트워크) 엣지에서 Brevo의 스크립트를 변조하고, Brevo를 사용하는 고객 사이트 방문자에게 가짜 Cloudflare 인증 페이지와 ClickFix(악성 명령 실행을 유도하는 수법) 화면을 표시했습니다. WordPress 관리자 계정으로 로그인한 상태에서 해당 사이트를 방문한 경우, 백도어 기능을 가진 악성 플러그인이 자동으로 설치되어 공격자 서버와 지속 통신하는 추가 피해가 발생했습니다. 최대 100,000개의 웹사이트가 영향을 받았을 수 있으며, 9월 14일 해당 사이트를 WordPress 관리자로 방문했다면 즉시 플러그인 점검과 비밀번호 교체가 필요합니다.

#AI #API 키 #DNS

중요기업

The Hacker News·2026. 09. 17.

치명적인 Unbound DNSSEC 검증기 취약점, 악성 DNS 영역을 통한 원격 코드 실행 허용 가능

널리 쓰이는 DNS 확인자(도메인 주소를 IP로 바꿔주는 프로그램)인 Unbound의 1.26.0 이하 모든 버전에서 치명적인 보안 취약점이 발견됐습니다. 공격자가 악의적인 DNS 영역(zone)을 통해 해당 취약점을 악용하면, 원격에서 시스템을 마음대로 조작할 수 있는 원격 코드 실행(RCE) 공격이 가능합니다. 이번 업데이트(1.26.1)는 이 치명적 결함을 포함해 총 9개의 취약점을 한꺼번에 수정했습니다. 현재까지 실제 악용 사례는 보고되지 않았지만, CVSS 점수가 9.1(Critical)로 매우 높아 즉각적인 패치 적용이 권고됩니다. 업그레이드가 어렵다면 개발사인 NLnet Labs가 제공하는 개별 패치를 적용할 수 있습니다.

AI가 보안 투자 이끈다... 기업 41% "AI 도입이 정보보안 투자 확대 계기"

카스퍼스키가 실시한 설문조사에 따르면, 기업의 41%가 AI 도입을 정보보안 투자를 늘리는 주요 이유로 꼽았습니다. 기업들은 피싱, 대규모 악성코드 공격에 이어 'AI 취약점'을 세 번째로 큰 위협으로 인식하고 있습니다. 특히 직원들이 챗GPT·딥시크 같은 외부 AI 도구를 회사 통제 없이 무분별하게 사용하는 '섀도우 AI(Shadow AI)' 문제가 새로운 보안 위험으로 부상했습니다. 조사 대상 기업의 81%는 이미 사내 AI 도구 도입을 적극 검토하거나 진행 중이지만, 많은 기업이 직원의 AI 사용을 충분히 모니터링·통제하지 못하는 실정입니다.

"정부 사업 N2SF 반영 미흡해"... 국정원, '기획부터 내재화' 추진

국가정보원(NIS)이 공공기관 정보화 사업에서 국가망 보안체계(N2SF, 정부 기관의 네트워크 보안 기준 체계)가 제대로 반영되지 않은 문제를 공식 확인하고, 사업 기획·예산 요구 단계부터 보안 대책을 의무적으로 포함시키는 절차를 마련 중이라고 밝혔습니다. 또한 PC에 설치되는 플러그인 소프트웨어가 취약점 패치 전까지 지속 노출되어 해킹 사고로 이어진다는 문제를 지적하며, 공공분야부터 설치형 소프트웨어를 최소화하고 브라우저 기반·클라우드 기반 공동인증서 방식으로 전환을 추진한다고 설명했습니다. 이 외에도 AI 보안, 소프트웨어 공급망 보안, 양자내성암호(기존 컴퓨터와 양자 컴퓨터 모두의 공격에 견디는 암호 기술) 전환 등 다양한 정책 방향이 함께 소개됐습니다.

#AI #AI 보안 #N2SF

중요기업

The Hacker News·2026. 09. 16.

공격자, AI 코딩 어시스턴트 세션 탈취 후 Shai-Hulud 웜으로 약 100개 저장소 감염

보안 전문 기업 Mandiant에 따르면, 공격자가 이름이 공개되지 않은 한 SaaS(클라우드 기반 소프트웨어 서비스) 기업에서 AI 코딩 어시스턴트(개발을 도와주는 AI 도구)의 활성 세션을 탈취했습니다. 공격자는 AI가 추천하는 소프트웨어를 미리 악성코드로 오염시켜 놓았고, 개발자가 그 추천을 그대로 수락하면서 감염이 시작됐습니다. 이후 'Shai-Hulud'라고 불리는 웜(스스로 퍼지는 악성코드)이 내부 코드 저장소 약 100개에 걸쳐 확산됐으며, 저장소에 보관된 비밀 키(secrets)와 소스코드가 유출됐습니다. 이번 사건은 AI 코딩 도구가 공격의 진입점으로 악용될 수 있음을 보여주는 실제 사례로, 기업 개발 환경 전반의 점검이 필요합니다.

#AI #API 키 #SaaS

공공

전자신문 보안·2026. 09. 16.

[IT메가비전 2026] "AI 보안도 국가 경쟁력"…정부, '약한 고리' 보완 시급

한국 정부 주요 부처 관계자들이 AI 시대 사이버 보안 강화를 위한 정책 과제를 논의했습니다. 과기정통부는 중소기업의 낮은 보안 역량이 향후 3~5년간 가장 위험한 약한 고리라고 지목하며, 기업 간 협력과 지원 확대 필요성을 강조했습니다. 행정안전부는 공공기관 간 보안 역량 격차를 줄이기 위해 사이버보안 실태점검 대상을 현행 400개에서 약 1,500개 기관으로 확대하고 정보보호 인력도 늘릴 계획이라고 밝혔습니다. 개인정보보호위원회는 AI 에이전트(사용자 대신 여러 시스템에 자동으로 접근하는 AI 소프트웨어)가 개인정보를 무단 수집하거나 악성 지시에 따라 외부로 전송할 위험이 있다고 경고하며, 최소 권한 부여와 활동 로그 관리 체계를 갖춰야 한다고 강조했습니다. 연말까지 AI 에이전트 관련 개인정보 보호 안내서를 발간할 예정입니다.

#AI #AI 보안 #AI 에이전트

기업

전자신문 보안·2026. 09. 13.

[ET시론] 침해 '예방'의 가치, 제대로 매겨져 있는가

KAIST 김용대 교수가 한국의 사이버 침해사고 예방 체계의 구조적 문제를 짚은 칼럼입니다. 올해도 AnySign4PC 취약점 악용, 소스코드에 노출된 접속키, 모의해킹에서 이미 지적된 취약점 방치 등 "이미 알고 있었지만 고치지 않은" 사고들이 반복되고 있습니다. 현행 제도는 사고 후 과징금·제재 중심이라, 기업이 취약점을 먼저 찾아 고칠 유인이 오히려 줄어드는 역설이 발생합니다. 반면 예방 활동에 실질적인 보상·면책을 부여하는 장치는 접속기록 보관 의무 외에는 거의 없습니다. 저자는 자산 현황·패치 이력·침입 탐지 속도 등 예방 지표를 공시에 포함하고, 스스로 취약점을 찾아 조치한 기업에 법적 면책을 부여해야 한다고 주장합니다.

#AI #IPS #RCE

중요공공

BleepingComputer·2026. 09. 12.

플로리다, 도용된 경찰관 계정을 통한 DMV 데이터베이스 침해 확인

미국 플로리다주 차량관리국(FLHSMV)이 운전자 정보 데이터베이스 'DAVID'가 해킹됐음을 공식 확인했습니다. 해킹 그룹 ShinyHunters는 20만 건 이상의 운전자 기록을 탈취했다고 주장하고 있으며, 제프리 엡스타인의 개인정보가 담긴 화면을 증거로 공개하기도 했습니다. 기관 조사 결과, 한 경찰관이 개인 기기에 잘못 저장해 둔 계정 정보가 도용된 것이 침입 경로로 확인됐습니다. 현재 플로리다 법무장관실, 플로리다 디지털 서비스, 플로리다 법집행부와 함께 대응 중이며 추가 유출은 없다고 밝혔습니다. 업무용 계정 정보를 개인 기기에 저장하는 행위가 얼마나 위험한지를 잘 보여주는 사례입니다.

#AI #MFA #개인정보

중요기업

The Hacker News·2026. 09. 10.

공개된 LiteLLM 게이트웨이 10개 중 거의 1개꼴로 예시 관리자 키 "sk-1234" 수락

AI 모델 요청을 중계하는 오픈소스 소프트웨어 LiteLLM에서 심각한 보안 문제가 연달아 발견됐습니다. 2월 조사에서 인터넷에 노출된 LiteLLM 서버 약 10개 중 1개가 설정 안내서에 예시로 실린 기본 관리자 키(sk-1234)를 그대로 사용하고 있었으며, 이 키를 알면 서버에 저장된 모든 AI 서비스 API 키와 클라우드 계정 자격증명까지 탈취할 수 있습니다. 미국 사이버보안 당국(CISA)은 이미 두 개의 취약점을 실제 악용이 확인된 목록(KEV)에 등재했고, 실제 공격에서 암호화폐 채굴기 설치와 데이터베이스 탈취가 확인됐습니다. LiteLLM을 사용 중이라면 즉시 기본 키를 변경하고 버전 1.84.0 이상으로 업그레이드해야 합니다.

#AI #API 키 #CVSS

중요기업

The Hacker News·2026. 09. 09.

DeepSeek Harness 취약점으로 AI 에이전트가 승인 없이 자체 파일 샌드박스 비활성화 가능

AI 코딩 에이전트 도구인 **DeepSeek Harness**에서 에이전트가 단 하나의 명령으로 자신의 파일 샌드박스(격리 환경)를 비활성화할 수 있는 취약점(CVE-2026-82533, CVSS 9.4점)이 발견됐습니다. 공격자가 에이전트에게 악의적인 텍스트를 읽히면, 에이전트가 도구 내부의 인증 없는 로컬 웹 인터페이스를 호출해 `danger-full-access` 모드로 전환하고, 이후 작업 공간 밖의 파일에도 자유롭게 쓸 수 있게 됩니다. GitHub에는 8월 27일 패치가 올라왔지만, npm 레지스트리에는 8월 30일 배포된 0.1.2-alpha.2 버전부터 수정이 반영됐습니다. 사용자는 즉시 **0.1.2-alpha.2 이상(현재 최신은 0.1.2-rc.1)** 으로 업그레이드해야 하며, 써드파티 데스크톱 앱을 통해 설치한 경우에도 포함된 harness 버전을 별도로 확인해야 합니다.

#AI #AI 에이전트 #CVSS

기업

The Hacker News·2026. 09. 08.

BengalSEO, Bing 검색 결과 조작으로 MayaBot 악성코드 및 기술지원 사기 유포

'BengalSEO'라는 이름의 사이버 범죄 조직이 마이크로소프트 Bing 검색 결과를 조작해 악성 사이트를 상위에 노출시키고 있습니다. 피해자가 해당 사이트에서 가짜 소프트웨어를 내려받으면 'MayaBot'이라는 악성코드가 설치되어 해커의 명령을 받거나 암호화폐 채굴에 악용됩니다. 이 조직은 인도 라자스탄주에 기반하며 2015년부터 활동해 왔고, 스트리밍 서비스 인증·백신 프로그램·게임·세금 유틸리티 등을 사칭한 가짜 페이지를 수백 개 운영하고 있습니다. 아울러 중국어권 사이버 범죄 집단인 Gambling Goblin도 브라질 정부·교육기관 웹사이트를 해킹해 비슷한 방식으로 검색 순위를 조작하고 있어 유사 수법의 피해가 전 세계로 번지는 추세입니다. 기업 담당자는 직원들이 검색 결과 상위 링크라도 소프트웨어 다운로드 전 출처를 반드시 확인하도록 교육하고, 비공식 경로의 실행 파일 실행을 차단하는 정책을 점검할 필요가 있습니다.

#GitHub #Windows #교육기관

공공

ZDNet Korea·2026. 09. 07.

새 사이버안보비서관에게 바란다…"현장형 컨트롤타워되길"

국가안보실 사이버안보비서관으로 해커 출신 교수 김휘강 고려대 정보보호대학원 교수가 임명됐습니다. 보안 기업 창업·운영 경험과 학계 활동을 두루 갖춘 인물로, 각계에서는 현장 경험이 정책에 실질적으로 반영될 것이라는 기대가 나옵니다. 산업계는 공급망 보안 정책 강화와 민·관 조율 역할을 주문했고, 학계는 보안 사각지대에 놓인 중소기업 지원과 국제 협력 체계 구축을 요청했습니다. 보안 실무자들은 화이트해커의 침투 테스트(모의해킹)에 대한 법적 보호 보장, 기업 보안팀의 열악한 처우·인식 개선, 사후 대응에서 선제 예방 중심으로의 정책 전환을 강하게 촉구했습니다. 오래전에 나온 패치를 적용하지 않아 발생하는 침해사고가 반복되는 현실을 지적하며, 실효성 있는 진단·검증 체계 마련이 시급하다는 목소리도 이어졌습니다.

#AI #KISA #N2SF

이전3 / 4다음