TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

복원력 키워드 뉴스

중요기업

BleepingComputer·2026. 09. 16.

BambooToken 악성코드, MQTT로 윈도우·리눅스 시스템 제어

BambooToken이라는 새로운 악성코드 프레임워크가 최소 2023년부터 활동하며 윈도우와 리눅스 시스템을 공격하고 있습니다. 이 악성코드는 주로 IoT 기기에 쓰이는 경량 메시지 프로토콜인 MQTT를 명령·제어(C2) 통신에 활용해, 공격자 서버와 피해 시스템이 직접 연결되지 않도록 해 탐지를 교묘히 피합니다. 정상적인 디지털 서명 소프트웨어(Tendyron OnKey, Kingsoft Office)로 위장해 시스템에 침투하며, 키로깅·화면 캡처·파일 탈취 등의 기능을 갖추고 있습니다. 아시아·남미의 호텔, 바이오의료, 법무, 금융 기업 등 약 12개 조직이 피해를 입었고, 홍콩의 GitLab 서버 침해로 소프트웨어 공급망 공격 가능성도 제기됩니다. 조사를 수행한 Lumen Black Lotus Labs는 침해지표(IoC)를 공개했으며, 배후로 중국과 연계된 위협 행위자를 의심하고 있습니다.

#AI #IoT #Windows

중요기업

Help Net Security·2026. 09. 15.

공격자, HBO Max의 Reddit 공식 계정 탈취해 48시간 악성 광고 캠페인 감행

공격자들이 공식 HBO Max의 Reddit 계정(u/hbomax)을 탈취한 뒤, 해당 계정의 신뢰도 높은 광고 권한을 악용해 48시간 동안 108개의 허위 광고를 게재했습니다. 이 광고는 'ClickFix'라는 사회공학 기법을 이용해 피해자가 직접 악성 명령어를 자신의 컴퓨터에 입력하도록 유도합니다. macOS와 Windows 모두를 표적으로 삼았으며, 브라우저 저장 비밀번호·암호화폐 지갑·메신저 데이터 등을 훔치는 여러 종류의 악성코드가 사용됐습니다. 특히 공격 인프라 일부가 블록체인 스마트 컨트랙트에 저장돼 추적과 차단이 어렵습니다. 검증된 공식 계정이 악용된 만큼, 플랫폼 광고라도 무조건 신뢰해선 안 된다는 점을 다시 한번 상기시켜 줍니다.

#GitHub #Windows #계정 탈취

공공

전자신문 보안·2026. 09. 15.

AI로 취약점 찾는다…KISA, 정보보호 기업 지원 강화

한국인터넷진흥원(KISA)이 최신 AI 모델을 활용해 정보보호 제품의 소스코드에서 취약점을 찾아주는 '취약점 점검 테스트랩' 서비스 예약을 시작했습니다. 기업이 제품을 출시한 뒤 문제를 고치는 방식 대신, 개발 단계에서 먼저 취약점을 발견하고 제거하는 것이 목표입니다. KISA는 같은 날 정보보호 제품 개발자 약 50명을 대상으로 AI 기반 취약점 대응 교육도 진행했습니다. 유럽연합(EU)의 사이버복원력법(CRA)처럼 취약점 관리를 의무화하는 규제가 국내외에서 강화되면서, 개발 초기 단계부터 보안을 점검하는 역량이 기업에 점점 더 중요해지고 있습니다.

#AI #AI 보안 #AI 에이전트

공공

ZDNet Korea·2026. 09. 15.

미국 국방부, 군 소프트웨어 AI 활용 기준 마련…책임은 사람 몫

미국 국방부가 AI를 이용해 만든 소프트웨어 코드를 '검증되지 않은 입력'으로 취급하고, 최종 보안·기능 책임은 반드시 사람이 지도록 하는 공식 지침을 시행했습니다. AI가 보안이나 안전에 중요한 코드를 변경했을 경우 사람이 직접 검토하고 승인해야 합니다. 군 내부 기밀 정보가 외부 생성형 AI 모델에 유입되거나 학습에 쓰이는 것을 막는 계약상 보장도 요구합니다. 또한 어떤 AI 모델과 버전을 사용했는지 반드시 기록해 문제 발생 시 추적할 수 있도록 했습니다. AI 코드 생성이 빠르게 확산되는 환경에서 보안 취약점·라이선스 위험 등을 사전에 차단하는 거버넌스 체계를 갖춘 사례로, 민간 기업에도 참고할 만한 기준이 됩니다.

#AI #거버넌스 #데이터유출

기업

Help Net Security·2026. 09. 14.

ENISA, 실제 악용 취약점 신고를 위한 CRA 단일 신고 플랫폼 출범

EU 사이버보안 기관인 ENISA가 2026년 9월 11일부터 '사이버 복원력법(CRA)'에 따른 단일 신고 플랫폼을 공식 운영하기 시작했습니다. EU 시장에 디지털 제품을 출시하는 제조사는 이제 이 포털 하나를 통해 실제로 악용된 취약점과 심각한 보안 사고를 의무적으로 신고해야 합니다. 신고 기한은 사건 인지 후 24시간 이내 초기 경보, 72시간 이내 상세 통보, 14일 이내 최종 보고서 제출입니다. 현재는 API 없이 웹 인터페이스만 제공되며, 오픈소스 소프트웨어 관리자에게는 2027년 12월 11일부터 동일한 의무가 적용됩니다. EU 시장에 제품을 판매하는 국내외 기업 보안 담당자라면 이 새로운 규제 의무를 반드시 숙지해야 합니다.

#MFA #규제 #다중인증

중요기업

Help Net Security·2026. 09. 13.

주간 리뷰: F5 BIG-IP APM 장치에 Linux 루트킷 배포, Cisco FMC 취약점 악용

이번 주 보안 뉴스에서 가장 주목할 사항은 Cisco FMC(방화벽 중앙 관리 시스템)의 심각한 취약점(CVE-2026-20079, CVE-2026-20316)이 국가 지원 해커와 랜섬웨어 조직에 의해 실제로 악용되고 있다는 점입니다. 또한 MSP(관리형 서비스 제공업체)가 널리 쓰는 N-able N-central에서 인증 없이 원격으로 시스템을 장악할 수 있는 취약점(CVE-2026-86218)이 발견돼 긴급 패치가 배포됐습니다. Google Chrome에서도 실제 악용이 확인된 제로데이 취약점(CVE-2026-87491)이 수정됐으니 즉시 업데이트가 필요합니다. F5 BIG-IP APM 장비에는 디스크가 아닌 메모리에 숨어 탐지를 피하는 Linux 루트킷이 발견됐으며, MikroTik 라우터는 인증 없이 장치를 완전히 탈취할 수 있는 취약점 체인이 공개됐습니다. Cisco FMC, N-able N-central, Chrome, MikroTik RouterOS를 사용하는 조직은 지금 즉시 패치를 적용해야 합니다.

#AI #AI 거버넌스 #AI 에이전트

기업

Help Net Security·2026. 09. 10.

AI 도입으로 이미 과부하 상태인 CISO들의 보안 고민이 더 깊어지다

보안기업 Proofpoint가 발표한 '2026 Voice of the CISO' 보고서에 따르면, 기업 보안 최고책임자(CISO)들이 AI(인공지능) 도입에 따른 새로운 보안 위험을 추가로 떠안고 있지만 인력·예산 지원은 그에 비례해 늘지 않고 있습니다. CISO의 78%가 생성형 AI를 보안 위협으로 보고 있으며, 특히 임직원이 공개 AI 플랫폼에서 고객 데이터를 노출할 가능성을 큰 우려로 꼽았습니다. 데이터 유출의 주요 원인으로는 악의적 내부자, 부주의한 직원, AI 오남용, 외부 공격 등이 꼽혔고, 데이터 손실이 발생한 조직의 93%는 퇴사자가 연루돼 있었습니다. 주요 위협 순위에서는 클라우드 계정 탈취가 1위로 올라섰으며, 협업 플랫폼과 SaaS 앱이 보안 위험을 가장 많이 유발하는 기술로 지목됐습니다. 실무 담당자들은 AI·데이터·계정 보안을 통합적으로 관리할 수 있는 정책과 실질적인 권한이 필요하다고 강조합니다.

#AI #AI 거버넌스 #AI 보안

금융

ZDNet Korea·2026. 09. 08.

[현장] "금융권, 안전한 보안을 위해 외부 데이터와 코드 검증 꼭 해야"

금융보안원 산하 금융AI보안연구소장이 마크애니 주최 조찬 세미나에서 AI 기반 보안 위협의 심각성과 금융권 대응 전략을 발표했습니다. AI가 사람의 지시 없이 스스로 취약점을 찾아 공격하는 '프런티어AI' 시대가 도래하면서, 공격 속도가 방어 속도를 앞지르는 상황이 됐습니다. 금융보안원은 올해 7월 경영진 책임 강화, 공급망 관리, 취약점·패치 관리, AI 방어 자동화, 침해 확산 방지, 금융권 공동 대응 등 6대 방안을 마련해 각 금융기관에 전달했습니다. 특히 취약점을 무조건 모두 패치하는 것은 불가능하므로, 실제 공격 성공 가능성을 줄이는 우선순위 관리가 중요하다고 강조했습니다. 또한 복원력은 단순한 백업 보유가 아니라 즉시 격리하고 실제로 복구할 수 있는 능력임을 분명히 했습니다.

#AI #AI 보안 #AI 에이전트

중요금융

ZDNet Korea·2026. 09. 07.

"'인다이렉트 인젝션' 해커 공격, 듀얼 LLM으로 방어 가능"

서울대 이병영 교수는 AI 에이전트를 노린 '인다이렉트 프롬프트 인젝션(외부 데이터에 악의적 명령을 심어 AI가 사용자 모르게 엉뚱한 행동을 하게 만드는 공격)' 공격을 막기 위해 두 개의 LLM(대형 언어 모델)을 격리해 운영하는 '듀얼 LLM' 기술을 제안했으며, 실험에서 공격 성공률 0%를 기록했습니다. 한편 금융보안원은 딥시크 기반 AI 에이전트가 실제 금융권 서버에서 RCE(원격 코드 실행) 취약점을 악용해 웹셸을 설치하려 한 정황을 포착했다고 밝혔으며, 이를 AI 에이전트를 활용한 최초의 실제 공격 사례로 지목했습니다. 금융보안원은 이번 공격이 기존의 표적형·스캔형을 결합한 새로운 형태라고 분석하며, 경영진 책임 강화·취약점 관리·AI 기반 방어 자동화 등 6대 보안 수칙 준수를 금융기관에 권고했습니다. AI 기반 사이버 위협이 현실화된 만큼, CISO 혼자가 아닌 이사회 중심의 전사적 보안 체계 구축이 시급하다고 강조했습니다.

#AI #AI 보안 #AI 에이전트

이전2 / 2다음