취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
기업AI가 소프트웨어 취약점을 대량으로 찾아내고 있지만, 실제 공격에 악용되는 비율은 극히 낮다는 분석이 나왔습니다. 앤트로픽의 AI 모델이 발견한 225개 취약점 중 실제 공격에 쓰인 것은 단 1건(0.44%)으로, 취약점을 '발견'하는 것과 공격자가 '실제로 이용'하는 것은 다른 문제임을 보여줍니다. 한편 AI가 만든 보안 패치의 완전 성공률은 26%에 불과해, AI가 생성한 코드나 패치는 전문가 검토 없이 바로 적용하기 어렵습니다. 기업 보안팀 입장에서는 AI 덕분에 취약점이 급증하는 만큼, 단순히 개수보다 실제 공격 가능성과 자산 중요도를 따져 우선순위를 정하는 '위험 기반 취약점 관리'가 더욱 중요해지고 있습니다.
자세히 보기
중요기업WordPress의 핵심 기능인 댓글 처리 과정에서 새로운 취약점(CVE-2026-93485, "Comment2Shell")이 발견됐습니다. 로그인하지 않은 방문자도 악성 댓글 하나로 관리자의 브라우저에서 스크립트를 실행시킬 수 있으며, 관리자가 해당 페이지를 열기만 해도 서버 전체 제어권을 빼앗길 수 있습니다. 영향을 받는 버전은 WordPress 4.7부터 7.1까지로 매우 광범위하며, 댓글 승인 기능이 기본적으로 꺼져 있어 악성 댓글이 별도 검토 없이 바로 노출될 수 있습니다. WordPress는 9월 17일 버전 7.1.1 등 각 브랜치별 패치를 배포했으며, 즉시 업데이트할 것을 권고하고 있습니다. 같은 업데이트에서 관리자 링크 클릭만으로 서버 코드 실행이 가능한 두 번째 취약점 "Click2Shell"도 함께 수정됐습니다.
자세히 보기
중요금융금융권에서 AI를 이용한 사이버 공격이 실제로 벌어지고 있습니다. 피싱 문자 대량 생성, 딥페이크 사칭, 문서 위·변조, 심지어 AI가 스스로 취약점을 찾고 공격코드를 만드는 자동화 해킹 도구('CyberStrike AI')까지 등장했습니다. 앤트로픽은 중국계 국가 배후 해킹조직이 AI 도구를 이용해 약 30개 금융기관 등 글로벌 조직을 공격했으며, 공격 과정의 80~90%를 AI가 수행했다고 밝혔습니다. 이에 맞서 국내 은행·보험·증권·카드·핀테크·가상자산 업권은 AI 기반 이상거래 탐지(FDS) 고도화, 행동 분석, 보험사기 예측 시스템 등 방어용 AI를 잇따라 도입하고 있습니다. 금융당국도 망분리 규제를 완화해 금융사가 고성능 AI를 보안 목적으로 활용할 수 있도록 길을 열고 있습니다.
자세히 보기
중요기업WordPress의 핵심 구성 요소에서 'Click2Shell'이라는 CSRF(사이트 간 요청 위조) 취약점이 발견되었습니다. 공격자는 WordPress 계정 없이도 조작된 링크를 만들어 로그인된 관리자가 클릭하도록 유도하면, 서버에서 임의의 PHP 코드를 원격으로 실행할 수 있습니다. 공격이 성공하면 파일 수정·삭제, 데이터베이스 자격증명 탈취, 악성 관리자 계정 생성 등 심각한 피해로 이어질 수 있습니다. 실제 공격에 사용 가능한 PoC(개념 증명 코드)가 이미 공개된 상태이며, WordPress 7.1.1 버전에서 수정이 완료되었습니다. 즉시 업데이트가 어려운 경우 'DISALLOW_FILE_MODS' 설정을 활성화하는 것이 임시 대안입니다.
자세히 보기
중요기업GitHub에 가짜 LastPass Authenticator 설치 파일이 올라와 있으며, 이를 내려받아 실행하면 마이크로소프트가 공식 서명한 커널 드라이버가 설치되면서 백신·EDR(엔드포인트 탐지·대응) 소프트웨어 145종을 강제 종료합니다. 보안 도구가 꺼진 상태에서 비밀번호 탈취 악성코드가 실행되어 크롬·엣지 등 20개 이상의 브라우저 저장 비밀번호, 암호화폐 지갑, Discord·Steam·Telegram 세션 등이 공격자 서버로 전송됩니다. 드라이버가 공식 서명을 받은 데다 파일명을 바꿔 VirusTotal 탐지를 0건으로 줄였고, 마이크로소프트의 취약 드라이버 차단 목록에도 등재되지 않아 현재까지 차단 수단이 없습니다. 감염된 PC는 부팅할 때마다 보안 도구를 다시 죽이고 재탈취를 반복하므로, 커널 수준 포렌식 분석 또는 OS 재설치가 필요합니다. LastPass 자체 시스템과 고객 볼트(저장소)는 피해를 입지 않았으나, 가짜 페이지가 최소 40개 브랜드를 사칭하고 있어 주의가 요구됩니다.
자세히 보기
중요기업이번 주 가장 심각한 사안은 Cisco의 네트워크 접근 제어 솔루션 ISE(Identity Services Engine)에서 발견된 최고 심각도(CVSS 10.0) 인증 우회 취약점(CVE-2026-76460)으로, 이미 실제 공격에 악용되고 있어 즉각적인 패치가 필요합니다. Claude Code·GitHub Copilot 등 주요 AI 코딩 도구에서는 플러그인을 통해 클릭 한 번 없이 원격으로 악성 코드를 실행할 수 있는 제로클릭 RCE(원격 코드 실행) 취약점이 공개되어 개발 환경 전반에 경고가 내려졌습니다. 마케팅 플랫폼 Brevo는 공급망 공격을 받아 약 5.5시간 동안 10만 개 이상의 고객 웹사이트에 가짜 보안 확인 화면(ClickFix)을 통한 악성코드가 배포되었습니다. 브라질발 뱅킹 악성코드 KREMLIN은 Chrome과 Edge에 악성 브라우저 확장 프로그램을 설치해 금융 자격증명과 세션 토큰을 탈취하고 있습니다. CISA KEV(실제 악용 확인 목록)에 등재된 Cisco ISE 및 Google Pixel 취약점은 기업 보안 담당자가 최우선으로 패치해야 합니다.
자세히 보기
중요기업공격자들이 'ClickFix'라는 가짜 오류 수정 팝업을 이용해 사용자가 스스로 악성코드를 실행하도록 유도하는 수법이 확산되고 있습니다. 이번에 발견된 'ChainScript'는 Spotify·Zoom·Microsoft Teams로 위장해 설치되는 원격 접속 악성코드(RAT)로, 공격자가 감염된 PC를 완전히 장악할 수 있습니다. 특히 ChainScript는 블록체인 네트워크인 Polygon의 스마트 계약을 통해 명령·제어 서버 주소를 숨기기 때문에 기존 IP 차단 방식으로는 탐지·차단이 매우 어렵습니다. 동시에 HBO Max의 공식 Reddit 계정이 해킹돼 Windows·macOS 사용자를 노리는 정보 탈취 악성코드 광고가 48시간 동안 108개나 게재되었습니다. Windows에서는 Amatera Stealer 및 암호화폐 클리퍼가, macOS에서는 MacSync·AMOS 등 정보 탈취 악성코드가 배포됩니다.
자세히 보기
중요통신/IT북한 정부와 연계된 해킹 그룹 Jade Sleet이 인도의 IT 서비스 업체 개발자 PC를 침해해 FLATROOF·ROOFDECK이라는 두 가지 백도어(몰래 숨어 명령을 받는 악성 프로그램)를 심었습니다. 공격자들은 채용 면접을 가장한 함정 방식으로 접근해, 개발자가 깃허브 저장소에 있는 코딩 과제를 실행하면 인프라 관리 도구인 Terraform이 악성 서버에서 모듈을 자동으로 내려받도록 조작했습니다. FLATROOF는 텔레그램을 통해 명령을 받고 브라우저 저장 데이터·비밀번호 등을 훔치며, ROOFDECK은 탈중앙화 통신 프로토콜인 Nostr를 써서 원격 제어·내부망 이동까지 수행합니다. 이 그룹은 2025년 초 Bybit 거래소에서 약 15억 달러를 탈취한 것과도 연결되어 있어 위협 수위가 매우 높습니다. 개발자 PC가 클라우드·소스코드·CI/CD 파이프라인에 연결되어 있어 공급망 전체가 위험해질 수 있으므로 즉각적인 대응이 필요합니다.
자세히 보기
기업보안업체 포에버 시큐리티가 악성 브라우저 확장프로그램 하나만으로 구글 크롬, 마이크로소프트 엣지 등 5개 브라우저의 AI 기능을 장악할 수 있다는 연구 '브랙잭(BragJack)'을 공개했습니다. 이 공격은 AI 자체를 속이는 것이 아니라, AI와 브라우저 사이의 통신 과정을 가로채는 방식이라 AI 안전장치를 우회할 필요조차 없습니다. 악성 확장프로그램이 설치되면 로컬 파일 읽기, 화면 캡처, 카메라·마이크 접근, 로그인된 웹서비스에서 AI가 사용자 대신 행동하는 것이 가능합니다. 단, 이 공격은 악성 확장프로그램이 이미 설치돼 있어야 하며, 인터넷에서 곧바로 브라우저를 장악하는 제로클릭 원격 공격은 아닙니다. 구글과 마이크로소프트 모두 패치를 완료했으므로 브라우저를 최신 버전으로 업데이트하고, 기업 환경에서는 확장프로그램 허용목록 관리가 필요합니다.
자세히 보기
중요기업북한과 연계된 해킹그룹 '워터플럼(WaterPlum)'이 가짜 채용면접과 코딩테스트를 미끼로 전 세계 개발자들을 속여 악성코드를 심는 공격을 벌였습니다. 2025년 12월부터 2026년 7월까지 약 8개월간 100개국 이상에서 최소 3만 대의 PC가 감염됐으며, 암호화폐 7천 개 이상의 지갑에서 약 1,071만 달러 상당의 자산이 탈취됐습니다. 공격자들은 악성 NPM 패키지나 코딩테스트용 프로젝트 파일로 악성코드를 심은 뒤 브라우저 비밀번호, 암호화폐 개인키, 신분증 이미지까지 빼냈습니다. 감염된 개발자의 PC가 회사 시스템에 연결돼 있을 경우 기업 내부망 침투로 이어질 수 있어 기업 보안 위협으로도 매우 심각합니다. 미국 FBI, 일본, 호주 등 5개국 당국이 공동 경보를 발령했으며, 출처 불명 코드는 반드시 가상머신(VM)에서 실행하도록 권고하고 있습니다.
자세히 보기
중요기업지난주 가장 주목할 뉴스는 Cisco와 Acronis 제품에서 실제로 악용 중인 취약점 세 건이 확인된 것입니다. Cisco Secure Email Gateway에서는 SQL 인젝션(데이터베이스를 조작하는 공격) 취약점(CVE-2026-76461)이, Cisco ISE(기업 네트워크 접근 제어 시스템)에서는 인증 우회 취약점(CVE-2026-76460)이 공격자들에 의해 적극적으로 악용되고 있습니다. Acronis 백업 플러그인에서도 권한 상승 취약점(CVE-2026-87886)이 악용되고 있으며, Parallels Desktop에서도 로컬 사용자가 Mac에서 최고 관리자 권한을 얻을 수 있는 취약점(CVE-2026-90894)이 공개되었습니다. 이 밖에도 Revolut 고객 정보 유출, HBO Max Reddit 계정 탈취를 통한 악성코드 유포, 이란 국가 해킹 조직의 CHOSEN BRICK 악성코드 캠페인 등 다양한 위협 동향이 보고되었습니다. 해당 시스템을 운영하는 조직은 즉시 패치 여부를 확인하고 침해 지표(IoC)를 점검해야 합니다.
자세히 보기
중요기업보안 연구자가 'BragJack'이라는 새로운 공격 기법을 공개했습니다. 악성 브라우저 확장 프로그램 하나로 Google Chrome의 Gemini, Microsoft Edge, Perplexity Comet, Opera Neon, Anthropic의 Claude 등 5개 브라우저에 내장된 AI 어시스턴트를 탈취할 수 있습니다. 공격자는 사용자의 개입 없이 AI 에이전트를 조종해 로컬 파일 읽기, 화면 캡처, 이메일 탈취, 웹사이트 대신 조작 등 광범위한 행동을 수행하게 만들 수 있습니다. Google과 Microsoft는 이미 해당 취약점을 패치했으며, 연구자는 두 개의 CVE(CVE-2026-0628, CVE-2026-55945)를 발급받고 총 2만 달러 이상의 버그 바운티를 받았습니다. 사용자는 브라우저와 확장 프로그램을 최신 상태로 유지하고 불필요하거나 출처 불명의 확장 프로그램을 제거해야 합니다.
자세히 보기