TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

해외 매체 · 브라우저 뉴스

필터총 119건초기화
매체전체
국내 매체329ZDNet Korea108데일리시큐81보안뉴스79전자신문 보안61
해외 매체560The Hacker News244BleepingComputer171Help Net Security145
분야
전체기업553공공127금융78통신/IT69의료13제조8기타29교육/연구11
키워드
자격증명235악성코드218위협 행위자197암호화167비밀번호145이메일145Windows140해킹137익스플로잇130클라우드130엔드포인트123브라우저119

주요 뉴스

이 범위에서 지금 주목할 이슈

중요BleepingComputer

해커들, 심각한 Roundcube 취약점 악용한 코드 인젝션 공격 개시

브라우저 기반 이메일 클라이언트인 Roundcube Webmail에서 발견된 심각한 SQL 인젝션(데이터베이스에 악성 명령을 몰래 끼워 넣는 공격) 취약점(CVE-2026-48842)이 실제 공격에 악용되고 있다고 캐나다 사이버보안센터가 경고했습니다. 이 취약점은 5월에 패치됐지만, 4개월이 지난 지금 공격자들이 본격적으로 악용하기 시작했습니다. 공격자는 로그인 없이도 데이터베이스 명령을 실행해 데이터를 훔칠 수 있으며, 인터넷에 노출된 Roundcube 서버가 52만 3천 개를 넘어 잠재적 피해 규모가 매우 큽니다. Roundcube는 과거에도 러시아 국가 지원 해킹 그룹인 APT28, Winter Vivern 등의 단골 표적이 됐을 만큼 위협이 현실적입니다. 관리자는 즉시 버전 1.6.16 또는 1.7.1로 업데이트하고, 당장 업데이트가 어려운 경우 virtuser_query 플러그인을 비활성화해야 합니다.

2026. 09. 24.
Help Net Security

AI가 공격자들에게 선점 기회를 주고 있다, 마이크로소프트 경고

The Hacker News

⚡ 주간 리캡: 3억 8,700만 달러 규모 암호화폐 해킹, Citrix 취약점 악용, 궤도를 벗어난 AI 에이전트, 그 외 위협들

The Hacker News

ThreatsDay: AI 기반 제로데이 연쇄 공격, 54만 건의 노출된 시크릿, 모델 검사로 인한 RCE 외 13건의 소식

Help Net Security

주간 보안 리뷰: Gyazo 침해로 2,362만 명 데이터 유출, TASK#STOMP 문서 탈취 악성코드 분석

전체 목록

중요공공
The Hacker News·2026. 10. 03.

Antino 백도어, 중국 연계 스파이 캠페인에서 아웃룩과 원드라이브를 C2로 악용

중국과 연계된 해킹 조직(코드명 UAT-11587)이 대만, 인도, 필리핀, 캄보디아, 파키스탄, 태국, 미얀마 등 아시아 각국의 정부·정책 기관을 노린 새로운 사이버 공격 캠페인을 벌이고 있습니다. 이들은 'Antino'라는 신종 백도어(원격 조종 악성코드)를 사용하는데, 특이하게도 별도의 해킹 서버를 두지 않고 마이크로소프트 365의 아웃룩과 원드라이브를 명령 전달 통로로 악용합니다. 공격자는 스피어피싱(표적형 피싱 메일)으로 침투하며, 지메일의 첨부파일 미리보기 화면을 정교하게 가짜로 만들어 피해자를 속이는 수법까지 사용했습니다. 2025년 9월 처음 발견된 이후 8개국 16개 기관으로 공격이 확대됐고, 2026년 3~6월 사이 공격이 집중적으로 늘었습니다. 정부·공공기관은 이메일 보안 점검과 더불어 정상 업무 도구(M365)를 가장한 은밀한 통신 방식에 대한 탐지 체계를 강화할 필요가 있습니다.

자세히 보기
#Windows#공공기관#백도어
중요공공
Help Net Security·2026. 10. 02.

중국 스파이, 백악관·Anthropic 인사 사칭해 AI 정책 전문가 피싱

중국과 연계된 해킹 그룹 TA419가 백악관 전직 고위 관료와 저명 경제학자, 그리고 AI 기업 Anthropic의 직원을 사칭해 미국의 AI 정책 전문가들을 노린 피싱 공격을 벌였습니다. 공격자는 처음에는 악성 링크 없이 접근해 신뢰를 쌓은 뒤, 가짜 OneDrive 로그인 페이지로 유도해 아이디와 비밀번호, 추가인증(MFA) 코드까지 실시간으로 가로챘습니다. 이 수법은 로그인 과정 자체를 실제 마이크로소프트 서버와 중계하는 방식(AitM, Adversary-in-the-Middle)이어서 2단계 인증을 쓰더라도 뚫릴 수 있었습니다. Proofpoint는 이 활동이 미국의 AI 정책과 규제 동향을 파악하려는 중국의 정보 수집 목적으로 보인다고 분석했습니다.

자세히 보기
#AI#MFA#공급망
기업
The Hacker News·2026. 10. 02.

안드로이드 17 고급 보호, 접근성 서비스를 인증된 접근성 도구로만 제한

구글이 안드로이드 17에서 "고급 보호(Advanced Protection)" 기능을 켜면, '접근성 서비스(AccessibilityService)' API를 인증된 접근성 도구 앱에만 사용할 수 있도록 제한한다고 발표했습니다. 접근성 서비스는 원래 시각장애인 등을 돕기 위한 기능이지만, 화면 읽기와 조작 권한이 막강해서 뱅킹 악성코드나 스파이웨어가 이를 악용해 금융 앱에서 몰래 돈을 빼가거나 키보드 입력을 가로채고, 가짜 로그인 화면을 띄우는 등의 공격에 자주 이용돼 왔습니다. 이번 조치로 검증되지 않은 앱은 이 기능을 쓸 수 없게 되어 주요 공격 경로 하나가 막히게 됩니다. 이 외에도 안드로이드 17에는 포렌식 로그 기능, USB 침입 방지, 위험한 웹 기술 차단, 인증 실패 시 기기 잠금 등 여러 보안 강화 기능이 함께 추가됐습니다.

자세히 보기
#개인정보#금융 사기#금융사
기타
Help Net Security·2026. 10. 01.

일부 자동차 앱이 소유자 정보를 빅테크 기업에 흘려보내고 있다

노스이스턴 대학교 연구진이 컨슈머리포트와 함께 21대의 차량과 19개 브랜드의 커넥티드카 앱 30개를 분석한 결과, 일부 자동차 회사의 앱과 차량이 차대번호(VIN), 이메일 주소, 전화번호, 위치 정보 같은 개인정보를 구글, 메타, 어도비 같은 광고·추적·분석 기업에 보내고 있었습니다. 특히 GM의 여러 앱(myCadillac, myChevrolet, myBuick, myGMC)은 VIN과 이메일 주소를 다수의 외부 기업에 전송한 것으로 나타났습니다. VIN은 사용자가 바꿀 수 없는 고유 식별자라서, 다른 서비스의 행동 데이터나 구매 이력과 연결해 사용자를 추적하는 데 악용될 수 있다는 점이 문제로 지적됩니다. 연구진이 문제를 알렸을 때 대부분의 제조사는 "이용약관에 동의한 소비자 책임"이라며 책임을 떠넘겼고, 혼다만 유일하게 위치 데이터 공유를 중단하는 등 실질적인 조치를 취했습니다. 연구진은 커넥티드카 생태계의 데이터 공유 방식이 불투명하다며 더 높은 투명성이 필요하다고 지적했습니다.

자세히 보기
#IoT#개인정보#브라우저
중요기업
The Hacker News·2026. 10. 01.

공격자들, ChatGPT 커스텀 GPT를 악용해 ClickFix 미끼로 RAT 유포

공격자들이 ChatGPT의 '커스텀 GPT(Custom GPT)' 기능을 악용해 가짜 제품 안내처럼 꾸민 뒤, 이용자를 악성 사이트로 유도하는 새로운 공격이 발견됐습니다. 이용자가 유도된 구글 사이트에서는 가짜 캡차 화면을 통해 이른바 'ClickFix' 수법으로 악성 PowerShell 명령을 직접 복사·실행하도록 속이며, 이 과정에서 정상 서명된 캐논(Canon) 실행파일을 악용한 DLL 사이드로딩으로 원격제어 악성코드(RAT)를 심습니다. 이 RAT는 화면·카메라·마이크 감시, 파일 검색, 추가 악성코드 실행 등 광범위한 기능을 갖추고 있으며 현재까지 최소 40명이 감염된 것으로 확인됐습니다. 이와 함께 OpenAI Codex·Anthropic Claude를 사칭한 사이트, 정상 사이트 해킹을 통한 ClearFake/EtherHiding 공격 등 ClickFix 기법을 쓰는 다른 캠페인들도 동시에 다수 발견되고 있어, 신뢰받는 플랫폼을 악용한 사회공학 공격이 확산되는 추세입니다.

자세히 보기
#AI#DNS#Windows
기업
BleepingComputer·2026. 09. 30.

마이크로소프트, 10월부터 Entra ID 스크립트 주입 공격 차단 예정

마이크로소프트가 내년 10월부터 로그인 인증 시스템인 Entra ID의 보안을 강화한다고 밝혔습니다. 로그인 화면에서 외부 스크립트가 함부로 끼어드는 것을 막는 새로운 정책(CSP, 콘텐츠 보안 정책)을 적용해, 신뢰할 수 있는 마이크로소프트 서버에서 나온 스크립트만 실행되도록 제한하는 것입니다. 이렇게 하면 로그인 페이지에 악성 코드를 몰래 심어 계정 정보를 훔치는 크로스사이트 스크립팅(XSS) 공격을 예방할 수 있습니다. 다만 로그인 화면에 스크립트를 끼워 넣는 브라우저 확장 프로그램이나 도구를 쓰는 기업은 이 변경 후 해당 도구가 작동하지 않을 수 있어, 미리 테스트해보고 대비해야 합니다. 이번 조치는 2023년 중국 해커들이 여러 기관의 이메일을 대거 침해한 사건 이후 마이크로소프트가 추진 중인 보안 강화 계획의 일환입니다.

자세히 보기
#AI#Windows#XSS
기업
The Hacker News·2026. 09. 30.

미국 표적 C레벨 피싱, Microsoft 365 세션 탈취하고 원격관리 도구(RMM) 설치해 원격 접근 확보

보안 업체 ANY.RUN이 'CSuite'라는 이름의 피싱 캠페인을 분석했습니다. 이 캠페인은 Adobe, DocuSign, Zoom, Microsoft 365 같은 익숙한 업무용 서비스를 사칭한 이메일로 시작해서, 피해자를 두 가지 방식으로 공격합니다. 하나는 ScreenConnect, Action1 같은 정상적인 원격관리 도구(RMM)를 몰래 설치해서 회사 컴퓨터를 원격 조종하는 방식이고, 다른 하나는 Microsoft 365 로그인 정보와 접속 세션을 훔치는 방식입니다. 분석된 351건 중 51%가 미국에서 발견됐고, 기술·제조·정부·컨설팅 분야가 특히 표적이 됐습니다. 계정과 업무용 PC를 동시에 장악당할 수 있어 피해 범위가 단순 피싱보다 훨씬 커질 수 있다는 점이 특징입니다.

자세히 보기
#AI#EDR#IPS
중요통신/IT
The Hacker News·2026. 09. 30.

새로운 스펙터-v2 'BTR' 공격, 기존 방어책에도 불구하고 리눅스 메모리 유출

VUSec와 Scuola Superiore Sant'Anna 소속 연구진이 새로운 CPU 취약점 공격 기법 "Branch Target Reuse(BTR)"를 공개했습니다. 이 공격은 스펙터(Spectre) v2 계열의 변종으로, 웹브라우저·언어 런타임·리눅스 커널에 쓰이는 JIT(코드를 실행 직전에 즉석 컴파일하는 기술) 엔진을 노립니다. 연구진은 최신 방어 기법이 적용된 완전 패치 상태의 인텔 시스템에서도 이 공격으로 몇 분 만에 루트 비밀번호 해시를 빼낼 수 있음을 실제로 증명했습니다. 리눅스 커널은 이미 CVE-2026-64507, CVE-2026-64508로 취약점을 등록하고 패치를 병합했으며, Firefox와 GraalVM 개발사도 각자 대응책을 검토·적용 중입니다. 아직 실제 악용 사례는 확인되지 않았지만, 널리 쓰이는 브라우저와 커널에 영향을 미치는 만큼 기업 보안 담당자는 관련 패치 현황을 파악해둘 필요가 있습니다.

자세히 보기
#PoC#데이터유출#리눅스
중요통신/IT
BleepingComputer·2026. 09. 30.

새로운 Spectre v2 공격 변종, 단 몇 분 만에 리눅스 root 비밀번호 해시 유출

Spectre v2 계열의 새로운 CPU 하드웨어 취약점 'BTR(Branch Target Reuse)'가 공개됐습니다. 인텔, AMD, ARM 등 대부분의 최신 CPU에서 발생하며, 이를 악용하면 리눅스 시스템에서 단 3~5분 만에 root 비밀번호의 해시값을 빼낼 수 있습니다. CPU가 분기 예측(다음에 실행할 명령을 미리 추측하는 기능)에 쓰는 낡은 정보를 이용해, 공격자가 원래는 실행되지 않아야 할 명령을 잠깐 몰래 실행시켜 메모리 속 민감한 데이터를 캐시를 통해 훔쳐보는 방식입니다. 이 문제는 CVE-2026-64507, CVE-2026-64508로 등록됐고 리눅스 커널에는 이미 패치가 반영됐습니다. 다만 아직 실제 공격에 악용된 사례는 확인되지 않았습니다.

자세히 보기
#AI#리눅스#무차별 대입
이전1 / 10다음