취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
금융추석 연휴를 앞두고 택배 오류나 과태료 미납을 사칭한 스미싱(문자 메시지를 이용한 피싱) 사기가 기승을 부릴 것으로 예상됩니다. 출처 불명의 링크를 클릭하면 악성 앱이 설치돼 개인정보와 금융정보가 탈취될 수 있습니다. 또한 중고 거래 플랫폼을 통한 외화 거래를 미끼로 보이스피싱 자금 세탁에 나도 모르게 연루될 수 있어 주의가 필요합니다. 악성 앱 감염이 의심되면 즉시 비행기 모드로 전환하고 이동통신사를 방문해 앱 삭제 및 기기 초기화를 해야 합니다. 카카오뱅크 등 금융사들은 연휴 기간 이상거래탐지시스템(FDS)을 24시간 운영하며 피해 예방에 나서고 있습니다.
자세히 보기
중요기업npm 패키지 저장소에서 'indexed-btree'라는 악성 패키지가 발견됐습니다. 이 패키지는 정상적인 오픈소스 라이브러리처럼 위장해 주간 200만 건 이상 다운로드됐습니다. 공격자는 설치 시점이 아닌 프로그램 실행 중에 악성 코드가 동작하도록 숨겨, npm이 올해 도입한 최신 보안 조치를 완전히 우회했습니다. 악성 코드는 감염된 시스템 정보를 수집해 Slack·Telegram으로 유출하고, 이더리움 스마트 계약을 통해 추가 명령을 받습니다. 해당 패키지 또는 연관된 9개 패키지를 설치한 개발자는 즉시 모든 비밀 키를 교체하고 개발 환경을 안전한 백업으로 복원해야 합니다.
자세히 보기
중요기업북한과 연계된 해킹그룹 '워터플럼(WaterPlum)'이 가짜 채용면접과 코딩테스트를 미끼로 전 세계 개발자들을 속여 악성코드를 심는 공격을 벌였습니다. 2025년 12월부터 2026년 7월까지 약 8개월간 100개국 이상에서 최소 3만 대의 PC가 감염됐으며, 암호화폐 7천 개 이상의 지갑에서 약 1,071만 달러 상당의 자산이 탈취됐습니다. 공격자들은 악성 NPM 패키지나 코딩테스트용 프로젝트 파일로 악성코드를 심은 뒤 브라우저 비밀번호, 암호화폐 개인키, 신분증 이미지까지 빼냈습니다. 감염된 개발자의 PC가 회사 시스템에 연결돼 있을 경우 기업 내부망 침투로 이어질 수 있어 기업 보안 위협으로도 매우 심각합니다. 미국 FBI, 일본, 호주 등 5개국 당국이 공동 경보를 발령했으며, 출처 불명 코드는 반드시 가상머신(VM)에서 실행하도록 권고하고 있습니다.
자세히 보기
중요금융KREMLIN은 브라질 은행을 사칭하는 악성코드 생태계로, Google Chrome과 Microsoft Edge에 악성 확장 프로그램을 몰래 설치해 로그인 정보·세션 토큰·쿠키 등을 빼돌립니다. 이더리움 스마트 계약을 C2(명령·제어 서버) 주소 은닉에 활용해 인프라 차단이 매우 어렵습니다. SentinelOne의 정상 실행 파일을 악용한 DLL 사이드로딩(정상 프로그램에 악성 코드를 끼워 넣는 기법)으로 보안 탐지를 우회합니다. 현재까지 감염이 확인된 시스템은 1,515개이며, 98% 이상이 브라질에 위치합니다. Elastic Security Labs가 네트워크 카나리아 도메인을 등록해 공격자의 방어 우회 메커니즘을 교란하고, 방어자에게 탐지·대응 시간을 확보해 주고 있습니다.
자세히 보기
중요기업공격자들이 공식 HBO Max의 Reddit 계정(u/hbomax)을 탈취한 뒤, 해당 계정의 신뢰도 높은 광고 권한을 악용해 48시간 동안 108개의 허위 광고를 게재했습니다. 이 광고는 'ClickFix'라는 사회공학 기법을 이용해 피해자가 직접 악성 명령어를 자신의 컴퓨터에 입력하도록 유도합니다. macOS와 Windows 모두를 표적으로 삼았으며, 브라우저 저장 비밀번호·암호화폐 지갑·메신저 데이터 등을 훔치는 여러 종류의 악성코드가 사용됐습니다. 특히 공격 인프라 일부가 블록체인 스마트 컨트랙트에 저장돼 추적과 차단이 어렵습니다. 검증된 공식 계정이 악용된 만큼, 플랫폼 광고라도 무조건 신뢰해선 안 된다는 점을 다시 한번 상기시켜 줍니다.
자세히 보기
중요기업이번 주 보안 뉴스 모음집에는 기업 보안 담당자가 즉시 확인해야 할 사안들이 여럿 포함되어 있습니다. 가장 주목할 항목은 안드로이드 9월 보안 패치로, 200개의 취약점 중 CVE-2026-28662(Wi-Fi를 통해 아무런 사용자 조작 없이 원격으로 코드를 실행할 수 있는 심각한 결함)가 포함되어 있어 기업 내 안드로이드 기기 전체에 즉시 업데이트를 배포해야 합니다. 중국어 사용자로 추정되는 공격자가 Claude Code·Qwen·DeepSeek 같은 AI 도구를 활용해 정부·금융 시스템 침투를 자동화한 캠페인도 공개됐으며, 이는 AI 기반 사이버 공격이 실전에 사용되고 있음을 보여줍니다. 또한 BigBear 2.0이라는 서비스형 피싱(PhaaS) 플랫폼이 40개국 이상의 461개 조직을 표적으로 삼아 MFA(다중 인증)를 우회하고 세션 쿠키를 탈취했으며, Google의 합법적 서비스 6종을 경유한 다단계 피싱 캠페인도 발견됐습니다. 랜섬웨어 연계 공격(EtherRAT→TukTuk→The Gentlemen 랜섬웨어), 가짜 쇼핑몰 119,000개 운영, npm 악성 패키지 13종 등 다양한 위협이 동시에 진행 중입니다.
자세히 보기
중요금융미국 법무부가 불법 온라인 마켓플레이스 'Xinbi Guarantee'를 단속해 하루 만에 약 5,280만 달러(약 720억 원) 상당의 암호화폐를 동결했습니다. Xinbi는 중국어 기반의 텔레그램 마켓으로, 사기꾼들에게 피싱 웹사이트 제작, 자금 세탁, 피해자 인신매매 등 다양한 범죄 서비스를 제공해온 곳입니다. 특히 '돼지 도축(pig butchering)'이라 불리는 로맨스 사기와 연계되어 수십억 달러의 피해를 낳았으며, 북한 해커와 미국 재무부 제재 대상 기업들도 이 플랫폼을 이용한 것으로 드러났습니다. 미국 비밀경호국과 블록체인 분석 기업 Elliptic의 협력으로 52개 지갑이 동결됐고, 마다가스카르의 사기 거점 13곳도 함께 해체됐습니다. 단속 이후 Xinbi는 동결이 불가능한 스테이블코인으로 자산을 전환하려 시도하고 있어 추가 추적이 필요한 상황입니다.
자세히 보기
기타양자컴퓨터 기업 아이온큐(IonQ)가 비트코인에 쓰이는 암호(타원곡선 암호 secp256k1)를 양자컴퓨터로 풀어내는 데 약 25.7일이 걸린다는 계산 결과를 발표했습니다. 필요한 조건은 1만 9,397개의 물리적 큐비트(양자컴퓨터의 기본 연산 단위)를 갖춘 내결함성 시스템인데, 아이온큐는 2027~2028년경 이 수준에 근접할 것으로 보고 있습니다. 다만 현재 기술로는 아직 이런 규모의 양자컴퓨터가 존재하지 않아 당장 비트코인이나 기존 암호 체계가 위협받는 것은 아닙니다. 이번 연구는 단순 이론이 아니라 실제 구현을 위한 공학적 청사진이라는 점에서, 보안 담당자들이 양자 내성 암호(포스트 퀀텀 암호)로의 전환 시기를 가늠하는 구체적인 지표가 될 수 있습니다. 타원곡선 암호(ECC)는 비트코인 외에도 TLS, 전자서명 등 기업 인프라 곳곳에 쓰이므로 장기적인 대비가 필요합니다.
자세히 보기
중요금융비트코인 사이드체인(메인 체인과 연결된 별도 블록체인) 네트워크인 Liquid Network에서 9월 6일 약 4,000 BTC(당시 약 3,200억 원 상당)가 무단 출금되는 사건이 발생했습니다. 공격자들은 Liquid의 기반 소프트웨어인 Elements의 버그를 악용해 L-BTC 토큰을 임의로 생성하고, 이를 실제 비트코인으로 교환하는 방식을 사용했습니다. 이튿날 공격자들은 스스로를 "화이트햇(윤리적 해커)"이라 칭하며 3,400 BTC를 반환했지만, 약 598.5 BTC(약 470억 원)는 아직 돌려주지 않은 상태입니다. Blockstream은 취약점 패치를 완료했다고 밝혔으나, 미반환 비트코인이 협상 보상금인지 아니면 일종의 협박(extortion)인지에 대해서는 논란이 계속되고 있습니다. Liquid 네트워크는 현재도 재가동 준비 중이며, 네트워크가 공식 재시작될 때까지 사용자들은 페그인(peg-in) 주소로 비트코인을 보내지 말 것을 권고받고 있습니다.
자세히 보기
중요금융암호화폐(가상자산) 하드웨어 지갑 제조사 Trezor의 물류 파트너인 ShipMonk가 해킹을 당해 고객 약 67,000명의 이름, 이메일, 전화번호, 배송 주소가 유출됐습니다. 공격자들은 Metabase의 클라우드 서비스에서 발견된 SQL 인젝션(데이터베이스를 조작하는 해킹 기법) 제로데이 취약점을 악용해 ShipMonk 시스템에 침투했습니다. 유출된 정보를 이용한 피싱(사기) 전화와 QR코드가 담긴 실물 우편물이 실제로 고객들에게 발송되는 피해가 확인됐습니다. Trezor 자체 시스템이나 기기는 침해되지 않았지만, 가상자산 보유자를 노린 물리적 강탈 범죄도 급증하고 있어 유출된 고객들의 신체 안전까지 위협받고 있습니다. Trezor 측은 익명 배송 옵션 도입을 추진 중이며, 고객들에게 사기 시도에 주의할 것을 당부했습니다.
자세히 보기
중요기업이번 주 보안 뉴스에서 가장 주목할 사항은 Google Chrome 브라우저의 제로데이 취약점(CVE-2026-85046)으로, 악성 웹페이지를 여는 것만으로도 공격자가 사용자 시스템에서 임의 코드를 실행할 수 있으며 실제 공격이 확인되어 CISA 실제 악용 목록(KEV)에도 등재되었습니다. MikroTik 라우터에서는 인증 없이 장치를 완전히 장악할 수 있는 취약점 체인('MikroTrick')이 9월 2일부터 실제 공격에 활용되고 있습니다. Magento·Adobe Commerce 기반 온라인 쇼핑몰에는 아직 패치가 없는 제로데이(StyleSmuggler)를 통해 백도어가 심어지고 있으며, 개발 플랫폼 Coder는 Cloudflare 인프라가 침해되어 악성 모듈이 배포되는 공급망 공격을 받았습니다. N-able N-central에도 CVSS 10.0 만점의 사전 인증 원격 코드 실행 취약점이 확인되어 즉각적인 핫픽스 적용이 필요합니다.
자세히 보기
중요기업전 세계 5,400개 이상의 해킹된 웹사이트(주로 워드프레스·프레스타숍 기반)가 방문자에게 악성코드를 퍼뜨리는 데 악용되고 있습니다. 공격자는 악성 스크립트를 블록체인(BNB 스마트 체인 테스트넷)에 저장해 차단이 매우 어렵고, 내용을 언제든 바꿀 수 있는 구조를 만들었습니다. 방문자에게는 가짜 보안 인증(CAPTCHA) 화면을 보여주고 직접 명령어를 실행하도록 유도해 최종 악성코드를 설치하는 '클릭픽스(ClickFix)' 방식을 씁니다. 최근에는 웹브라우저의 실시간 통신 기술(WebRTC)을 이용해 일반 보안 장비의 탐지를 피하는 변종까지 등장했습니다. 워드프레스 등 CMS를 운영하는 관리자는 자바스크립트 파일 변조 여부를 즉시 점검하고, 플러그인을 최신 버전으로 유지해야 합니다.
자세히 보기