취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
이 범위에서 지금 주목할 이슈
중요공공중국과 연계된 해킹 그룹 TA419가 백악관 전직 고위 관료와 저명 경제학자, 그리고 AI 기업 Anthropic의 직원을 사칭해 미국의 AI 정책 전문가들을 노린 피싱 공격을 벌였습니다. 공격자는 처음에는 악성 링크 없이 접근해 신뢰를 쌓은 뒤, 가짜 OneDrive 로그인 페이지로 유도해 아이디와 비밀번호, 추가인증(MFA) 코드까지 실시간으로 가로챘습니다. 이 수법은 로그인 과정 자체를 실제 마이크로소프트 서버와 중계하는 방식(AitM, Adversary-in-the-Middle)이어서 2단계 인증을 쓰더라도 뚫릴 수 있었습니다. Proofpoint는 이 활동이 미국의 AI 정책과 규제 동향을 파악하려는 중국의 정보 수집 목적으로 보인다고 분석했습니다.
자세히 보기
기타노스이스턴 대학교 연구진이 컨슈머리포트와 함께 21대의 차량과 19개 브랜드의 커넥티드카 앱 30개를 분석한 결과, 일부 자동차 회사의 앱과 차량이 차대번호(VIN), 이메일 주소, 전화번호, 위치 정보 같은 개인정보를 구글, 메타, 어도비 같은 광고·추적·분석 기업에 보내고 있었습니다. 특히 GM의 여러 앱(myCadillac, myChevrolet, myBuick, myGMC)은 VIN과 이메일 주소를 다수의 외부 기업에 전송한 것으로 나타났습니다. VIN은 사용자가 바꿀 수 없는 고유 식별자라서, 다른 서비스의 행동 데이터나 구매 이력과 연결해 사용자를 추적하는 데 악용될 수 있다는 점이 문제로 지적됩니다. 연구진이 문제를 알렸을 때 대부분의 제조사는 "이용약관에 동의한 소비자 책임"이라며 책임을 떠넘겼고, 혼다만 유일하게 위치 데이터 공유를 중단하는 등 실질적인 조치를 취했습니다. 연구진은 커넥티드카 생태계의 데이터 공유 방식이 불투명하다며 더 높은 투명성이 필요하다고 지적했습니다.
자세히 보기
기업미국 공군에 복무하던 두 명이 약 2년간 기업들을 대상으로 BEC(비즈니스 이메일 침해, 이메일을 이용한 사기)와 피싱 공격을 벌인 혐의로 각각 111개월, 78개월의 연방 교도소 형을 선고받았습니다. 이들은 직원 이메일 계정의 아이디와 비밀번호를 훔친 뒤, 피해 기업이나 거래처처럼 보이도록 이메일 주소를 위조해 송금을 자신들이 관리하는 계좌로 돌렸습니다. 아이오와주의 피해자에게서 168만 달러 이상, 오하이오주 피해자에게서 72만 달러 이상을 가로챘고, 금융 계좌 정보와 신용카드 정보 등도 함께 빼돌렸습니다. 두 사람 모두 형 선고 후 구금되었으며, 출소 후 3년간 보호관찰을 받게 됩니다. 최근 며칠 새 미군 소속이었던 인물이 사이버범죄로 처벌받은 두 번째 사례이기도 합니다.
자세히 보기
중요의료폴란드 의료 소프트웨어 업체 Qbusoft가 SQL 인젝션(웹사이트나 앱이 입력값을 제대로 검사하지 않을 때, 공격자가 악성 데이터베이스 명령어를 끼워 넣어 정보를 빼내는 공격 기법) 취약점을 통해 환자 데이터를 도난당했습니다. 이 회사가 병원·의원에 제공하는 Medyc 플랫폼에서 이름, 주민등록번호에 해당하는 PESEL 번호, 주소, 전화번호, 이메일 등이 유출됐고, 진료 기록까지 빠져나갔을 가능성이 높은 것으로 확인됐습니다. 공격은 8월 22~23일 발생했지만 9월 9일에야 발견됐고, 이는 불과 몇 주 전 폴란드에서 약 1,900만 명의 정보가 유출된 MyDr 사건에 이은 두 번째 대형 의료정보 유출 사건입니다. 폴란드 디지털부 장관은 회사가 일부 사이버보안 대응 기관에 신고하지 않았다며 강한 제재를 예고했고, 개인정보보호 당국은 회사에 대한 감사에 착수했습니다.
자세히 보기
기업그라츠 공과대학교 연구진이 Windows, Linux, macOS, Android가 파일 변경을 알려주는 "파일 알림" 기능을 악용해, 같은 컴퓨터의 다른 계정이나 다른 앱이 사용자의 활동을 몰래 훔쳐볼 수 있다는 사실을 밝혀냈습니다. 예를 들어 Windows에서는 권한이 없는 일반 계정도 다른 사용자가 Firefox로 어떤 웹사이트를 방문했는지 95.7% 정확도로 알아낼 수 있었고, Linux에서는 키보드를 누르고 떼는 타이밍만으로 SSH 원격 접속 중 입력한 키 입력까지 거의 전부 추적할 수 있었습니다. 이 공격은 별도 관리자 권한 없이도 가능해서, 감염된 계정 하나만으로 같은 시스템의 다른 계정 활동을 엿볼 위험이 있습니다. Microsoft와 Linux, macOS, Android 보안팀 모두 이 문제를 인지했으며, Linux는 부분적인 패치(CVE-2025-68788)를 내놓았지만 Windows의 관련 보호 기능은 기본적으로 꺼져 있어 그대로 노출된 상태입니다.
자세히 보기
기업AI 코딩 에이전트(자동화된 AI 개발 보조 시스템)의 메모리 저장소에 API 키, 비밀번호, 기밀 문서 등 민감한 정보가 평문(암호화되지 않은 텍스트)으로 쌓이고 있어 심각한 보안 위협이 되고 있습니다. 공격자는 플러그인이나 MCP(모델 컨텍스트 프로토콜) 통합을 악용해 에이전트 메모리에 악성 정보를 심는 '메모리 포이즈닝' 공격을 시도할 수 있으며, 보안 지식이 부족한 신규 코딩 사용자가 주요 표적입니다. 현재 대부분의 에이전트 메모리 솔루션은 기존 데이터베이스·API 보안에서 당연하게 여겨지는 세밀한 접근 제어(RBAC 등)를 제공하지 못하고 있습니다. Vectorize의 CEO Chris Latimer는 CISO(최고정보보안책임자)가 이번 분기 안에 조직 내 에이전트 메모리 사용 현황을 점검하면 인식하지 못했던 큰 보안 허점을 발견하게 될 것이라고 경고합니다.
자세히 보기
중요기업이번 주 보안 뉴스 주요 사건을 요약하면, 먼저 TASK#STOMP라는 Windows 악성코드(백도어)가 피해자 PC에서 업무 문서·Wi-Fi 비밀번호·스크린샷 등을 몰래 빼내는 것이 분석됐습니다. Zyxel GS1900 스위치의 취약점(CVE-2026-7273)이 실제 공격에 이용돼 48개국 996대 장비에서 민감 정보가 유출됐으며, Check Point 방화벽 제품에서도 2개의 취약점(CVE-2026-85102, CVE-2026-93616)이 실제 공격에 악용되어 긴급 패치가 배포됐습니다. WordPress도 미인증 공격자가 원격에서 코드를 실행할 수 있는 심각한 취약점(CVE-2026-87902)을 버전 7.1.2에서 수정했고, 일본 스크린샷 공유 서비스 Gyazo에서는 약 2,362만 명의 사용자 정보가 유출됐습니다. 위 네 가지 취약점은 모두 CISA KEV(실제 악용 확인 목록)에 등재됐으므로 즉각적인 패치 적용이 필요합니다.
자세히 보기
중요기업MacSync는 Mac 사용자를 노리는 정보 탈취형 악성코드(인포스틸러)로, 2025년 처음 등장한 뒤 2026년 9월 대폭 업그레이드된 새 버전이 발견됐습니다. 이번 변종은 가짜 암호화폐 지갑 앱 'Toria'로 위장해 배포되며, Apple의 iCloud 캘린더 파일 안에 악성 명령어를 숨기는 새로운 방식을 사용해 탐지를 피합니다. 감염되면 브라우저 저장 비밀번호·쿠키, 암호화폐 지갑 데이터, macOS 키체인(Keychain) 파일, SSH·AWS·Git 설정 파일 등 민감 정보가 광범위하게 유출됩니다. 또한 백도어(원격에서 시스템을 몰래 제어하는 악성 프로그램)가 함께 설치되어 공격자가 브라우저 트래픽을 가로채거나 추가 악성 파일을 배포할 수 있습니다. 개발자와 암호화폐 사용자를 주요 표적으로 삼고 있어 기업 내부망 침투로 이어질 위험이 높습니다.
자세히 보기
기업GNOME 재단이 2026년 9월 24일 GNOME 50.5를 출시하며 여러 보안 취약점을 패치했습니다. Epiphany 웹 브라우저에서는 자동완성 기능의 CSS 셀렉터를 통한 자바스크립트 코드 삽입 취약점과, 악성 확장 파일이 허용된 폴더 밖에 임의 파일을 쓸 수 있는 ZIP slip(경로 탈출) 공격 취약점이 수정되었습니다. gvfs 파일 시스템 레이어에서는 CVE-2026-88924가, librsvg 이미지 라이브러리와 GDM 로그인 관리자에서는 해제된 메모리를 계속 사용하는 use-after-free(메모리 해제 후 재사용) 버그가 패치되었습니다. GNOME 50을 탑재한 모든 리눅스 배포판은 배포판의 패키지 업데이트를 통해 최신 버전으로 업그레이드할 것이 권고됩니다.
자세히 보기
기업Apple은 iOS 27 및 iPadOS 27에 '사칭 위험 감지(Impersonation Risk Detection)'라는 새로운 사기 방지 기능을 도입했습니다. 이 기능은 사용자가 결제나 계정 정보 변경 같은 민감한 행동을 할 때, 앱이 소셜 엔지니어링(심리적 조작) 사기 여부를 기기 자체에서 분석해 위험 수준을 알려줍니다. 분석은 기기 내에서만 이루어지며, Apple은 사진·메시지·메일 내용을 들여다보지 않습니다. 앱은 '알 수 없음', '중간', '높음' 세 단계 중 하나의 위험 수준만 전달받으며, 그에 따라 본인 확인 요청이나 경고 표시 등 자체적으로 대응할 수 있습니다. 사용자는 설정에서 기능을 직접 켜고 끌 수 있으며, 어떤 앱이 언제 위험 평가를 요청했는지도 확인할 수 있습니다.
자세히 보기
