취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 15일 목요일 기준
중요기업이번 주 보안 위협 모음(ThreatsDay)에는 총 20건의 주요 사이버 위협이 담겨 있습니다. 가장 주목할 내용은 마이크로소프트 Teams를 악용한 IT 사칭 원격 침투, 1억 5,300만 건의 운전면허증 정보를 판매하는 신원 도용 서비스 "Nexus" 등장, 그리고 CEO를 겨냥한 고급 피싱 서비스 "BlueKit" 활동입니다. 또한 OAuth(앱 권한 인증) 동의 피싱으로 정부 관료와 언론인 계정을 탈취하는 수법과, AI 지침 파일(llms.txt)을 통해 악성 패키지를 배포하는 새로운 공급망 위협도 확인됐습니다. 비밀번호 변경만으로는 부족하며, 앱 접근 권한 점검과 세션 종료까지 함께 이루어져야 합니다.
자세히 보기
중요기업공격자들이 개발자들이 널리 사용하는 정상 소프트웨어인 Node.js(자바스크립트 실행 환경)를 악성코드 배포 수단으로 악용하는 사례가 2026년 2월부터 급증하고 있습니다. 이 방법은 node.exe가 합법적인 서명된 프로그램이기 때문에 기존 백신(안티바이러스) 탐지를 쉽게 우회할 수 있어 공격자들에게 매력적입니다. 공격의 시작점은 대부분 ClickFix라는 사회공학 기법으로, 사용자가 가짜 오류 메시지나 CAPTCHA를 보고 스스로 악성 명령어를 실행하도록 유도합니다. 특히 일부 공격은 이더리움 블록체인(암호화폐 네트워크)을 C2(명령·제어) 서버 주소록으로 활용해, 특정 도메인이나 IP를 차단하는 전통적 방어를 무력화합니다. 정부기관·기술기업·호텔·핀테크 등 다양한 조직이 피해를 입었으며, 현재 여러 위협 행위자 그룹이 이 방식을 동시에 사용 중입니다.
자세히 보기
중요기업미국 사이버보안 기관 CISA가 실제로 공격에 악용되고 있는 보안 취약점 7개를 '이미 악용 확인된 취약점 목록(KEV)'에 새로 추가했습니다. 피해를 입은 제품은 SonicWall 원격접속 장비, JFrog Artifactory(소프트웨어 패키지 관리 도구), Sangoma Switchvox(전화 시스템), Kestra(업무 자동화 도구), LiteLLM(AI 게이트웨이) 등 기업 환경에서 널리 쓰이는 것들입니다. 공격자들은 이 취약점들을 악용해 서버에 몰래 침투한 뒤 암호화폐 채굴 프로그램을 심거나, 리버스 셸(원격에서 피해 시스템을 조종할 수 있는 통로)을 열고, 관리자 권한 및 API 키를 훔치고 있습니다. 특히 LiteLLM 등 AI 인프라가 새로운 주요 공격 표적이 되고 있으며, Qilin 랜섬웨어 그룹도 연루된 것으로 확인됐습니다. 미국 연방기관은 대부분의 취약점을 9월 5일까지, 나머지 두 건은 9월 16일까지 패치해야 합니다.
자세히 보기
중요공공오픈소스 지리공간 메타데이터 카탈로그인 GeoNetwork에서 두 개의 취약점(CVE-2026-63219, CVE-2026-58400)을 연결하면 로그인 없이도 서버를 원격으로 장악할 수 있는 RCE(원격 코드 실행) 공격이 가능한 것으로 밝혀졌습니다. 첫 번째 취약점은 인증 없이 악성 스타일시트 파일을 업로드할 수 있게 하고, 두 번째는 그 파일이 실행될 때 운영체제 명령까지 수행하도록 합니다. 인터넷에 노출된 취약 버전 GeoNetwork 121개 중 89%가 정부·군·국가기관과 관련된 것으로 확인되어 파급력이 큽니다. GeoNetwork 4.4.12 및 4.2.17 버전에서 수정되었으므로 해당 소프트웨어를 운영 중인 기관은 즉시 업그레이드하거나, 그 전까지 리버스 프록시에서 formatter 엔드포인트의 쓰기 요청을 차단해야 합니다.
자세히 보기
중요기업23년간 운영된 Sality 봇넷(악성코드에 감염된 컴퓨터들로 구성된 네트워크)이 국제 법집행기관과 CrowdStrike, Shadowserver Foundation의 공동 작전으로 완전히 차단됐습니다. Sality는 2003년 처음 등장해 전 세계 1만 5,000대 이상의 기기를 감염시켰으며, 최근 8년간은 클립보드 가로채기 수법으로 암호화폐 주소를 몰래 바꿔치기하는 'EggJagger' 악성코드를 주로 배포해 운영자가 최소 15만 달러를 가로챈 것으로 추정됩니다. 이번 작전은 봇넷의 P2P(컴퓨터끼리 직접 연결되는 분산형) 구조의 핵심인 '슈퍼 피어 목록'을 연구진이 장악해 정상 서버를 싱크홀(방어자가 통제하는 서버)로 교체하는 방식으로 진행됐습니다. 미국·불가리아·헝가리·루마니아 수사기관은 Sality의 악성코드 배포에 사용된 도메인도 압수했습니다. Shadowserver Foundation은 현재 감염 기기 소유자에게 피해 사실을 알리는 통보 작업을 진행 중입니다.
자세히 보기
기업국제 법 집행 기관과 민간 보안 기업들이 20년 넘게 활동해 온 Sality 봇넷(악성코드에 감염된 컴퓨터들이 서로 연결된 네트워크)의 인프라를 합동 작전으로 해체했습니다. 이번 작전에는 미국 법무부(DOJ), FBI, 유럽의 Europol·Eurojust, 불가리아·헝가리·루마니아 당국, 그리고 민간 보안기업 CrowdStrike가 참여했습니다. Sality는 최소 2003년부터 활동해 왔으며, 최근 8년간 주로 암호화폐 지갑 주소를 몰래 바꿔치기하는 'EggJagger' 악성코드를 유포하는 데 사용됐습니다. CrowdStrike는 봇넷의 통신 핵심 노드를 싱크홀링(sinkholing, 악성 트래픽을 무력화하는 기술) 처리해 감염 기기를 고립시켰습니다. 이번 작전으로 Sality 봇넷은 운영자의 통제권을 완전히 잃었습니다.
자세히 보기
중요기업미국 법무부와 유럽 국가들, CrowdStrike 등 민간 기업이 협력해 2003년부터 활동해 온 악성코드 봇넷(악성 소프트웨어에 감염된 컴퓨터들의 집합) 'Sality'를 성공적으로 차단했습니다. Sality는 P2P(피어투피어) 방식으로 운영돼 기존 서버 차단 방식이 통하지 않던 악성코드로, 전 세계 1만 5,000대 이상의 컴퓨터를 감염시켜 암호화폐 탈취, 스팸 발송, DDoS(분산 서비스 거부) 공격 등에 악용됐습니다. 당국은 Sality의 P2P 네트워크 구조 자체를 역이용해 감염된 컴퓨터들이 공격자의 명령을 받지 못하도록 격리하는 방식으로 봇넷을 무력화했습니다. 현재 모든 감염 기기는 CrowdStrike가 운영하는 싱크홀(sinkhole, 악성 트래픽을 흡수해 무력화하는 서버)로 연결되도록 설정됐습니다. 단, 이미 감염된 기기에 남아 있는 악성코드는 여전히 수동으로 제거해야 합니다.
자세히 보기
중요기업보안 연구팀이 PHP 패키지 저장소인 Packagist에서 악성 테마 패키지 13개를 발견했습니다. 이 패키지들은 주로 베트남의 영화·만화 스트리밍 사이트에 설치되며, 사이트 방문자의 기기에 악성 자바스크립트를 몰래 심습니다. iOS 18.6 이하 버전의 아이폰(iPhone XS~iPhone 16)을 사용하는 방문자는 취약점(WebKit 및 커널 결함)을 통해 스파이웨어가 자동 설치되고, 키체인 비밀번호·Wi-Fi 암호·문자(SMS)·사진·위치 기록은 물론 Bitget·Trust Wallet·OKX 등 암호화폐 지갑의 시드(복구 문구)까지 탈취당할 수 있습니다. 모바일 방문자 전원은 도박 사이트로 강제 리디렉션되거나 광고 사기에도 노출됩니다. OphimCMS 또는 KKPhim 기반 사이트 운영자는 해당 패키지 설치 여부를 즉시 점검하고 제거해야 하며, iOS 사용자는 iOS 26.1 이상 또는 18.7.3 이상으로 업데이트해야 합니다.
자세히 보기
중요기업러시아와 연계된 해킹 조직 UAC-0099가 'GuardBreaker'라는 새로운 기법을 사용해 보안 전문가들이 악성코드를 AI로 분석하지 못하도록 방해하고 있습니다. 이 기법은 악성 스크립트 안에 핵무기 제조 요청 같은 위험 문구를 숨겨, AI 보안 도구가 안전 규칙에 걸려 분석을 멈추게 만드는 방식입니다. 해당 스크립트는 MATCHBOIL이라는 악성 프로그램을 설치하는 용도로 쓰이며, UAC-0099는 우크라이나의 교통·에너지 분야를 주로 겨냥해 왔습니다. 비슷한 AI 우회 기법은 오픈소스 패키지 공급망 공격(Mini Shai-Hulud 등)에서도 이미 발견된 바 있어, 이제 여러 공격자들이 이 전술을 따라 쓰고 있습니다. AI 보조 분석 도구에 지나치게 의존하는 보안 파이프라인은 이 같은 '프롬프트 조작(prompt injection)' 공격에 취약할 수 있으므로, 입력 데이터를 신뢰하지 않는 구조로 파이프라인을 설계해야 합니다.
자세히 보기
중요기업보안 연구기업 VulnCheck가 AI 개발 플랫폼 Langflow와 웹 프레임워크 Ruby on Rails에서 발견된 심각한 취약점 두 가지가 실제 공격에 악용되고 있다고 밝혔습니다. 공격자들은 서버에서 AWS 접근 키, OpenAI API 키, 데이터베이스 비밀번호 같은 민감한 자격증명을 훔치고, 일부 시스템을 암호화폐 채굴 봇넷에 편입시키거나 원격 제어(C2) 도구를 심는 등 다양한 악성 활동을 벌이고 있습니다. 특히 Ruby on Rails의 CVE-2026-66066은 패치된 버전(8.1.3.1)에서도 RCE(원격에서 시스템을 마음대로 제어할 수 있는 공격) 수단이 완전히 차단되지 않는 것으로 확인되어 각별한 주의가 필요합니다. 현재 인터넷에 노출된 취약한 Ruby on Rails 인스턴스만 7,100개 이상이며, Langflow 관련 취약점을 통한 성공적인 공격 시도도 15,000건을 넘겼습니다. 해당 제품을 사용하는 조직은 즉시 패치 적용 및 자격증명 점검이 필요합니다.
자세히 보기
중요기업북한이 IT 분야를 넘어 의료·영업·마케팅 직군까지 취업 사기를 확대하고 있습니다. 북한 공작원들은 훔치거나 위조한 신분증, VPN, AI 생성 사진 등을 이용해 미국·호주 등 세계 주요 기업에 취업한 뒤 급여를 북한 정권으로 빼돌리고 있습니다. 이들은 실제 업무를 수행하면서 내부 정보에 접근하거나 핵·미사일 개발 자금을 조달하는 이중 목적을 가집니다. PiKVM(원격으로 PC를 제어하는 하드웨어 장치)·AI 면접 답변 도구 등 탐지를 피하는 기술도 갈수록 정교해지고 있으며, 최근에는 미국 연방 정부 기관에도 잠입한 사례가 FBI 수사 중에 있습니다. 채용 단계에서 신원 철저 확인, 입사 후 디바이스 모니터링이 핵심 대응 방안입니다.
자세히 보기
중요기업Aurora(오로라) 랜섬웨어 공격 그룹이 AI 코딩 도구인 Cursor를 활용해 기업 네트워크에 침투하는 사례가 확인됐습니다. 러시아어권으로 추정되는 이 그룹은 Cursor에 탑재된 AI 에이전트에게 내부망 스캔, 도메인 권한 열거, 인증 릴레이 공격 등 실질적인 해킹 작업을 지시했으며, 미국·독일·영국 등 9개국 20개 이상의 조직을 공격 대상으로 삼았습니다. 공격자는 초기 침투 후 Active Directory(기업 내 계정·권한 관리 시스템) 취약점을 악용하고, 로그를 삭제하거나 Microsoft Defender를 비활성화해 탐지를 회피한 뒤 데이터를 탈취하고 암호화했습니다. 아울러 AI로 전체 툴킷을 제작한 새로운 악성 도구 Gryxa도 발견되어, 사이버 범죄자들의 AI 악용이 점점 정교해지고 있음이 드러났습니다. 기업 보안팀은 AI 기반 공격 기법의 확산에 대비해 이메일 폭탄·IT 사칭 전화 등 사회공학 공격과 내부망 이동 징후에 대한 모니터링을 강화해야 합니다.
자세히 보기