취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 15일 목요일 기준
중요기업'RatHat'이라는 새로운 안드로이드 악성코드가 발견됐습니다. 이 악성코드는 문자 피싱(스미싱)이나 가짜 앱 배포 사이트를 통해 퍼지며, 설치되면 스마트폰의 접근성 기능과 ADB(안드로이드 개발자 디버그 도구)를 악용해 일반 앱 보안 울타리를 벗어나 기기를 장악합니다. 가장 큰 특징은 피해자가 앱을 직접 삭제해도 공격자가 기기 접근 권한을 유지할 수 있다는 점입니다. 또한 생성형 AI를 활용해 화면을 자동으로 탐색·조작하며, 문자 메시지·비밀번호·화면 녹화·키 입력 등 광범위한 정보를 탈취합니다. 중국 기반 위협 조직이 운영하는 것으로 추정되며, 기존 서명 기반 모바일 보안 솔루션으로는 탐지가 어렵습니다.
자세히 보기
기업미국 매사추세츠대학교 연구팀이 더 이상 업데이트되지 않는 안드로이드 IoT 앱 6만 1,500개를 분석한 결과, 약 4분의 3에서 알려진 보안 취약점을 가진 소프트웨어 라이브러리가 발견됐습니다. 이런 방치된 앱들은 스마트 플러그, 카메라, 온도 조절기 같은 기기를 제어하는 데 수백만 명이 여전히 사용하고 있으며, 일부는 다운로드 수가 1억 건을 넘기도 했습니다. 앱 안에 하드코딩된 서버 주소 중 상당수는 이미 접속 불가 상태이거나 소유자가 바뀐 도메인이며, 앱의 67% 이상에는 피싱·스파이웨어·악성코드와 연관된 차단 목록 도메인이 포함돼 있었습니다. 카메라·위치·저장소 접근 권한으로 수집된 민감한 정보가 안전하지 않은 서버로 계속 전송될 수 있다는 점이 핵심 위험입니다. 연구팀이 개발사에 취약점을 통보했지만 약 20%의 이메일이 반송됐고, 실제로 패치를 진행한 곳은 소수에 불과했습니다.
자세히 보기
중요기업이번 주 보안 위협 요약 뉴스레터에는 25건의 사이버보안 사건이 담겼습니다. 가장 시급한 이슈는 랜섬웨어 조직이 VMware vCenter의 심각한 취약점(CVE-2026-59310)을 실제로 악용하고 있다는 점과, Cyclops Blink 악성코드 변종이 Cisco FMC 장비를 공격하는 데 두 개의 이미 알려진 취약점(CVE-2026-20079, CVE-2026-20316)이 사용되고 있다는 점입니다. AI(인공지능)가 공격 도구로 활용되는 사례도 두드러지는데, AI 에이전트가 스스로 데이터 침해를 실행하거나, 악성코드가 AI를 이용해 보안 솔루션의 탐지를 피하는 사례가 보고됐습니다. Oracle은 800개 이상의 취약점에 대한 패치를 발표했으며, 정보 탈취형 악성코드가 AI 도구에 저장된 토큰·설정·프롬프트 기록까지 수집 대상으로 삼기 시작해 기업 보안 담당자의 주의가 필요합니다.
자세히 보기
중요기업이메일 마케팅·CRM 서비스 Brevo의 소스코드에 하드코딩(고정 저장)된 Cloudflare API 키가 공격자에게 탈취되어, 2026년 9월 14일 약 5시간 30분 동안 공급망 공격이 발생했습니다. 공격자는 이 키를 이용해 CDN(콘텐츠 전송 네트워크) 엣지에서 Brevo의 스크립트를 변조하고, Brevo를 사용하는 고객 사이트 방문자에게 가짜 Cloudflare 인증 페이지와 ClickFix(악성 명령 실행을 유도하는 수법) 화면을 표시했습니다. WordPress 관리자 계정으로 로그인한 상태에서 해당 사이트를 방문한 경우, 백도어 기능을 가진 악성 플러그인이 자동으로 설치되어 공격자 서버와 지속 통신하는 추가 피해가 발생했습니다. 최대 100,000개의 웹사이트가 영향을 받았을 수 있으며, 9월 14일 해당 사이트를 WordPress 관리자로 방문했다면 즉시 플러그인 점검과 비밀번호 교체가 필요합니다.
자세히 보기
중요기타이란 정부와 연계된 해킹 그룹 'Handala Hack'이 텔레그램을 원격 명령 통제(C2) 채널로 사용하는 악성코드 **HEAVYGRAM**을 활용해 이란 반정부 인사, 언론인, 반체제 단체를 집중 공격하고 있습니다. HEAVYGRAM은 비밀번호 탈취, 화면 캡처, 마이크 도청, 파일 삭제 등 다양한 기능을 갖춘 백도어(원격 조종 악성코드)로, 텔레그램·왓츠앱·인스타그램 등 SNS를 통한 사회공학(사람을 속여 악성 파일을 실행하게 하는 기법) 방식으로 퍼집니다. 악성코드는 Pictory, KeePass, Telegram 같은 정상 앱으로 위장해 배포되며, 설치 후 Windows 레지스트리에 자동 실행을 등록해 지속적으로 활성 상태를 유지합니다. FBI는 2026년 3월과 최근 두 차례 경보를 발령했으며, 영국 국가사이버보안센터(NCSC)도 같은 악성코드를 'CHOSEN BRICK'이라는 별칭으로 추적 중입니다. 반정부 활동가나 언론인과 연관된 조직의 보안 담당자라면 즉각적인 모니터링 강화와 의심 파일 실행 차단이 필요합니다.
자세히 보기
금융증권·금융 투자 정보 서비스 기업 이토마토가 외부 해킹 공격을 받아 회원 정보가 변조되는 침해 사고가 발생했습니다. 2026년 9월 15일 오전, 공격자가 로그인 시스템에 불법으로 침입해 아이디(휴대폰 번호), 닉네임, 암호화된 비밀번호, 이메일 등의 정보에 접근하고 일부를 변조했습니다. 이토마토는 침입 경로를 신속히 차단하고 변조된 정보를 복구했으며, KISA(한국인터넷진흥원)와 개인정보보호위원회에 침해 신고를 완료했습니다. 이용자들은 비밀번호를 즉시 변경하고, 같은 비밀번호를 사용하는 다른 사이트에서도 비밀번호를 바꿀 것을 권고받았습니다. 또한 이토마토를 사칭해 보상금이나 본인인증을 유도하는 문자·메일에 각별히 주의해야 합니다.
자세히 보기
중요공공중국과 연계된 국가 지원 해킹 그룹 FamousSparrow가 'SparroWocky'라는 새로운 백도어(해커가 몰래 심어두는 원격 접근 악성 프로그램)를 사용해 2025년 8월부터 라틴아메리카 여러 국가의 정부 기관을 집중 공격하고 있습니다. 이 악성코드는 파일 탈취, 화면 캡처, 명령 실행 등 다양한 스파이 기능을 갖추고 있으며, 보안 제품의 탐지를 피하는 고급 기술을 다수 내장하고 있습니다. ESET 연구팀에 따르면, FamousSparrow가 공격한 대상의 90%가 라틴아메리카 지역에 집중되어 있으며, 아르헨티나·에콰도르·파나마 등 8개국 정부 기관이 피해를 입었습니다. 기존에 사용하던 SparrowDoor 악성코드를 SparroWocky로 교체했으나 DLL 사이드로딩(정상 프로그램을 악용해 악성 코드를 몰래 실행하는 기법)이라는 핵심 침투 방식은 동일하게 유지됩니다. 초기 침투 경로는 아직 밝혀지지 않았으며, 감염 여부 확인과 네트워크 탐지 규칙 업데이트가 필요합니다.
자세히 보기
중요공공중국과 연관된 해킹 그룹 FamousSparrow가 'SparroWocky'라는 새로운 백도어(해커가 몰래 시스템에 침입하기 위한 악성 프로그램) 악성코드를 이용해 라틴아메리카 정부 기관들을 1년 이상 공격해 왔습니다. 아르헨티나, 에콰도르, 과테말라 등 8개국이 표적이 됐으며, 목적은 미국의 중국 경제 압박에 대한 라틴아메리카 각국 정부의 동향을 파악하는 것으로 추정됩니다. SparroWocky는 파일 탈취, 화면 캡처, 원격 명령 실행 등 광범위한 첩보 수집 기능을 갖추고 있으며, 보안 솔루션을 피하기 위한 다양한 탐지 회피 기술도 내장되어 있습니다. 악성코드는 DLL 사이드로딩(정상 프로그램에 악성 DLL 파일을 끼워 넣는 기법)으로 설치되며, 정상 Windows 구성 요소로 위장해 보안 제품의 탐지를 피합니다. 보안 담당자는 공개된 침해지표(IoC)를 참고해 관련 C2(명령·제어 서버) 주소를 즉시 차단하고 의심스러운 DLL 로딩 행위를 모니터링해야 합니다.
자세히 보기
중요통신/IT인터넷 도메인 이름을 IP 주소로 바꿔주는 가장 널리 쓰이는 DNS 서버 소프트웨어인 BIND 9에서 14개의 보안 취약점이 발견됐습니다. 이 중 가장 심각한 것은 CVE-2026-77692로, 공격자가 아무런 인증 없이 단 하나의 잘못된 요청으로 서버를 강제 종료시킬 수 있으며, DNS-over-HTTPS(DoH, 암호화된 방식으로 DNS를 조회하는 기능)를 사용하는 모든 BIND 서버가 대상입니다. 14개 중 7개가 CVSS 7.5점의 High 등급이며, 우회 방법은 없어 즉시 BIND 9.20.29 또는 9.21.26으로 업데이트해야 합니다. 현재까지 실제 악용 사례는 보고되지 않았지만, 취약점을 재현하는 테스트 코드가 공개되어 공격 조건이 외부에 노출된 상태입니다. 지원이 종료된 BIND 9.18 브랜치에는 수정 버전이 제공되지 않으므로, 해당 버전 사용자는 반드시 9.20으로 전환해야 합니다.
자세히 보기
중요기업공격자들이 가짜 AI 암호화폐 자동매매 프로그램 사이트를 만들어 'Needle Stealer'라는 악성코드를 배포했습니다. 이 악성코드는 사용자의 브라우저 지갑 확장 프로그램(MetaMask, Coinbase Wallet 등)을 가짜 복사본으로 교체하고, 입력한 지갑 비밀번호를 공격자에게 전송해 가상자산을 탈취합니다. 설치 파일에 마이크로소프트가 서명한 정상 프로그램을 이용해 보안 검사를 우회하는 수법이 사용됐습니다. 또한 PDF 속 QR코드를 이용해 피해자를 스마트폰으로 유도한 뒤 마이크로소프트 계정 정보를 훔치는 '퀴싱(QR코드 피싱)' 공격도 함께 발견됐습니다. HP가 2026년 4월~6월 사이에 포착한 이 캠페인들은 AI 도구와 다양한 기기를 넘나드는 사용자 행동을 적극적으로 악용합니다.
자세히 보기
기업미국 법무부(DoJ)가 수십만 건의 DDoS(분산 서비스 거부) 공격에 사용된 불법 서비스 'NightmareStresser'의 도메인 2개를 압수했습니다. NightmareStresser는 겉으로는 '서버 부하 테스트 도구'를 표방했지만, 실제로는 돈을 받고 원하는 대상에게 DDoS 공격을 대신 해주는 '부터(booter)' 서비스였습니다. 2022년부터 전 세계 교육기관·정부기관·게임 플랫폼 등을 대상으로 수십만 건의 공격에 활용됐으며, 가입자만 56만 6천 명이 넘을 정도로 규모가 컸습니다. 이번 조치는 전 세계 DDoS 범죄 인프라를 해체하기 위한 국제 공조 작전 'Operation PowerOFF'의 일환으로, FBI·캐나다 기마경찰(RCMP) 등이 참여했습니다. 지금까지 이 작전을 통해 100개 이상의 도메인이 압수되고 12명이 기소됐습니다.
자세히 보기
중요기업기업용 이메일 보안 장비인 Cisco Secure Email Gateway에서 로그인 없이도 원격으로 시스템 최고 권한(루트)을 빼앗을 수 있는 심각한 취약점(CVE-2026-76461)이 발견됐습니다. 공격자는 악성 이메일 한 통만으로 장비를 완전히 장악할 수 있으며, 보안 패치가 나오기 전부터 이미 실제 공격에 사용됐습니다. 미국 사이버보안 당국(CISA)은 이 취약점을 '실제 악용 확인 목록(KEV)'에 등재했고, 미국 연방기관에는 2026년 9월 17일까지 조치를 요구했습니다. 우회 방법이 없기 때문에 취약 버전을 사용하는 기업은 즉시 패치를 적용해야 하며, 이미 침해됐을 가능성도 고려해 과거 로그를 반드시 점검해야 합니다.
자세히 보기