취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
기업AI가 공격자의 작업 흐름에 깊숙이 통합되면서, 실패한 침투 시도를 빠르게 재시도하는 비용이 크게 낮아졌습니다. 구글 위협 인텔리전스 그룹(GTIG)은 2026년 5월, 사이버범죄 행위자들이 AI의 도움을 받아 오픈소스 관리 도구의 이중 인증(MFA) 우회 취약점을 발견하고 공격 코드까지 개발했다고 고신뢰도로 평가했습니다. 반면 기업 보안팀(SOC)은 경보 하나를 처리할 때마다 맥락·가설·제약 조건을 처음부터 다시 재구성해야 하는 비효율적인 구조로 운영되고 있어 대응 속도가 뒤처지고 있습니다. 이 문제의 해결책은 조사 과정에서 얻은 상태 정보를 팀 전체가 공유·유지하는 '상태 기억형(stateful)' SOC 아키텍처로의 전환입니다. AI 에이전트 도입은 이 구조적 개선이 선행된 이후에야 효과를 발휘할 수 있습니다.
자세히 보기
중요기업MacSync는 Mac 사용자를 노리는 정보 탈취형 악성코드(인포스틸러)로, 2025년 처음 등장한 뒤 2026년 9월 대폭 업그레이드된 새 버전이 발견됐습니다. 이번 변종은 가짜 암호화폐 지갑 앱 'Toria'로 위장해 배포되며, Apple의 iCloud 캘린더 파일 안에 악성 명령어를 숨기는 새로운 방식을 사용해 탐지를 피합니다. 감염되면 브라우저 저장 비밀번호·쿠키, 암호화폐 지갑 데이터, macOS 키체인(Keychain) 파일, SSH·AWS·Git 설정 파일 등 민감 정보가 광범위하게 유출됩니다. 또한 백도어(원격에서 시스템을 몰래 제어하는 악성 프로그램)가 함께 설치되어 공격자가 브라우저 트래픽을 가로채거나 추가 악성 파일을 배포할 수 있습니다. 개발자와 암호화폐 사용자를 주요 표적으로 삼고 있어 기업 내부망 침투로 이어질 위험이 높습니다.
자세히 보기
중요기업이번 주 보안 위협 모음집에는 총 16가지 사례가 담겨 있습니다. 안드로이드 뱅킹 악성코드, AI 코딩 도구의 소스코드 유출, 원클릭으로 VS Code를 장악하는 취약점, AI 검색 결과를 조작하는 대규모 허위정보 캠페인, 소프트웨어 공급망 공격 등 기업 환경을 직접 겨냥한 위협이 가득합니다. 특히 VS Code 취약점은 링크 하나 클릭만으로 공격자가 사용자 권한으로 코드를 실행하고 SSH 키·클라우드 토큰까지 탈취할 수 있어 즉각적인 대응이 필요합니다. 공급망 공격에서는 인기 오픈소스 프로젝트와 npm 패키지에 북한과 연계된 악성코드가 심겨 개발자 환경이 감염될 수 있음을 보여줍니다. 대부분의 공격은 정교한 기술 없이도 잘못된 설정, 낡은 소프트웨어, 사람의 실수 하나만으로 성공하고 있습니다.
자세히 보기
중요기업문서 예시용 자리표시자(placeholder)로 널리 쓰이던 "third-party[.]com" 도메인이 실제로 악의적인 공격자에게 등록되어, Windows 사용자에게 악성 명령을 실행하도록 유도하는 'ClickFix' 공격을 시작했습니다. 이 도메인은 GitHub의 1,700개 이상 저장소에 예시 주소로 박혀 있어, 해당 문서를 따라 링크를 방문한 개발자나 사용자가 피해를 입을 수 있습니다. ClickFix란 가짜 보안 인증 화면을 띄워 사용자가 악성 명령어를 복사·붙여넣기하도록 속이는 공격 기법입니다. 이 명령어가 실행되면 원격 PowerShell 악성코드가 설치됩니다. 개발자들은 즉시 자사 문서와 코드에서 이 도메인과 유사한 비예약 자리표시자 도메인을 점검하고, IANA가 공식 예약한 "example[.]com"만 사용하도록 교체해야 합니다.
자세히 보기
중요기업해커들이 우크라이나의 정상적인 기업 웹사이트를 침해해, 가짜 Cloudflare 인증 화면을 삽입하는 'ClickFix' 공격 캠페인이 활발히 진행 중입니다. 피해자가 해당 페이지를 방문하면 악성 명령어가 클립보드에 자동 복사되고, 이를 Windows 실행창에 붙여넣도록 유도해 'Psychedelic Stealer'라는 신종 정보 탈취 악성코드가 설치됩니다. 이 악성코드는 Chrome·Edge 등 브라우저 비밀번호, 계정 토큰, MetaMask 등 암호화폐 지갑 데이터를 훔치고, 지속 실행을 위해 예약 작업(Scheduled Task)까지 등록합니다. 별도로, 같은 ClickFix 방식으로 유포되는 'RemotePanel'과 'BoundSiphon'이라는 .NET 기반 악성코드도 발견됐는데, RemotePanel은 Windows 서비스로 위장해 원격 제어 권한을 유지하고 BoundSiphon은 메모리에서 직접 실행되며 자격증명과 암호화폐 지갑을 탈취합니다. 두 캠페인 모두 러시아어 흔적이 발견됐으며, 주요 표적은 우크라이나 사용자로 분석됩니다.
자세히 보기
중요기업'Corp MDM'라는 이름의 안드로이드 스파이웨어가 물류 기업 직원들을 노리고 있습니다. 공격자는 CEVA, TKW Logistics 같은 실제 물류 회사 브랜드를 도용한 가짜 구글 플레이 페이지를 통해 악성 앱을 배포하며, 이 앱은 설치 후 새로 수신되는 문자메시지(SMS)를 몰래 빼내고 전화를 다른 번호로 돌립니다. SMS 탈취는 OTP(일회용 비밀번호)나 계정 복구 코드 등 보안상 민감한 정보를 노출시킬 수 있어 위험도가 높습니다. 이 캠페인은 안드로이드 악성 앱 외에도 윈도우 악성코드 배포와 자격증명 피싱을 동시에 수행하는 더 큰 공격 작전의 일부입니다. 러시아·아르메니아 연계 위협 행위자가 배후로 추정됩니다.
자세히 보기
기업Apple은 iOS 27 및 iPadOS 27에 '사칭 위험 감지(Impersonation Risk Detection)'라는 새로운 사기 방지 기능을 도입했습니다. 이 기능은 사용자가 결제나 계정 정보 변경 같은 민감한 행동을 할 때, 앱이 소셜 엔지니어링(심리적 조작) 사기 여부를 기기 자체에서 분석해 위험 수준을 알려줍니다. 분석은 기기 내에서만 이루어지며, Apple은 사진·메시지·메일 내용을 들여다보지 않습니다. 앱은 '알 수 없음', '중간', '높음' 세 단계 중 하나의 위험 수준만 전달받으며, 그에 따라 본인 확인 요청이나 경고 표시 등 자체적으로 대응할 수 있습니다. 사용자는 설정에서 기능을 직접 켜고 끌 수 있으며, 어떤 앱이 언제 위험 평가를 요청했는지도 확인할 수 있습니다.
자세히 보기
중요기업북한(DPRK) 연계 해커 그룹이 HashiCorp의 Terraform 레지스트리, npm, Go 모듈 등 개발자 패키지 저장소를 통해 Go 기반 악성코드를 배포하고 있습니다. 공격자들은 LinkedIn·Facebook 등에서 가짜 IT 기업 직원으로 위장해 개발자에게 접근한 뒤, 채용 과제 형태로 악성 패키지가 포함된 코드를 실행하도록 유도합니다. 배포된 악성코드는 이더리움 블록체인 스마트 컨트랙트와 Slack을 명령·제어(C2) 채널로 활용해 탐지를 매우 어렵게 만드는 정교한 구조입니다. Terraform 레지스트리는 이번에 처음 악성코드 유포 경로로 악용되었으며, 공격 범위가 npm·PyPI를 넘어 빠르게 확대되고 있습니다. 개발자와 오픈소스 패키지 관리자는 외부 패키지 검증을 강화하고 계정에 다단계 인증(MFA)을 반드시 설정해야 합니다.
자세히 보기
기업보안 업체 DataDome이 7만 5천여 개 웹사이트를 1년간 분석한 결과, 악성 봇 트래픽이 같은 기간 인간 트래픽 증가율(13.2%)의 약 10배인 124%나 급증한 것으로 나타났습니다. 전체 인터넷 트래픽의 약 26.5%가 봇과 AI 에이전트에서 발생했으며, 웹 스크래핑(데이터 무단 수집)이 악성 봇 공격의 71%를 차지했습니다. 특히 AI 봇이 로그인 페이지에 접근하는 비율이 2026년 상반기에만 8배 이상 급증하면서, 정상적인 AI 비서와 계정 탈취 봇을 구분하는 것이 새로운 과제가 되고 있습니다. 테스트에 포함된 인기 웹사이트의 65.3%는 10가지 봇 시뮬레이션 중 단 하나도 탐지하지 못했으며, 모든 유형을 막은 사이트는 2.4%에 불과했습니다. 기업 보안 담당자는 로그인·결제·장바구니 페이지에 대한 봇 탐지 체계를 재점검할 필요가 있습니다.
자세히 보기
기업ClosedQuorum는 Google Gemini, DeepSeek, Qwen, Mistral 등 여러 AI 모델을 동시에 활용해 공격 단계별 행동을 스스로 결정하는 새로운 Windows 악성코드입니다. 사람 운영자의 명령 없이도 감염 시스템에서 자격 증명 탈취·셸코드 주입·지속성 확보 등을 자율적으로 수행하며, 훔친 정보는 Discord 웹훅으로 자동 전송됩니다. Cisco Talos 연구진은 이를 AI 모델에 전술적 명령·제어(C2) 결정을 위임한 최초의 공개 문서화 Windows 임플란트로 평가했습니다. 현재 실제 배포 확인은 없고 테스트·실험 단계로 추정되지만, 공격 체인 전체를 자동화하는 새로운 구조적 방향을 보여준다는 점에서 보안 담당자의 주의가 요구됩니다.
자세히 보기
중요기업오픈소스 AI 게이트웨이(여러 AI 서비스에 요청을 중계해 주는 소프트웨어)인 Bifrost에서 심각한 보안 취약점(CVE-2026-90898, CVSS 9.8)이 발견되었습니다. 공격자는 아이디·비밀번호 같은 인증 절차 없이 HTTP 요청 하나만으로 게이트웨이 서버에서 원하는 명령을 실행할 수 있으며, 이 과정에서 연결된 모든 AI 서비스(OpenAI, Anthropic 등 LLM 제공업체)의 API 키를 통째로 탈취할 수 있습니다. 기본 설정에서 인증이 꺼져 있고, 공식 Docker 이미지는 외부에서 접근 가능한 상태로 동작해 실제 피해 위험이 높습니다. 수정 버전(transports/v2.1.0)이 이미 출시되었으므로 즉시 업그레이드해야 하며, 인증 없이 외부에 노출된 이력이 있다면 모든 API 키를 즉시 교체해야 합니다.
자세히 보기
중요기업보안 연구원 Abdelhamid Naceri가 Microsoft Defender의 업데이트를 강제로 차단하는 제로데이(패치가 없는 신규 취약점) 개념 증명 도구 'BigDiskBuster'를 GitHub에 공개했습니다. 이 도구는 디스크 공간을 가득 채워 Defender가 바이러스 정의 파일과 플랫폼 업데이트를 설치하지 못하게 만들며, 현재 공식 패치나 Microsoft의 대응 방안이 존재하지 않습니다. Naceri의 이전 도구 세 가지(BlueHammer, RedSun, UnDefend)는 모두 실제 공격에 악용된 전력이 있어 이번 공개도 심각하게 받아들여야 합니다. Defender가 계속 작동하더라도 탐지 정의가 오래되면 최신 악성코드를 탐지하지 못할 수 있습니다. 관리자는 Defender 업데이트 실패 반복, 시스템 볼륨의 지속적인 저용량 디스크 공간, 임시 폴더 내 대용량 숨김 파일 등을 모니터링해야 합니다.
자세히 보기