TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

이메일 키워드 뉴스

기업

BleepingComputer·2026. 09. 24.

개발자 문서 예시 도메인 third-party.com, 현재 ClickFix 공격에 악용 중

개발자 문서에서 예시용 도메인으로 오랫동안 사용되어 온 'third-party.com'이 현재 가짜 Cloudflare 보안 인증 페이지를 띄워 Windows 사용자를 공격하는 데 악용되고 있습니다. 사용자가 인증 버튼을 클릭하면 악성 PowerShell(윈도우 명령 실행 도구) 명령어가 클립보드에 복사되고, 이를 직접 실행하도록 유도하는 'ClickFix' 수법입니다. 이 도메인은 W3C, Chromium 등 신뢰받는 프로젝트의 문서와 1,700개 이상의 GitHub 저장소에서 예시 주소로 사용되어 왔기 때문에, 개발자가 코드를 그대로 복사·사용할 경우 사용자 브라우저가 해당 도메인에 자동으로 접속할 수 있습니다. 현재 최종 악성 페이로드(실제 악성 파일) 배포 서버는 응답하지 않아 공격 체인이 일시 중단된 상태이나, 도메인 자체는 살아있어 언제든 재활성화될 수 있습니다. 개발자 및 보안 담당자는 자사 코드와 문서에 third-party.com 도메인이 포함되어 있는지 즉시 점검해야 합니다.

[단독] 포스코, 삼성, 현대 연구원 개인정보 유출 정황... "한국재료부식학회 침해" 주장

다크웹 포럼에 한국재료부식학회를 해킹해 탈취한 것으로 추정되는 회원 2,866명의 개인정보가 500달러(암호화폐)에 판매된다는 게시물이 올라왔습니다. 유출된 정보에는 포스코·삼성·현대·SK그룹·한국원자력연구원·한국수력원자력 소속 연구원과 KAIST·서울대·POSTECH 교수들의 이름, 전화번호, 주소, 생년월일, 경력 등이 포함된 것으로 주장됩니다. 특히 공격자는 학회 홈페이지의 관리자 접근 권한까지 확보했다고 주장해, 추가 데이터 탈취가 계속될 수 있는 상황입니다. 보안 분석 기업 SOCRadar는 유출된 업무용 이메일이 스피어 피싱(특정 대상을 겨냥한 정밀 사기 이메일) 및 산업 스파이 활동에 악용될 위험이 높다고 경고했습니다. 한국재료부식학회는 사실 확인 중이며 회원 대상 안내와 후속 조치를 예고했습니다.

#개인정보 #개인정보 유출 #다크웹

중요기업

The Hacker News·2026. 09. 24.

유출된 GitLab 이슈 이메일 주소, 타인 명의로 코드 커밋 및 CI 작업 실행 허용

GitLab은 사용자마다 이메일로 이슈를 등록할 수 있는 전용 주소를 제공하는데, 이 주소에 포함된 토큰이 유출되면 누구든 해당 사용자인 척 코드를 커밋하고 CI/CD(자동 빌드·배포) 작업을 실행할 수 있다는 사실이 보안업체 Aikido Security에 의해 밝혀졌습니다. 이 토큰은 만료되지 않고, GitLab은 발신자를 검증하지 않으며, IP 제한과 2단계 인증(2FA)도 우회됩니다. 토큰 하나가 해당 계정이 접근할 수 있는 모든 프로젝트에 적용되므로 피해 범위가 매우 넓습니다. GitLab은 현재 동작 방식을 변경하지 않은 상태이며, 사용자는 토큰을 직접 재설정해 유출된 주소를 무효화하는 것이 유일한 즉각적 대응 수단입니다.

#devops #공급망 #브라우저

중요기업

BleepingComputer·2026. 09. 23.

Kubernetes YAML 파일 하나로 GCP 전체 조직을 넘겨줄 수 있는 방법

Kubernetes Config Connector(KCC)를 사용하는 GCP(Google Cloud Platform) 환경에서 'ConfigConfusion'이라는 권한 상승 취약점이 공개되었습니다. Kubernetes 클러스터의 특정 네임스페이스에 접근할 수 있는 공격자가 단 하나의 YAML 파일을 제출하는 것만으로 GCP 전체 조직의 최고 관리자 권한을 탈취할 수 있습니다. 이 문제는 Kubernetes의 접근 제어(RBAC)와 GCP의 권한 체계(IAM)가 서로 다른 부분만 검증하고, KCC가 제한된 권한을 가진 사용자의 요청을 자신의 조직 수준 권한으로 대신 실행하기 때문에 발생합니다. Google은 이를 설계대로 동작하는 것이라고 밝혀 패치 계획이 없으므로, KCC 네임스페이스 모드 사용·광범위한 IAM 역할 제거·IAMPolicyMember 리소스 생성 권한 제한 등 운영 환경 점검이 시급합니다.

#AWS #Azure #IAM

중요기업

Help Net Security·2026. 09. 23.

DarkMe RAT, 제로데이 대신 단순 피싱 이메일로 전환

DarkMe라는 악성 프로그램(원격으로 피해자 PC를 조종하고 정보를 훔치는 RAT 계열 악성코드)이 이번에는 제로데이(패치가 없는 취약점) 없이 단순한 이메일 링크만으로 유포되고 있습니다. 공격자는 피해자에게 PNG 이미지처럼 보이는 링크를 보내지만, 실제로는 Windows 실행 파일(.pif)이 다운로드됩니다. 파일을 더블클릭하면 일련의 악성 코드 실행 과정을 거쳐 최종적으로 암호화폐 지갑 탈취와 화면 캡처가 가능한 DarkMe가 설치됩니다. 기존에는 외환·암호화폐 거래자를 집중 공략했지만, 이번에는 일반 기업 직원까지 대상이 넓어졌습니다. 보안 업체 Huntress는 침해지표(IoC)를 공개하고 탐지·격리·정리 방법을 안내하고 있습니다.

#EDR #SIEM #Windows

기업

Help Net Security·2026. 09. 23.

가짜 Claude Max 무료 이벤트로 사용자 구글 계정 자격증명 탈취

보안 연구기업 Malwarebytes가 Claude Max 무료 구독을 미끼로 구글 계정 로그인 정보를 훔치는 피싱 캠페인을 발견했습니다. 공격자들은 실제 Anthropic 홈페이지와 똑같이 생긴 가짜 페이지를 만들고, 카운트다운과 '잔여 슬롯'으로 긴박감을 조성해 사용자를 유인합니다. 피해자가 구글 로그인 버튼을 누르면, 현재 탭 안에 가짜 구글 로그인 창이 그려지는 '브라우저-인-더-브라우저(Browser-in-the-Browser, 탭 안에 가짜 팝업 창을 그려 실제 팝업처럼 속이는 기법)' 수법으로 자격증명을 탈취합니다. 구글 계정이 탈취되면 이메일·문서·다른 서비스의 비밀번호 재설정까지 공격자에게 노출됩니다. 악성 기능이 러시아어 주석이 달린 재사용 가능한 외부 위젯 코드 한 줄로 구현된 점이 특징으로, 동일 도구를 활용한 유사 캠페인이 확산될 가능성이 있습니다.

#MFA #Windows #결제

중요기업

Help Net Security·2026. 09. 23.

마이크로소프트, 1만 2,000개 수신함을 침해한 피싱 서비스 'EvilTokens' 차단

마이크로소프트가 주도하는 민관 합동 대응팀이 'EvilTokens'라는 피싱(가짜 로그인 페이지로 계정을 탈취하는 공격) 서비스를 차단했습니다. 이 서비스는 1만 개 이상의 조직에서 1만 2,000개가 넘는 이메일 계정을 침해했으며, 2026년 2월부터 텔레그램을 통해 판매됐습니다. 공격자들은 피해자가 정상적인 마이크로소프트 로그인 과정에서 인증 코드를 입력하도록 유도해 비밀번호 없이도 계정에 접근할 수 있었고, 내장된 AI 챗봇이 이메일 내용을 분석해 송금 담당자를 식별하고 사기 메시지까지 자동으로 작성해줬습니다. 수사기관이 50개 웹사이트와 150개 이상의 도메인을 압수·차단했으며, 영국에서 용의자 2명이 체포됐습니다. 기업은 이메일 계정 침해 후 세션·토큰 즉시 폐기, 결제 정보 변경 요청의 2차 경로 확인 등 대응 조치를 즉시 점검해야 합니다.

#AI #결제 #금융 사기

중요공공

The Hacker News·2026. 09. 23.

중국 해커, 크롬-윈도우 제로데이 체인 악용해 CLEANGULP 악성코드 배포

중국 해킹 그룹 UTA0565가 구글 크롬과 마이크로소프트 윈도우의 취약점 3개를 동시에 연결해 사용하는 제로데이 공격을 실제로 감행했습니다. 공격자는 가짜 언론사·NGO 사이트를 만들어 피해자를 유인한 뒤, 브라우저 샌드박스를 탈출하고 원격에서 시스템을 마음대로 조종할 수 있는 악성코드 CLEANGULP을 설치했습니다. 세 가지 취약점(CVE-2026-85046, CVE-2026-87491, CVE-2026-85880) 모두 CISA의 실제 악용 확인 목록(KEV)에 등재된 상태입니다. 아시아 정부 기관이 표적이 되었으며, 실제 피해 범위는 현재 파악된 것보다 훨씬 넓을 가능성이 있습니다. 크롬과 윈도우 최신 보안 패치 적용이 즉시 필요합니다.

#RCE #Windows #버퍼 오버플로

기업

ZDNet Korea·2026. 09. 23.

가비아, 고객 2,998명 개인정보 유출…외부 공격자의 웹 서비스 취약점 악용

국내 코스닥 상장 IT 기업 가비아에서 외부 공격자의 비인가 접근으로 고객 2,998명의 개인정보가 유출됐습니다. 유출된 정보는 성명, 아이디, 이메일 주소, 휴대전화번호이며, 현재까지 비밀번호 유출은 확인되지 않았습니다. 공격자는 가비아 웹 서비스의 외부 요청 검증(입력값이 정당한지 확인하는 절차)이 충분하지 않은 점을 악용해 내부 시스템에 접근했습니다. 가비아는 사고 인지 직후 공격 경로와 관련 계정을 차단하고, KISA(한국인터넷진흥원) 및 개인정보보호위원회에 신고했습니다. 피해 고객에게는 이메일·문자로 개별 안내할 예정이며, 동일 유형 취약점에 대한 전수 점검도 진행 중입니다.

[단독] 9월 다크웹에 국내 금융·중고차 금융 데이터 판매 잇따라…해커, 고객정보 2만8000건·300GB·1TB 주장

2026년 9월, 다크웹 포럼에서 국내 중고차 금융·캐피탈 업체 3곳(JB오토리스할부, MSI캐피탈, NR캐피탈)의 고객 데이터를 판매한다는 게시물이 잇따라 발견됐습니다. 판매자는 각각 2만8000건, 300GB, 1TB 규모의 데이터를 보유했다고 주장하며 이름·전화번호·주소·신분증 이미지 등이 포함됐을 가능성을 시사했습니다. 아직 실제 침해 여부는 확인되지 않았으나, 금융·대출 관련 정보가 유출될 경우 스미싱·보이스피싱·대출사기 등 2차 피해로 이어질 위험이 큽니다. 해당 기업들은 다크웹에 공개된 샘플 데이터와 내부 고객 정보의 일치 여부, 관리자 계정 로그인·DB 접근 이력 등을 즉시 점검해야 합니다. 금융당국과 KISA(한국인터넷진흥원)의 신속한 사실 확인 및 후속 대응도 필요한 상황입니다.

명절 노리는 AI 해킹... 금보원, 연휴 사이버 위협 비상대응 체계 가동

금융보안원이 추석 연휴를 앞두고 AI를 악용한 사이버 공격에 대비해 비상대응 체계를 가동한다고 밝혔습니다. 연휴 중 해킹 시도가 늘어나는 점을 고려해, 평상시보다 높은 수준의 경계 태세를 유지하기로 했습니다. 특히 외부에 노출된 계정 정보를 노린 취약점 공격과 사용자를 속여 악성코드를 설치하게 만드는 '클릭픽스(ClickFix)' 기법에 대한 탐지 기능을 강화했습니다. 자체 개발한 공격 표면 관리 도구 'Atlas ASM'을 통해 금융사의 외부 노출 자산을 지속 점검하고, 침해사고 발생 시 즉시 조사에 착수해 금융회사에 대응 방법을 안내할 예정입니다.

#AI #ASM #공격표면

중요기업

BleepingComputer·2026. 09. 23.

악성 외부 MFA 제공자를 이용해 로그인 중 비밀번호를 탈취하는 공격 기법 공개

보안 연구팀 Varonis가 'TrustSink'라는 새로운 공격 기법을 공개했습니다. 이 기법은 마이크로소프트 Entra(기업용 계정 관리 서비스)의 외부 MFA(다중 인증) 연동 기능을 악용해, 정상적인 로그인 과정 중에 사용자의 비밀번호를 몰래 탈취합니다. 공격자는 먼저 높은 권한의 관리자 계정을 탈취한 뒤, 가짜 외부 MFA 제공자를 등록해 마이크로소프트 로그인 화면을 흉내 낸 피싱 페이지를 끼워 넣습니다. 피해자가 비밀번호를 입력하면 공격자 서버로 전송되지만, 로그인은 정상적으로 완료되어 피해자는 이상을 전혀 느끼지 못합니다. 비밀번호를 바꿔도 가짜 MFA 제공자가 그대로 남아 새 비밀번호까지 재탈취되므로, 반드시 악성 제공자를 먼저 제거한 뒤 자격증명을 교체해야 합니다.

#AI #MFA #PoC

이전6 / 17다음