취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 15일 목요일 기준
중요통신/ITHPE(Hewlett Packard Enterprise)가 자사의 네트워크 스위치 운영체제인 ArubaOS-CX에서 발견된 심각한 취약점 24개를 패치했습니다. 그 중 CVE-2026-73749는 인증 없이도 원격에서 공격자가 악성 패킷을 보내 시스템을 마음대로 제어할 수 있는 RCE(원격 코드 실행) 취약점으로, 위험도가 가장 높습니다. ArubaOS-CX는 대기업, 정부기관, 병원, 데이터센터 등에서 널리 사용하는 엔터프라이즈 네트워크 스위치에 탑재된 운영체제라 영향 범위가 넓습니다. HPE는 현재까지 실제 악용 사례나 공개된 공격 코드는 확인되지 않았다고 밝혔으나, 즉시 최신 버전으로 업그레이드할 것을 강력히 권고하고 있습니다.
자세히 보기
중요기업이번 주 보안 위협 모음(ThreatsDay)에는 총 20건의 주요 사이버 위협이 담겨 있습니다. 가장 주목할 내용은 마이크로소프트 Teams를 악용한 IT 사칭 원격 침투, 1억 5,300만 건의 운전면허증 정보를 판매하는 신원 도용 서비스 "Nexus" 등장, 그리고 CEO를 겨냥한 고급 피싱 서비스 "BlueKit" 활동입니다. 또한 OAuth(앱 권한 인증) 동의 피싱으로 정부 관료와 언론인 계정을 탈취하는 수법과, AI 지침 파일(llms.txt)을 통해 악성 패키지를 배포하는 새로운 공급망 위협도 확인됐습니다. 비밀번호 변경만으로는 부족하며, 앱 접근 권한 점검과 세션 종료까지 함께 이루어져야 합니다.
자세히 보기
중요기업BraZetsu는 파이썬으로 만들어진 정교한 윈도우 악성코드 프레임워크로, 감염된 컴퓨터에 대한 접근권을 지하 마켓플레이스(Infected Marketplace)에서 약 5.80달러에 판매하는 방식으로 운영됩니다. Exilware라는 위협 그룹이 개발·운영하며, 생성형 AI(인공지능)를 활용해 피해 시스템의 상업적 가치를 자동으로 평가하고 목표 우선순위를 결정합니다. 브라질 기업이 사용하는 CNAB 형식의 금융 송금 파일을 탈취하거나 공격자의 계좌 정보로 바꿔치기하는 기능도 갖추고 있어 실질적인 금융 피해로 이어질 수 있습니다. 주로 이베리아 반도(스페인·포르투갈)와 라틴 아메리카 기업을 표적으로 하며, 현재까지 5개 버전이 발견되었고 가장 최근 버전은 브라질 기업 인프라에 집중하고 있습니다. 2차 구매자가 이미 뚫린 시스템에 자신의 악성코드를 추가 배포할 수 있어 피해가 연쇄적으로 확산될 위험이 있습니다.
자세히 보기
기업Plex가 자사 미디어 서버(Plex Media Server)와 데스크톱 클라이언트에서 여러 보안 취약점이 발견되었다며 사용자들에게 즉시 업데이트를 촉구했습니다. 아직 CVE(취약점 공식 번호)가 부여되지 않은 새로운 취약점들은 Plex Media Server 1.43.2 이하 버전에 영향을 미치며, Plex는 이를 해결한 1.43.3 버전과 Plex Desktop 1.115.0을 이미 배포한 상태입니다. 과거에도 Plex 관련 취약점이 실제 공격에 악용된 사례가 있는데, 2022년 LastPass 대규모 개인정보 유출 사고가 Plex의 원격코드실행(RCE) 취약점을 통해 시작되었다는 점에서 이번 경고의 심각성을 알 수 있습니다. Plex가 특정 취약점 해결을 이유로 사용자에게 직접 이메일을 보내는 것은 매우 드문 일로, 그만큼 중요한 보안 문제임을 시사합니다. 현재 패치가 공개되어 있으므로 영향을 받는 버전 사용자는 즉시 업데이트해야 합니다.
자세히 보기
중요기업공격자들이 개발자들이 널리 사용하는 정상 소프트웨어인 Node.js(자바스크립트 실행 환경)를 악성코드 배포 수단으로 악용하는 사례가 2026년 2월부터 급증하고 있습니다. 이 방법은 node.exe가 합법적인 서명된 프로그램이기 때문에 기존 백신(안티바이러스) 탐지를 쉽게 우회할 수 있어 공격자들에게 매력적입니다. 공격의 시작점은 대부분 ClickFix라는 사회공학 기법으로, 사용자가 가짜 오류 메시지나 CAPTCHA를 보고 스스로 악성 명령어를 실행하도록 유도합니다. 특히 일부 공격은 이더리움 블록체인(암호화폐 네트워크)을 C2(명령·제어) 서버 주소록으로 활용해, 특정 도메인이나 IP를 차단하는 전통적 방어를 무력화합니다. 정부기관·기술기업·호텔·핀테크 등 다양한 조직이 피해를 입었으며, 현재 여러 위협 행위자 그룹이 이 방식을 동시에 사용 중입니다.
자세히 보기
중요기업'Shai-Hulud'라는 악성 프로그램(인포스틸러 웜, 감염된 시스템에서 계정 정보를 훔쳐 스스로 퍼지는 악성코드)의 새 변종이 개발자 환경, CI/CD(소프트웨어 자동 빌드·배포 시스템), 클라우드 설정, AI 도구 설정 등 무려 469곳에서 인증 정보(비밀번호·토큰·키 등)를 수집하도록 진화했습니다. 기존 변종이 189곳을 뒤졌던 것에 비해 크게 확대된 것으로, 개발자 PC 한 대가 감염되면 소스 코드, 클라우드 인프라, 패키지 배포 채널까지 연쇄적으로 탈취당할 수 있습니다. 특히 개발자가 소프트웨어 패키지를 배포할 때 쓰는 장기 유효 토큰을 훔쳐 악성 코드를 정상 패키지인 척 배포하는 '공급망 공격'으로 이어질 수 있어 위험합니다. 보안 전문가들은 장기 유효 자격증명을 단기·일회용 방식(OIDC 등)으로 교체하고, 노출된 인증 정보를 위험도 순으로 정리·제거하는 반복 가능한 프로그램을 갖춰야 한다고 강조합니다.
자세히 보기
중요기업랜섬웨어 그룹 '더 젠틀맨(The Gentlemen)'과 연계된 공격 서버에서 AI 코딩 도구를 이용해 원격제어(C2, 해커가 감염된 컴퓨터를 원격으로 조종하는 시스템) 프레임워크 'TukTuk C2 v2'를 직접 개발한 정황이 확인됐습니다. 같은 서버에는 보안 솔루션(EDR)을 무력화하는 기술을 단계별로 체계적으로 연구한 자료도 남아 있었으며, 미국 방산·항공우주 및 헬스케어 분야 글로벌 기업에서 탈취한 것으로 보이는 민감 데이터도 발견됐습니다. 공격자들이 AI 도구를 이용해 공격 무기를 더 빠르고 체계적으로 개발하고 있다는 점에서 위협 수준이 높아지고 있습니다. 기업 보안 담당자는 EDR 솔루션의 프로세스 복구 시간이 공격자에게 이미 분석·계측되고 있다는 점을 인식하고, 취약 드라이버 차단 및 C2 통신 탐지 정책을 강화해야 합니다.
자세히 보기
중요기업국내 OTT 서비스 티빙(TVING)에서 약 3954만 개의 계정 정보가 유출되는 대규모 개인정보 침해 사고가 발생했습니다. 공격자는 개발자의 접속키(API 키) 하나를 탈취한 뒤, 소스코드에 평문으로 저장된 운영 서버 접속키를 연달아 확보해 실제 서비스 데이터베이스까지 침투했습니다. 이름·생년월일·휴대전화번호·이메일 등 70종의 정보가 유출됐으며, 일부는 암호화키와 함께 빠져나가 사실상 평문 유출과 같은 상태였습니다. 특히 2024년 모의해킹에서 이미 접속키 하드코딩 문제가 발견됐음에도 개선이 이루어지지 않았고, 첫 번째 이상 탐지 후에도 공격자의 우회 공격을 막지 못해 '기본 보안 통제의 총체적 실패'라는 평가를 받고 있습니다. 과기정통부는 24시간 내 신고 의무 위반을 이유로 최대 3000만 원의 과태료를 부과할 예정이며, 개인정보보호위원회의 추가 조사도 진행 중입니다.
자세히 보기
기업AI 에이전트의 시스템 프롬프트는 보안 장치가 아닙니다. 사용자가 교묘한 말로 지시를 우회하면 에이전트는 권한 밖의 데이터까지 꺼내줄 수 있기 때문입니다. AWS와 SANS 연구자들은 접근 제어를 모델이 아닌 인프라 계층에 두어야 한다고 권고합니다. 즉, 사용자의 권한을 기반으로 데이터를 모델에 전달하기 전에 미리 필터링해야 합니다. IBM 연구에 따르면 통제되지 않는 '섀도 AI(Shadow AI, 조직이 파악하지 못한 채 운영되는 AI)'가 높은 수준인 조직은 침해 사고 시 평균 67만 달러를 추가로 지출한 것으로 나타났습니다.
자세히 보기
기업이 글은 GitHub의 Dependabot 팀이 3,000만 개 이상의 저장소에서 악성 패키지를 탐지하면서 얻은 위협 인텔리전스 피드(공동체가 공유하는 보안 위협 정보 모음) 운영 교훈을 담고 있습니다. 커뮤니티 위협 피드를 자동화 시스템에 연결하는 것은 흔히 권장되지만, 잘못 운영하면 잘못된 경보 폭주, 자기 자신이 제보한 정보가 독립 확인처럼 되돌아오는 '메아리 현상', 그리고 조용한 오류 확산 같은 위험이 생깁니다. 저자는 출처 추적(롤백 가능), 자기 기여 핑거프린팅, 데이터 정규화에 충분한 예산 투자, 자동화의 '최대 피해 반경' 설계, 그리고 오류 데이터를 조용히 수정하지 않고 명시적으로 격리하는 다섯 가지 원칙을 제시합니다. 위협 인텔리전스 피드를 단순 구독 서비스가 아닌 '자동화된 결과가 붙은 외부 데이터베이스의 실시간 복제본'으로 취급해야 한다는 것이 핵심 메시지입니다.
자세히 보기
중요기업미국 사이버보안 기관 CISA가 실제로 공격에 악용되고 있는 보안 취약점 7개를 '이미 악용 확인된 취약점 목록(KEV)'에 새로 추가했습니다. 피해를 입은 제품은 SonicWall 원격접속 장비, JFrog Artifactory(소프트웨어 패키지 관리 도구), Sangoma Switchvox(전화 시스템), Kestra(업무 자동화 도구), LiteLLM(AI 게이트웨이) 등 기업 환경에서 널리 쓰이는 것들입니다. 공격자들은 이 취약점들을 악용해 서버에 몰래 침투한 뒤 암호화폐 채굴 프로그램을 심거나, 리버스 셸(원격에서 피해 시스템을 조종할 수 있는 통로)을 열고, 관리자 권한 및 API 키를 훔치고 있습니다. 특히 LiteLLM 등 AI 인프라가 새로운 주요 공격 표적이 되고 있으며, Qilin 랜섬웨어 그룹도 연루된 것으로 확인됐습니다. 미국 연방기관은 대부분의 취약점을 9월 5일까지, 나머지 두 건은 9월 16일까지 패치해야 합니다.
자세히 보기
중요공공중국어권 사이버범죄 그룹 'Gambling Goblin'이 브라질 정부 기관과 교육기관의 웹 서버에 악성 Apache 모듈을 심어, 방문자를 온라인 도박·스포츠 베팅 사이트로 몰래 연결하는 공격이 확인됐습니다. 피해자는 주소창에 정상 정부 도메인이 표시되는 채로 가짜 구글플레이·마이크로소프트 스토어 등을 모방한 피싱 페이지로 유도됩니다. 공격자는 서버에 침투한 뒤 DownPro·AlphaAgent·oRAT·SSH 무차별 대입 도구 등 다양한 악성 도구를 배포하고, 3snake 기반 도구로 서버 관리자 계정 정보까지 탈취합니다. 조사 기관 Hunt.io는 탈취된 브라질 정부 서브도메인에서 생성된 URL이 63만 개 이상이라고 밝혔습니다. 이 그룹은 2022년 아시아 도박 사이트를 노린 것으로 알려진 위협 행위자 Earth Berberoka와 연관된 것으로 분석됩니다.
자세히 보기