취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
중요공공유럽 사이버보안 기관 ENISA가 2025년 한 해 동안 유럽연합(EU)에서 발생한 8,257건의 사이버 사고를 분석한 '위협 동향 2026' 보고서를 발표했습니다. 전체 사고의 절반 이상이 DDoS(서비스 마비 공격)였고, 공공기관이 가장 많이 피해를 입었으며 랜섬웨어(데이터를 암호화해 몸값을 요구하는 악성 프로그램)도 주요 위협으로 꼽혔습니다. 특히 클라우드나 IT 공급업체 같은 '공유 기술 서비스'를 노리는 공격이 늘면서, 한 곳이 뚫리면 수백 개 기관이 동시에 피해를 입는 사례가 잇따랐습니다. 피싱과 소프트웨어 취약점이 주된 침투 경로였으며, 공격자들은 AI(인공지능)를 활용해 공격 속도와 정교함을 높이고 있습니다. 기업 보안 담당자라면 제3자 공급망 보안 점검, 취약점 패치, 피싱 대응 훈련을 우선순위에 두어야 합니다.
자세히 보기
중요교육/연구다크웹 포럼에 한국재료부식학회를 해킹해 탈취한 것으로 추정되는 회원 2,866명의 개인정보가 500달러(암호화폐)에 판매된다는 게시물이 올라왔습니다. 유출된 정보에는 포스코·삼성·현대·SK그룹·한국원자력연구원·한국수력원자력 소속 연구원과 KAIST·서울대·POSTECH 교수들의 이름, 전화번호, 주소, 생년월일, 경력 등이 포함된 것으로 주장됩니다. 특히 공격자는 학회 홈페이지의 관리자 접근 권한까지 확보했다고 주장해, 추가 데이터 탈취가 계속될 수 있는 상황입니다. 보안 분석 기업 SOCRadar는 유출된 업무용 이메일이 스피어 피싱(특정 대상을 겨냥한 정밀 사기 이메일) 및 산업 스파이 활동에 악용될 위험이 높다고 경고했습니다. 한국재료부식학회는 사실 확인 중이며 회원 대상 안내와 후속 조치를 예고했습니다.
자세히 보기
중요기업북한(DPRK) 연계 해커 그룹이 HashiCorp의 Terraform 레지스트리, npm, Go 모듈 등 개발자 패키지 저장소를 통해 Go 기반 악성코드를 배포하고 있습니다. 공격자들은 LinkedIn·Facebook 등에서 가짜 IT 기업 직원으로 위장해 개발자에게 접근한 뒤, 채용 과제 형태로 악성 패키지가 포함된 코드를 실행하도록 유도합니다. 배포된 악성코드는 이더리움 블록체인 스마트 컨트랙트와 Slack을 명령·제어(C2) 채널로 활용해 탐지를 매우 어렵게 만드는 정교한 구조입니다. Terraform 레지스트리는 이번에 처음 악성코드 유포 경로로 악용되었으며, 공격 범위가 npm·PyPI를 넘어 빠르게 확대되고 있습니다. 개발자와 오픈소스 패키지 관리자는 외부 패키지 검증을 강화하고 계정에 다단계 인증(MFA)을 반드시 설정해야 합니다.
자세히 보기
중요기업GitLab은 사용자마다 이메일로 이슈를 등록할 수 있는 전용 주소를 제공하는데, 이 주소에 포함된 토큰이 유출되면 누구든 해당 사용자인 척 코드를 커밋하고 CI/CD(자동 빌드·배포) 작업을 실행할 수 있다는 사실이 보안업체 Aikido Security에 의해 밝혀졌습니다. 이 토큰은 만료되지 않고, GitLab은 발신자를 검증하지 않으며, IP 제한과 2단계 인증(2FA)도 우회됩니다. 토큰 하나가 해당 계정이 접근할 수 있는 모든 프로젝트에 적용되므로 피해 범위가 매우 넓습니다. GitLab은 현재 동작 방식을 변경하지 않은 상태이며, 사용자는 토큰을 직접 재설정해 유출된 주소를 무효화하는 것이 유일한 즉각적 대응 수단입니다.
자세히 보기
중요통신/ITCERT Polska가 'MikroTrick'이라 명명한 두 가지 보안 취약점을 연결(체이닝)하면, 공격자가 비밀번호나 SSH 키 없이 인터넷에 연결된 MikroTik 라우터를 완전히 장악할 수 있습니다. 첫 번째 취약점(CVE-2026-67279)은 SSH 인증 절차를 건너뛰게 하고, 두 번째 취약점(CVE-2026-86060)은 사용자 이름 대신 '-2'라는 특수 값을 보내 최고 관리자 권한을 얻게 합니다. 실제 공격은 패치 배포(9월 3일) 하루 전인 9월 2일부터 이미 시작됐으며, CISA도 9월 10일 CVE-2026-86060을 '실제 악용 확인 목록(KEV)'에 등재해 심각성을 공식 인정했습니다. RouterOS 6.49.21, 7.23.4, 7.24.2로 즉시 업데이트하고, 패치 이전 공격 흔적(계정 'ops', IP 82.192.72.4 등)을 반드시 확인해야 합니다.
자세히 보기
중요기업기업 네트워크를 관리하는 콘솔(방화벽 관리 센터, 네트워크 접근 제어 플랫폼 등)을 노리는 사이버 공격이 2개월 연속 급증하고 있습니다. Cisco FMC(방화벽 관리 센터)의 두 취약점(CVE-2026-20079, CVE-2026-20316)이 연계 공격에 활용돼 Qilin 랜섬웨어 배포까지 이어졌으며, 국가 지원 해킹 조직과 랜섬웨어 갱단이 배후로 지목됐습니다. SonicWall SMA 1000, Cisco ISE, Check Point 등에서도 인증 없이 원격으로 시스템을 장악할 수 있는 취약점이 실제 공격에 쓰이고 있으며, CISA가 다수의 취약점을 실제 악용 확인 목록(KEV)에 등재했습니다. 관리 콘솔은 하위 장비 전체에 대한 제어권을 한꺼번에 가지기 때문에 공격자에게 특히 높은 가치를 지닙니다. 보안 담당자는 해당 제품의 패치를 즉시 적용하고 관리 인터페이스 접근을 엄격히 제한해야 합니다.
자세히 보기
중요기업Cisco Talos가 2026년 9월 22일, AI 모델 최대 4개의 '다수결 투표'로 다음 공격 행동을 결정하는 Windows 악성코드 **CLOSEDQUORUM**을 공개했습니다. 이 악성코드는 기존처럼 공격자 서버에서 명령을 받는 대신, DeepSeek·Qwen·Mistral·Google Gemini에 질의하고 가장 많은 표를 얻은 행동(자격증명 탈취·코드 인젝션·지속성 설치·이동)을 실행합니다. 실제로 실행되면 Windows 로그인 정보(LSASS 메모리 덤프), 크롬·엣지·파이어폭스 저장 비밀번호, MetaMask·Exodus 등 암호화폐 지갑 데이터를 훔쳐 Discord 채널로 전송합니다. 현재 공개된 버전은 API 키와 Discord 웹훅이 더미 값이라 실제로 동작하지 않지만, Talos는 이를 "AI가 공격 의사결정을 대신하는 첫 번째 공개 사례"로 평가합니다. 보안 담당자는 AI 서비스 트래픽과 LSASS 접근·인젝션·WMI 지속성 등이 동시에 나타나는 조합에 주목해야 합니다.
자세히 보기
중요기업Kubernetes Config Connector(KCC)를 사용하는 GCP(Google Cloud Platform) 환경에서 'ConfigConfusion'이라는 권한 상승 취약점이 공개되었습니다. Kubernetes 클러스터의 특정 네임스페이스에 접근할 수 있는 공격자가 단 하나의 YAML 파일을 제출하는 것만으로 GCP 전체 조직의 최고 관리자 권한을 탈취할 수 있습니다. 이 문제는 Kubernetes의 접근 제어(RBAC)와 GCP의 권한 체계(IAM)가 서로 다른 부분만 검증하고, KCC가 제한된 권한을 가진 사용자의 요청을 자신의 조직 수준 권한으로 대신 실행하기 때문에 발생합니다. Google은 이를 설계대로 동작하는 것이라고 밝혀 패치 계획이 없으므로, KCC 네임스페이스 모드 사용·광범위한 IAM 역할 제거·IAMPolicyMember 리소스 생성 권한 제한 등 운영 환경 점검이 시급합니다.
자세히 보기
기업중국 이용자들이 미국 주요 AI 서비스의 지역 차단을 우회하도록 돕는 중계 서버(릴레이 서버)가 8만 개 이상 확인됐습니다. 이 서버들은 여러 AI 계정을 묶어 자체 접속 키를 발급하는 방식으로 운영되며, AI 제공사 입장에서는 실제 사용자가 누구인지 파악하기 어렵습니다. 가장 우려되는 악용 사례는 '모델 증류(Model Distillation)'로, 고성능 AI에 대규모 질의를 보내 그 답변을 수집한 뒤 별도의 저비용 AI 모델을 학습시키는 방식으로 기술을 사실상 복제하는 행위입니다. 미국 CISA·NSA·FBI는 이달 초 중국 AI 기업들이 이러한 대규모 증류 캠페인을 벌이고 있다고 공동 경보를 발령한 바 있습니다. 보안 기업 Team Cymru는 확인된 중계 서버 IP 목록을 피해 AI 기업들과 공유하고 추가 탐지를 이어가고 있습니다.
자세히 보기
중요기업npm과 PyPI(파이썬 패키지 저장소)에 공개된 MemTensor의 정식 패키지 두 개가 공격자에게 침해당해, 악성 코드가 몰래 심어졌습니다. 해당 패키지를 설치한 개발자나 자동화 파이프라인(CI/CD)은 **sckit**이라는 자격증명 탈취 악성 프로그램에 감염될 수 있으며, AWS 키·GitHub 토큰·PyPI 토큰·SSH 키 등 민감한 비밀 정보가 외부 서버로 유출됩니다. 공격자는 MemTensor의 GitHub Actions 워크플로우를 악용해 배포 토큰을 가로채는 방식으로 공식 패키지에 악성 버전을 등록했습니다. 감염된 패키지는 자체 증식 기능도 갖춰 다른 npm·PyPI 패키지나 GitHub Actions 워크플로우로 퍼질 수 있습니다. 해당 패키지를 사용 중이라면 즉시 안전한 버전으로 고정하고, 노출된 모든 시크릿(비밀 키·토큰)을 교체해야 합니다.
자세히 보기
기업보안 연구기업 Malwarebytes가 Claude Max 무료 구독을 미끼로 구글 계정 로그인 정보를 훔치는 피싱 캠페인을 발견했습니다. 공격자들은 실제 Anthropic 홈페이지와 똑같이 생긴 가짜 페이지를 만들고, 카운트다운과 '잔여 슬롯'으로 긴박감을 조성해 사용자를 유인합니다. 피해자가 구글 로그인 버튼을 누르면, 현재 탭 안에 가짜 구글 로그인 창이 그려지는 '브라우저-인-더-브라우저(Browser-in-the-Browser, 탭 안에 가짜 팝업 창을 그려 실제 팝업처럼 속이는 기법)' 수법으로 자격증명을 탈취합니다. 구글 계정이 탈취되면 이메일·문서·다른 서비스의 비밀번호 재설정까지 공격자에게 노출됩니다. 악성 기능이 러시아어 주석이 달린 재사용 가능한 외부 위젯 코드 한 줄로 구현된 점이 특징으로, 동일 도구를 활용한 유사 캠페인이 확산될 가능성이 있습니다.
자세히 보기
중요기업네트워크 장비 기업 Arista Networks가 VeloCloud Orchestrator(기업용 SD-WAN 관리 플랫폼)에서 발견된 최고 심각도 취약점(CVE-2026-93952)에 대한 보안 패치를 배포했습니다. 이 취약점은 이미 실제 공격에 악용되고 있으며, 공격자가 계정이나 사용자 개입 없이도 VCO 시스템 내부 기능에 무단 접근할 수 있게 합니다. 미국 사이버보안 인프라보안국(CISA)도 해당 취약점을 '실제 악용 확인 목록(KEV)'에 등재하고 연방 기관에 9월 25일까지 조치를 완료하도록 명령했습니다. VCO를 온프레미스(자체 서버)로 운영하는 기관은 즉시 패치를 적용하거나, 패치 전까지 웹 인터페이스 접근을 관리 네트워크로 제한해야 합니다. Arista는 침해 의심 시 로그를 보존하고 TAC에 연락할 것을 권고했습니다.
자세히 보기