취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
중요기업MacSync는 macOS를 노리는 정보탈취 악성코드로, 최근 공개 iCloud 캘린더 이벤트를 명령 전달 수단으로 활용하는 새로운 방식이 발견됐습니다. 가짜 암호화폐 지갑 앱이나 크랙 소프트웨어 등으로 위장해 배포되며, 브라우저 저장 암호·쿠키·암호화폐 지갑·Telegram 데이터·SSH 키 등 민감한 정보를 훔칩니다. 최신 버전에는 macOS 기본 파일 관리자 Finder로 위장한 백도어 모듈이 추가되어, 재부팅 후에도 자동 실행되며 공격자 명령을 원격으로 수행할 수 있습니다. macOS 사용자는 출처 불명의 명령어 실행, 의심스러운 사이트의 DMG 파일 다운로드, 관리자 비밀번호 입력 요구를 각별히 주의해야 합니다.
자세히 보기
중요기업Carbonato는 인증 없이 외부에 노출된 Docker 데몬 API(포트 2375)를 노리는 새로운 봇넷(botnet, 감염된 컴퓨터들로 구성된 원격 조종 네트워크) 악성코드입니다. 감염된 호스트에는 AI 에이전트 프레임워크인 Hermes Agent가 설치되어, 공격자가 Telegram을 통해 명령을 내리면 SSH 자격증명·AI API 키·액세스 토큰 등 민감한 정보를 자동으로 수집합니다. 웜(worm) 방식으로 5분마다 주변 네트워크를 스캔해 다른 취약한 Docker 호스트로 스스로 퍼져나가는 것이 특징입니다. Malwarebytes의 ThreatDown 연구팀은 Docker 데몬 API를 네트워크에서 차단하고 레지스트리에 인증을 적용할 것을 강력히 권고합니다.
자세히 보기
중요기업GitLab에는 이메일로 이슈나 작업을 프로젝트에 등록할 수 있는 "Email work item to this project" 기능이 있는데, 이 기능이 생성하는 개인 이메일 주소에는 계정 자격증명 역할을 하는 토큰이 포함되어 있습니다. 일부 개발자들이 버그 신고를 받기 위해 이 주소를 README나 공개 문서에 올려놓았고, 보안업체 Aikido가 이를 악용하면 공격자가 해당 사용자 권한으로 병합 요청(Merge Request)을 생성하거나 보호된 브랜치에 코드를 밀어 넣을 수 있다고 경고했습니다. GitLab은 이메일 발신자 주소를 검증하지 않아 인터넷 상의 누구나 토큰 소유자 명의로 요청을 보낼 수 있으며, IP 주소 제한도 우회됩니다. 인기 오픈소스 프로젝트도 영향을 받아 공급망(소프트웨어 공급망 보안) 위험이 제기된 상태이며, 노출된 토큰은 즉시 재설정해야 합니다.
자세히 보기
중요기업해커들이 우크라이나의 정상적인 기업 웹사이트를 침해해, 가짜 Cloudflare 인증 화면을 삽입하는 'ClickFix' 공격 캠페인이 활발히 진행 중입니다. 피해자가 해당 페이지를 방문하면 악성 명령어가 클립보드에 자동 복사되고, 이를 Windows 실행창에 붙여넣도록 유도해 'Psychedelic Stealer'라는 신종 정보 탈취 악성코드가 설치됩니다. 이 악성코드는 Chrome·Edge 등 브라우저 비밀번호, 계정 토큰, MetaMask 등 암호화폐 지갑 데이터를 훔치고, 지속 실행을 위해 예약 작업(Scheduled Task)까지 등록합니다. 별도로, 같은 ClickFix 방식으로 유포되는 'RemotePanel'과 'BoundSiphon'이라는 .NET 기반 악성코드도 발견됐는데, RemotePanel은 Windows 서비스로 위장해 원격 제어 권한을 유지하고 BoundSiphon은 메모리에서 직접 실행되며 자격증명과 암호화폐 지갑을 탈취합니다. 두 캠페인 모두 러시아어 흔적이 발견됐으며, 주요 표적은 우크라이나 사용자로 분석됩니다.
자세히 보기
중요기업'Corp MDM'라는 이름의 안드로이드 스파이웨어가 물류 기업 직원들을 노리고 있습니다. 공격자는 CEVA, TKW Logistics 같은 실제 물류 회사 브랜드를 도용한 가짜 구글 플레이 페이지를 통해 악성 앱을 배포하며, 이 앱은 설치 후 새로 수신되는 문자메시지(SMS)를 몰래 빼내고 전화를 다른 번호로 돌립니다. SMS 탈취는 OTP(일회용 비밀번호)나 계정 복구 코드 등 보안상 민감한 정보를 노출시킬 수 있어 위험도가 높습니다. 이 캠페인은 안드로이드 악성 앱 외에도 윈도우 악성코드 배포와 자격증명 피싱을 동시에 수행하는 더 큰 공격 작전의 일부입니다. 러시아·아르메니아 연계 위협 행위자가 배후로 추정됩니다.
자세히 보기
중요기업ClickFix는 사용자가 직접 악성 명령어를 자신의 PC에 붙여넣도록 속이는 사회공학 공격 기법으로, 취약점이나 파일 첨부 없이 기업 네트워크에 침투합니다. Microsoft에 따르면 2025년 기업 침해사고 초기 침투의 47%가 이 기법에 의한 것으로, 일반 피싱을 제치고 1위를 차지했습니다. CTM360은 17,000개 이상의 감염 URL을 분석해, 공격 인프라가 블록체인(Polygon)을 이용해 도메인 차단을 무력화한다는 사실을 밝혔습니다. Windows·macOS·Linux 모두 표적이 될 수 있으며, 결국 정보탈취 악성코드(Vidar Stealer)가 정상 Microsoft 프로세스 내부에서 실행됩니다. 대응책으로는 관리 브라우저에서 클립보드 쓰기 기본 차단, 스크립트 인터프리터의 인증 프록시 경유 강제 적용이 가장 효과적입니다.
자세히 보기
중요기업북한(DPRK) 연계 해커 그룹이 HashiCorp의 Terraform 레지스트리, npm, Go 모듈 등 개발자 패키지 저장소를 통해 Go 기반 악성코드를 배포하고 있습니다. 공격자들은 LinkedIn·Facebook 등에서 가짜 IT 기업 직원으로 위장해 개발자에게 접근한 뒤, 채용 과제 형태로 악성 패키지가 포함된 코드를 실행하도록 유도합니다. 배포된 악성코드는 이더리움 블록체인 스마트 컨트랙트와 Slack을 명령·제어(C2) 채널로 활용해 탐지를 매우 어렵게 만드는 정교한 구조입니다. Terraform 레지스트리는 이번에 처음 악성코드 유포 경로로 악용되었으며, 공격 범위가 npm·PyPI를 넘어 빠르게 확대되고 있습니다. 개발자와 오픈소스 패키지 관리자는 외부 패키지 검증을 강화하고 계정에 다단계 인증(MFA)을 반드시 설정해야 합니다.
자세히 보기
중요기업AI 에이전트 도구 3종을 이용한 자동화 공격 캠페인이 온라인 소매업체들을 대규모로 노려 신용카드 정보 60만 건 이상을 훔쳤습니다. 공격자는 짧은 지시만 내리고 나머지는 AI가 알아서 처리하도록 해, 하루에 수십 개 기업을 자동으로 공격했습니다. 119개 이상의 웹사이트에 결제 정보를 빼내는 악성 코드(스키머)가 심어졌으며, Fortune 500 대기업·미국 주요 항공사 등 대형 조직도 피해를 입었습니다. 표적 하나당 공격 비용이 평균 25달러에 불과해, 기술 수준이 낮은 공격자도 쉽게 따라 할 수 있다는 점이 특히 우려됩니다. 공격자가 데이터 탈취 후 원본을 자동으로 삭제하는 은폐 루틴을 사용해, 피해 기업들은 카드 정보 유출과 함께 데이터 손실 피해까지 겪었습니다.
자세히 보기
중요기업DarkMe라는 악성 프로그램(원격으로 피해자 PC를 조종하고 정보를 훔치는 RAT 계열 악성코드)이 이번에는 제로데이(패치가 없는 취약점) 없이 단순한 이메일 링크만으로 유포되고 있습니다. 공격자는 피해자에게 PNG 이미지처럼 보이는 링크를 보내지만, 실제로는 Windows 실행 파일(.pif)이 다운로드됩니다. 파일을 더블클릭하면 일련의 악성 코드 실행 과정을 거쳐 최종적으로 암호화폐 지갑 탈취와 화면 캡처가 가능한 DarkMe가 설치됩니다. 기존에는 외환·암호화폐 거래자를 집중 공략했지만, 이번에는 일반 기업 직원까지 대상이 넓어졌습니다. 보안 업체 Huntress는 침해지표(IoC)를 공개하고 탐지·격리·정리 방법을 안내하고 있습니다.
자세히 보기
금융금융보안원이 추석 연휴를 앞두고 AI를 악용한 사이버 공격에 대비해 비상대응 체계를 가동한다고 밝혔습니다. 연휴 중 해킹 시도가 늘어나는 점을 고려해, 평상시보다 높은 수준의 경계 태세를 유지하기로 했습니다. 특히 외부에 노출된 계정 정보를 노린 취약점 공격과 사용자를 속여 악성코드를 설치하게 만드는 '클릭픽스(ClickFix)' 기법에 대한 탐지 기능을 강화했습니다. 자체 개발한 공격 표면 관리 도구 'Atlas ASM'을 통해 금융사의 외부 노출 자산을 지속 점검하고, 침해사고 발생 시 즉시 조사에 착수해 금융회사에 대응 방법을 안내할 예정입니다.
자세히 보기
중요기업네덜란드 학술 출판사 Elsevier의 주요 도메인 3개가 약 78분간 LAPSUS$ 그룹을 사칭하는 페이지로 강제 이동(리다이렉트)되는 사건이 발생했습니다. 공격자는 Elsevier의 DNS 레코드 또는 CDN(콘텐츠 전송 네트워크) 설정을 변경해 방문자를 납치된 페이지로 보낸 것으로 추정되며, Cloudflare의 리다이렉트 규칙이 조작됐다는 주장도 있습니다. 피해 도메인에는 메인 홈페이지, 의료교육 학습관리 포털, 논문 투고 포털이 포함돼 사용자 로그인 정보 유출 여부가 우려됩니다. Elsevier는 현재까지 공식 입장을 내놓지 않았으며, 계정 정보 탈취 여부도 확인되지 않았습니다. 한편 이번 사건에 쓰인 LAPSUS$ 브랜드는 2022년 이후 사실상 해체된 것으로 알려져 있었으나, 최근 들어 동일 브랜드를 내건 공격 활동이 다시 포착되고 있어 주의가 필요합니다.
자세히 보기
기업사기꾼들이 단돈 249달러짜리 웹사이트 제작 툴킷을 이용해 연간 최대 2,000달러짜리 가짜 AI 구독 서비스를 판매하는 사기 네트워크가 발견됐습니다. 이 사이트들은 GPT-6 Astra, PixAI 등 실존하는 AI 서비스 이름을 도용하고, 진짜 Google 로그인 화면을 연결해 이용자들이 정식 서비스로 착각하게 만듭니다. Malwarebytes는 이런 방식으로 구축된 사이트 100개 이상을 확인했으며, 모두 동일한 개발자 정보와 파일 구조를 공유해 단일 운영자나 연계 집단의 소행으로 추정됩니다. Google 로그인이 성공했다고 해서 그 서비스가 신뢰할 수 있다는 뜻은 아니며, 실제로 구독 비용을 지불한 후 환불이나 분쟁 해결이 매우 어렵습니다. 사이트 URL이 원하는 제품의 공식 주소와 일치하는지 반드시 직접 확인하는 것이 중요합니다.
자세히 보기