취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
이 범위에서 지금 주목할 이슈
기업보안 스캐닝 업체 Detectify가 미국, 영국, 북유럽 고객사 1,293곳의 데이터를 분석한 결과, 인터넷에 노출된 시스템에서 아직 고쳐지지 않은 심각(critical)·높음(high) 등급 취약점 대부분이 90일 넘게 방치되어 있었습니다. 북유럽은 97%, 영국은 92%, 미국은 86%가 이 기준을 넘겼습니다. 특히 공공기관은 다섯 개 업종 중 취약점 해결률이 가장 낮았는데, 예산 절차가 복잡하고 담당 부서가 여러 곳으로 나뉘어 있으며 오래된 레거시 시스템이 많은 것이 원인으로 꼽혔습니다. 또한 Lovable, Base44 같은 AI 도구가 외부에 노출된 조직은 다른 조직보다 절반도 안 되는 속도로 취약점을 고치는 것으로 나타나, AI 인프라에 대한 자산 관리와 거버넌스 강화가 필요하다는 지적이 나왔습니다.
자세히 보기
중요기업정보를 훔치는 악성코드(인포스틸러)가 ChatGPT, Claude 같은 AI 서비스 로그인 정보를 대량으로 훔쳐 80,000개 이상의 기업 도메인에 영향을 준 것으로 나타났습니다. 보안업체 SOCRadar 조사에 따르면 482개 주요 대기업에서 1,500개 이상의 회사 이메일과 관련된 5,434건의 탈취 기록이 확인됐고, 이 중 90%가 ChatGPT/OpenAI 계정과 관련이 있었습니다. AI 계정이 탈취되면 대화 기록(사내 기밀 포함), 로그인 세션(MFA 우회 가능), 연동된 자동화 권한, API 키(과금·리소스 악용, 이른바 'LLMjacking')까지 한 번에 넘어가기 때문에 일반 비밀번호 유출보다 훨씬 위험합니다. 앞서 8월 말 Anthropic도 탈취된 Claude 세션 대응을 위해 강제 로그아웃, 결제수단 삭제, 부정 결제 환불 조치를 취한 바 있습니다. 기업은 AI 서비스를 SSO(단일 로그인)와 짧은 세션 유지 시간으로 관리하고, API 키를 제한·모니터링하며, 스텔러 로그에 자사 도메인이 노출됐는지 먼저 확인해야 합니다.
자세히 보기
통신/IT유럽전기통신표준협회(ETSI)가 양자 난수 생성기(QRNG)의 보안 취약점을 다룬 기술 보고서(ETSI TR 104 171)를 발표했습니다. QRNG는 암호화 키 생성 등 보안 시스템의 핵심 요소인데, 통계 검사를 통과한 숫자라도 공격자에게 다음 출력값을 예측할 단서를 줄 수 있다는 점이 핵심 우려입니다. 특히 AI를 활용하면 장치의 전력 소비나 전자기 신호 변화를 분석해 난수 패턴을 파악하는 공격이 가능해질 수 있습니다. 보고서는 하드웨어 차폐, 출력값 처리 방식 강화, 운영 중 지속적인 모니터링을 권고하며, 고보안 환경에서는 '엔트로피 제로 트러스트(entropy zero trust)' 접근법을 적용할 것을 제안합니다.
자세히 보기
중요기업해커들이 우크라이나의 정상적인 기업 웹사이트를 침해해, 가짜 Cloudflare 인증 화면을 삽입하는 'ClickFix' 공격 캠페인이 활발히 진행 중입니다. 피해자가 해당 페이지를 방문하면 악성 명령어가 클립보드에 자동 복사되고, 이를 Windows 실행창에 붙여넣도록 유도해 'Psychedelic Stealer'라는 신종 정보 탈취 악성코드가 설치됩니다. 이 악성코드는 Chrome·Edge 등 브라우저 비밀번호, 계정 토큰, MetaMask 등 암호화폐 지갑 데이터를 훔치고, 지속 실행을 위해 예약 작업(Scheduled Task)까지 등록합니다. 별도로, 같은 ClickFix 방식으로 유포되는 'RemotePanel'과 'BoundSiphon'이라는 .NET 기반 악성코드도 발견됐는데, RemotePanel은 Windows 서비스로 위장해 원격 제어 권한을 유지하고 BoundSiphon은 메모리에서 직접 실행되며 자격증명과 암호화폐 지갑을 탈취합니다. 두 캠페인 모두 러시아어 흔적이 발견됐으며, 주요 표적은 우크라이나 사용자로 분석됩니다.
자세히 보기
기업이커머스 플랫폼 BigCommerce에 연동된 제3자 앱 Ribon의 인증 키가 탈취되어, 공격자가 여러 온라인 쇼핑몰에 악성 스크립트를 심고 고객 개인정보에 접근하는 사건이 발생했습니다. 피해는 2026년 9월 13일부터 17일 사이에 발생했으며, 유출된 정보에는 고객 성명·이메일·전화번호·배송 주소가 포함됩니다. BigCommerce 플랫폼 자체가 뚫린 것은 아니며, 결제 카드 정보와 비밀번호는 별도 저장되어 피해를 면했습니다. BigCommerce는 이상을 확인한 즉시 해당 앱을 제거하고 피해 판매자들에게 통보했으며, 수백 개의 쇼핑몰이 영향을 받았을 가능성도 제기되고 있습니다. 이번 사건은 제3자 앱의 API 인증 키 관리가 얼마나 중요한지를 보여주는 공급망(supply chain) 침해 사례입니다.
자세히 보기
중요기업Microsoft가 두 가지 사이버 공격 캠페인을 공개했습니다. 첫 번째는 생성형 AI를 활용해 CEO를 사칭한 이메일로 100만 건 이상의 금융 사기를 시도한 사건이고, 두 번째는 '패스키(Passkey) 업데이트'를 빙자해 직원을 속여 마이크로소프트 클라우드 계정을 탈취하는 공격입니다. 두 번째 공격에서 해커들은 피해자의 개인 전화번호로 IT 헬프데스크를 사칭해 연락한 뒤 가짜 사이트로 유도해 계정을 장악하고, 이후 SharePoint·OneDrive·이메일 등에서 대규모로 데이터를 빼냈습니다. 공격자들은 자신의 다중 인증(MFA) 수단을 피해자 계정에 등록해 지속적인 접근 권한을 유지했기 때문에, 피해자가 비밀번호를 바꿔도 계속 접속할 수 있었습니다. 조직 내 금융 담당자와 일반 직원 모두 표적이 될 수 있으므로, MFA 등록 내역 모니터링과 Graph API 사용 행위 분석이 시급합니다.
자세히 보기
중요공공러시아 국가 지원 해킹 그룹 GTG-20006(APT29/Midnight Blizzard와 연관)이 Anthropic의 AI 모델 Claude를 악용해 악성코드가 보안 제품에 탐지될 경우 자동으로 수정·재배포하는 워크플로우를 구축했습니다. 이 그룹은 우크라이나·유럽 정부, 외교·국방 기관 등 20개 이상의 조직을 표적으로 삼았으며, 호텔 Wi-Fi DNS 하이재킹(인터넷 주소를 공격자 서버로 바꿔치기하는 기법), ClickFix 방식 악성코드 배포, WhatsApp 계정 탈취, CCTV 스트림 무단 접근 등 다양한 공격 기법을 동시에 사용했습니다. 북아프리카 정부 기술 기관에서 30만 건 이상의 국가 신원 기록이 유출됐고, 최소 8개 조직의 Microsoft 365 이메일이 탈취되는 등 실질적 피해가 발생했습니다. AI가 탐지 여부를 자동 모니터링하고 즉시 재빌드하는 구조 덕분에 기존의 정적 탐지(파일 특징을 기준으로 악성코드를 차단하는 방식) 방어가 사실상 무력화됐습니다. 보안 담당자는 정적 탐지에만 의존하지 말고 행위(Behavior) 기반 탐지와 다층적 방어 체계를 강화해야 합니다.
자세히 보기
기업사이버 공격자들이 세금 신고서, 배송 알림, Adobe PDF 등 다양한 문서를 미끼로 피해자를 속여 합법적인 원격 관리(RMM) 소프트웨어를 설치하게 만드는 피싱 캠페인이 46개국으로 확산되었습니다. 전체 피해의 약 45%가 미국에 집중되었으며, 교육·기술·정부·금융·제조업 등 다양한 분야가 표적이 되었습니다. 공격자들은 Vercel, GitHub Pages 등 신뢰할 수 있는 인프라를 매일 교체하며 탐지를 피하고 있어, 도메인 블랙리스트에만 의존하는 기존 방어 방식으로는 대응이 어렵습니다. 보안팀은 특정 도메인이 아닌 배포 체인의 구조적 패턴과 비정상적인 원격 접속 행위에 집중해 탐지 체계를 갖춰야 합니다.
자세히 보기
