취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
중요기업북한 해킹 조직 '워터플럼'이 가짜 채용 면접을 미끼로 구직자 기기에 악성코드를 심어 암호화폐를 훔치는 캠페인을 8개월간 벌였습니다. 100개국 이상에서 기기 3만 대를 감염시키고 암호화폐 지갑 7,000개 이상을 털어 약 1,071만 달러를 탈취했습니다. 공격자는 실제 AI·암호화폐 회사를 사칭하고 코딩 테스트나 화상회의 오류를 빌미로 악성코드를 실행시켰으며, 면접 중 AI 얼굴 변환 소프트웨어까지 사용해 신원을 속였습니다. 사용된 악성코드는 BeaverTail, InvisibleFerret, OtterCookie, OtterCandy, StoatWaffle 등 다양하며, 원격 조종과 정보 탈취 기능을 갖추고 있습니다. 기업은 지원자 신원 검증을 강화하고, 개발자는 출처 불명 코드를 격리 환경 밖에서 실행하지 않도록 주의해야 합니다.
자세히 보기
금융추석 연휴를 앞두고 택배 오류나 과태료 미납을 사칭한 스미싱(문자 메시지를 이용한 피싱) 사기가 기승을 부릴 것으로 예상됩니다. 출처 불명의 링크를 클릭하면 악성 앱이 설치돼 개인정보와 금융정보가 탈취될 수 있습니다. 또한 중고 거래 플랫폼을 통한 외화 거래를 미끼로 보이스피싱 자금 세탁에 나도 모르게 연루될 수 있어 주의가 필요합니다. 악성 앱 감염이 의심되면 즉시 비행기 모드로 전환하고 이동통신사를 방문해 앱 삭제 및 기기 초기화를 해야 합니다. 카카오뱅크 등 금융사들은 연휴 기간 이상거래탐지시스템(FDS)을 24시간 운영하며 피해 예방에 나서고 있습니다.
자세히 보기
중요기업앤트로픽이 자사 AI 모델 '클로드'를 악용한 사이버공격 사례를 분석한 위협 인텔리전스 보고서를 공개했습니다. 보고서에 따르면 AI가 단순한 코드 작성 도우미를 넘어 정찰·침투·데이터 탈취까지 공격 전 과정을 자동화하는 '오케스트레이터' 역할을 맡기 시작했습니다. 대규모 데이터 유출로 유명한 샤이니헌터스(ShinyHunters) 계열 공격자는 AI와 자동화 도구를 결합해 안드로이드 앱(APK) 180만 개에서 숨겨진 API 키와 클라우드 자격증명(계정 접속 정보)을 대량으로 수집했습니다. 실제 침해 사례에서는 개발자 토큰 하나만으로 3시간 만에 기업 클라우드 전체 관리자 권한을 탈취하고, SaaS 공급망을 통해 고객사 200여 곳의 데이터에 연쇄적으로 접근한 사례도 확인됐습니다. 기업들은 소스코드와 앱 내 하드코딩된 자격증명 점검, AI API 키의 엄격한 관리, 단기 수명 토큰 사용 등 즉각적인 대응이 필요합니다.
자세히 보기
중요기업주요 AI 코딩 도구(Claude Code, OpenAI Codex, GitHub Copilot, Google Gemini CLI)의 플러그인 설치·업데이트 과정에서 검증된 코드와 실제 실행되는 코드가 달라질 수 있는 공급망 취약점 '플러그인4셸(Plugin4Shell)'이 공개됐습니다. 공격자가 플러그인 저장소를 장악하면, AI 코딩 에이전트의 자동 업데이트 기능을 이용해 사용자가 아무 행동을 하지 않아도 악성코드가 실행될 수 있는 '제로클릭 RCE(원격에서 시스템을 마음대로 실행하는 공격)' 경로가 만들어집니다. AI 코딩 에이전트는 소스코드·인증 토큰·클라우드 자격증명·SSH 키·CI/CD 환경에 광범위하게 접근할 수 있어 악성 플러그인 하나로도 피해 범위가 매우 넓어질 수 있습니다. Anthropic은 Claude Code 2.1.179에서, OpenAI는 Codex 0.146.0에서 각각 수정했으나, GitHub Copilot과 Gemini CLI는 완전한 패치 여부가 불분명합니다. 현재까지 실제 공격에 악용된 사례는 확인되지 않았지만, 기업은 AI 플러그인을 소프트웨어 공급망으로 엄격히 관리해야 합니다.
자세히 보기
중요기업npm 패키지 저장소에서 'indexed-btree'라는 악성 패키지가 발견됐습니다. 이 패키지는 정상적인 오픈소스 라이브러리처럼 위장해 주간 200만 건 이상 다운로드됐습니다. 공격자는 설치 시점이 아닌 프로그램 실행 중에 악성 코드가 동작하도록 숨겨, npm이 올해 도입한 최신 보안 조치를 완전히 우회했습니다. 악성 코드는 감염된 시스템 정보를 수집해 Slack·Telegram으로 유출하고, 이더리움 스마트 계약을 통해 추가 명령을 받습니다. 해당 패키지 또는 연관된 9개 패키지를 설치한 개발자는 즉시 모든 비밀 키를 교체하고 개발 환경을 안전한 백업으로 복원해야 합니다.
자세히 보기
중요기업지난 5월 인기 오픈소스 라이브러리 탠스택(TanStack)의 npm 패키지에 악성코드가 심어진 공급망 공격이 발생했고, 이 여파로 보안업체 크라우드섹(CrowdSec)의 비공개 깃허브 저장소 약 170개가 유출됐습니다. 공격자는 악성 패키지를 설치한 퇴직 개발자의 PC에서 깃허브 OAuth 토큰(인증 열쇠)을 탈취한 뒤, 해당 개발자의 접근권한이 아직 살아 있던 틈을 타 9분 만에 소스코드를 대량 복제했습니다. 크라우드섹이 유출 사실을 인지한 것은 소스코드가 온라인 포럼에 올라온 뒤인 약 4개월 후였습니다. 고객 데이터베이스나 인프라 직접 침해, 코드 변조는 없었으나 내부 알고리즘과 일부 개인정보가 노출됐습니다. 이번 사고는 퇴직자 계정의 깃허브·클라우드 인증정보를 즉시 회수하지 않으면 공급망 공격의 피해가 다른 기업으로 연쇄 확산될 수 있음을 보여주는 사례입니다.
자세히 보기
중요기업북한과 연계된 해킹그룹 '워터플럼(WaterPlum)'이 가짜 채용면접과 코딩테스트를 미끼로 전 세계 개발자들을 속여 악성코드를 심는 공격을 벌였습니다. 2025년 12월부터 2026년 7월까지 약 8개월간 100개국 이상에서 최소 3만 대의 PC가 감염됐으며, 암호화폐 7천 개 이상의 지갑에서 약 1,071만 달러 상당의 자산이 탈취됐습니다. 공격자들은 악성 NPM 패키지나 코딩테스트용 프로젝트 파일로 악성코드를 심은 뒤 브라우저 비밀번호, 암호화폐 개인키, 신분증 이미지까지 빼냈습니다. 감염된 개발자의 PC가 회사 시스템에 연결돼 있을 경우 기업 내부망 침투로 이어질 수 있어 기업 보안 위협으로도 매우 심각합니다. 미국 FBI, 일본, 호주 등 5개국 당국이 공동 경보를 발령했으며, 출처 불명 코드는 반드시 가상머신(VM)에서 실행하도록 권고하고 있습니다.
자세히 보기
중요기업보안 연구팀이 OpenAI의 AI 코딩 도우미 Codex에서 샌드박스(격리 실행 환경)를 탈출하는 취약점 두 가지를 발견했습니다. 그중 'Heapjack'는 가장 엄격한 읽기 전용 모드에서도 공격자가 심어 둔 저장소를 개발자가 열기만 해도 그 개발자의 컴퓨터에서 임의 명령을 몰래 실행할 수 있는 RCE(원격 코드 실행) 취약점입니다. 두 취약점 모두 "격리를 담당하는 장치가 격리 대상과 같은 공간에 있었다"는 구조적 설계 실수에서 비롯됐습니다. OpenAI는 신고를 받은 지 8일 만에 두 취약점을 모두 수정했으며, 사용자는 Codex Desktop 26.818.21641 또는 Codex CLI 0.149.0 이상으로 업데이트해야 합니다.
자세히 보기
중요기업지난주 가장 주목할 뉴스는 Cisco와 Acronis 제품에서 실제로 악용 중인 취약점 세 건이 확인된 것입니다. Cisco Secure Email Gateway에서는 SQL 인젝션(데이터베이스를 조작하는 공격) 취약점(CVE-2026-76461)이, Cisco ISE(기업 네트워크 접근 제어 시스템)에서는 인증 우회 취약점(CVE-2026-76460)이 공격자들에 의해 적극적으로 악용되고 있습니다. Acronis 백업 플러그인에서도 권한 상승 취약점(CVE-2026-87886)이 악용되고 있으며, Parallels Desktop에서도 로컬 사용자가 Mac에서 최고 관리자 권한을 얻을 수 있는 취약점(CVE-2026-90894)이 공개되었습니다. 이 밖에도 Revolut 고객 정보 유출, HBO Max Reddit 계정 탈취를 통한 악성코드 유포, 이란 국가 해킹 조직의 CHOSEN BRICK 악성코드 캠페인 등 다양한 위협 동향이 보고되었습니다. 해당 시스템을 운영하는 조직은 즉시 패치 여부를 확인하고 침해 지표(IoC)를 점검해야 합니다.
자세히 보기
중요기업2026년 5월, TanStack npm 패키지(자바스크립트 개발자들이 쓰는 오픈소스 라이브러리)에 악성 버전이 배포되어 개발자 컴퓨터에서 GitHub 토큰·SSH 키·클라우드 자격증명을 탈취하는 공급망(소프트웨어 납품 경로를 노린) 공격이 발생했습니다. 프랑스 보안 기업 CrowdSec은 이 공격으로 감염된 전직 직원 계정을 통해 비공개 GitHub 저장소 약 170개가 통째로 복사당했다고 9월 18일 밝혔습니다. 유출 데이터에는 소스 코드 외에 이용자 이메일 83건과 투자자 개인정보 51건도 포함되어 있었습니다. 같은 공격은 Mistral AI와 OpenAI에도 영향을 미친 것으로 확인되었습니다. CrowdSec은 자격증명을 교체하고 개발자 단말에 엔드포인트 보안 소프트웨어 도입을 의무화했습니다.
자세히 보기
중요기업WordPress가 2026년 9월 17일 버전 7.1.1을 배포하며 'Click2Shell'이라 불리는 새로운 취약점을 패치했습니다. 이 취약점은 로그인된 관리자가 공격자가 만든 링크를 열기만 해도, 아무것도 누르지 않았는데 WordPress.org 공식 테마가 자동으로 설치되는 방식으로 작동합니다. 설치된 테마 자체는 비활성 상태라 겉으로 티가 나지 않지만, 해당 테마에 별도 취약점이 있을 경우 공격자가 서버에서 원하는 코드를 실행하는 연쇄 공격(RCE, 원격 코드 실행)으로 이어질 수 있습니다. 단독 취약점의 위험도는 CVSS 7.1(높음), 코드 실행까지 연계하면 9.6(심각)입니다. 현재까지 실제 공격에 악용된 사례는 없으며, WordPress는 즉시 업데이트를 권고하고 있습니다.
자세히 보기
중요기업보안 연구자들이 npm(자바스크립트 패키지 저장소)에서 'WeaselBiscuit'이라는 신종 정보 탈취 악성코드를 심은 패키지 13개를 발견했습니다. 이 악성코드는 북한의 'Contagious Interview' 캠페인과 연관된 BeaverTail, OtterCookie 악성코드와 유사한 코드를 공유하지만, 더 작고 단순하게 만들어진 형태입니다. 특히 Windows·macOS·Linux 모두에서 크롬 브라우저 확장 프로그램의 저장 데이터를 통째로 훔쳐내며, 암호화폐 지갑 확장 프로그램의 정보도 노출될 수 있어 금전적 피해로 이어질 수 있습니다. Windows 환경에서는 클립보드와 키 입력도 기록합니다. 해당 패키지 13개를 프로젝트에서 사용하고 있다면 즉시 제거하고 관련 자격증명을 교체해야 합니다.
자세히 보기