TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

BleepingComputer · 토큰 뉴스

필터총 30건초기화
매체전체
국내 매체329ZDNet Korea108데일리시큐81보안뉴스79전자신문 보안61
해외 매체560The Hacker News244BleepingComputer171Help Net Security145
분야
전체기업553공공127금융78통신/IT69의료13제조8기타29교육/연구11
키워드
위협 행위자69자격증명62악성코드57해킹48제로데이44이메일42암호화41비밀번호38원격 코드 실행37랜섬웨어36RCE36Windows35

주요 뉴스

이 범위에서 지금 주목할 이슈

중요BleepingComputer

SonicWall, 실제 악용 중인 SMA1000 제로데이 취약점 경고

SonicWall의 원격 접속 장비인 SMA1000에서 두 개의 제로데이(아직 패치가 없는 상태에서 발견된) 취약점(CVE-2026-83548, CVE-2026-83549)이 발견되었으며, 공격자들이 이를 묶어서 원격 코드 실행(RCE, 피해 장비를 외부에서 마음대로 조종할 수 있는 공격)에 악용하고 있습니다. 이 장비는 대기업·정부·핵심 인프라 기관에서 원격 근무용 VPN으로 널리 쓰이고 있어 피해 파급력이 큽니다. 현재 인터넷에 노출된 SMA1000 장비가 400대 이상으로 파악되며, SonicWall은 즉시 최신 핫픽스 버전으로 업그레이드할 것을 강력히 권고했습니다. 올해 7월에도 같은 장비의 다른 취약점(CVE-2026-15409, CVE-2026-15410)이 제로데이 공격과 랜섬웨어에 악용된 전례가 있어 신속한 대응이 필요합니다.

2026. 09. 02.
BleepingComputer

중국 해커, 다수 기술 취약점 연쇄 악용해 정부 데이터 탈취

BleepingComputer

Mathspace, 100만 명 이상 영향을 미친 데이터 침해 공개

BleepingComputer

Langflow 치명적 취약점 악용으로 OpenAI·AWS 키 탈취

BleepingComputer

Artifactory 취약점 체이닝 공격으로 백도어 악성코드 배포

전체 목록

중요기업
BleepingComputer·2026. 10. 02.

델, 최고 위험도 CSM 취약점에 대해 관리자들에게 즉시 패치 요청

델(Dell)이 쿠버네티스 환경과 자사 엔터프라이즈 스토리지(PowerStore, PowerScale, PowerFlex, PowerMax, Unity XT)를 연결하는 Container Storage Modules(CSM)에서 최고 위험도(critical) 취약점 6개를 패치했습니다. 이 중 2개는 인증 없이도 공격자가 모든 스토리지 배열의 관리자 자격 증명을 탈취하고 전체 인프라를 장악할 수 있는 치명적인 결함입니다. 나머지 4개도 클러스터 노드의 root 권한 획득, 인증 토큰 위조, 쿠버네티스 Secrets 무단 조회 등을 가능하게 합니다. 아직 이번 취약점들이 실제로 악용된 사례는 확인되지 않았지만, 과거 델의 다른 취약점들은 북한 Lazarus나 중국계 해킹조직에 의해 실제 공격에 사용된 적이 있어 각별한 주의가 필요합니다. 델은 CSM을 1.18.0 이상 버전으로 즉시 업데이트할 것을 권고했습니다.

자세히 보기
#AI#Windows#북한
통신/IT
BleepingComputer·2026. 10. 02.

마이크로소프트 X 계정, 암호화폐 펌프 앤 덤프 사기에 해킹당해

마이크로소프트의 공식 X(옛 트위터) 계정이 해킹되어 암호화폐 토큰을 홍보하는 '펌프 앤 덤프(가격을 띄운 뒤 급하게 팔아치워 차익을 챙기는 사기 수법)'에 악용되는 사건이 발생했습니다. 공격자들은 마이크로소프트의 캐릭터인 클리피(Clippy)를 사칭한 계정과 연계해 가짜 암호화폐 토큰 $Clippy를 홍보했습니다. 마이크로소프트는 무단 접속 사실을 확인하고 해당 게시물을 삭제했으며, 법적 조치를 취하겠다고 밝혔습니다. 이번 사건은 2024년 마이크로소프트 인도 계정 해킹, 2024년 미국 증권거래위원회(SEC) 계정 해킹 등 유명 기관의 SNS 계정을 노린 암호화폐 사기 공격이 계속 이어지고 있음을 보여줍니다.

자세히 보기
#AI#계정 탈취#악성코드
통신/IT
BleepingComputer·2026. 10. 01.

GitHub 공개 저장소에서 유효한 계정 정보 54만 3,000여 건 노출

보안 업체 Truffle Security가 GitHub에 공개된 저장소 2억 2,400만 개와 파일 580억 개 이상을 분석한 결과, 아직도 유효하게 사용 가능한 계정 정보(credential) 54만 3,699건이 노출된 상태로 남아 있는 것으로 나타났습니다. 노출된 정보가 공개 상태로 방치된 기간은 평균(중앙값) 784일이나 됐고, 가장 오래된 것은 2009년부터 노출돼 있었습니다. GitHub가 민감정보 유출을 막기 위해 Push Protection이라는 보호 기능을 도입했지만, 이미 새어나간 계정 정보를 자동으로 무효화해주지는 않아서 여전히 많은 정보가 위험에 노출돼 있습니다. 특히 npm 토큰은 유출돼도 대부분 곧 무효화되는 반면, Google Cloud 서비스 계정 정보는 유출된 것 중 절반 이상이 여전히 사용 가능한 상태로 확인돼 서비스별로 대응 수준 차이가 크다는 점이 드러났습니다. 전문가들은 노출된 계정 정보를 즉시 교체(rotate)하고, 저장소와 커밋 이력을 정리하며, 모든 활성 비밀정보에 자동 만료 기한을 설정할 것을 권고합니다.

자세히 보기
#AI#API 키#GitHub
기업
BleepingComputer·2026. 09. 29.

잘못 설정된 Supabase 앱, 16,000개 이상 데이터베이스에서 데이터 노출

보안 업체 UpGuard가 조사한 결과, 백엔드 개발 플랫폼 Supabase로 만든 데이터베이스 중 1만 6천 개 이상이 잘못 설정되어 개인정보, 비밀번호, 인증 토큰 같은 민감한 정보를 누구나 볼 수 있게 노출되어 있었습니다. 미국 발렛 서비스 업체가 10만 건이 넘는 고객 정보를 노출한 사례, 캐나다 이민 서비스에서 평문 비밀번호 884건이 유출된 사례 등이 확인됐습니다. 원인은 로우 레벨 보안(row-level security) 정책이 없거나 제대로 작동하지 않고, 공개 키(public key)를 잘못 사용하는 등의 애플리케이션 보안 설정 미흡 때문입니다. 특히 AI 코딩 도구로 만들어진 사이트가 많은데, 개발자가 자신이 만든 데이터베이스의 보안 설정을 제대로 이해하지 못한 채 서비스를 운영하는 경우가 많았습니다. UpGuard는 심각한 노출이 확인된 서비스 운영자들에게 통보했으며, Supabase 사용자들에게 보안 문서와 API 보안 가이드를 참고해 노출 위험을 점검하라고 권고했습니다.

자세히 보기
#AI#개인정보#결제
중요기업
BleepingComputer·2026. 09. 28.

80,000개 이상의 기업, AI 로그인 정보 탈취당해: 섀도 AI부터 LLMjacking까지

정보를 훔치는 악성코드(인포스틸러)가 ChatGPT, Claude 같은 AI 서비스 로그인 정보를 대량으로 훔쳐 80,000개 이상의 기업 도메인에 영향을 준 것으로 나타났습니다. 보안업체 SOCRadar 조사에 따르면 482개 주요 대기업에서 1,500개 이상의 회사 이메일과 관련된 5,434건의 탈취 기록이 확인됐고, 이 중 90%가 ChatGPT/OpenAI 계정과 관련이 있었습니다. AI 계정이 탈취되면 대화 기록(사내 기밀 포함), 로그인 세션(MFA 우회 가능), 연동된 자동화 권한, API 키(과금·리소스 악용, 이른바 'LLMjacking')까지 한 번에 넘어가기 때문에 일반 비밀번호 유출보다 훨씬 위험합니다. 앞서 8월 말 Anthropic도 탈취된 Claude 세션 대응을 위해 강제 로그아웃, 결제수단 삭제, 부정 결제 환불 조치를 취한 바 있습니다. 기업은 AI 서비스를 SSO(단일 로그인)와 짧은 세션 유지 시간으로 관리하고, API 키를 제한·모니터링하며, 스텔러 로그에 자사 도메인이 노출됐는지 먼저 확인해야 합니다.

자세히 보기
#AI#API 키#LLM
중요금융
BleepingComputer·2026. 09. 25.

해커들, Bitget 암호화폐 거래소에서 3억 5,160만 달러 탈취

암호화폐 거래소 Bitget이 북한 해커로 추정되는 공격자에게 3억 5,160만 달러(약 4,800억 원) 상당의 가상자산을 도난당했습니다. 공격자는 거래소의 핵심 백엔드 지갑 서비스 시스템에 침투해 거래 데이터를 위조하고, 자금 이체 승인 절차를 가로채 ETH·XRP·BNB 등 여러 블록체인의 자산을 빼돌렸습니다. Bitget은 현재 출금을 전면 중단하고 수사기관, Mandiant·SlowMist 등 보안 전문가와 함께 조사를 진행하고 있습니다. 콜드 월렛과 자체 관리형 Bitget Wallet은 피해를 입지 않았으며, 약 4억 6,400만 달러 규모의 사용자 보호 기금으로 전액 보상할 계획이라고 밝혔습니다.

자세히 보기
#AI#가상자산#거래소
중요기업
BleepingComputer·2026. 09. 25.

새로운 Carbonato 악성코드, AI 에이전트를 이용해 노출된 Docker 호스트 장악

Carbonato는 인증 없이 외부에 노출된 Docker 데몬 API(포트 2375)를 노리는 새로운 봇넷(botnet, 감염된 컴퓨터들로 구성된 원격 조종 네트워크) 악성코드입니다. 감염된 호스트에는 AI 에이전트 프레임워크인 Hermes Agent가 설치되어, 공격자가 Telegram을 통해 명령을 내리면 SSH 자격증명·AI API 키·액세스 토큰 등 민감한 정보를 자동으로 수집합니다. 웜(worm) 방식으로 5분마다 주변 네트워크를 스캔해 다른 취약한 Docker 호스트로 스스로 퍼져나가는 것이 특징입니다. Malwarebytes의 ThreatDown 연구팀은 Docker 데몬 API를 네트워크에서 차단하고 레지스트리에 인증을 적용할 것을 강력히 권고합니다.

자세히 보기
#AI#AI 에이전트#API 키
중요기업
BleepingComputer·2026. 09. 25.

노출된 GitLab 프로젝트 이메일 주소, 공격자의 코드 푸시에 악용 가능

GitLab에는 이메일로 이슈나 작업을 프로젝트에 등록할 수 있는 "Email work item to this project" 기능이 있는데, 이 기능이 생성하는 개인 이메일 주소에는 계정 자격증명 역할을 하는 토큰이 포함되어 있습니다. 일부 개발자들이 버그 신고를 받기 위해 이 주소를 README나 공개 문서에 올려놓았고, 보안업체 Aikido가 이를 악용하면 공격자가 해당 사용자 권한으로 병합 요청(Merge Request)을 생성하거나 보호된 브랜치에 코드를 밀어 넣을 수 있다고 경고했습니다. GitLab은 이메일 발신자 주소를 검증하지 않아 인터넷 상의 누구나 토큰 소유자 명의로 요청을 보낼 수 있으며, IP 주소 제한도 우회됩니다. 인기 오픈소스 프로젝트도 영향을 받아 공급망(소프트웨어 공급망 보안) 위험이 제기된 상태이며, 노출된 토큰은 즉시 재설정해야 합니다.

자세히 보기
#AI#공급망#무차별 대입
중요기업
BleepingComputer·2026. 09. 23.

악성 외부 MFA 제공자를 이용해 로그인 중 비밀번호를 탈취하는 공격 기법 공개

보안 연구팀 Varonis가 'TrustSink'라는 새로운 공격 기법을 공개했습니다. 이 기법은 마이크로소프트 Entra(기업용 계정 관리 서비스)의 외부 MFA(다중 인증) 연동 기능을 악용해, 정상적인 로그인 과정 중에 사용자의 비밀번호를 몰래 탈취합니다. 공격자는 먼저 높은 권한의 관리자 계정을 탈취한 뒤, 가짜 외부 MFA 제공자를 등록해 마이크로소프트 로그인 화면을 흉내 낸 피싱 페이지를 끼워 넣습니다. 피해자가 비밀번호를 입력하면 공격자 서버로 전송되지만, 로그인은 정상적으로 완료되어 피해자는 이상을 전혀 느끼지 못합니다. 비밀번호를 바꿔도 가짜 MFA 제공자가 그대로 남아 새 비밀번호까지 재탈취되므로, 반드시 악성 제공자를 먼저 제거한 뒤 자격증명을 교체해야 합니다.

자세히 보기
#AI#MFA#PoC
중요기업
BleepingComputer·2026. 09. 23.

EvilTokens PhaaS, Microsoft 계정 12,000개 침해 후 운영 중단

EvilTokens는 2026년 2월 등장한 피싱 대행 서비스(PhaaS, 피싱 공격을 구독 방식으로 판매하는 플랫폼)로, 전 세계 10,000개 이상 조직에서 Microsoft 계정 12,000개 이상을 탈취했습니다. 이 플랫폼은 '디바이스 코드 피싱'이라는 기법으로 다중 인증(MFA)을 우회해 인증 토큰을 훔치고, AI를 이용해 침해된 메일함에서 임원 서신·이체 정보 등 고가치 데이터를 자동으로 찾아냈습니다. Microsoft 디지털 범죄 수사팀(DCU)과 법집행기관이 공조해 인프라를 압수하고 영국에서 운영자 2명을 체포했으나, 완전한 서비스 차단은 아니어서 위협은 여전히 존재합니다. 피해 조직은 도매·건설·금융·부동산·교육·의료 등 다양한 업종에 걸쳐 있으며, 침해 계정의 97.5%가 기업 도메인 소속이었습니다. 조직은 불필요한 디바이스 코드 인증을 비활성화하고 FIDO2 보안 키 같은 피싱 저항성 인증 방식으로 전환해야 합니다.

자세히 보기
#AI#AWS#MFA
중요기업
BleepingComputer·2026. 09. 20.

악성 npm 패키지, 런타임 악용으로 설치 스크립트 차단 우회

npm 패키지 저장소에서 'indexed-btree'라는 악성 패키지가 발견됐습니다. 이 패키지는 정상적인 오픈소스 라이브러리처럼 위장해 주간 200만 건 이상 다운로드됐습니다. 공격자는 설치 시점이 아닌 프로그램 실행 중에 악성 코드가 동작하도록 숨겨, npm이 올해 도입한 최신 보안 조치를 완전히 우회했습니다. 악성 코드는 감염된 시스템 정보를 수집해 Slack·Telegram으로 유출하고, 이더리움 스마트 계약을 통해 추가 명령을 받습니다. 해당 패키지 또는 연관된 9개 패키지를 설치한 개발자는 즉시 모든 비밀 키를 교체하고 개발 환경을 안전한 백업으로 복원해야 합니다.

자세히 보기
#AI#API 키#GitHub
이전1 / 3다음