취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
이 범위에서 지금 주목할 이슈
기업미국 공군에 복무하던 두 명이 약 2년간 기업들을 대상으로 BEC(비즈니스 이메일 침해, 이메일을 이용한 사기)와 피싱 공격을 벌인 혐의로 각각 111개월, 78개월의 연방 교도소 형을 선고받았습니다. 이들은 직원 이메일 계정의 아이디와 비밀번호를 훔친 뒤, 피해 기업이나 거래처처럼 보이도록 이메일 주소를 위조해 송금을 자신들이 관리하는 계좌로 돌렸습니다. 아이오와주의 피해자에게서 168만 달러 이상, 오하이오주 피해자에게서 72만 달러 이상을 가로챘고, 금융 계좌 정보와 신용카드 정보 등도 함께 빼돌렸습니다. 두 사람 모두 형 선고 후 구금되었으며, 출소 후 3년간 보호관찰을 받게 됩니다. 최근 며칠 새 미군 소속이었던 인물이 사이버범죄로 처벌받은 두 번째 사례이기도 합니다.
자세히 보기
통신/IT미군 현역 군인이었던 캐머런 존 와그니어스가 AT&T 등 통신사와 Snowflake(스노우플레이크) 고객사들을 해킹해 데이터를 훔치고 금품을 요구한 혐의로 징역 70개월과 배상금 약 29만5천 달러를 선고받았습니다. 그는 2023년 4월부터 2024년 12월까지 'kiberphant0m'이라는 닉네임으로 활동하며 직접 개발한 해킹 도구로 로그인 정보를 빼내 최소 10개 조직을 공격했습니다. 훔친 데이터는 다크웹 포럼에 공개하겠다고 협박하거나 판매하는 데 쓰였고, 일부는 유심 스와핑(SIM-swapping, 타인의 전화번호를 가로채는 사기 수법) 같은 추가 범죄에도 악용됐습니다. 이들은 피해 기업들로부터 총 100만 달러 이상을 갈취하려 했으며, 현역 군인 신분으로 군 복무 중 이런 범죄를 저질렀다는 점이 특히 논란이 됐습니다.
자세히 보기
통신/IT미군 현역 병사였던 21세 Cameron John Wagenius(별명 'kiberphant0m')가 2023년 4월부터 2024년 12월까지 AT&T, Verizon 등 최소 10개 미국 기술·통신 기업을 해킹하고 갈취한 혐의로 징역 70개월을 선고받았습니다. 그는 공범들과 함께 자체 제작한 SSH 무차별대입(brute force) 해킹 도구로 기업 네트워크 로그인 정보를 훔쳤고, 훔친 데이터를 BreachForums, XSS.is 같은 범죄 포럼에 공개하겠다고 위협하며 최소 100만 달러를 갈취하려 했습니다. 일부 데이터는 실제로 판매되었고 SIM 스와핑 등 추가 사기에도 악용되었습니다. 이번 사건은 Snowflake 클라우드 저장소를 노린 대규모 해킹 캠페인과도 연결되어 있으며, 그 여파로 AT&T, Ticketmaster, Santander 등 수억 명의 고객 정보가 유출된 바 있습니다.
자세히 보기
통신/IT연구팀이 '5G-Shark'라는 저렴한 가짜 기지국 도구를 만들어 5G 스마트폰을 몰래 유인한 뒤, 실제 상용 5G 망에서 가입자를 추적할 수 있는지 실험했습니다. 5G는 원래 영구 가입자 식별번호(IMSI)를 외부에 노출하지 않도록 설계됐지만, 일부 통신사가 임시 ID(GUTI)를 예측 가능한 순서로 부여해 연속 접속의 84~96%를 연결·추적하는 것이 가능했습니다. 가짜 기지국은 특수 장비 없이 오픈소스 소프트웨어와 저가 하드웨어만으로 구축 가능하고, 사용자 화면에 아무런 경고도 뜨지 않습니다. 또한 조작된 '연결 거부' 메시지를 보내면 Galaxy S23이 3G로 강제 다운그레이드되거나 모뎀이 먹통이 되는 문제도 확인됐습니다. 연구팀은 이 중 일부는 표준 설계 자체의 문제이고, 임시 ID 예측 가능성 문제는 통신사와 장비사가 개선할 수 있다고 지적합니다.
자세히 보기
기업Microsoft가 2027년 2월부터 Entra ID(기업 계정 관리 서비스)에서 SMS를 첫 번째 인증 수단으로 사용하는 방식을 폐기한다고 공식 발표했습니다. 이 변경이 적용되면 SMS나 음성 통화로 로그인하던 사용자는 더 이상 인증을 완료할 수 없으므로, 기업 관리자는 그 전에 사용자를 패스키·FIDO2 보안 키·QR 코드 인증 등 피싱(이메일 등을 이용한 사기성 계정 탈취) 방지 방식으로 전환해야 합니다. SMS 인증을 계속 유지하려면 Microsoft Security Store를 통해 서드파티 통신사를 별도로 연동해야 합니다. 관리자는 Microsoft가 제공하는 PowerShell 스크립트로 아직 SMS/음성 인증을 쓰는 사용자를 찾아낼 수 있습니다. 이번 달부터 패스키가 Entra ID의 기본 인증 방식으로 순차 적용되기 시작합니다.
자세히 보기
중요공공파키스탄 연계 해킹 그룹 Transparent Tribe(일명 APT36)가 인도·아프가니스탄의 정부 및 국방 기관을 노린 새로운 사이버 첩보 캠페인이 포착됐습니다. 이번 공격에서는 Rust 언어로 만든 백도어 RUSTYSHADE를 포함해 총 4종의 신규 악성코드가 사용됐으며, 일반적인 공격자 서버 대신 비공개 GitHub 저장소를 명령·제어(C2) 통신 채널로 활용하는 것이 특징입니다. 악성코드는 화면·웹캠 촬영, 문서 대량 탈취, USB를 통한 내부망 전파까지 수행할 수 있어 피해 범위가 광범위합니다. 또한 인도 유력 언론사를 사칭한 타이포스쿼팅(오탈자 도메인) 사이트를 통해 악성 스크립트를 배포하는 방식도 확인됐습니다. 보안 담당자는 GitHub API를 이용한 비정상 트래픽 탐지와 외부 저장 매체 정책 강화를 즉시 검토해야 합니다.
자세히 보기
중요기업Anthropic이 2025년 12월부터 2026년 8월까지 자사 AI 모델 Claude가 사이버 범죄와 국가 지원 해킹에 악용된 사례를 담은 154페이지 분량의 보고서를 공개했습니다. 러시아·중국·이란 등 국가 연계 행위자와 재정적 동기를 가진 범죄 집단이 Claude를 활용해 자격증명(계정 ID·비밀번호) 대량 탈취, 취약점 분석, 악성코드 제작, 데이터 유출 자동화를 수행했습니다. 특히 멀티에이전트(여러 AI가 협력하는) 프레임워크를 이용해 수십 개 피해 조직을 동시에 자동 공격하는 사례가 확인되었으며, 이는 기존에 국가급 자원이 있어야만 가능하던 수준의 공격을 개인 해커도 수행할 수 있게 했습니다. 영향권에는 교육·유통·에너지·기술·의료·금융·제조·공공 등 전 산업이 포함되었고, AI 공급망(API 키 탈취 등)을 겨냥한 공격도 급증했습니다. Anthropic은 해당 계정들을 차단했으며, 정부·업계·공중이 AI 오남용 위협의 실체를 인식해야 한다고 촉구했습니다.
자세히 보기
중요통신/IT미국 미시간주립대 연구팀이 이동통신사의 '분실·도난 기기 차단' 시스템에서 6가지 취약점을 발견했습니다. 공격자는 단돈 2.5~4달러(약 3,500~5,500원)와 20~80초만 있으면 자신이 소유하지 않은 타인의 기기를 통신망에서 강제로 차단할 수 있습니다. 피해 대상은 스마트폰뿐 아니라 가정용 보안 경보 패널, 전력·수도 계량기, 산업용 센서, 심장 모니터 등 셀룰러 통신을 쓰는 모든 IoT(사물인터넷) 장치를 포함합니다. 특히 미국 홈 보안 시장의 41% 이상을 점유한 두 회사의 제품이 공격에 취약한 것으로 확인됐으며, 피해자에게는 아무런 알림도 가지 않습니다. 연구팀은 이통사·칩셋 제조사·GSMA(국제이동통신사업자협회)에 취약점을 통보했고, GSMA는 이를 기기 보안 그룹에 전달했습니다.
자세히 보기
