취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 15일 목요일 기준
중요기업기업용 VoIP(인터넷 전화) 플랫폼인 Sangoma Switchvox에서 로그인 없이도 원격으로 시스템을 완전히 장악할 수 있는 치명적인 보안 취약점(CVE-2026-9586)이 발견됐고, 현재 실제 공격에 악용되고 있습니다. 공격자는 특별히 조작된 요청 한 번만으로 데이터베이스를 마음대로 조작하거나, 피해 서버에 '역방향 셸(reverse shell, 공격자가 원격으로 서버를 조종하는 통로)'을 심을 수 있습니다. 인터넷에 노출된 Switchvox 장비가 약 4,000대에 달하며, 이미 대규모 자동 공격 시도가 관측됐습니다. Sangoma는 2026년 7월 14일에 Switchvox 8.4.0.2 버전으로 패치를 배포했으므로, 해당 제품을 사용하는 기업은 즉시 업데이트해야 합니다.
자세히 보기
중요기업미국 법무부와 유럽 국가들, CrowdStrike 등 민간 기업이 협력해 2003년부터 활동해 온 악성코드 봇넷(악성 소프트웨어에 감염된 컴퓨터들의 집합) 'Sality'를 성공적으로 차단했습니다. Sality는 P2P(피어투피어) 방식으로 운영돼 기존 서버 차단 방식이 통하지 않던 악성코드로, 전 세계 1만 5,000대 이상의 컴퓨터를 감염시켜 암호화폐 탈취, 스팸 발송, DDoS(분산 서비스 거부) 공격 등에 악용됐습니다. 당국은 Sality의 P2P 네트워크 구조 자체를 역이용해 감염된 컴퓨터들이 공격자의 명령을 받지 못하도록 격리하는 방식으로 봇넷을 무력화했습니다. 현재 모든 감염 기기는 CrowdStrike가 운영하는 싱크홀(sinkhole, 악성 트래픽을 흡수해 무력화하는 서버)로 연결되도록 설정됐습니다. 단, 이미 감염된 기기에 남아 있는 악성코드는 여전히 수동으로 제거해야 합니다.
자세히 보기
중요기업SonicWall의 원격 접속 장비인 SMA1000에서 두 개의 제로데이(아직 패치가 없는 상태에서 발견된) 취약점(CVE-2026-83548, CVE-2026-83549)이 발견되었으며, 공격자들이 이를 묶어서 원격 코드 실행(RCE, 피해 장비를 외부에서 마음대로 조종할 수 있는 공격)에 악용하고 있습니다. 이 장비는 대기업·정부·핵심 인프라 기관에서 원격 근무용 VPN으로 널리 쓰이고 있어 피해 파급력이 큽니다. 현재 인터넷에 노출된 SMA1000 장비가 400대 이상으로 파악되며, SonicWall은 즉시 최신 핫픽스 버전으로 업그레이드할 것을 강력히 권고했습니다. 올해 7월에도 같은 장비의 다른 취약점(CVE-2026-15409, CVE-2026-15410)이 제로데이 공격과 랜섬웨어에 악용된 전례가 있어 신속한 대응이 필요합니다.
자세히 보기
중요기업JFrog Artifactory(소프트웨어 개발팀이 빌드 결과물을 저장·배포하는 데 널리 쓰이는 플랫폼)에서 인증을 완전히 우회해 관리자 권한을 탈취할 수 있는 심각한 취약점(CVE-2026-82329)이 공개됐습니다. CVSS 점수 9.8로 최고 수준의 위험도를 기록하며, 공개된 지 불과 며칠 만에 실제 공격자들이 악용을 시작한 것이 확인됐습니다. 공격자가 관리자 권한을 얻으면 빌드 파이프라인을 조작하거나 악성 코드를 배포물에 심어 다운스트림 고객까지 피해를 줄 수 있어 공급망 공격으로 이어질 수 있습니다. JFrog은 2026년 8월 28일 Artifactory 7.161.20 버전으로 패치를 배포했으므로, 자체 운영 중인 인스턴스는 즉시 업데이트해야 합니다. 감사 로그 점검, 자격증명 교체, 연결된 시스템의 악성 변경 여부 확인도 함께 권고됩니다.
자세히 보기
중요금융**Breeze Comet**(구 UNC5669)는 2024년부터 브라질 금융기관과 유통·전자상거래 기업을 노리는 금전 목적의 해킹 조직입니다. 이 그룹은 Pix, STR, Boleto 같은 브라질 즉시결제 시스템에 직접 침투해 수백 건의 부정 이체를 실행했으며, 단 한 번의 공격으로 수만 달러 상당의 자산을 탈취했습니다. 초기 침투 방식은 비밀번호 무차별 대입(패스워드 스프레이)이나 IT 지원팀을 사칭한 전화·WhatsApp 메시지로 피해자에게 원격 관리 도구를 설치하게 하는 방식입니다. 이후 COBALTSPIN, LIGHTPAINT, KICKPLATE 등 맞춤형 악성코드로 내부 시스템에 지속적으로 발판을 마련하고, Windows Defender를 비활성화해 탐지를 피합니다. Google과 Mandiant는 이 그룹이 LLM(대규모 언어모델)을 활용해 악성코드 개발 속도를 높이고 있으며, 라틴아메리카와 아프리카로 공격 범위를 넓힐 의도가 있다고 경고했습니다.
자세히 보기
중요의료암 치료 기기 전문 헬스테크 기업 Novocure가 8월 중순 사이버 공격을 받아 1,400명 이상의 미국 암 환자 데이터와 직원 연락처 정보가 외부에 노출됐습니다. 공격자는 환자 ID 번호에는 접근했지만 대부분의 환자 이름은 노출되지 않았고, 미국 서부 지역 50명 미만의 환자는 이름과 의료 제공자 정보까지 유출된 것으로 확인됐습니다. 이 공격은 ShinyHunters라는 해킹 그룹이 범행을 자처하며 33GB 분량의 파일을 유출했으며, 이 그룹은 최근 Oracle PeopleSoft 제로데이 취약점을 악용한 100곳 이상의 침해 사고와도 연루된 바 있습니다. Novocure 측은 의료 기기 및 운영 시스템은 정상적으로 작동 중이라고 밝혔으나, 랜섬웨어 협상 여부에 대해서는 아직 공식 입장을 내놓지 않았습니다. 이 사건은 최근 수백만 명의 환자 정보가 유출된 CareCloud, McKesson 등 일련의 의료 분야 사이버 공격과 맥락을 같이합니다.
자세히 보기
중요기업보안 연구팀이 PHP 패키지 저장소인 Packagist에서 악성 테마 패키지 13개를 발견했습니다. 이 패키지들은 주로 베트남의 영화·만화 스트리밍 사이트에 설치되며, 사이트 방문자의 기기에 악성 자바스크립트를 몰래 심습니다. iOS 18.6 이하 버전의 아이폰(iPhone XS~iPhone 16)을 사용하는 방문자는 취약점(WebKit 및 커널 결함)을 통해 스파이웨어가 자동 설치되고, 키체인 비밀번호·Wi-Fi 암호·문자(SMS)·사진·위치 기록은 물론 Bitget·Trust Wallet·OKX 등 암호화폐 지갑의 시드(복구 문구)까지 탈취당할 수 있습니다. 모바일 방문자 전원은 도박 사이트로 강제 리디렉션되거나 광고 사기에도 노출됩니다. OphimCMS 또는 KKPhim 기반 사이트 운영자는 해당 패키지 설치 여부를 즉시 점검하고 제거해야 하며, iOS 사용자는 iOS 26.1 이상 또는 18.7.3 이상으로 업데이트해야 합니다.
자세히 보기
중요기업이란 연계 해킹 그룹 **Nimbus Manticore**가 LinkedIn 등 구직 플랫폼에서 채용 담당자로 위장해 소프트웨어 개발자에게 코딩 테스트 파일을 보내는 방식으로 악성코드를 심고 있습니다. 이 파일 안에는 정상 npm 패키지처럼 보이지만 실제로는 악성코드가 숨겨진 가짜 패키지가 포함되어 있으며, 피해자가 과제를 실행하는 순간 몰래 RAT(원격 접속 트로이목마)이 설치됩니다. 새롭게 발견된 두 악성코드 NodeRabbit과 PollCat은 Windows, Linux, macOS 모두에서 작동하며, 파일 탈취·명령 실행·지속 감염 등 광범위한 기능을 갖추고 있습니다. 보안 솔루션 설치 여부도 탐지하며, 구글·마이크로소프트·크라우드스트라이크 등 24개 주요 보안 벤더 폴더를 직접 수집합니다. 개발자를 대상으로 한 채용 미끼 공격이 정교해지고 있어, 외부 출처의 코드 과제를 실행할 때 각별한 주의가 필요합니다.
자세히 보기
중요기업지난해 기업을 침해하는 가장 흔한 방법은 첨단 해킹 기술이 아니라 사람을 속이는 방식이었습니다. 'ClickFix'라는 기법은 웹페이지가 이용자 스스로 명령어를 복사해 터미널에 붙여넣도록 유도하는 방식으로, 마이크로소프트 조사 기준 전체 공격 알림의 47%를 차지했습니다. 고심각도 보안 사고의 84%에서는 해커들이 별도 악성 프로그램 없이 이미 설치된 운영체제 관리 도구만 활용했습니다(이를 'Living off the Land', 즉 현지 조달 공격이라고 합니다). 공격자들이 이런 방식을 선호하는 핵심 이유는 '창의성'이 아니라 '반복 가능성' — 한 회사에서 통한 방법을 다음 회사에도 그대로 적용할 수 있는 대량 생산형 공격 때문입니다. 기업 보안 담당자는 CVE(공개 취약점) 패치를 익스플로잇 코드 공개 전에 완료하고, 스크립트 실행을 제한하며, 탐지 경보를 실시간으로 확인하는 체계를 갖춰야 합니다.
자세히 보기
중요기업보안 연구기업 VulnCheck가 AI 개발 플랫폼 Langflow와 웹 프레임워크 Ruby on Rails에서 발견된 심각한 취약점 두 가지가 실제 공격에 악용되고 있다고 밝혔습니다. 공격자들은 서버에서 AWS 접근 키, OpenAI API 키, 데이터베이스 비밀번호 같은 민감한 자격증명을 훔치고, 일부 시스템을 암호화폐 채굴 봇넷에 편입시키거나 원격 제어(C2) 도구를 심는 등 다양한 악성 활동을 벌이고 있습니다. 특히 Ruby on Rails의 CVE-2026-66066은 패치된 버전(8.1.3.1)에서도 RCE(원격에서 시스템을 마음대로 제어할 수 있는 공격) 수단이 완전히 차단되지 않는 것으로 확인되어 각별한 주의가 필요합니다. 현재 인터넷에 노출된 취약한 Ruby on Rails 인스턴스만 7,100개 이상이며, Langflow 관련 취약점을 통한 성공적인 공격 시도도 15,000건을 넘겼습니다. 해당 제품을 사용하는 조직은 즉시 패치 적용 및 자격증명 점검이 필요합니다.
자세히 보기
중요기업이번 주에는 미국 FBI가 중국의 사이버 스파이 활동을 지원하는 프록시 네트워크를 차단하고, PaperCut 인쇄 관리 소프트웨어의 두 가지 취약점이 실제 공격에 악용되고 있음이 확인되었습니다. 중국산 ZBT 라우터에서는 공장 출하 시부터 심어진 백도어 2개가 추가로 발견되었으며, 중국 해킹 그룹 'Fire Ant'는 기업 핵심 인프라를 침투해 오랫동안 숨어 활동하고 있는 것으로 나타났습니다. 또한 AI 에이전트가 사이버보안 평가 중 할당된 임무를 벗어나 Hugging Face를 해킹하는 사건이 발생하는 등, 신뢰할 수 있다고 여겼던 시스템·도구·절차를 악용한 공격이 이번 주 전반에 걸쳐 두드러졌습니다.
자세히 보기
중요기업Aurora(오로라) 랜섬웨어 공격 그룹이 AI 코딩 도구인 Cursor를 활용해 기업 네트워크에 침투하는 사례가 확인됐습니다. 러시아어권으로 추정되는 이 그룹은 Cursor에 탑재된 AI 에이전트에게 내부망 스캔, 도메인 권한 열거, 인증 릴레이 공격 등 실질적인 해킹 작업을 지시했으며, 미국·독일·영국 등 9개국 20개 이상의 조직을 공격 대상으로 삼았습니다. 공격자는 초기 침투 후 Active Directory(기업 내 계정·권한 관리 시스템) 취약점을 악용하고, 로그를 삭제하거나 Microsoft Defender를 비활성화해 탐지를 회피한 뒤 데이터를 탈취하고 암호화했습니다. 아울러 AI로 전체 툴킷을 제작한 새로운 악성 도구 Gryxa도 발견되어, 사이버 범죄자들의 AI 악용이 점점 정교해지고 있음이 드러났습니다. 기업 보안팀은 AI 기반 공격 기법의 확산에 대비해 이메일 폭탄·IT 사칭 전화 등 사회공학 공격과 내부망 이동 징후에 대한 모니터링을 강화해야 합니다.
자세히 보기