취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 14일 수요일 기준
이 범위에서 지금 주목할 이슈
기업이 글은 기업이 '제로 트러스트' 보안을 도입해도, 신입사원 온보딩이나 서비스데스크처럼 사람이 직접 신원을 확인하는 지점에서는 여전히 공격에 취약하다고 지적합니다. 실제로 FBI는 북한 IT 인력이 가짜 신분증과 위장 지원으로 기업에 취업해 내부망에 접근한 사례를 반복적으로 경고해왔습니다. 문제는 이렇게 처음부터 잘못된 사람에게 계정과 MFA(다중 인증), 기기를 정상적으로 발급해주면, 이후 아무리 강력한 인증 체계를 갖춰도 그 허점을 바로잡을 수 없다는 점입니다. 이 기사는 Specops Software의 "Secure Onboarding" 제품을 소개하며, 신분증 스캔과 생체 인증(라이브니스 체크)을 온보딩과 서비스데스크 절차에 필수화해 이런 위험을 줄일 수 있다고 홍보합니다.
자세히 보기
중요기업러시아 정부 연계 해킹 그룹 Star Blizzard(스타 블리자드)가 'RedFlick'이라는 새로운 악성코드 설치 기법을 이용해 자신들의 전용 백도어(backdoor, 시스템에 몰래 접근할 수 있게 하는 악성코드) CosmicPulse를 배포하고 있는 것으로 밝혀졌습니다. 이 기법은 피해자가 가짜 PDF처럼 보이는 바로가기 파일 하나만 클릭해도 자동으로 감염이 진행되도록 설계되어, 기존의 여러 단계를 거쳐야 했던 ClickFix 공격보다 훨씬 은밀하고 자동화되어 있습니다. Microsoft에 따르면 올해 들어 최소 13건의 대규모 피싱 캠페인이 발견됐고, 미국과 영국을 중심으로 100개 이상의 기관이 영향을 받았습니다. 공격 대상은 우크라이나를 정치적·재정적으로 지원해 온 정부기관, 국제 NGO, 싱크탱크, 금융기관 등입니다. Microsoft는 피싱에 강한 인증 방식, 조건부 접근 정책, EDR(엔드포인트 탐지·대응) 차단 모드 적용 등을 권고하고 있습니다.
자세히 보기
기업미국 공군 도버 기지에서 근무했던 전직 군인 두 명이 여러 해에 걸쳐 기업 이메일을 노린 BEC(비즈니스 이메일 침해) 사기와 피싱을 벌인 혐의로 각각 111개월, 78개월의 연방 교도소형을 선고받았습니다. 이들은 직원들의 이메일 계정을 훔치고, 거래처 이메일을 흉내 낸 가짜 주소를 만들어 결제 대금을 자신들이 관리하는 계좌로 빼돌렸습니다. 아이오와주 피해자의 168만 달러, 오하이오주 피해자의 72만 달러 송금을 가로챈 사례가 대표적이며, 그 외에도 수많은 송금 탈취 시도가 있었습니다. FBI에 따르면 지난해에만 BEC 피해 신고가 2만 4천여 건, 피해액은 30억 달러를 넘어 여전히 기업을 위협하는 주요 사이버 범죄로 꼽힙니다.
자세히 보기
중요기업일본의 차량 공유 서비스 Times Car가 사이버 공격으로 약 660만 개의 회원 계정 정보가 유출됐다고 확인했습니다. 지난 9월 초 외부 침입자가 시스템에 접근했으며, 회사는 9월 26일 무단 접근을 차단했습니다. 유출된 정보에는 이름, 주소, 생년월일, 전화번호, 운전면허 정보, 신분증 사본, 계정 비밀번호 등이 포함되지만, 비밀번호는 복호화가 불가능한 형태로 저장돼 있었고 신용카드 정보는 영향을 받지 않았습니다. 현재까지 유출된 데이터가 온라인에 유포된 정황은 없으며, 회사는 서비스를 정상 운영하면서 외부 전문가와 함께 포렌식 조사를 진행 중입니다.
자세히 보기
기업랜섬웨어(중요 파일을 암호화한 뒤 돈을 요구하는 악성 프로그램) 공격 조직인 Ryuk의 멤버 카렌 바르다냔이 미국 기업들을 해킹한 혐의로 징역 24개월을 선고받았습니다. 그는 2019년부터 2020년까지 여러 미국 기업 네트워크에 침투해 수백 대의 서버와 컴퓨터를 랜섬웨어로 암호화했습니다. 피해 기업들로부터 받은 몸값은 비트코인으로 약 1,610개(당시 시세 기준 1,500만 달러 이상)에 달합니다. Ryuk는 2020년 운영을 중단한 뒤 Conti 랜섬웨어로 이어졌으나, Conti도 2022년 내부 정보 유출로 해체되었습니다. 이번 판결은 랜섬웨어 범죄자에 대한 국제 공조 수사와 사법 처리가 지속되고 있음을 보여줍니다.
자세히 보기
중요기업보안 연구팀 Varonis가 'TrustSink'라는 새로운 공격 기법을 공개했습니다. 이 기법은 마이크로소프트 Entra(기업용 계정 관리 서비스)의 외부 MFA(다중 인증) 연동 기능을 악용해, 정상적인 로그인 과정 중에 사용자의 비밀번호를 몰래 탈취합니다. 공격자는 먼저 높은 권한의 관리자 계정을 탈취한 뒤, 가짜 외부 MFA 제공자를 등록해 마이크로소프트 로그인 화면을 흉내 낸 피싱 페이지를 끼워 넣습니다. 피해자가 비밀번호를 입력하면 공격자 서버로 전송되지만, 로그인은 정상적으로 완료되어 피해자는 이상을 전혀 느끼지 못합니다. 비밀번호를 바꿔도 가짜 MFA 제공자가 그대로 남아 새 비밀번호까지 재탈취되므로, 반드시 악성 제공자를 먼저 제거한 뒤 자격증명을 교체해야 합니다.
자세히 보기
중요기업EvilTokens는 2026년 2월 등장한 피싱 대행 서비스(PhaaS, 피싱 공격을 구독 방식으로 판매하는 플랫폼)로, 전 세계 10,000개 이상 조직에서 Microsoft 계정 12,000개 이상을 탈취했습니다. 이 플랫폼은 '디바이스 코드 피싱'이라는 기법으로 다중 인증(MFA)을 우회해 인증 토큰을 훔치고, AI를 이용해 침해된 메일함에서 임원 서신·이체 정보 등 고가치 데이터를 자동으로 찾아냈습니다. Microsoft 디지털 범죄 수사팀(DCU)과 법집행기관이 공조해 인프라를 압수하고 영국에서 운영자 2명을 체포했으나, 완전한 서비스 차단은 아니어서 위협은 여전히 존재합니다. 피해 조직은 도매·건설·금융·부동산·교육·의료 등 다양한 업종에 걸쳐 있으며, 침해 계정의 97.5%가 기업 도메인 소속이었습니다. 조직은 불필요한 디바이스 코드 인증을 비활성화하고 FIDO2 보안 키 같은 피싱 저항성 인증 방식으로 전환해야 합니다.
자세히 보기
중요기업WordPress의 핵심 구성 요소에서 'Click2Shell'이라는 CSRF(사이트 간 요청 위조) 취약점이 발견되었습니다. 공격자는 WordPress 계정 없이도 조작된 링크를 만들어 로그인된 관리자가 클릭하도록 유도하면, 서버에서 임의의 PHP 코드를 원격으로 실행할 수 있습니다. 공격이 성공하면 파일 수정·삭제, 데이터베이스 자격증명 탈취, 악성 관리자 계정 생성 등 심각한 피해로 이어질 수 있습니다. 실제 공격에 사용 가능한 PoC(개념 증명 코드)가 이미 공개된 상태이며, WordPress 7.1.1 버전에서 수정이 완료되었습니다. 즉시 업데이트가 어려운 경우 'DISALLOW_FILE_MODS' 설정을 활성화하는 것이 임시 대안입니다.
자세히 보기
기업Microsoft가 2027년 2월부터 Entra ID(기업 계정 관리 서비스)에서 SMS를 첫 번째 인증 수단으로 사용하는 방식을 폐기한다고 공식 발표했습니다. 이 변경이 적용되면 SMS나 음성 통화로 로그인하던 사용자는 더 이상 인증을 완료할 수 없으므로, 기업 관리자는 그 전에 사용자를 패스키·FIDO2 보안 키·QR 코드 인증 등 피싱(이메일 등을 이용한 사기성 계정 탈취) 방지 방식으로 전환해야 합니다. SMS 인증을 계속 유지하려면 Microsoft Security Store를 통해 서드파티 통신사를 별도로 연동해야 합니다. 관리자는 Microsoft가 제공하는 PowerShell 스크립트로 아직 SMS/음성 인증을 쓰는 사용자를 찾아낼 수 있습니다. 이번 달부터 패스키가 Entra ID의 기본 인증 방식으로 순차 적용되기 시작합니다.
자세히 보기
기업마이크로소프트가 Teams(팀즈)의 보안 기능을 강화하는 업데이트를 2026년 11월부터 순차 제공할 예정입니다. 가장 핵심적인 변화는 관리자가 악성코드와 연관된 위험 파일 확장자 차단 목록을 회사 정책에 맞게 직접 편집할 수 있게 된다는 것입니다. 또한 12월부터는 랜섬웨어 조직 등 사이버 범죄 집단이 Teams를 이용한 사회공학 공격(직원을 속여 정보를 빼내는 수법)에 악용하지 못하도록 외부 사용자를 차단하는 기능도 추가됩니다. 이 밖에 외부 발신자가 보낸 QR코드를 자동으로 흐리게 처리하는 피싱 방어 기능, 수상한 게스트 초대를 신고하는 기능, 외부 봇의 회의 참여를 자동 차단하는 정책도 함께 도입됩니다. 기업 보안 담당자라면 출시 시점에 맞춰 정책 검토 및 적용 계획을 미리 세워두는 것이 좋습니다.
자세히 보기
중요금융'RatHat'이라는 새로운 안드로이드 악성코드가 발견됐습니다. 이 악성코드는 AI를 이용해 감염된 기기의 화면을 자동으로 조작하는 기능을 갖추고 있어 기존 악성코드보다 탐지하기 훨씬 어렵습니다. 중국 연계 위협 행위자가 제작한 것으로 추정되며, 구글 플레이 외부의 APK(안드로이드 앱 파일) 설치를 유도하는 피싱 사이트나 문자 메시지를 통해 유포됩니다. 감염되면 은행·가상자산 앱 위에 가짜 화면을 덮어씌워 계정 정보와 비밀번호를 탈취하고, 일회용 비밀번호(OTP) 문자까지 가로챕니다. 공식 앱 마켓 외부의 APK 설치를 피하고, 앱에 접근성(Accessibility) 권한을 부여하지 않는 것이 핵심 예방책입니다.
자세히 보기
중요기업이메일 마케팅·CRM 서비스 Brevo의 소스코드에 하드코딩(고정 저장)된 Cloudflare API 키가 공격자에게 탈취되어, 2026년 9월 14일 약 5시간 30분 동안 공급망 공격이 발생했습니다. 공격자는 이 키를 이용해 CDN(콘텐츠 전송 네트워크) 엣지에서 Brevo의 스크립트를 변조하고, Brevo를 사용하는 고객 사이트 방문자에게 가짜 Cloudflare 인증 페이지와 ClickFix(악성 명령 실행을 유도하는 수법) 화면을 표시했습니다. WordPress 관리자 계정으로 로그인한 상태에서 해당 사이트를 방문한 경우, 백도어 기능을 가진 악성 플러그인이 자동으로 설치되어 공격자 서버와 지속 통신하는 추가 피해가 발생했습니다. 최대 100,000개의 웹사이트가 영향을 받았을 수 있으며, 9월 14일 해당 사이트를 WordPress 관리자로 방문했다면 즉시 플러그인 점검과 비밀번호 교체가 필요합니다.
자세히 보기
