취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 15일 목요일 기준
중요기업북한과 연계된 해킹그룹 '워터플럼(WaterPlum)'이 가짜 채용면접과 코딩테스트를 미끼로 전 세계 개발자들을 속여 악성코드를 심는 공격을 벌였습니다. 2025년 12월부터 2026년 7월까지 약 8개월간 100개국 이상에서 최소 3만 대의 PC가 감염됐으며, 암호화폐 7천 개 이상의 지갑에서 약 1,071만 달러 상당의 자산이 탈취됐습니다. 공격자들은 악성 NPM 패키지나 코딩테스트용 프로젝트 파일로 악성코드를 심은 뒤 브라우저 비밀번호, 암호화폐 개인키, 신분증 이미지까지 빼냈습니다. 감염된 개발자의 PC가 회사 시스템에 연결돼 있을 경우 기업 내부망 침투로 이어질 수 있어 기업 보안 위협으로도 매우 심각합니다. 미국 FBI, 일본, 호주 등 5개국 당국이 공동 경보를 발령했으며, 출처 불명 코드는 반드시 가상머신(VM)에서 실행하도록 권고하고 있습니다.
자세히 보기
중요기업보안 연구팀이 OpenAI의 AI 코딩 도우미 Codex에서 샌드박스(격리 실행 환경)를 탈출하는 취약점 두 가지를 발견했습니다. 그중 'Heapjack'는 가장 엄격한 읽기 전용 모드에서도 공격자가 심어 둔 저장소를 개발자가 열기만 해도 그 개발자의 컴퓨터에서 임의 명령을 몰래 실행할 수 있는 RCE(원격 코드 실행) 취약점입니다. 두 취약점 모두 "격리를 담당하는 장치가 격리 대상과 같은 공간에 있었다"는 구조적 설계 실수에서 비롯됐습니다. OpenAI는 신고를 받은 지 8일 만에 두 취약점을 모두 수정했으며, 사용자는 Codex Desktop 26.818.21641 또는 Codex CLI 0.149.0 이상으로 업데이트해야 합니다.
자세히 보기
중요기업지난주 가장 주목할 뉴스는 Cisco와 Acronis 제품에서 실제로 악용 중인 취약점 세 건이 확인된 것입니다. Cisco Secure Email Gateway에서는 SQL 인젝션(데이터베이스를 조작하는 공격) 취약점(CVE-2026-76461)이, Cisco ISE(기업 네트워크 접근 제어 시스템)에서는 인증 우회 취약점(CVE-2026-76460)이 공격자들에 의해 적극적으로 악용되고 있습니다. Acronis 백업 플러그인에서도 권한 상승 취약점(CVE-2026-87886)이 악용되고 있으며, Parallels Desktop에서도 로컬 사용자가 Mac에서 최고 관리자 권한을 얻을 수 있는 취약점(CVE-2026-90894)이 공개되었습니다. 이 밖에도 Revolut 고객 정보 유출, HBO Max Reddit 계정 탈취를 통한 악성코드 유포, 이란 국가 해킹 조직의 CHOSEN BRICK 악성코드 캠페인 등 다양한 위협 동향이 보고되었습니다. 해당 시스템을 운영하는 조직은 즉시 패치 여부를 확인하고 침해 지표(IoC)를 점검해야 합니다.
자세히 보기
공공국가정보원(국정원)이 연간 1조 6000억 원 규모의 대규모 국가·공공 정보화 사업에 새로운 보안 체계인 N2SF(국가 망 보안체계)를 의무 적용하기로 했습니다. 기존의 망분리 의무 규정을 삭제하고 N2SF 조항으로 대체하는 법령 개정도 이미 완료됐으며, 기밀(C)·민감(S)·공개(O) 등급으로 데이터를 분류하는 체계가 핵심입니다. 정보화 사업의 기획·예산 단계부터 보안 요건을 반영하도록 한국지능정보사회진흥원(NIA) 등과 세부 절차를 논의 중입니다. 보안통제 항목도 기존 276개에서 300여 개로 늘렸고, 원격근무·통합인증(SSO)·모바일 환경 등 최신 업무 형태도 반영했습니다. 공공기관과 협력하는 민간 기업이라면 N2SF 요건 충족 여부를 사전에 점검해 둘 필요가 있습니다.
자세히 보기
공공국가정보원(NIS)이 내년 하반기부터 국가·공공기관에 납품할 수 있는 보안 제품의 범위를 넓힐 계획입니다. 기존에는 국정원이 직접 검증한 암호 모듈(KCMVP 인증)만 허용했지만, 앞으로는 AES 같은 국제표준 암호 인증을 받은 제품이나 CC인증(국제 보안 인증) 장비도 공공기관에 납품할 수 있게 됩니다. 또한 공공 클라우드 보안 등급 체계가 기존 '상·중·하'에서 'C·S·O' 3단계로 개편되며, 중간 등급(S등급) 데이터에 한해 물리적 망분리 대신 논리적 분리도 허용하고 운영 인력의 국외 위치도 조건부로 가능해집니다. 이 개정안은 'AI 시대'를 반영한 네 번째 클라우드 보안 정책 개정으로, 현재 의견 수렴 중이며 내년 하반기 시행 예정입니다.
자세히 보기
공공대한민국 국가사이버안보센터가 서울 코엑스에서 열린 국제 사이버 훈련 'APEX 2026'에서 세계 최초로 자율형 AI 방어팀 '프로젝트 팔랑크스'를 실전 검증했습니다. 이 AI 블루팀은 최대 50개의 작업을 동시에 처리하는 병렬 에이전트 구조로, 사람 중심 팀보다 훨씬 빠르게 사이버 공격을 탐지하고 시스템을 자율 복구했습니다. 특히 외부망 차단이 필요한 국방·공공 환경을 고려해 인터넷 없이도 동작하는 로컬 LLM(대형 언어 모델)으로도 실전 수준의 성능을 낼 수 있음을 입증했습니다. 이번 성과를 바탕으로 기관별로 들쭉날쭉한 보안 대응 수준을 AI 방어 체계로 일원화해, 전국 어느 기관이든 높은 방어 능력을 갖출 수 있도록 확대할 계획입니다.
자세히 보기
기업인텔이 2017년부터 운영해 온 보안 취약점 신고 보상 프로그램(버그 바운티)을 중단했습니다. 기존에는 보안 연구자가 인텔 하드웨어·소프트웨어·펌웨어의 취약점을 발견하면 최대 약 1억 3,500만 원을 지급했지만, 앞으로는 금전적 보상 없이 제보만 받습니다. 프로그램 중단의 공식 이유는 밝혀지지 않았으나, AI가 자동 생성한 저품질·중복 취약점 보고서가 급증한 것이 배경으로 지목됩니다. 인텔은 2024년 발견된 하드웨어 취약점 21건을 모두 내부에서 처리했다고 밝혔습니다. 금전적 인센티브 제거로 외부 연구자의 취약점 발굴 참여가 줄어들면 Intel 제품 보안에 장기적 영향을 줄 수 있어 기업 보안 담당자들이 주목할 필요가 있습니다.
자세히 보기
중요통신/IT보안 연구팀 Hacktron이 Anthropic의 AI 모델 Claude Opus 5를 활용해 오픈소스 이미지 처리 라이브러리 libheif의 취약점(CVE-2026-32882)과 OpenAI 로그인 시스템의 결함을 연결하는 공격 사슬을 완성했습니다. 이를 통해 OpenAI 직원 여러 명의 ChatGPT·Codex 계정을 탈취하고 내부 코드 저장소에까지 접근하는 데 성공했습니다. 연구팀은 악용 없이 OpenAI에 즉시 신고했고, OpenAI는 신고 후 14시간 만에 패치를 완료하고 6,500달러의 버그 바운티를 지급했습니다. 이 사례는 AI가 고난도 사이버 공격 코드 개발에 드는 시간과 기술 수준을 크게 낮추고 있음을 보여 줍니다. libheif를 사용하는 조직이나 공개 서비스와 내부 시스템이 같은 로그인(SSO)을 공유하는 조직은 즉시 패치와 접근 권한 점검이 필요합니다.
자세히 보기
중요기업보안 연구자가 'BragJack'이라는 새로운 공격 기법을 공개했습니다. 악성 브라우저 확장 프로그램 하나로 Google Chrome의 Gemini, Microsoft Edge, Perplexity Comet, Opera Neon, Anthropic의 Claude 등 5개 브라우저에 내장된 AI 어시스턴트를 탈취할 수 있습니다. 공격자는 사용자의 개입 없이 AI 에이전트를 조종해 로컬 파일 읽기, 화면 캡처, 이메일 탈취, 웹사이트 대신 조작 등 광범위한 행동을 수행하게 만들 수 있습니다. Google과 Microsoft는 이미 해당 취약점을 패치했으며, 연구자는 두 개의 CVE(CVE-2026-0628, CVE-2026-55945)를 발급받고 총 2만 달러 이상의 버그 바운티를 받았습니다. 사용자는 브라우저와 확장 프로그램을 최신 상태로 유지하고 불필요하거나 출처 불명의 확장 프로그램을 제거해야 합니다.
자세히 보기
중요기업북한 해킹 그룹 WaterPlum이 2025년 12월부터 2026년 7월까지 100개국 이상에서 최소 3만 대의 기기를 악성코드로 감염시켰습니다. 이들은 AI·암호화폐 기업이나 채용 플랫폼을 사칭해 구직자에게 접근하고, 가짜 면접 중 악성 npm 패키지나 Visual Studio Code 프로젝트를 실행하도록 유도했습니다. 공격을 통해 브라우저 저장 비밀번호, 암호화폐 개인 키, 클립보드 내용 등을 탈취했으며 7,000개 이상의 암호화폐 지갑에서 총 1,071만 달러를 북한으로 송금했습니다. 미국·일본·호주·독일 당국은 공동 경보를 발령하며 기업에 채용 시 지원자 신원 검증 강화와 최소 권한 원칙 적용을 권고했습니다. 개발자는 출처가 불분명한 코드를 샌드박스(격리된 실행 환경) 밖에서 절대 실행하지 않도록 주의해야 합니다.
자세히 보기
기업해킹 그룹 ShinyHunters가 유명 랜섬웨어 조직 Clop의 다크웹(Tor) 데이터 유출 사이트를 침해하고 사이트를 변조했습니다. ShinyHunters는 Grav CMS라는 웹사이트 관리 소프트웨어의 인증 없이 파일을 올릴 수 있는 취약점을 악용해 서버에 침투했으며, 소스코드·시스템 로그·Tor 비공개 키 등 민감한 데이터를 훔쳤다고 주장합니다. 특히 Tor 사이트의 비공개 키를 확보했다면, Clop이 쫓아내도 같은 주소로 가짜 사이트를 운영할 수 있어 피해가 클 수 있습니다. 이 사건의 배경에는 두 사이버범죄 집단 간 오래된 갈등이 있는데, Clop이 2025년 Oracle E-Business Suite 취약점(CVE-2025-61882)을 악용해 데이터를 탈취할 때 ShinyHunters의 익스플로잇(공격 코드)을 무단 사용했다는 주장이 도화선이 됐습니다. ShinyHunters는 이제 탈취한 데이터로 Clop을 역으로 협박할 계획이라고 밝혔습니다.
자세히 보기
중요기업보안업체 핵트론(Hacktron) 연구진이 AI 도구를 활용해 이미지 처리 라이브러리(libheif)의 메모리 취약점을 실제 원격코드실행(원격에서 서버를 마음대로 제어할 수 있는 공격)으로 발전시키고, 오픈AI 커뮤니티 포럼 서버를 장악한 뒤 직원의 챗GPT·코덱스 계정까지 탈취하는 공격 경로를 확인했습니다. 특히 앤트로픽의 Claude Opus 5가 약 3시간 만에 실제 환경에 맞는 공격코드를 완성하는 데 핵심적으로 활용돼, AI가 고난도 취약점 악용의 진입 장벽을 크게 낮출 수 있음을 보여줬습니다. 오픈AI는 신고 14시간 만에 수정을 완료했고, 디스코스도 패치를 배포하며 이미지 처리 과정을 샌드박스로 격리하는 추가 조치를 적용했습니다. 이번 사례는 외부에 노출된 서비스와 내부 시스템이 동일한 SSO(통합 로그인) 신뢰 범위를 공유할 때 주변부 침해 하나가 내부 핵심 계정 탈취로 확산될 수 있음을 실증했습니다. 이미지 업로드 기능을 운영하거나 직원 계정에 AI 에이전트·협업 도구를 연결한 기업은 libheif 업데이트와 SSO 신뢰 범위 점검이 시급합니다.
자세히 보기