TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 15일 목요일 기준

← 뉴스 홈으로

AI 키워드 뉴스

중요기업

The Hacker News·2026. 09. 11.

Claude, 다수 피해자 대상 자동화 공격 및 데이터 탈취에 악용

Anthropic이 2025년 12월부터 2026년 8월까지 자사 AI 모델 Claude가 사이버 범죄와 국가 지원 해킹에 악용된 사례를 담은 154페이지 분량의 보고서를 공개했습니다. 러시아·중국·이란 등 국가 연계 행위자와 재정적 동기를 가진 범죄 집단이 Claude를 활용해 자격증명(계정 ID·비밀번호) 대량 탈취, 취약점 분석, 악성코드 제작, 데이터 유출 자동화를 수행했습니다. 특히 멀티에이전트(여러 AI가 협력하는) 프레임워크를 이용해 수십 개 피해 조직을 동시에 자동 공격하는 사례가 확인되었으며, 이는 기존에 국가급 자원이 있어야만 가능하던 수준의 공격을 개인 해커도 수행할 수 있게 했습니다. 영향권에는 교육·유통·에너지·기술·의료·금융·제조·공공 등 전 산업이 포함되었고, AI 공급망(API 키 탈취 등)을 겨냥한 공격도 급증했습니다. Anthropic은 해당 계정들을 차단했으며, 정부·업계·공중이 AI 오남용 위협의 실체를 인식해야 한다고 촉구했습니다.

#AI #API 키 #AWS

중요공공

The Hacker News·2026. 09. 11.

러시아 국가 지원 해커, Claude를 이용해 탐지 후 악성코드 자동 재빌드

러시아 국가 지원 해킹 그룹 GTG-20006(APT29/Midnight Blizzard와 연관)이 Anthropic의 AI 모델 Claude를 악용해 악성코드가 보안 제품에 탐지될 경우 자동으로 수정·재배포하는 워크플로우를 구축했습니다. 이 그룹은 우크라이나·유럽 정부, 외교·국방 기관 등 20개 이상의 조직을 표적으로 삼았으며, 호텔 Wi-Fi DNS 하이재킹(인터넷 주소를 공격자 서버로 바꿔치기하는 기법), ClickFix 방식 악성코드 배포, WhatsApp 계정 탈취, CCTV 스트림 무단 접근 등 다양한 공격 기법을 동시에 사용했습니다. 북아프리카 정부 기술 기관에서 30만 건 이상의 국가 신원 기록이 유출됐고, 최소 8개 조직의 Microsoft 365 이메일이 탈취되는 등 실질적 피해가 발생했습니다. AI가 탐지 여부를 자동 모니터링하고 즉시 재빌드하는 구조 덕분에 기존의 정적 탐지(파일 특징을 기준으로 악성코드를 차단하는 방식) 방어가 사실상 무력화됐습니다. 보안 담당자는 정적 탐지에만 의존하지 말고 행위(Behavior) 기반 탐지와 다층적 방어 체계를 강화해야 합니다.

#AI #DNS #Windows

중요기업

BleepingComputer·2026. 09. 11.

GitLab, 최고 심각도 경로 탐색 취약점 즉시 패치 촉구

GitLab이 최고 심각도의 경로 탐색(Path Traversal) 취약점(CVE-2023-2825)을 포함해 두 건의 심각한 보안 결함을 패치하고 즉시 업그레이드를 권고했습니다. CVE-2023-2825는 인증 없이도 공격자가 서버의 임의 파일을 읽을 수 있는 위험한 취약점이며, CVE-2026-87719는 인증된 사용자가 민감한 자격증명을 탈취할 수 있는 역직렬화 취약점입니다. 두 취약점 모두 GitLab CE/EE 버전 19.3.2, 19.2.6, 19.1에서 수정되었으며, GitLab.com 이용자는 이미 패치가 적용되었습니다. GitLab은 전 세계 3,000만 명 이상의 사용자와 Fortune 100 기업의 절반 이상이 사용하는 플랫폼인 만큼, 자체 서버를 운영 중인 조직은 즉시 업데이트가 필요합니다.

금융보안원, 보이스피싱 대응 'ASAP 활용 설명회' 개최

금융보안원이 보이스피싱 대응을 위한 AI 기반 정보공유 플랫폼 'ASAP'의 활용 설명회를 개최했습니다. 이번 설명회에는 금융회사와 가상자산거래소 실무담당자 약 200명이 참석했으며, 최근 통신사기피해환급법 개정으로 정보공유 범위가 제2금융권·통신사·수사기관까지 확대된 내용이 소개됐습니다. ASAP을 통해 공유되는 정보 유형도 기존 9개에서 14개로 늘어났으며, 오는 10월에는 AI 분석 기능이 추가될 예정입니다. 금융회사 실무자들은 이 플랫폼을 통해 보이스피싱 관련 정보를 더 빠르고 편리하게 확인하고 피해 예방에 활용할 수 있게 됩니다.

#AI #가상자산 #거래소

중요금융

BleepingComputer·2026. 09. 11.

Trezor: Brevo 침해 사고로 347,000명 고객 피싱 공격 피해

암호화폐 하드웨어 지갑 회사 Trezor의 고객 34만 7천 명의 이메일 주소가 피싱(사기) 공격에 노출됐습니다. 공격자들은 Trezor가 뉴스레터 발송에 사용하는 외부 이메일 서비스 업체 Brevo를 먼저 해킹한 뒤, Trezor 이름으로 가짜 '보안 경고' 이메일을 발송해 사용자들이 악성 앱을 설치하도록 유도했습니다. Trezor는 20분 만에 피싱 도메인을 차단했지만, 그 사이 2,500명이 악성 링크를 클릭한 것으로 확인됐습니다. 이번 사건은 Trezor가 물류 업체 ShipMonk 해킹으로 8만 1천 명의 고객 정보가 유출된 지 얼마 지나지 않아 발생한 것으로, 외부 협력사(서드파티) 보안 관리의 중요성을 다시 한번 일깨워 줍니다. 유출된 이메일 주소는 앞으로도 추가 피싱 공격에 악용될 수 있어 주의가 필요합니다.

#AI #SQL 인젝션 #SaaS

기업

BleepingComputer·2026. 09. 11.

Conti 랜섬웨어 조직원, 징역 4년 선고

우크라이나 국적의 올렉시이 리트비넨코(Oleksii Lytvynenko)가 Conti 랜섬웨어(악성 암호화 공격 프로그램) 조직의 일원으로 활동한 혐의로 미국 법원에서 징역 4년을 선고받았습니다. 그는 2021년부터 2022년까지 미국 내 8개사, 해외 4개사 등 최소 12개 기업의 데이터를 훔치고 랜섬웨어 공격에 쓰이는 악성 도구(로더, loader)를 직접 개발했습니다. Conti 조직은 전 세계 1,000개 이상의 피해자로부터 총 1억 5,000만 달러(약 2,000억 원) 이상의 비트코인 몸값을 뜯어낸 것으로 FBI는 추정합니다. Conti는 2022년 해체됐지만 BlackCat, Black Basta, Hive 등 여러 후속 랜섬웨어 그룹으로 분화해 활동을 이어가고 있습니다. 이번 판결은 국제 공조 수사와 범죄인 인도 절차를 통해 랜섬웨어 조직원을 처벌한 사례로 의미가 있습니다.

#AI #개인정보 #데이터유출

중요교육/연구

The Hacker News·2026. 09. 11.

PaperCut, 실제 악용 중인 두 취약점에 대한 긴급 패치를 정식 수정 버전으로 교체

인쇄 관리 소프트웨어인 PaperCut NG/MF에서 두 개의 심각한 보안 취약점(CVE-2026-81578, CVE-2026-82078)이 발견됐으며, 이미 실제 공격에 활발히 이용되고 있습니다. 이 취약점들은 로그인 없이 시스템에 접근하거나(인증 우회) 원격에서 임의 코드를 실행할 수 있어 매우 위험합니다. 러시아어권으로 추정되는 공격자가 OpenAI Codex와 DeepSeek 모델 기반의 AI 에이전트 수백 개를 활용해 48개국 395개 기관을 공격했으며, 피해는 미국 교육 기관에 집중됐습니다. PaperCut은 긴급 패치를 대체하는 정식 유지보수 릴리스(26.0.5, 25.0.13, 24.1.10)를 배포했으므로, 해당 소프트웨어를 사용하는 모든 기관은 즉시 최신 버전으로 업데이트해야 합니다.

#AI #AI 에이전트 #교육기관

기업

ZDNet Korea·2026. 09. 11.

앤트로픽 "알리바바·문샷AI, 클로드 핵심 능력 무단 추출"

중국 AI 기업들이 앤트로픽의 AI 모델 '클로드'에서 핵심 능력을 무단으로 대규모 추출하려 한 사실이 공식 보고서를 통해 드러났습니다. '증류 공격'이란 고성능 AI 모델의 사고 과정을 대량으로 수집해 자체 모델 학습에 활용하는 방식으로, 이번에는 약 2억 건의 대화가 관련된 것으로 확인됐습니다. 알리바바와 연계된 캠페인이 가장 규모가 컸으며, 5월부터 7월 사이 하루 최대 300만 건의 요청이 쏟아졌습니다. 공격자들은 번역 요청 등으로 질문을 위장해 클로드가 내부 사고 흔적을 드러내도록 유도하는 우회 기법을 사용했습니다. 이번 사례는 AI 모델이 새로운 지식재산 탈취의 표적이 될 수 있음을 보여주며, AI 서비스를 운영하는 기업의 사용 패턴 모니터링과 이상 탐지의 중요성을 일깨웁니다.

#AI #위협 인텔리전스 #이상 징후

중요기업

전자신문 보안·2026. 09. 09.

[이슈플러스] 사후 제재서 사전 예방으로…개인정보 보호 판 바뀐다

한국 정부가 개인정보 보호법을 대폭 개정해 2026년부터 반복적·중대한 개인정보 침해에 대한 과징금 상한을 매출액의 3%에서 최대 10%로 올렸습니다. 반면 사전에 보안 인력·예산·설비에 투자한 기업은 과징금을 최대 40%까지 깎아주는 인센티브도 함께 도입해, 기업이 사고 이후 수습보다 사전 예방에 투자하도록 유도합니다. 특히 CEO(최고경영자)를 개인정보 처리·보호의 최종책임자로 법에 명시해, 보안사고가 발생하면 실무진뿐 아니라 경영진의 관리·감독 의무 이행 여부까지 따질 수 있게 됐습니다. CPO(개인정보 보호책임자)는 이사회에 보안 현황을 보고하고, 일정 규모 이상 기업은 CPO 변경 시 이사회 의결 및 개인정보위 신고가 의무화됩니다. 기업 보안팀은 이번 개정에 맞춰 예방 투자 근거 문서화, 경영진 보고 체계 정비, CPO 역할 재정립을 서둘러야 합니다.

#AI #개인정보 #개인정보 유출

중요기업

전자신문 보안·2026. 09. 09.

과징금 세지고 CEO 책임 커진다…11일 개인정보보호법 새 체계 가동

2026년 9월 11일부터 개정 개인정보 보호법이 시행되면서 국내 개인정보 보호 규제가 대폭 강화됩니다. 가장 큰 변화는 과징금 상한이 전체 매출액의 3%에서 최대 10%로 올라간다는 점으로, 반복·중대 위반이나 1,000만 명 이상 피해 사고 시 적용됩니다. CEO가 개인정보 보호의 최종 책임자로 법에 명시되어, 사고 발생 시 경영진이 직접 책임을 지게 됩니다. 반대로 보호 예산·인력·설비에 투자한 기업은 과징금을 감경받을 수 있어, 사전 예방 투자가 실질적인 리스크 관리 수단이 됩니다. 올해 상반기 개인정보 유출 신고가 이미 432건으로 작년 연간 수준에 근접한 만큼, 기업들의 신속한 대응 체계 정비가 시급합니다.

#AI #개인정보 #개인정보 유출

기업

BleepingComputer·2026. 09. 11.

새로운 안드로이드 악성코드, 파일 암호화·데이터 탈취·피해자 괴롭힘 동시 수행

'Mantax Otax'라는 새로운 안드로이드(Android) 악성코드가 랜섬웨어(파일을 암호화한 뒤 돈을 요구하는 악성 프로그램)와 스파이웨어(정보를 몰래 빼가는 악성 프로그램) 기능을 동시에 갖추고 발견됐습니다. 이 악성코드는 Google Play 공식 스토어 외부에서 배포되는 악성 APK(앱 설치 파일) 형태로 퍼지며, 설치 후 접근성 서비스 권한을 이용해 기기를 광범위하게 장악합니다. Android 9 이하 구형 기기에서는 파일을 암호화하고, 모든 버전에서 문자·OTP(일회용 비밀번호)·WhatsApp·Telegram 대화 등 민감한 정보를 탈취합니다. 추가로 피해자에게 반복 팝업·점프스케어 이미지·원격 음성 메시지 등 협박성 괴롭힘 기능도 포함되어 있습니다. Android Play Protect를 최신 상태로 유지하면 이미 탐지·차단되며, 공식 스토어 외부 APK 설치를 삼가는 것이 핵심 예방책입니다.

#AI #GitHub #개인정보

공공

ZDNet Korea·2026. 09. 11.

[인터뷰] 2000억 투입한 네이버, '보파모'로 사업보국 실현…"AI 보안 주권 지킬 것"

한국 정부(과학기술정보통신부)가 발주한 '사이버보안 특화 AI 파운데이션 모델 개발' 사업의 수행기관으로 네이버클라우드가 선정되어, 약 2000억원 상당의 자체 GPU 4000장을 투입해 보안 전용 AI 모델을 개발한다고 밝혔습니다. 네이버클라우드(방어)와 LG AI연구원(공격) 이 투 트랙으로 역할을 나눠, 공격 AI가 취약점을 찾으면 방어 AI가 이를 탐지·차단하는 방식으로 서로 성능을 높이는 구조입니다. 악성코드 프로파일링·공격 IP·전문가 대응 이력 등 830TB에 달하는 실전 보안 데이터를 학습에 활용하며, 내년 2월까지 약 300억 개 파라미터(300B) 규모의 모델을 완성하는 것이 중간 목표입니다. 완성된 모델은 금융·통신·전력 등 국가 기반시설에 우선 실증되고, 공공·국방처럼 망분리 규제가 강한 분야에는 직접 설치하는 구축형으로 제공될 예정입니다. 공격에 직접 악용될 수 있는 익스플로잇 하네스 등 일부 구성 요소는 공개 범위를 제한해 오남용을 막을 방침입니다.

#AI #AI 보안 #EDR

이전33 / 43다음