TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 15일 목요일 기준

← 뉴스 홈으로

해외 매체 뉴스

중요기업

The Hacker News·2026. 09. 22.

Zyxel 및 Veeam 취약점, 명령 실행과 SYSTEM 권한 탈취로 실제 악용 진행 중

미국 사이버보안 기관 CISA가 Zyxel GS1900 시리즈 네트워크 스위치의 취약점(CVE-2026-7273)을 실제 악용이 확인된 목록(KEV)에 추가했습니다. 이 결함은 같은 네트워크에 있는 공격자가 인증 없이 운영체제 명령을 마음대로 실행할 수 있는 심각한 취약점(CVSS 점수 8.8)으로, 패치는 이미 제공된 상태입니다. 동시에 보안업체 Arctic Wolf는 Veeam Agent for Microsoft Windows의 로컬 권한 상승 취약점(CVE-2026-32996)도 실제 공격에 이용되고 있다고 경고했는데, 이를 악용하면 일반 사용자가 시스템 최고 권한(SYSTEM)을 획득할 수 있습니다. 특히 Veeam 취약점은 공격 방법을 보여주는 예시 코드(PoC)가 이미 GitHub에 공개되어 있어 진입 장벽이 매우 낮습니다. 두 제품 모두 패치가 배포되었으므로 해당 제품을 운용 중인 기관은 즉시 업데이트를 적용해야 합니다.

#CVSS #GitHub #PoC

기업

BleepingComputer·2026. 09. 22.

BigCommerce, Ribon 앱과 연관된 데이터 침해로 판매자들에게 경고

이커머스 플랫폼 BigCommerce에 연동된 제3자 앱 Ribon의 인증 키가 탈취되어, 공격자가 여러 온라인 쇼핑몰에 악성 스크립트를 심고 고객 개인정보에 접근하는 사건이 발생했습니다. 피해는 2026년 9월 13일부터 17일 사이에 발생했으며, 유출된 정보에는 고객 성명·이메일·전화번호·배송 주소가 포함됩니다. BigCommerce 플랫폼 자체가 뚫린 것은 아니며, 결제 카드 정보와 비밀번호는 별도 저장되어 피해를 면했습니다. BigCommerce는 이상을 확인한 즉시 해당 앱을 제거하고 피해 판매자들에게 통보했으며, 수백 개의 쇼핑몰이 영향을 받았을 가능성도 제기되고 있습니다. 이번 사건은 제3자 앱의 API 인증 키 관리가 얼마나 중요한지를 보여주는 공급망(supply chain) 침해 사례입니다.

#AI #API 키 #SaaS

중요기업

BleepingComputer·2026. 09. 22.

WordPress Click2Shell 취약점, 해커가 서버에서 PHP 코드를 실행할 수 있어

WordPress의 핵심 구성 요소에서 'Click2Shell'이라는 CSRF(사이트 간 요청 위조) 취약점이 발견되었습니다. 공격자는 WordPress 계정 없이도 조작된 링크를 만들어 로그인된 관리자가 클릭하도록 유도하면, 서버에서 임의의 PHP 코드를 원격으로 실행할 수 있습니다. 공격이 성공하면 파일 수정·삭제, 데이터베이스 자격증명 탈취, 악성 관리자 계정 생성 등 심각한 피해로 이어질 수 있습니다. 실제 공격에 사용 가능한 PoC(개념 증명 코드)가 이미 공개된 상태이며, WordPress 7.1.1 버전에서 수정이 완료되었습니다. 즉시 업데이트가 어려운 경우 'DISALLOW_FILE_MODS' 설정을 활성화하는 것이 임시 대안입니다.

#AI #PoC #RCE

중요기업

The Hacker News·2026. 09. 22.

가짜 LastPass Authenticator 설치 파일, 마이크로소프트 서명 드라이버 악용해 백신·EDR 무력화

GitHub에 가짜 LastPass Authenticator 설치 파일이 올라와 있으며, 이를 내려받아 실행하면 마이크로소프트가 공식 서명한 커널 드라이버가 설치되면서 백신·EDR(엔드포인트 탐지·대응) 소프트웨어 145종을 강제 종료합니다. 보안 도구가 꺼진 상태에서 비밀번호 탈취 악성코드가 실행되어 크롬·엣지 등 20개 이상의 브라우저 저장 비밀번호, 암호화폐 지갑, Discord·Steam·Telegram 세션 등이 공격자 서버로 전송됩니다. 드라이버가 공식 서명을 받은 데다 파일명을 바꿔 VirusTotal 탐지를 0건으로 줄였고, 마이크로소프트의 취약 드라이버 차단 목록에도 등재되지 않아 현재까지 차단 수단이 없습니다. 감염된 PC는 부팅할 때마다 보안 도구를 다시 죽이고 재탈취를 반복하므로, 커널 수준 포렌식 분석 또는 OS 재설치가 필요합니다. LastPass 자체 시스템과 고객 볼트(저장소)는 피해를 입지 않았으나, 가짜 페이지가 최소 40개 브랜드를 사칭하고 있어 주의가 요구됩니다.

#EDR #GitHub #PoC

중요금융

The Hacker News·2026. 09. 22.

'전염성 인터뷰' 캠페인, 기기 3만 대 감염 및 암호화폐 1,071만 달러 탈취

북한 해킹 조직 'WaterPlum(워터플럼)'이 주도하는 '전염성 인터뷰(Contagious Interview)' 캠페인이 100개국 이상에서 기기 3만 대를 감염시키고, 암호화폐 지갑 7,000여 개에서 총 1,071만 달러(약 140억 원) 상당의 암호화폐를 탈취한 것으로 드러났습니다. 공격자들은 구직자에게 채용 담당자인 척 접근해 가짜 코딩 과제를 수행하게 한 뒤, BeaverTail·InvisibleFerret 등 악성코드를 심어 시스템을 장악했습니다. 피해는 암호화폐·블록체인·Web3 분야 개발자와 엔지니어에 집중되었으며, 감염 이후 기업 내부망 침투와 지식재산 절취로 이어질 수 있습니다. 최근에는 Discord를 통해 미국·유럽·중남미 일반인을 '대리 면접인'으로 모집하는 새로운 수법도 확인됐습니다. 일본·미국·호주·독일 사이버보안 당국이 공동으로 경고를 발령했습니다.

#AI #거래소 #데이터유출

기업

The Hacker News·2026. 09. 22.

위치 데이터 관련 GDPR 위반으로 Google에 €403 million 벌금 부과

Google가 유럽 개인정보 보호법(GDPR)을 위반했다는 이유로 아일랜드 데이터보호위원회(DPC)로부터 €403 million(약 6,000억 원)의 벌금을 부과받았습니다. 문제가 된 기능은 웹·앱 활동 기록, 위치 기록, 위치 정확도 세 가지로, 2018년 5월부터 2020년 2월 사이 사용자의 위치 데이터를 불충분하게 고지하고 필요 이상으로 오래 보관했다는 것이 핵심입니다. 이용자들은 자신의 위치 정보가 광고 타겟팅이나 관심사 추론에 활용된다는 사실을 제대로 안내받지 못했습니다. Google은 2019년 이후 자동 삭제 기능 도입 등 관행을 개선했다고 밝혔으나, DPC는 이것이 충분한지 공식 입장을 내놓지 않았습니다. 기업 컴플라이언스 담당자는 이번 사례를 통해 개인정보 처리 목적 고지, 보유 기간 최소화, 투명성 확보가 규제 리스크 관리의 핵심임을 재확인할 필요가 있습니다.

#개인정보 #개인정보보호법 #규제

중요기업

The Hacker News·2026. 09. 21.

⚡ 주간 요약: Cisco 0-Day, AI 에이전트 RCE, ClickFix 공격 급증, 브라우저 하이재킹

이번 주 가장 심각한 사안은 Cisco의 네트워크 접근 제어 솔루션 ISE(Identity Services Engine)에서 발견된 최고 심각도(CVSS 10.0) 인증 우회 취약점(CVE-2026-76460)으로, 이미 실제 공격에 악용되고 있어 즉각적인 패치가 필요합니다. Claude Code·GitHub Copilot 등 주요 AI 코딩 도구에서는 플러그인을 통해 클릭 한 번 없이 원격으로 악성 코드를 실행할 수 있는 제로클릭 RCE(원격 코드 실행) 취약점이 공개되어 개발 환경 전반에 경고가 내려졌습니다. 마케팅 플랫폼 Brevo는 공급망 공격을 받아 약 5.5시간 동안 10만 개 이상의 고객 웹사이트에 가짜 보안 확인 화면(ClickFix)을 통한 악성코드가 배포되었습니다. 브라질발 뱅킹 악성코드 KREMLIN은 Chrome과 Edge에 악성 브라우저 확장 프로그램을 설치해 금융 자격증명과 세션 토큰을 탈취하고 있습니다. CISA KEV(실제 악용 확인 목록)에 등재된 Cisco ISE 및 Google Pixel 취약점은 기업 보안 담당자가 최우선으로 패치해야 합니다.

#AI #AI 에이전트 #API 키

중요기업

The Hacker News·2026. 09. 21.

TASK#STOMP PowerShell 백도어, 업무 문서·Wi-Fi 비밀번호·클립보드 데이터 탈취

'TASK#STOMP'라는 이름의 새로운 악성 캠페인이 발견되었습니다. 이 공격은 PowerShell 백도어(해커가 몰래 심어두는 원격 제어 프로그램)를 사용해 감염된 컴퓨터에서 업무 문서, Wi-Fi 비밀번호, 클립보드 내용, 화면 캡처 등 민감한 정보를 자동으로 빼내갑니다. 공격자는 VBScript 파일을 통해 감염을 시작하며, 예약 작업(Task Scheduler)과 시작 프로그램 폴더를 이용해 재부팅 후에도 악성코드가 계속 실행되도록 설정합니다. 또한 파일 타임스탬프 조작, Windows 기본 도구만 활용하는 방식으로 보안 솔루션과 관리자의 눈을 피하려 했습니다. 두 개의 C2(명령·제어) 서버를 운영해 하나가 차단돼도 공격이 지속될 수 있어 즉각적인 대응이 필요합니다.

#EDR #Windows #데이터 탈취

기업

BleepingComputer·2026. 09. 21.

Microsoft, 관리자에게 Entra ID 사용자를 패스키로 전환 촉구

Microsoft가 2027년 2월부터 Entra ID(기업 계정 관리 서비스)에서 SMS를 첫 번째 인증 수단으로 사용하는 방식을 폐기한다고 공식 발표했습니다. 이 변경이 적용되면 SMS나 음성 통화로 로그인하던 사용자는 더 이상 인증을 완료할 수 없으므로, 기업 관리자는 그 전에 사용자를 패스키·FIDO2 보안 키·QR 코드 인증 등 피싱(이메일 등을 이용한 사기성 계정 탈취) 방지 방식으로 전환해야 합니다. SMS 인증을 계속 유지하려면 Microsoft Security Store를 통해 서드파티 통신사를 별도로 연동해야 합니다. 관리자는 Microsoft가 제공하는 PowerShell 스크립트로 아직 SMS/음성 인증을 쓰는 사용자를 찾아낼 수 있습니다. 이번 달부터 패스키가 Entra ID의 기본 인증 방식으로 순차 적용되기 시작합니다.

#AI #Azure #MFA

중요기업

Help Net Security·2026. 09. 21.

북한의 채용 면접 사기는 양방향으로 작동한다

북한 국가지원 해킹 그룹 'Contagious Interview(일명 WaterPlum)'가 채용 면접을 가장해 Rust 개발자 및 소프트웨어 패키지 관리자를 표적으로 삼고 있습니다. 공격자들은 LinkedIn 등 SNS에서 그럴듯한 채용 담당자로 위장한 뒤 화상 면접 중 악성 코드 실행이나 악성 소프트웨어 설치를 유도합니다. 2025년 12월부터 2026년 7월 사이에 100개국 이상에서 3만 대 이상의 기기가 감염되었고, 암호화폐 지갑 7,000개 이상에서 자금과 자격증명이 탈취된 것으로 국제 당국이 확인했습니다. 이 공격은 개발자 개인뿐 아니라 기업의 채용 과정도 겨냥하며, 북한 IT 노동자들이 도용된 신원으로 원격 채용에 직접 지원하는 방식도 포함됩니다. 개발자는 출처 불명의 연락을 경계하고, 기업은 채용 절차 강화와 최소 권한 원칙 적용으로 대응해야 합니다.

#AI #EDR #MFA

통신/IT

Help Net Security·2026. 09. 21.

구글, 위치 추적 관련 GDPR 위반으로 4억 300만 유로 과징금 부과

아일랜드 개인정보보호위원회(DPC)가 구글에 4억 300만 유로(약 6,360억 원)의 과징금을 부과했습니다. 구글이 사용자의 위치 데이터를 처리하는 방식이 유럽 개인정보보호법(GDPR)을 위반했다는 이유입니다. 문제가 된 기능은 '웹 및 앱 활동', '위치 기록', '위치 정확도' 세 가지로, 구글이 사용자 동의나 투명한 안내 없이 위치 정보를 광고 등에 활용한 것이 핵심입니다. 구글은 위치 데이터를 필요 이상으로 오래 보관한 것도 지적받았으며, 6개월 안에 처리 방식을 규정에 맞게 고쳐야 합니다. 기업 담당자라면 자사 서비스의 위치·개인정보 처리 방식도 GDPR 기준에 맞는지 점검할 필요가 있습니다.

#개인정보 #개인정보보호법 #규제

기타

Help Net Security·2026. 09. 21.

사기범들, 경찰 사칭해 체포 위협으로 피해자 금품 갈취

FBI(미국 연방수사국)가 경찰관·연방 요원을 사칭해 피해자를 협박하는 보이스피싱 사기에 대한 경보를 업데이트했습니다. 2025년 1월부터 2026년 7월까지 신고된 피해액만 16억 달러(약 2조 원)를 넘었습니다. 사기범들은 체포·기소 위협, 배심원 불출석, 면허 만료 등의 명목으로 선불카드·암호화폐·현금 송금 방식의 즉각적인 납부를 요구합니다. AI 기술까지 활용해 속임수가 더욱 정교해지고 있으며, 의료인·이민자·유학생 등 특정 집단을 노린 맞춤형 수법도 확인됩니다. 실제 정부 기관은 전화·문자로 결제를 요구하거나 개인정보를 묻지 않으니, 이런 연락을 받으면 공식 채널로 직접 확인해야 합니다.

#AI #개인정보 #결제

이전18 / 47다음