TORUN SECURITY NEWS

보안 뉴스

취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.

2026년 10월 14일 수요일 기준

← 뉴스 홈으로

BleepingComputer 뉴스

중요통신/IT

BleepingComputer·2026. 10. 01.

DIVD, Zammad 제로데이 취약점이 AI 주도 네트워크 침해를 가능케 했다고 밝혀

네덜란드의 비영리 보안 연구단체 DIVD(취약점 공개 연구소)가 자체 네트워크 침해 사고의 원인을 공개했습니다. 오픈소스 헬프데스크·티켓팅 시스템인 Zammad에 존재하던 두 개의 제로데이(사전에 알려지지 않은) 취약점이 연쇄적으로 악용된 것이 원인이었습니다. 특히 이번 공격은 사람이 직접 조작한 것이 아니라 AI 에이전트가 스스로 판단해 자율적으로 공격을 이어간 것이어서 "시끄럽고 매우 지저분했다"고 표현될 정도로 순식간에 진행됐습니다. 공격자는 세션 탈취, 원격 코드 실행(RCE), 권한 상승을 통해 root 권한까지 확보했고, 다른 서비스에 접근해 데이터를 유출하는 전 과정이 단 몇 초 만에 이뤄졌습니다. 다행히 네트워크 분리와 신속한 대응 덕분에 공격자가 내부망 더 깊숙이 침투하지는 못했으며, DIVD는 Zammad 이용자들에게 버전 7로 업그레이드하거나 인스턴스를 즉시 오프라인으로 전환할 것을 권고했습니다.

#AI #AI 에이전트 #RCE

통신/IT

BleepingComputer·2026. 10. 01.

GitHub 공개 저장소에서 유효한 계정 정보 54만 3,000여 건 노출

보안 업체 Truffle Security가 GitHub에 공개된 저장소 2억 2,400만 개와 파일 580억 개 이상을 분석한 결과, 아직도 유효하게 사용 가능한 계정 정보(credential) 54만 3,699건이 노출된 상태로 남아 있는 것으로 나타났습니다. 노출된 정보가 공개 상태로 방치된 기간은 평균(중앙값) 784일이나 됐고, 가장 오래된 것은 2009년부터 노출돼 있었습니다. GitHub가 민감정보 유출을 막기 위해 Push Protection이라는 보호 기능을 도입했지만, 이미 새어나간 계정 정보를 자동으로 무효화해주지는 않아서 여전히 많은 정보가 위험에 노출돼 있습니다. 특히 npm 토큰은 유출돼도 대부분 곧 무효화되는 반면, Google Cloud 서비스 계정 정보는 유출된 것 중 절반 이상이 여전히 사용 가능한 상태로 확인돼 서비스별로 대응 수준 차이가 크다는 점이 드러났습니다. 전문가들은 노출된 계정 정보를 즉시 교체(rotate)하고, 저장소와 커밋 이력을 정리하며, 모든 활성 비밀정보에 자동 만료 기한을 설정할 것을 권고합니다.

#AI #API 키 #GitHub

중요통신/IT

BleepingComputer·2026. 10. 01.

CISA, MikroTik RouterOS의 심각한 인증 전 원격 코드 실행 취약점 경고

미국 CISA(사이버보안 및 인프라보안국)가 MikroTik RouterOS의 심각한 취약점(CVE-2026-84411)에 대해 경고했습니다. 이 취약점은 로그인 없이도 조작된 요청 하나만으로 공격자가 기기를 관리자 권한으로 완전히 장악하거나 서비스를 마비시킬 수 있는 매우 위험한 문제입니다. 아직 실제 공격 사례는 확인되지 않았지만, MikroTik 장비는 과거에도 해커와 봇넷 악성코드의 주요 표적이 되어온 만큼 주의가 필요합니다. RouterOS 7.24 미만 버전이 영향을 받으며, 제조사는 7.23 이상 버전으로 업데이트할 것을 권고했습니다. 실제로 최근 폴란드 침해사고대응팀은 SSH가 인터넷에 노출된 MikroTik 장비를 대상으로 한 별도의 취약점 조합 공격 사례를 경고한 바 있습니다.

#AI #RCE #라우터

중요통신/IT

BleepingComputer·2026. 09. 30.

Cisco, 실제 공격에 악용되는 SD-WAN 신규 제로데이 취약점 경고

Cisco가 Catalyst SD-WAN Manager(최대 6,000대의 SD-WAN 장비를 한 화면에서 관리하는 네트워크 관리 소프트웨어)에서 발견된 심각한 제로데이 취약점(CVE-2026-76504)에 대한 보안 업데이트를 발표했습니다. 이 취약점은 인증 없이도 공격자가 관리자 권한으로 시스템에 원격 접근할 수 있게 하는 결함으로, 2026년 9월부터 실제 공격에 악용되고 있는 것이 확인됐습니다. HTTP 요청의 URI 인코딩 처리 오류로 인해 특정 API 접근을 막아야 할 인증 규칙이 우회되는 방식입니다. Cisco는 공격에 사용된 침해 지표(IOC)와 로그 확인 방법을 공개하며 신속한 패치를 강력히 권고했습니다. 올해 들어 SD-WAN 제품군에서 실제 악용된 제로데이 취약점은 이번이 벌써 다섯 번째입니다.

#AI #규제 #랜섬웨어

기업

BleepingComputer·2026. 09. 30.

마이크로소프트, 10월부터 Entra ID 스크립트 주입 공격 차단 예정

마이크로소프트가 내년 10월부터 로그인 인증 시스템인 Entra ID의 보안을 강화한다고 밝혔습니다. 로그인 화면에서 외부 스크립트가 함부로 끼어드는 것을 막는 새로운 정책(CSP, 콘텐츠 보안 정책)을 적용해, 신뢰할 수 있는 마이크로소프트 서버에서 나온 스크립트만 실행되도록 제한하는 것입니다. 이렇게 하면 로그인 페이지에 악성 코드를 몰래 심어 계정 정보를 훔치는 크로스사이트 스크립팅(XSS) 공격을 예방할 수 있습니다. 다만 로그인 화면에 스크립트를 끼워 넣는 브라우저 확장 프로그램이나 도구를 쓰는 기업은 이 변경 후 해당 도구가 작동하지 않을 수 있어, 미리 테스트해보고 대비해야 합니다. 이번 조치는 2023년 중국 해커들이 여러 기관의 이메일을 대거 침해한 사건 이후 마이크로소프트가 추진 중인 보안 강화 계획의 일환입니다.

#AI #Windows #XSS

중요기업

BleepingComputer·2026. 09. 30.

TeamViewer, "가능한 한 빨리" 패치하라고 사용자들에게 심각한 취약점 경고

원격 제어 프로그램으로 유명한 TeamViewer가 자사 소프트웨어에서 발견된 심각한 보안 취약점 5개를 즉시 패치해달라고 고객들에게 긴급 권고했습니다. 가장 위험한 취약점(CVE-2026-92370)은 접근 통제가 제대로 되지 않아 공격자가 원격 세션에 무단으로 접근하고 시스템을 마음대로 조작할 수 있게 하는 문제입니다. 나머지 4개 취약점도 로컬 공격자가 시스템 최고 권한(SYSTEM 또는 root)까지 탈취할 수 있는 심각한 문제들입니다. 아직 실제 악용 사례나 공개된 공격 코드는 발견되지 않았지만, TeamViewer 같은 원격 제어 도구는 랜섬웨어 조직 등 사이버 범죄자들이 자주 악용하는 표적이기 때문에 신속한 패치가 중요합니다. TeamViewer는 과거에도 중국·러시아 국가 배후 해커 조직에 의해 두 차례 내부망 침해를 당한 이력이 있습니다.

#AI #RCE #Windows

중요금융

BleepingComputer·2026. 09. 30.

Bitget, 서드파티 보안 제품의 제로데이 취약점으로 해킹당해

암호화폐 거래소 Bitget이 지난주 3억 8,750만 달러(약 5,000억 원) 규모의 암호화폐를 도난당한 사건의 원인을 공개했습니다. 공격자들은 Bitget이 사용하던 외부(서드파티) 보안 장비 두 대의 제로데이(zero-day, 아직 패치가 나오지 않은 미공개 취약점) 취약점을 악용해 시스템에 침투했습니다. 이후 웹쉘(원격 조종용 악성 스크립트)과 악성코드를 심어 지갑을 관리하는 서버까지 장악했고, 자체 제작한 출금 도구로 여러 블록체인에서 자금을 빼돌렸습니다. Bitget CEO는 IP 패턴과 온체인 분석을 근거로 북한 해킹 조직을 배후로 지목했습니다.

#AI #거래소 #공급망

기업

BleepingComputer·2026. 09. 30.

Signal, iOS·데스크톱 앱에 암호화된 로컬 백업 지원 추가

보안 메신저 Signal이 버전 8.30을 출시하면서 iOS와 데스크톱(Linux, macOS, Windows)에도 종단간 암호화된 백업 기능을 추가했습니다. 이제 Android, iOS, 데스크톱 등 모든 지원 운영체제에서 대화 내용을 암호화된 상태로 백업하고, 휴대폰을 잃어버려도 복구할 수 있습니다. 백업 방식은 Signal이 직접 저장해주는 방식(무료는 45일치, 유료는 100GB까지)과, 용량 제한이 없는 기기 자체 저장 방식 두 가지가 있으며, 모두 복구키로 암호화됩니다. 이 복구키는 공격자들에게도 가치 있는 정보라 이미 공격 대상으로 노려지고 있어, 사용자는 복구키 관리에 각별히 주의해야 합니다. 이번 업데이트로 iOS 기기 간 직접 전송 기능도 함께 추가됐습니다.

#AI #Windows #백업

중요기업

BleepingComputer·2026. 09. 30.

FBI, ShinyHunters 조직원 체포 이후 나머지 멤버들에게 자수 권고

FBI는 데이터 갈취 해킹 그룹 ShinyHunters 조직원들에게 자수를 권고했습니다. 네덜란드 경찰이 이 그룹의 지도자급 인물로 지목된 24세 남성을 암스테르담에서 체포했고, 그의 노트북에서 해외 살인 사건 관련 정보까지 발견되면서 수사가 급물살을 탔습니다. ShinyHunters는 지난해 이후 140개 이상의 조직을 침해해 최소 7천만 달러의 금품을 뜯어낸 것으로 알려졌으며, 주로 기업의 SSO(싱글사인온) 계정과 Salesforce, Snowflake 같은 클라우드 서비스(SaaS)를 노려왔습니다. 최근에는 이 그룹이 Oracle PeopleSoft의 제로데이(패치가 없는 취약점) 취약점을 악용해 FBI 내부 시스템까지 침투했다고 주장하며 최대 3테라바이트의 자료를 훔쳤다고 밝혀 파장이 컸습니다. FBI는 체포를 계기로 남은 조직원들에게 자진 출두를 압박하는 이례적인 공개 경고 영상을 내놓았습니다.

#AI #SaaS #개인정보

기업

BleepingComputer·2026. 09. 30.

전직 미 공군 소속들, BEC 공격으로 실형 선고

미국 공군 도버 기지에서 근무했던 전직 군인 두 명이 여러 해에 걸쳐 기업 이메일을 노린 BEC(비즈니스 이메일 침해) 사기와 피싱을 벌인 혐의로 각각 111개월, 78개월의 연방 교도소형을 선고받았습니다. 이들은 직원들의 이메일 계정을 훔치고, 거래처 이메일을 흉내 낸 가짜 주소를 만들어 결제 대금을 자신들이 관리하는 계좌로 빼돌렸습니다. 아이오와주 피해자의 168만 달러, 오하이오주 피해자의 72만 달러 송금을 가로챈 사례가 대표적이며, 그 외에도 수많은 송금 탈취 시도가 있었습니다. FBI에 따르면 지난해에만 BEC 피해 신고가 2만 4천여 건, 피해액은 30억 달러를 넘어 여전히 기업을 위협하는 주요 사이버 범죄로 꼽힙니다.

#AI #결제 #계정 탈취

중요통신/IT

BleepingComputer·2026. 09. 30.

새로운 Spectre v2 공격 변종, 단 몇 분 만에 리눅스 root 비밀번호 해시 유출

Spectre v2 계열의 새로운 CPU 하드웨어 취약점 'BTR(Branch Target Reuse)'가 공개됐습니다. 인텔, AMD, ARM 등 대부분의 최신 CPU에서 발생하며, 이를 악용하면 리눅스 시스템에서 단 3~5분 만에 root 비밀번호의 해시값을 빼낼 수 있습니다. CPU가 분기 예측(다음에 실행할 명령을 미리 추측하는 기능)에 쓰는 낡은 정보를 이용해, 공격자가 원래는 실행되지 않아야 할 명령을 잠깐 몰래 실행시켜 메모리 속 민감한 데이터를 캐시를 통해 훔쳐보는 방식입니다. 이 문제는 CVE-2026-64507, CVE-2026-64508로 등록됐고 리눅스 커널에는 이미 패치가 반영됐습니다. 다만 아직 실제 공격에 악용된 사례는 확인되지 않았습니다.

#AI #리눅스 #무차별 대입

중요기업

BleepingComputer·2026. 09. 30.

자동화된 AI 에이전트가 사이버보안 비영리단체 DIVD를 침해하다

네덜란드의 비영리 보안 연구단체 DIVD(취약점 신고 기관)가 AI 에이전트가 자동으로 수행한 것으로 보이는 해킹 공격을 당했습니다. 공격자는 시스템의 기술적 취약점을 악용해 침투한 뒤, 사람이 아닌 AI 에이전트가 스스로 다음 행동을 판단하며 공격을 이어갔습니다. 이 AI 에이전트는 매우 빠른 속도로 움직였지만 허술한 판단으로 오히려 자신의 공격(비밀번호 스프레이 방식의 중간자 공격)을 방해하는 등 서투른 모습도 보였습니다. DIVD는 이번 사건을 경찰과 개인정보보호청, 국가사이버보안센터에 신고했으며, 10월 1일 추가 정보를 공개할 예정입니다.

#AI #AI 에이전트 #개인정보

이전2 / 15다음