취약점·랜섬웨어·침해사고를 매일 큐레이션해 한글 요약과 함께 전합니다.
2026년 10월 15일 목요일 기준
기업Rabbit이 출시한 OS3는 클라우드에서 동작하면서 사용자의 PC·Mac·Linux 등 최대 5대의 기기를 원격으로 제어하는 에이전트형 운영체제입니다. 사용자가 채팅창에 목표를 입력하면 OS3가 파일을 열고, 웹을 탐색하고, 코드를 실행하는 등 작업을 대신 처리하는데, 이 과정에서 처리 중인 파일 내용이 Rabbit 서버와 사용자가 선택한 AI 모델 제공사 서버 두 곳을 거칩니다. 특히 임의의 URL에서 '스킬(skill)'을 설치할 수 있어, 검증 절차 없이 PC를 제어하는 에이전트에 외부 기능이 추가될 수 있다는 보안 우려가 있습니다. 민감한 계약서·내부 문서 등을 다루는 기업 환경에서 도입 시 데이터 유출 경로와 스킬 공급망 위험을 사전에 검토해야 합니다.
자세히 보기
기업NetBSD 10.2가 2026년 9월 15일 출시되어, 네트워크 트래픽을 필터링하는 ipfilter 커널 모듈에서 외부 공격자가 원격으로 시스템 전체를 다운시킬 수 있는 null 포인터 역참조(널 포인터 역참조: 아무것도 가리키지 않는 포인터를 참조해 커널이 충돌하는 오류) 취약점이 수정되었습니다. 또한 TCP 타임스탬프를 통해 커널 스택 메모리 4바이트가 외부로 유출되는 문제도 패치됐는데, 이 소량의 데이터에도 커널 주소가 포함될 수 있어 ASLR(무작위 메모리 배치 보호) 우회에 악용될 수 있습니다. NFS(네트워크 파일 공유 서비스)와 telnet에도 보안 수정이 포함됐지만, 구체적인 내용이나 CVE(공통 취약점 식별자)가 공개되지 않아 심각도 판단이 어렵습니다. OpenSSL 3.0.21, libXpm(CVE-2026-4367), unbound DNS 리졸버(CVE-2025-11411) 등 번들 서드파티 구성 요소도 함께 업데이트됐습니다. NetBSD 10을 운영 중인 시스템은 커널을 먼저 업데이트하고 재부팅한 뒤 유저스페이스를 업데이트하는 순서로 10.2 업그레이드를 진행해야 합니다.
자세히 보기
기타명절 대목을 노려 전통시장과 소규모 매장의 QR 결제판에 가짜 QR 스티커를 몰래 붙이는 '물리적 큐싱(Physical Qshing)' 범죄가 늘고 있습니다. 소비자가 해당 QR을 스캔하면 피싱(사기) 결제 페이지로 연결되거나 악성 앱이 설치되어, 결제 금액이 상인이 아닌 범죄 조직의 대포통장으로 빠져나갑니다. 이 공격은 인터넷 네트워크가 아닌 오프라인 물리 환경을 노리기 때문에 일반적인 방화벽이나 보안 솔루션으로는 사전에 막기가 어렵습니다. 결제 전 QR판 표면을 손으로 만져 스티커가 붙어 있는지 확인하고, 수취인 이름이 가게 상호와 일치하는지 상인에게 직접 확인하는 습관이 중요합니다.
자세히 보기
금융금융보안원이 법인보험대리점(GA) 11곳을 신규 회원사로 받아들여 총 233개 사원사 체계를 갖추게 됐습니다. GA는 대규모 고객 개인신용정보를 다루는 보험 판매의 핵심 채널로, 지난해 외부 협력업체를 통한 해킹으로 고객 정보가 유출되는 사고가 발생하면서 보안 강화 필요성이 커졌습니다. 신규 가입 GA들은 통합보안관제, 침해사고 대응, 취약점 점검, 침투 테스트 등 금융회사 수준의 보안 서비스를 제공받게 됩니다. 금융보안원은 GA 전담 보안팀 운영 및 맞춤형 컨설팅을 통해 GA 업권 전반의 자생적 보안 역량 강화를 지원할 계획입니다.
자세히 보기
기타스팀(Steam) 인기 인디 게임 '피플 플레이그라운드'의 창작마당(Workshop, 이용자가 만든 모드를 공유하는 공간)을 통해 악성 모드가 유포됐습니다. 해당 악성코드는 PC의 개인 데이터를 영구 삭제하고, 스팀 계정 설정과 클라우드 데이터를 손상시키며, 디스코드 사용자 이름 등 개인 정보를 무단 수집합니다. 특히 악성코드가 스스로를 창작마당에 재등록해 자동으로 확산되는 기능까지 갖추고 있어 피해 범위가 커질 수 있었습니다. 개발자는 창작마당을 즉시 차단하고, 피해 가능 시간대(한국시간 22일 새벽 1시~3시)에 게임을 실행한 이용자에게 백신 검사와 비밀번호 변경을 권고했습니다. 같은 게임에서 올해 2월에도 유사한 사고가 발생한 바 있어 반복적인 보안 취약점 관리 문제가 제기되고 있습니다.
자세히 보기
중요기업보안업체 핵트론AI 연구진이 AI 모델 클로드를 활용해 오픈AI 커뮤니티 포럼의 취약점을 발견하고 공격 코드를 자동으로 작성, 서버에서 사용자 인증 토큰을 탈취했습니다. 일부 토큰은 오픈AI 직원 계정과 연결돼 있었고, 이를 통해 직원의 챗GPT·코덱스 계정은 물론 오픈AI 내부 비공개 코드 저장소(모노레포)까지 접근하는 데 성공했습니다. 저장소에는 AI 모델 운영 알고리즘 관련 기술이 담겨 있었으며, AI 모델 가중치는 포함되지 않았습니다. 연구진은 추가 열람을 자제하고 버그바운티(취약점 신고 포상 프로그램)를 통해 오픈AI에 신고해 6,500달러를 받았으며, 오픈AI는 해당 문제를 모두 수정했다고 밝혔습니다. 이번 사례는 AI가 사이버 공격 도구로 직접 활용될 수 있음을 실증한 사례로, 기업 보안 담당자들의 주의가 요구됩니다.
자세히 보기
중요기업D-Link의 무선 공유기 DIR-822A에서 공격자가 인증 없이 원격으로 시스템을 완전히 장악할 수 있는 최고 위험도 취약점 두 개가 발견됐습니다. 첫 번째(CVE-2026-86296)는 CVSS 10.0점짜리 제로데이로, DHCP 처리 과정의 메모리 오류를 통해 악성 코드를 실행할 수 있습니다. 두 번째(CVE-2026-86510)는 CVSS 9.9점으로, VPN 연결에 쓰이는 L2TP 기능의 메모리 오류를 노립니다. 두 취약점 모두 공격 방법을 재현하는 PoC(개념증명 코드)가 이미 공개됐고, 공식 보안 패치는 아직 없는 상태입니다. 당장 패치를 적용할 수 없으므로, 해당 공유기의 인터넷 직접 노출과 원격 관리 기능을 즉시 점검해야 합니다.
자세히 보기
중요공공AI 도구의 확산으로 취약점을 무기화하는 데 걸리는 시간이 과거 수일~수 주에서 10분 이내로 급격히 단축되었습니다. 2026년 한 해에만 6만 6,000건의 새로운 취약점(CVE)이 공개될 것으로 전망되며, 2025년에 악용된 취약점의 29%는 공개 당일 또는 그 이전에 이미 공격에 활용됐습니다. 반면 기업의 평균 패치 소요 시간은 43일로 늘어나 '공격-방어 속도 격차'가 심각하게 벌어지고 있습니다. 이에 한국인터넷진흥원(KISA)은 AI를 활용한 취약점 전주기 관리 체계를 가동하고, 미국 CISA의 3일 내 조치 의무화·EU 사이버복원력법(CRA)에 발맞춰 위험 기반 우선순위 패치 방식으로의 전환을 기업에 권고했습니다. 기업 보안 담당자는 EPSS(악용 확률 점수)와 SBOM(소프트웨어 구성명세서)을 활용해 가장 위험한 취약점을 먼저 조치하는 방식으로 대응 전략을 재편할 필요가 있습니다.
자세히 보기
중요기업보안 연구팀 Varonis가 'TrustSink'라는 새로운 공격 기법을 공개했습니다. 이 기법은 마이크로소프트 Entra(기업용 계정 관리 서비스)의 외부 MFA(다중 인증) 연동 기능을 악용해, 정상적인 로그인 과정 중에 사용자의 비밀번호를 몰래 탈취합니다. 공격자는 먼저 높은 권한의 관리자 계정을 탈취한 뒤, 가짜 외부 MFA 제공자를 등록해 마이크로소프트 로그인 화면을 흉내 낸 피싱 페이지를 끼워 넣습니다. 피해자가 비밀번호를 입력하면 공격자 서버로 전송되지만, 로그인은 정상적으로 완료되어 피해자는 이상을 전혀 느끼지 못합니다. 비밀번호를 바꿔도 가짜 MFA 제공자가 그대로 남아 새 비밀번호까지 재탈취되므로, 반드시 악성 제공자를 먼저 제거한 뒤 자격증명을 교체해야 합니다.
자세히 보기
중요공공스웨덴의 IT 기업 Miljödata는 2025년 8월 사이버 공격을 받아 220만 명의 민감한 개인정보가 유출되었습니다. 이 회사는 스웨덴 지방자치단체의 80%가 사용하는 HR·근무환경 관리 소프트웨어를 제공하고 있어 피해 규모가 매우 컸습니다. 공격자는 1.5 비트코인(약 1억 9천만 원)의 몸값을 요구했으나 협상이 결렬되자 훔친 데이터를 다크웹에 공개했고, 유출된 정보에는 주민등록번호, 병가·재활 기록, 미성년자 학교 사건 기록 등이 포함되었습니다. 스웨덴 개인정보 감독기관 IMY는 Miljödata가 신규 소프트웨어 설치 검증과 실시간 침입 탐지 체계를 갖추지 않아 GDPR(유럽 일반 개인정보보호법) 제32조를 위반했다고 판단하여 약 2억 6천만 원(SEK 180만)의 과징금을 부과했습니다.
자세히 보기
중요공공중국어권 위협 행위자(Red Heron 그룹 연관)가 2026년 6월부터 WordPress, ZyXEL GS1900 스마트 스위치, Ubiquiti UniFi OS 등 여러 제품의 취약점을 연쇄적으로 악용해 29개국 49개 이상 기관을 침해했습니다. 한 서방 정부 기관에서는 SQL 데이터베이스에 침투해 정부·법집행 기관과 연관된 계정 정보, 평문 비밀번호, 개인식별정보(PII) 18,566건을 탈취했습니다. ZyXEL 스위치 취약점(CVE-2026-7273)만으로도 48개국 996개 장치가 피해를 입었으며, Ubiquiti UniFi OS 취약점 3종은 루트 권한 원격 코드 실행(RCE)에 체인 형태로 활용됐습니다. 이번에 악용된 취약점 다수가 CISA의 실제 악용 확인 목록(KEV)에 등재돼 있어 즉각적인 패치 적용이 필요합니다. GreyNoise가 침해지표(IoC)를 공개했으므로 이를 활용한 탐지·차단 조치도 권고됩니다.
자세히 보기
중요공공해킹 그룹 ShinyHunters가 Oracle PeopleSoft에서 발견한 제로데이(패치가 없는 신규 취약점)를 이용해 미국 FBI 시스템에 침입했다고 주장했습니다. 이들은 원격 코드 실행(RCE: 인터넷을 통해 서버를 마음대로 조종할 수 있는 공격)이 가능한 취약점으로 FBI 내부망과 AWS GovCloud(정부용 클라우드)에 접근해 현직·전직 FBI 직원 및 취업 지원자 정보를 포함한 2~3TB 분량의 데이터를 탈취했다고 밝혔습니다. FBI는 침입을 탐지한 직후 관련 시스템을 즉시 오프라인으로 전환한 것으로 알려졌습니다. ShinyHunters는 같은 취약점을 포춘 500대 기업 등 다른 조직에도 현재 사용 중이라고 주장해, Oracle PeopleSoft를 운영하는 모든 기관의 긴급 대응이 필요합니다. 현재까지 Oracle은 해당 취약점의 존재를 공식 확인하지 않았으며, BleepingComputer가 Oracle과 Mandiant에 확인을 요청한 상태입니다.
자세히 보기