보안 뉴스

모르는 사람의 휴대폰을 셀룰러 네트워크에서 차단하는 데 드는 비용은 단돈 몇 달러

미국 미시간주립대 연구팀이 이동통신사의 '분실·도난 기기 차단' 시스템에서 6가지 취약점을 발견했습니다. 공격자는 단돈 2.5~4달러(약 3,500~5,500원)와 20~80초만 있으면 자신이 소유하지 않은 타인의 기기를 통신망에서 강제로 차단할 수 있습니다. 피해 대상은 스마트폰뿐 아니라 가정용 보안 경보 패널, 전력·수도 계량기, 산업용 센서, 심장 모니터 등 셀룰러 통신을 쓰는 모든 IoT(사물인터넷) 장치를 포함합니다. 특히 미국 홈 보안 시장의 41% 이상을 점유한 두 회사의 제품이 공격에 취약한 것으로 확인됐으며, 피해자에게는 아무런 알림도 가지 않습니다. 연구팀은 이통사·칩셋 제조사·GSMA(국제이동통신사업자협회)에 취약점을 통보했고, GSMA는 이를 기기 보안 그룹에 전달했습니다.

#IoT #공급망 #백업

전화가 걸려오기 전에 랜섬웨어 의사결정 트리를 구축하라

랜섬웨어(데이터를 암호화하고 돈을 요구하는 악성 프로그램) 공격을 받았을 때 허둥대지 않으려면 미리 의사결정 체계를 만들어 둬야 합니다. Arctic Wolf의 사고 대응 전문가 Kerri Shafer-Page는 네트워크 격리, 협상 권한, 몸값 지불 여부, 법 집행기관 신고, 공개 커뮤니케이션 등 네 가지 영역에서 사전 결정이 필요하다고 강조합니다. 특히 몸값 지불은 순전히 사업적 판단으로 접근해야 하며, 수사기관은 위협 행위자 파악과 제재 위반 방지에 도움을 줄 수 있으므로 대응 계획에 포함시켜야 합니다. 핵심 메시지는 "이런 결정을 평범한 화요일 오후에 미리 해놓고, 새벽 2시 비상 상황에서는 실행만 하라"는 것입니다.

#랜섬웨어 #사고 대응 #암호화

기업들이 피싱 저항력을 잘못된 방식으로 측정하고 있을 수 있다

기업들이 피싱(사기성 이메일) 모의훈련을 평가할 때 '직원이 링크를 클릭했느냐'만 보는 방식은 보안 수준을 잘못 파악하게 만들 수 있다는 연구 결과가 나왔습니다. 648개 기업, 12만 명 이상의 데이터를 분석한 결과, 클릭 여부보다 자격증명(아이디·비밀번호) 입력 여부와 의심 메일 신고율을 함께 봐야 실제 회복탄력성을 측정할 수 있습니다. 훈련 초반 6개월간 클릭률이 오히려 오를 수 있는데, 이는 직원이 나빠진 게 아니라 훈련 난이도가 높아졌기 때문일 수 있습니다. 직원이 의심 메일을 보안팀에 신고하면 비슷한 공격 메일을 조직 전체에서 제거할 수 있어, 신고율이 중요한 지표가 됩니다. 또한 부서별로 위험 프로필이 다르므로 조직 전체 평균만으로는 어느 팀에 추가 교육이 필요한지 알 수 없습니다.

#모의훈련 #비밀번호 #이메일

Ubuntu 24.04.5 LTS 릴리스, 10개 파생 버전에 걸친 보안 버그 패치 포함

캐노니컬(Canonical)이 널리 쓰이는 리눅스 배포판 Ubuntu 24.04 LTS의 다섯 번째 포인트 릴리스(Ubuntu 24.04.5 LTS)를 출시했습니다. 이번 릴리스에는 여러 보안 취약점 수정과 고위험 버그 패치가 새 설치 이미지에 통합되어 있어, 신규 설치 시 별도의 대량 업데이트 없이 바로 최신 보안 상태를 갖출 수 있습니다. Kubuntu, Xubuntu, Ubuntu MATE 등 9개 파생 버전도 함께 업데이트되었습니다. 기존에 Ubuntu 22.04 LTS를 사용 중인 사용자는 업데이트 관리자를 통해 24.04.5로 무료 업그레이드할 수 있습니다. 다만 이번 릴리스 노트에는 구체적인 CVE 번호나 버그 ID가 명시되지 않아, 특정 패치 여부를 컴플라이언스(규정 준수) 목적으로 확인하려면 별도 릴리스 노트를 직접 조회해야 합니다.

#리눅스 #보안패치 #취약점

새로운 안드로이드 악성코드, 파일 암호화·데이터 탈취·피해자 괴롭힘 동시 수행

'Mantax Otax'라는 새로운 안드로이드(Android) 악성코드가 랜섬웨어(파일을 암호화한 뒤 돈을 요구하는 악성 프로그램)와 스파이웨어(정보를 몰래 빼가는 악성 프로그램) 기능을 동시에 갖추고 발견됐습니다. 이 악성코드는 Google Play 공식 스토어 외부에서 배포되는 악성 APK(앱 설치 파일) 형태로 퍼지며, 설치 후 접근성 서비스 권한을 이용해 기기를 광범위하게 장악합니다. Android 9 이하 구형 기기에서는 파일을 암호화하고, 모든 버전에서 문자·OTP(일회용 비밀번호)·WhatsApp·Telegram 대화 등 민감한 정보를 탈취합니다. 추가로 피해자에게 반복 팝업·점프스케어 이미지·원격 음성 메시지 등 협박성 괴롭힘 기능도 포함되어 있습니다. Android Play Protect를 최신 상태로 유지하면 이미 탐지·차단되며, 공식 스토어 외부 APK 설치를 삼가는 것이 핵심 예방책입니다.

#AI #GitHub #개인정보

중요기업

9월 Windows Server 업데이트로 원격 데스크톱 서비스 장애 발생

마이크로소프트가 2026년 9월 패치 화요일에 배포한 누적 업데이트를 설치하면 Windows Server 2019, 2022, 2025에서 원격 데스크톱 서비스(RDS, 원격으로 서버에 접속하는 기능)가 몇 시간 뒤 갑자기 중단되는 문제가 발생하고 있습니다. 기존 세션이 끊기지 않거나 새 접속이 아예 불가능해지며, 서버를 강제 재부팅해야만 복구되는 사례도 보고되고 있습니다. 원인으로는 RDP 서비스와 로컬 세션 관리자(LSM) 사이의 교착 상태(deadlock)가 의심되지만, 마이크로소프트는 아직 공식 확인이나 해결책을 내놓지 않은 상태입니다. 업데이트를 롤백하면 원격 데스크톱 기능은 복구되지만, 이번 달 보안 패치까지 함께 제거되므로 보안 공백이 생기는 딜레마가 있습니다.

#AI #RDP #Windows

통신/IT

Surfshark VPN, 내부 테스트 서버·프록시 서버 해커 침해 사실 공개

VPN 서비스 업체 Surfshark가 내부 테스트 서버가 설정 오류로 인터넷에 노출되어 해커에게 무단 접근당했다고 공개했습니다. 노출된 서버에는 서비스 설정, 빌드 관련 자격증명(시스템 접근에 사용하는 비밀 정보), 시스템 바이너리 일부, 코드 이력이 포함되어 있었으나 고객 개인정보나 VPN 트래픽에는 영향이 없었습니다. 콘텐츠 접근성 최적화를 위한 별도 프록시 서버도 침해되었지만, 해당 서버에는 민감한 사용자 데이터가 없었습니다. 회사는 8월 31일 이상 활동을 감지하여 9월 2일 차단하고 9월 5일 복구를 완료했으며, 내부 자격증명 교체 및 추가 보안 조치를 시행했습니다. Surfshark 사용자는 별도 조치가 필요하지 않지만, 의심스러운 연락이나 활동에 주의하는 것이 권장됩니다.

#AI #개인정보 #브라우저

The Hacker News·2026. 09. 11.

Microsoft Excel KB5002914 업데이트, 일부 사용자의 복사-붙여넣기 기능 오류 발생

Microsoft가 2026년 9월 패치 화요일에 배포한 Office 보안 업데이트(KB5002914)가 일부 사용자의 Excel에서 복사-붙여넣기와 수식 드래그 기능을 망가뜨리고 있습니다. Excel 2016부터 2024까지, MSI 및 Click-to-Run 설치 방식 모두에서 문제가 확인됐으며, 팀 전체가 업무에 차질을 빚는 사례도 나왔습니다. 영향을 받은 사용자들은 해당 업데이트를 제거하거나 이전 빌드로 되돌리면 정상 작동이 복원된다고 보고했습니다. 현재 Microsoft의 공식 해결책은 나오지 않은 상태로, 보안 패치를 유지하면서 구형 실행 파일로 교체하는 방법은 안정성·보안 문제를 야기할 수 있어 권장되지 않습니다.

#AI #보안패치 #취약점

중요기업

ThreatsDay: 안드로이드 취약점 200건, 브라우저 내 피싱 페이지 생성, 가짜 쇼핑몰 11만9천 개 외 23건

이번 주 보안 뉴스 모음집에는 기업 보안 담당자가 즉시 확인해야 할 사안들이 여럿 포함되어 있습니다. 가장 주목할 항목은 안드로이드 9월 보안 패치로, 200개의 취약점 중 CVE-2026-28662(Wi-Fi를 통해 아무런 사용자 조작 없이 원격으로 코드를 실행할 수 있는 심각한 결함)가 포함되어 있어 기업 내 안드로이드 기기 전체에 즉시 업데이트를 배포해야 합니다. 중국어 사용자로 추정되는 공격자가 Claude Code·Qwen·DeepSeek 같은 AI 도구를 활용해 정부·금융 시스템 침투를 자동화한 캠페인도 공개됐으며, 이는 AI 기반 사이버 공격이 실전에 사용되고 있음을 보여줍니다. 또한 BigBear 2.0이라는 서비스형 피싱(PhaaS) 플랫폼이 40개국 이상의 461개 조직을 표적으로 삼아 MFA(다중 인증)를 우회하고 세션 쿠키를 탈취했으며, Google의 합법적 서비스 6종을 경유한 다단계 피싱 캠페인도 발견됐습니다. 랜섬웨어 연계 공격(EtherRAT→TukTuk→The Gentlemen 랜섬웨어), 가짜 쇼핑몰 119,000개 운영, npm 악성 패키지 13종 등 다양한 위협이 동시에 진행 중입니다.

#AI #AI 에이전트 #DNS