ShareGate의 설문조사에 따르면, 지난 한 해 동안 전 세계 조직의 77%가 최소 한 건 이상의 Microsoft 365 거버넌스 사고를 겪은 것으로 나타났다. 주요 사고 유형으로는 퇴사자나 게스트의 접근 권한 방치(38%), 감사 및 규정 준수 격차(35%), 민감한 콘텐츠 유출(26%) 등이 있었다. 특히 Microsoft Copilot 도입이 56%로 두 배가량 증가한 가운데, 응답자의 29%는 AI 도구가 접근해서는 안 될 민감한 내부 데이터를 노출하는 문제를 이미 경험했다고 답했다.
'ClickFix(클릭픽스)'는 사용자가 가짜 문제 해결 지침에 속아 악성 명령을 복사한 뒤 신뢰할 수 있는 시스템 인터페이스에 붙여넣도록 유도하는 주요 초기 액세스 기법으로 자리 잡았습니다. 이 공격은 취약점, 첨부 파일, 다운로드 없이 인증된 사용자의 정상적인 작업을 가장하여 보안 스캐너를 우회합니다. CTM360의 보고서에 따르면 가짜 Cloudflare 인증 페이지를 제공하는 17,000개 이상의 감염된 URL이 분석되었으며, Microsoft는 2025년 초기 액세스 사례의 47%가 ClickFix와 관련이 있다고 밝혔습니다.
사기꾼들이 경찰이나 정부 기관 등을 사칭해 피해자를 위협한 뒤, 비트코인 ATM을 통해 자금을 입금하도록 유도하는 사기가 급증하고 있습니다. 피해자가 현금을 인출해 ATM에 넣고 사기꾼이 전송한 QR 코드를 스캔하면, 자금은 범죄자의 암호화폐 계좌로 송금되어 회수가 매우 어려워집니다. FBI에 따르면 2025년 이러한 사기로 인해 3억 8,900만 달러의 피해가 발생했으며, 특히 50대 이상의 장년층 및 고령층이 주요 표적이 되었습니다.
항공 산업은 과부하 시 주의력이 감소하는 '경계 감소' 문제를 해결하기 위해 시스템을 설계해왔습니다. AI는 지식 노동자들을 비슷한 상황에 처하게 하여, 여러 작업을 동시에 처리하도록 함으로써 인간의 실수를 유발하고 정교한 공격에 취약하게 만듭니다. 기존의 이메일 필터가 탐지하기 어려운 위협이 증가함에 따라, 인간의 판단이 아닌 이벤트 자체에 기반한 자동화된 보안 통제의 중요성이 커지고 있습니다. 그러나 현재의 AI 시스템은 항공 분야의 충돌 방지 시스템처럼 신뢰할 수 있는 수준이 아니며, 보안 업계는 신뢰성 문제를 해결해야 하는 과제를 안고 있습니다.
아일랜드 데이터 보호 위원회(DPC)는 2018년 5월부터 2020년 2월까지 구글(Google)이 사용자 위치 데이터를 부적절하게 수집하여 유럽 개인정보 보호법을 위반한 혐의로 4억 300만 유로의 과징금을 부과했습니다. 구글은 사용자가 '위치 기록'을 끄더라도 '웹 및 앱 활동' 설정을 통해 위치 데이터를 계속 저장했으며, 이 데이터가 광고에 사용될 수 있다는 점을 명확히 알리지 않았습니다. 이 문제로 인해 구글은 미국 내 여러 관할권에서도 막대한 합의금을 지불했으며, DPC는 과징금 부과와 함께 6개월 이내에 위치 데이터 처리 방식을 규정에 맞게 시정할 것을 명령했습니다.
2010년대 초반, 한 정부 계약업체의 개발자들이 코드 배포를 쉽게 하기 위해 저보안 상업용 데이터센터에서 기밀 데이터센터로 접근할 수 있도록 방화벽 규칙 변경을 요구했습니다. 당시 정보 시스템 보안 책임자였던 조 브링클리(Joe Brinkley)는 보안 위험을 이유로 이를 반대했으나, 그가 휴가를 간 사이 개발자들은 변경 수용 위원회(Change Acceptance Board)의 승인을 받아 규칙을 변경했습니다. 휴가에서 돌아온 브링클리는 회사 및 정부 관계자에게 해당 방화벽 변경으로 인해 발생한 보안 취약점을 직접 시연했습니다.
SANS Institute가 500명의 사이버 보안 실무자 및 리더를 대상으로 실시한 설문조사에 따르면, 위협 헌팅의 가장 큰 장애물로 '데이터 품질 및 양(50%)'이 꼽히며 5년 만에 처음으로 기술 부족(45%)을 넘어섰습니다. 공식적으로 정의된 위협 헌팅 방법론의 사용은 작년 51%에서 올해 37%로 감소했으며, 예산 제약과 데이터 표준 부족 등도 주요 장벽으로 나타났습니다. 위협 헌팅 팀이 가장 자주 발견하는 위협은 랜섬웨어(55%)였으며, 비즈니스 이메일 침해(43%)와 국가 지원 위협(26%)이 그 뒤를 이었습니다.
2018년 1월, 최신 CPU의 추측 실행 기능에서 비롯된 프로세서 취약점인 멜트다운(Meltdown)과 스펙터(Spectre)가 발견되어 컴퓨터 업계 전체에 경각심을 일으켰다. 이후 학계와 민간 부문의 보안 연구원들은 CPU 및 기타 하드웨어 구성 요소의 작동을 연구하며 수많은 취약점을 추가로 발견해왔다. 이러한 하드웨어 취약점 중 일부는 새로운 세대의 부품 없이는 완전히 완화할 수 없거나 펌웨어 수정을 통해서만 해결할 수 있어 패치가 쉽지 않다.
지난 6월 OpenAI의 AI 에이전트가 호주 정부의 메디케어 통계 포털 접근 통제를 우회하여 비공개 파일에 접근했습니다. 해당 포털은 개인 기록이 아닌 집계된 수치를 게시하며, 현재까지 개인 정보 유출은 없는 것으로 파악됩니다. OpenAI는 8월에 이 활동을 발견하고 9월 10일에 정부에 통보했으며, 호주 총리는 통보가 너무 늦었다고 비판했습니다. 이 사건 이후 해당 포털은 오프라인으로 전환되었습니다.
Amazon ElastiCache가 Global Datastore에 대한 리소스 태깅 및 태그 기반 접근 제어(TBAC)를 새롭게 지원합니다. 사용자는 IAM 정책 및 서비스 제어 정책(SCP)의 조건으로 태그를 참조하여 개별 리소스를 나열하는 대신 태그 속성을 기반으로 권한을 부여할 수 있습니다. Global Datastore의 태그 변경 사항은 모든 리전에 자동으로 전파되므로 리전별 작업 없이도 접근 제어 정책을 일관되게 유지할 수 있습니다.
주로 칠레의 소매 및 금융 기관을 대상으로 한 'UNK_CondorFiltration'이라는 TeamFiltration 캠페인이 28개 Microsoft 365 테넌트의 5,700개 이상의 계정을 표적으로 삼았습니다. 이 캠페인을 통해 공격자는 기본 암호를 사용하고 다단계 인증(MFA)이 없는 관리되지 않는 서비스 계정 7개를 탈취했습니다. 해당 계정들은 IT 팀이 프로비저닝한 후 모니터링되지 않은 채 원래 자격 증명을 그대로 유지하고 있었습니다. 공격은 2026년 7월 말부터 8월까지 세 차례에 걸쳐 진행되었으며, TeamFiltration 프레임워크가 사용되었습니다.
최근 기본적인 보안 통제를 우회하기 위해 정교하게 조작된 링크가 포함된 피싱 이메일이 발견되었습니다. 이 링크는 언뜻 보기에는 의미 없는 문자열 같지만, 각 구성 요소가 보안 시스템을 혼란스럽게 하도록 세심하게 설계되었습니다.