프랑스 사이버보안 기업 CrowdSec은 2026년 5월 발생한 공급망 공격으로 인해 약 300개의 비공개 및 공개 GitHub 리포지토리에서 소스 코드가 도난당했다고 확인했습니다. 이 공격은 CrowdSec이 사용한 TanStack 패키지를 통해 API 키가 유출되면서 발생한 것으로 추정됩니다. CrowdSec은 고객의 자격 증명이나 데이터는 유출되지 않았으며, 도난당한 코드는 자사 환경 외부에서는 사용할 수 없어 즉각적인 위협이 되지 않는다고 밝혔습니다.
FBI는 사기범들이 경찰관이나 연방 요원을 사칭하여 피해자들을 체포하겠다고 위협하며 금전을 갈취하고 있다고 경고했습니다. 이들은 피해자가 범죄에 연루되었거나 법원 소환에 불응했다고 주장하며, 혐의를 취하하거나 벌금을 내지 않으면 투옥될 것이라고 협박합니다. 사기범들은 실제 정부 전화번호를 스푸핑하고, 선불카드나 암호화폐 등으로 지불을 요구하며, 때로는 AI 기술을 사용해 피해자를 속이기도 합니다.
대만 정부가 현지 쿠팡 이용자 20만여 명의 개인정보 유출 사고와 관련하여 쿠팡 대만 법인과 대표자에게 총 150만 대만달러의 과징금을 부과했습니다. 이번 사고는 작년 말 한국에서 발생한 쿠팡 개인정보 유출 사고를 조사하는 과정에서 확인되었으며, 공격자는 2000여 개 IP 주소를 통해 사용자의 이름, 이메일, 전화번호 등에 접근한 것으로 파악됐습니다. 조사 결과, 한국과 대만의 사용자 데이터베이스는 분리되어 있었지만 동일한 백업 키를 사용해 접근이 가능했던 것으로 드러났습니다.
Microsoft Security Research가 다단계 침입을 통해 리버스 터널을 배포하는 'TerminalFix' 멀웨어 캠페인에 대한 분석을 발표했습니다. 이 캠페인의 공격자들은 스테가노그래피 기술을 이용해 PNG 파일에 악성코드를 숨기는 특징을 보였습니다. 연구원들은 해당 PNG 파일에 대한 침해지표(IOC)를 공유했습니다.
Rust 프로젝트는 공격자들이 기여자 및 크레이트 소유자를 대상으로 기기와 계정을 탈취하려 한다고 경고했습니다. 공격자들은 그럴듯한 회사 프로필을 만들어 구직 면접이나 프로젝트 기회를 위장한 화상 통화를 통해 악성코드를 설치하도록 유도합니다. 이러한 전술은 북한의 가짜 채용 캠페인과 유사하며, 이전에도 Rust 커뮤니티를 대상으로 한 유사한 공격이 있었습니다.
지난 8월 말, 콜로라도에 위치한 두 개의 민간 수도 시설이 운영 기술(OT) 시스템을 겨냥한 사이버 공격을 받았습니다. 공격자들은 장비 설정을 변경하고 원격 접속 및 경보를 비활성화했으며 펌핑 주기를 변경했습니다. 하지만 서비스 중단은 일시적이었고 수도 서비스나 공공 안전에는 영향을 미치지 않았습니다. 당국은 공격자를 '외국 행위자'로 묘사했으며, 이란 연계 그룹의 소행 가능성이 언급되었으나 콜로라도 공격과의 연관성은 확인되지 않았습니다.
AWS는 공개적으로 노출된 IAM 액세스 키와 관련된 보안 위험을 완화하기 위해 'AWSCompromisedKeyQuarantine' 관리형 정책을 사용합니다. 액세스 키는 주로 공개 코드 저장소에 게시되어 노출되며, AWS는 GitHub의 시크릿 스캐닝 프로그램과 파트너십을 맺고 있습니다. 키 노출이 감지되면 AWS는 자동화된 프로세스를 통해 해당 자격 증명을 신속하게 보호하고 소유자에게 통지하며, 이 기사에서는 해당 정책의 발전 과정과 보안팀을 위한 모니터링 전략을 설명합니다.
Siemba가 자사의 API 보안 테스팅 기능의 일부로 IDOR(Insecure Direct Object Reference) 취약점에 대한 자동화된 테스트를 발표했습니다. 이 기능은 REST, GraphQL, SOAP API를 대상으로 하며, 소스 코드 없이 실제 배포된 API에 대해 지속적으로 테스트를 실행합니다. IDOR은 OWASP API 보안 10대 위협 중 1위로 꼽히는 인증 결함으로, 요청의 식별자를 변경하여 다른 사용자의 데이터를 보거나 수정할 수 있게 합니다. Siemba의 자동화된 테스트는 수동으로 며칠 또는 몇 주가 걸리던 작업을 크게 단축시킵니다.
미국 사이버보안 및 인프라 보안국(CISA)이 실제 공격에 악용된 리눅스 커널 취약점 3개를 '알려진 악용 취약점(KEV)' 카탈로그에 추가하고 연방 기관에 즉각적인 패치를 촉구했습니다. 해당 취약점들은 각각 TLS 수신 경로 처리 결함(CVE-2025-39682), AF_ALG 소켓의 경쟁 조건(CVE-2025-39964), 브리지 넷필터의 경계 외 쓰기(CVE-2026-53266) 문제입니다. 공격자는 이 취약점들을 이용해 서비스 거부(DoS), 시스템 충돌, 메모리 손상 등을 유발할 수 있습니다.
일본의 이미지 공유 서비스 Gyazo에서 업로드 서버의 취약점을 이용한 공격으로 약 2,400만 개의 고객 기록과 4억 9,000만 개의 이미지 관련 메타데이터가 유출되었습니다. 유출된 메타데이터에는 이미지 ID, IP 주소, 위치 데이터, 이미지에서 추출된 OCR 텍스트 등이 포함되어 제3자가 무단으로 이미지를 볼 수 있는 위험이 있습니다. 보안 전문가들은 특히 개발자들이 공유한 스크린샷에 포함된 API 키나 자격 증명 같은 민감 정보가 OCR을 통해 텍스트로 추출되어 공격자에게 넘어갔을 수 있다고 경고했습니다.
새로운 멀웨어 캠페인이 블록체인 기술을 이용해 제어 서버를 은닉하며 은행 로그인 정보와 2단계 인증 코드를 탈취하고 있습니다. 이 캠페인은 감염된 웹사이트 방문자를 속여 악성 명령을 실행하게 하며, 적어도 2025년 11월부터 활동해 온 것으로 파악되었습니다. EtherHiding으로 알려진 이 수법은 폴리곤(Polygon)의 스마트 계약을 통해 제어 서버 주소를 받아오므로, 공격자는 서버를 쉽게 변경하며 차단을 회피할 수 있습니다.
보안 연구원 MSNightmare가 Microsoft Defender Antivirus 업데이트를 방해하는 서비스 거부(DoS) 개념 증명(PoC) 기법인 'BigDiskBuster'를 공개했습니다. 이 도구는 업데이트가 시작될 때 디스크 공간을 모두 소진시키고 특정 파일을 잠그는 방식으로 작동하여, 플랫폼 및 보안 인텔리전스 업데이트 설치를 실패하게 만듭니다. 이 공격으로 인해 Defender가 최신 악성코드를 탐지하는 능력이 점차 저하될 수 있지만, 해당 코드는 아직 실험적이며 독립적으로 검증되지는 않았습니다.