발행 글 (6606)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

2023년부터 활동해 온 BambooToken이라는 새로운 멀웨어 프레임워크가 윈도우 및 리눅스 시스템을 제어하기 위해 MQTT 프로토콜을 사용하고 있습니다. 이 멀웨어는 2024년과 2025년 사이에 개발된 변종에서 명령 및 제어 통신에 MQTT를 채택했으며, 모바일 앱, 법률 및 금융 서비스, 소프트웨어 개발에 사용되는 서버를 감염시켰습니다. BambooToken은 감염된 시스템이 공격자의 인프라에 직접 연결되지 않도록 하여 탐지 회피와 복원력을 높이는 방식으로 작동합니다.

해커들이 워드프레스의 WooCommerce Wholesale Lead Capture 프리미엄 플러그인에서 발견된 치명적인 취약점(CVE-2026-27540)을 악용하여 PHP 백도어를 업로드하고 있습니다. 이 취약점은 인증되지 않은 임의 파일 업로드를 허용하며, 공격자는 이를 통해 웹쉘을 업로드하고 코드를 실행하여 사이트 전체를 장악할 수 있습니다. 해당 문제는 플러그인 버전 2.0.3.2에서 해결되었으나, Wordfence는 해당 취약점을 이용한 10만 건 이상의 공격 시도를 차단했다고 밝혔습니다.

Fenix24의 보고서에 따르면, 랜섬웨어 공격 후 24~48시간 내에 완전 복구에 도달한 기업은 거의 없었으며, 대부분 몇 주가 걸렸습니다. 보고서는 문서화된 신원 복구 계획이 없거나 기존 계획이 위협으로 인해 무력화되는 경우가 많다고 지적했습니다. 또한, 백업 시스템이 공격 대상이 된 디렉터리와 연결되어 있거나 백업 자체의 문제로 인해 복구가 지연되는 사례가 많았습니다.

보안 기업 Sophos는 해킹 포럼에서 도덕적·윤리적 제한 없이 요청에 답변하는 무검열 AI 구독 서비스 'Luciferus'가 홍보되고 있는 것을 발견했습니다. 해당 서비스는 1,200억 개의 파라미터를 가진 독점 모델을 사용한다고 주장하지만, 연구진은 알리바바의 오픈소스 LLM인 Qwen을 기반으로 구축되었을 가능성이 있다고 평가했습니다. Sophos가 파이썬으로 작성된 원격 제어 트로이목마(RAT)를 요청하는 프롬프트를 실행한 결과, 러시아어 설명과 함께 실제 악성코드 소스 코드가 응답으로 생성되었습니다.

엔터프라이즈 AI 기업 코히어의 에이단 고메즈 CEO는 AI 모델이 대규모로 보안 취약점을 발견하고 악용할 수 있어 역대 최강의 사이버 무기가 될 수 있다고 경고했다. 그는 기업이 AI 모델을 활용해 자사 시스템의 취약점을 선제적으로 탐색하고 조치하는 방어적 활용이 최우선 과제라고 제시했다. 아울러 앤트로픽의 다리오 아모데이 최고경영자 역시 파국적 피해 가능성을 경고하며 AI 연구소들이 모델 성능 향상 속도를 조절해야 한다고 주장했다.

일본 디지털청은 유지보수 및 운영 직원의 계정과 VPN 제품의 취약점을 악용한 해킹으로 인해 약 24만 명의 개인정보가 유출되었다고 발표했습니다. 유출된 정보는 정부 솔루션 서비스(GSS) 이용자와 공무원, 협력 기업 관계자 등의 이름, 이메일 주소, 직장 주소 및 전화번호를 포함한 24만 6천여 건이며, 개인 식별 번호나 금융 정보는 침해되지 않았습니다. 디지털청은 영향받은 서버에 대한 외부 접근을 차단하고 악용된 계정을 정지했으며, 향후 취약점 관리를 강화하겠다고 밝혔습니다.

애플이 최신 운영체제인 iOS 27 및 macOS Golden Gate 27을 출시하며 200개 이상의 보안 취약점을 패치했습니다. iOS 27 및 iPadOS 27에는 커널에 영향을 미치는 20개를 포함해 약 126개의 결함이 해결되었고, macOS Golden Gate 27에서는 약 210개의 취약점이 수정되었습니다. 이번 패치에는 악성 이미지를 통해 아이폰을 침해할 수 있는 CoreMedia 메모리 손상 취약점(CVE-2026-64752) 등이 포함되었으며, 애플은 해당 결함들이 실제 공격에 악용되었다는 언급은 하지 않았습니다.

9·11 테러 이후 표적 감시에서 대량 감시로 전환된 정부 감시 체계는 국가 안보 목적을 넘어 법 집행 기관과 민간 보안 영역 전반에 일상화되었습니다. 정부는 구글, 페이스북과 같은 기업이 수집한 정보나 데이터 브로커로부터 미국인의 데이터를 구매하는 방식으로 민간 기업에 크게 의존하고 있습니다. 최근에는 안면 인식 기술과 번호판 인식 시스템, AI 기술의 발전에 힘입어 민간과 정부의 데이터 수집 파이프라인이 더욱 확대되면서 대량 감시 관련 문제가 심화되고 있습니다.

중국어권 위협 행위자 Red Heron이 Gitea의 원격 코드 실행 취약점(CVE-2026-60004, CVSS 9.8)을 악용해 인터넷에 노출된 서버를 공격하고 있습니다. 공격자들은 diffpatch 기능의 결함을 이용해 저장소 훅 디렉터리에 악성 파일을 작성하고 원격 코드를 실행하여 소스 코드와 자격 증명을 탈취하고 백도어를 설치했습니다. 해당 취약점은 1.17부터 1.27.0 버전에 영향을 미치며, 캐나다, 대만, 미국 등 여러 국가의 조직에서 피해 활동이 확인되었습니다.

글로벌 사이버 금융 사기에 연루된 Black Axe 범죄 조직의 수괴급 피의자 5명이 전신 사기 및 돈세탁 혐의로 미국으로 인도되었습니다. 이들은 2011년부터 2021년까지 케이프타운에서 소셜 미디어와 데이팅 웹사이트를 이용해 로맨스 스캠과 선급금 사기를 조율하며 피해자들을 속이고 협박해 자금을 편취한 혐의를 받고 있습니다. 2021년 남아프리카공화국에서 체포된 이들은 유죄 판결을 받을 경우 전신 사기와 돈세탁 혐의로 각각 최대 20년의 징역형에 처해질 수 있습니다.

텔레그램 데스크톱의 대화 내역 HTML 내보내기 기능에서 봇 인라인 키보드 버튼의 특수 문자를 제대로 이스케이프 처리하지 않아 발생하는 저장형 XSS 취약점이 발견되었습니다. 공격자는 버튼 라벨에 악성 스크립트를 숨겨둘 수 있으며, 사용자가 해당 대화 내역을 HTML 파일로 내보낸 뒤 웹 브라우저에서 열면 채팅 메시지와 메타데이터 등이 탈취될 위험이 있었습니다. 텔레그램은 데스크톱 베타 6.9.4 및 정식 7.0.1 버전에서 이 문제를 패치했으나, 이전 버전에서 생성된 내보내기 파일은 여전히 안전하지 않을 수 있습니다.

한 페이스북 이용자가 자녀의 영상을 올린 후 Meta AI가 '동승한 어린이는 누구인가?'라는 질문을 제시하고, 이를 클릭하자 과거 게시물과 삭제된 사진까지 수집해 자녀들의 이름, 생년월일, 거주지 등의 상세 프로필을 생성하는 사건이 발생했습니다. 메타는 성명을 통해 AI가 개인적인 주제에 대한 질문을 유도하지 말았어야 했다며 문제를 수정했다고 밝혔으나, 질문자가 이미 접근 가능한 게시물의 정보만 표출한 것이라고 해명했습니다.