위협 행위자들이 AI 학습 가이드 및 개발자용 자료로 위장하여 AsyncRAT 악성코드를 유포하는 다단계 공격을 진행하고 있다. 이 공격은 LNK 파일과 가짜 문서, Realtek 서비스로 위장한 AutoHotkey 등을 활용해 시스템 내 정상 프로세스에 악성코드를 주입하는 프로세스 허로잉 기법을 사용한다. 또한 코드 내 주석 등을 볼 때 생성형 AI가 악성코드 개발 속도를 높이는 데 활용된 것으로 분석된다.
ISC2가 전 세계 대기업 보안 리더 약 1,000명을 대상으로 조사한 결과, 응답자의 73%가 지난 1년간 사이버보안 교육 예산을 늘렸고 47%가 인공지능(AI) 관련 역량을 가장 시급한 교육 과제로 꼽았습니다. 그러나 응답자의 98%가 근무 시간 내 교육 참여를 허용함에도 불구하고, 53%는 일상적인 업무 부담과 시간 부족 등으로 인해 실제 교육에 참여하는 데 어려움을 겪고 있다고 답했습니다. 최신 교육 콘텐츠 유지나 강사 부족 등의 장애요인이 존재하지만, 대다수 보안 리더들은 이러한 교육 프로그램이 조직의 주요 프로세스를 개선하는 데 매우 효과적이었다고 평가했습니다.
인터폴이 주도한 '램즈 작전(Operation Ramz)'을 통해 서비스형 피싱(PhaaS) 플랫폼인 'SniperDz'가 차단되고 알제리에서 주개발자가 체포되었습니다. 2015년부터 운영되어 온 SniperDz는 2만 개 이상의 고유 도메인을 통해 페이팔, 페이스북 등 30개 이상의 주요 글로벌 기관을 사칭하며 피싱 키트와 인프라를 제공해 왔습니다. 이번 인터폴 작전을 통해 총 201명의 피의자가 체포되고 53대의 서버가 압수되었습니다.
보험사 리질리언스(Resilience) 보고서에 따르면 2025년 하반기 갈취 관련 청구 중 65%는 데이터 암호화 없이 진행되었으며, 데이터 탈취가 전체 랜섬웨어 청구의 87%를 차지했습니다. 기업들의 백업 및 복구 능력 향상으로 암호화의 효과가 감소함에 따라 공격자들은 데이터 탈취를 주요 수단으로 활용하고 있습니다. 그러나 데이터 유출을 막기 위해 대가를 지불한 피보험자의 30~40%는 유출 방지에 실패한 것으로 나타났습니다.
2024년부터 2026년까지의 추적 결과, 베트남 연계 해킹 그룹 오션로터스(OceanLotus, APT32)가 외부 활동보다 베트남 국내 스파이 활동에 더 중점을 두는 방향으로 전환한 것으로 나타났습니다. 이들은 'SPECTRALVIPER' 백도어를 사용해 베트남 인프라·수송 건설 기업의 네트워크를 침해했으며, 베트남 주식 투자자들이 사용하는 'FireAnt Metakit' 소프트웨어를 악용한 공급망 공격을 수행했습니다. 해당 공급망 공격은 광범위한 영향력을 가질 수 있었으나, 실제로 백도어를 수신한 대상은 소수에 불과하여 선별적인 표적 공격이 진행된 것으로 확인되었습니다.
위협 행위자들이 틱톡과 인스타그램 릴스 영상을 활용해 유료 소프트웨어 무료 이용 튜토리얼로 위장하여 Vidar 정보 탈취 악성코드를 유포하고 있습니다. ReversingLabs 분석에 따르면 첫 번째 캠페인은 공식 계정을 모방하여 파워쉘(PowerShell) 명령어로 유사 도메인에서 Vidar를 다운로드하도록 유도했습니다. 두 번째 캠페인은 댓글과 메시지를 통해 설문조사 참여 사이트로 유인하는 방식을 사용했으며, 대응을 위해 소프트웨어 설치 권한 감사 및 소셜 미디어 피싱 교육이 권고되었습니다.
Group-IB 분석에 따르면 다크웹에서 월 5,000달러의 서비스형 악성코드로 판매되는 'SilabRAT'은 로그인 세션을 하이재킹해 암호화폐를 탈취하는 원격 제어 트로이목마입니다. 이 악성코드는 숨겨진 가상 네트워크 컴퓨팅(HVNC)과 브라우저 프로필 복제 기술을 사용해 세션을 온전히 복원하고 시스템을 제어합니다. 또한 크롬의 앱 기반 암호화를 우회하여 자격 증명을 탈취하고, 거래 도중 클립보드에 복사된 암호화폐 지갑 주소를 공격자의 주소로 바꿔치기합니다.
멘로 보안(Menlo Security)의 2026 브라우저 위협 보고서에 따르면, 기업 브라우저 사용자를 노리는 피싱 링크 5건 중 1건은 기존 보안 도구에 탐지되지 않는 것으로 나타났습니다. 주요 업무가 브라우저 세션 내에서 이루어짐에 따라 공격자들은 브라우저 계층을 집중 공격하고 있으나, 기존 기술은 이를 감지하도록 설계되지 않았습니다. 또한 공격자들은 사용자가 직접 코드를 붙여넣도록 유도하는 ClickFix 공격과 같은 사회공학 기법을 활용해 기존의 기술적 보안 제어를 우회하고 있습니다.
랜섬웨어 서비스(RaaS) 운영 그룹인 '더 젠틀맨(The Gentlemen)'은 제휴사에게 90%의 높은 수익 배분을 제공하며 피해자 수 기준 두 번째로 활발한 그룹으로 성장했습니다. 체크포인트 연구에 따르면 이들은 인터넷 연결 기기를 통해 침투한 후 몇 시간 내에 전체 네트워크를 암호화하는 방식을 사용합니다. 인텔 471 등의 분석 결과, 이 그룹의 관리자인 Zeta88(과거 Hastalamuerte)은 러시아 이젭스크 지역 IP를 통해 여러 사이버 범죄 포럼 활동을 해온 것으로 파악되었습니다.
미국 비영리단체 신원도용생존자지원센터(ITRC)의 보고서에 따르면, 신원 범죄 피해자의 약 26%가 두 개 이상의 동시 신원 범죄 사건을 겪은 것으로 나타났습니다. 무단 기기 및 PC 접근 사건은 신원 침해 사례의 27%를 차지하며 전년 대비 78% 증가했습니다. 또한 계정 탈취(Account takeovers)가 ITRC에 기록된 신원 남용 사례 중 50%로 가장 높은 비중을 차지했습니다.
마이크로소프트가 6월 패치 튜스데이를 통해 공개적으로 알려진 제로데이 취약점 3개를 포함해 총 200개의 취약점을 수정했습니다. 해결된 취약점 중 33개는 심각(critical) 등급으로, 이 가운데 28개는 원격 코드 실행(RCE) 결함입니다. 공개된 제로데이에는 웹 서버에 서비스 거부(DoS)를 일으키는 'HTTP/2 Bomb'(CVE-2026-49160), 윈도우 비트라커 보안 우회(CVE-2026-50507), CTFMON 권한 승격(CVE-2026-45586) 취약점이 포함되었습니다.
Pwn2Own Berlin 2026 대회에서 참가자들은 취약점을 찾기 위해 대형언어모델(LLM)과 AI 코딩 도구를 활용함과 동시에 Claude Code, OpenAI Codex, Cursor 등 AI 도구 자체를 공격 대상으로 삼았습니다. AI 도구의 취약점은 과도한 개발자 도구 권한과 에이전트-사용자 간의 과도한 신뢰 문제에서 비롯되었으며, 높은 오탐률에도 불구하고 분석 속도 향상에 크게 기여했습니다. 아울러 Ollama, ChromaDB, Nvidia Container Toolkit 등의 취약점을 공격할 경우 AI 모델뿐만 아니라 하위 호스트 시스템까지 장악할 수 위험이 지적되었습니다.