발행 글 (2443)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

최근 연구에 따르면 인기 있는 자체 호스팅 AI 에이전트인 OpenClaw가 공격자가 제어하는 코드를 실행하거나 민감한 데이터를 유출하도록 유도될 수 있습니다. 한 연구팀은 공유 연락처, vCard, 위치 정보 등에 악의적인 지침을 숨겨 에이전트가 이를 실행하도록 만들었으며, 다른 연구팀은 일반적인 이메일을 통해 에이전트가 AWS 키와 같은 민감한 정보를 외부로 전송하도록 속였습니다. 첫 번째 문제는 패치되었지만, 두 번째 문제는 에이전트의 과도한 신뢰성과 접근 권한으로 인해 발생하는 근본적인 취약점입니다.

미국 사이버보안·인프라보안국(CISA)은 연방 기관이 CVSS 심각도 점수 대신 실제 위험도를 기준으로 취약점을 패치하도록 하는 구속력 있는 운영 지침(BOD 26-04)을 발령했습니다. 새 지침은 자산 노출도, 알려진 악용 취약점(KEV) 등록 여부, 공격 자동화 수준, 기술적 영향의 4가지 요소를 평가하며, 가장 위험한 결함에 대해 3일 이내의 패치와 포렌식 점검을 요구합니다. 연방 기관들은 약 12월 7일까지 180일 이내에 지침의 대응 시한을 전면 준수해야 합니다.

위협 행위자들이 AI 학습 가이드 및 개발자용 자료로 위장하여 AsyncRAT 악성코드를 유포하는 다단계 공격을 진행하고 있다. 이 공격은 LNK 파일과 가짜 문서, Realtek 서비스로 위장한 AutoHotkey 등을 활용해 시스템 내 정상 프로세스에 악성코드를 주입하는 프로세스 허로잉 기법을 사용한다. 또한 코드 내 주석 등을 볼 때 생성형 AI가 악성코드 개발 속도를 높이는 데 활용된 것으로 분석된다.

ISC2가 전 세계 대기업 보안 리더 약 1,000명을 대상으로 조사한 결과, 응답자의 73%가 지난 1년간 사이버보안 교육 예산을 늘렸고 47%가 인공지능(AI) 관련 역량을 가장 시급한 교육 과제로 꼽았습니다. 그러나 응답자의 98%가 근무 시간 내 교육 참여를 허용함에도 불구하고, 53%는 일상적인 업무 부담과 시간 부족 등으로 인해 실제 교육에 참여하는 데 어려움을 겪고 있다고 답했습니다. 최신 교육 콘텐츠 유지나 강사 부족 등의 장애요인이 존재하지만, 대다수 보안 리더들은 이러한 교육 프로그램이 조직의 주요 프로세스를 개선하는 데 매우 효과적이었다고 평가했습니다.

인터폴이 주도한 '램즈 작전(Operation Ramz)'을 통해 서비스형 피싱(PhaaS) 플랫폼인 'SniperDz'가 차단되고 알제리에서 주개발자가 체포되었습니다. 2015년부터 운영되어 온 SniperDz는 2만 개 이상의 고유 도메인을 통해 페이팔, 페이스북 등 30개 이상의 주요 글로벌 기관을 사칭하며 피싱 키트와 인프라를 제공해 왔습니다. 이번 인터폴 작전을 통해 총 201명의 피의자가 체포되고 53대의 서버가 압수되었습니다.

보험사 리질리언스(Resilience) 보고서에 따르면 2025년 하반기 갈취 관련 청구 중 65%는 데이터 암호화 없이 진행되었으며, 데이터 탈취가 전체 랜섬웨어 청구의 87%를 차지했습니다. 기업들의 백업 및 복구 능력 향상으로 암호화의 효과가 감소함에 따라 공격자들은 데이터 탈취를 주요 수단으로 활용하고 있습니다. 그러나 데이터 유출을 막기 위해 대가를 지불한 피보험자의 30~40%는 유출 방지에 실패한 것으로 나타났습니다.

2024년부터 2026년까지의 추적 결과, 베트남 연계 해킹 그룹 오션로터스(OceanLotus, APT32)가 외부 활동보다 베트남 국내 스파이 활동에 더 중점을 두는 방향으로 전환한 것으로 나타났습니다. 이들은 'SPECTRALVIPER' 백도어를 사용해 베트남 인프라·수송 건설 기업의 네트워크를 침해했으며, 베트남 주식 투자자들이 사용하는 'FireAnt Metakit' 소프트웨어를 악용한 공급망 공격을 수행했습니다. 해당 공급망 공격은 광범위한 영향력을 가질 수 있었으나, 실제로 백도어를 수신한 대상은 소수에 불과하여 선별적인 표적 공격이 진행된 것으로 확인되었습니다.

위협 행위자들이 틱톡과 인스타그램 릴스 영상을 활용해 유료 소프트웨어 무료 이용 튜토리얼로 위장하여 Vidar 정보 탈취 악성코드를 유포하고 있습니다. ReversingLabs 분석에 따르면 첫 번째 캠페인은 공식 계정을 모방하여 파워쉘(PowerShell) 명령어로 유사 도메인에서 Vidar를 다운로드하도록 유도했습니다. 두 번째 캠페인은 댓글과 메시지를 통해 설문조사 참여 사이트로 유인하는 방식을 사용했으며, 대응을 위해 소프트웨어 설치 권한 감사 및 소셜 미디어 피싱 교육이 권고되었습니다.

Group-IB 분석에 따르면 다크웹에서 월 5,000달러의 서비스형 악성코드로 판매되는 'SilabRAT'은 로그인 세션을 하이재킹해 암호화폐를 탈취하는 원격 제어 트로이목마입니다. 이 악성코드는 숨겨진 가상 네트워크 컴퓨팅(HVNC)과 브라우저 프로필 복제 기술을 사용해 세션을 온전히 복원하고 시스템을 제어합니다. 또한 크롬의 앱 기반 암호화를 우회하여 자격 증명을 탈취하고, 거래 도중 클립보드에 복사된 암호화폐 지갑 주소를 공격자의 주소로 바꿔치기합니다.

멘로 보안(Menlo Security)의 2026 브라우저 위협 보고서에 따르면, 기업 브라우저 사용자를 노리는 피싱 링크 5건 중 1건은 기존 보안 도구에 탐지되지 않는 것으로 나타났습니다. 주요 업무가 브라우저 세션 내에서 이루어짐에 따라 공격자들은 브라우저 계층을 집중 공격하고 있으나, 기존 기술은 이를 감지하도록 설계되지 않았습니다. 또한 공격자들은 사용자가 직접 코드를 붙여넣도록 유도하는 ClickFix 공격과 같은 사회공학 기법을 활용해 기존의 기술적 보안 제어를 우회하고 있습니다.

랜섬웨어 서비스(RaaS) 운영 그룹인 '더 젠틀맨(The Gentlemen)'은 제휴사에게 90%의 높은 수익 배분을 제공하며 피해자 수 기준 두 번째로 활발한 그룹으로 성장했습니다. 체크포인트 연구에 따르면 이들은 인터넷 연결 기기를 통해 침투한 후 몇 시간 내에 전체 네트워크를 암호화하는 방식을 사용합니다. 인텔 471 등의 분석 결과, 이 그룹의 관리자인 Zeta88(과거 Hastalamuerte)은 러시아 이젭스크 지역 IP를 통해 여러 사이버 범죄 포럼 활동을 해온 것으로 파악되었습니다.

미국 비영리단체 신원도용생존자지원센터(ITRC)의 보고서에 따르면, 신원 범죄 피해자의 약 26%가 두 개 이상의 동시 신원 범죄 사건을 겪은 것으로 나타났습니다. 무단 기기 및 PC 접근 사건은 신원 침해 사례의 27%를 차지하며 전년 대비 78% 증가했습니다. 또한 계정 탈취(Account takeovers)가 ITRC에 기록된 신원 남용 사례 중 50%로 가장 높은 비중을 차지했습니다.