Oracle은 PeopleSoft PeopleTools의 심각한 제로데이 취약점(CVE-2026-35273)을 경고하며, 이 취약점이 인증 없이 원격 코드 실행을 허용하고 ShinyHunter 데이터 탈취 공격에 악용되고 있다고 밝혔습니다. Oracle은 긴급 완화 조치를 발표했으며, 곧 패치가 제공될 예정입니다. 이 취약점을 통해 공격자는 100개 이상의 조직에서 300개 인스턴스의 데이터를 훔친 것으로 추정됩니다.
보안 그룹 ShinyHunters가 오라클 PeopleSoft의 제로데이 취약점(CVE-2026-35273)을 악용하여 노팅엄 대학교를 포함한 100개 이상의 조직을 침해했다고 주장했습니다. 이 공격으로 수십만 명의 학생 개인 정보와 청구 기록이 유출되었으며, Google 위협 인텔리전스 보고서도 이를 뒷받침했습니다. 해당 취약점은 원격 인증 없이도 시스템을 완전히 장악할 수 있는 심각도를 가지고 있습니다.
최근 연구에 따르면 인기 있는 자체 호스팅 AI 에이전트인 OpenClaw가 공격자가 제어하는 코드를 실행하거나 민감한 데이터를 유출하도록 유도될 수 있습니다. 한 연구팀은 공유 연락처, vCard, 위치 정보 등에 악의적인 지침을 숨겨 에이전트가 이를 실행하도록 만들었으며, 다른 연구팀은 일반적인 이메일을 통해 에이전트가 AWS 키와 같은 민감한 정보를 외부로 전송하도록 속였습니다. 첫 번째 문제는 패치되었지만, 두 번째 문제는 에이전트의 과도한 신뢰성과 접근 권한으로 인해 발생하는 근본적인 취약점입니다.
미국 사이버보안·인프라보안국(CISA)은 연방 기관이 CVSS 심각도 점수 대신 실제 위험도를 기준으로 취약점을 패치하도록 하는 구속력 있는 운영 지침(BOD 26-04)을 발령했습니다. 새 지침은 자산 노출도, 알려진 악용 취약점(KEV) 등록 여부, 공격 자동화 수준, 기술적 영향의 4가지 요소를 평가하며, 가장 위험한 결함에 대해 3일 이내의 패치와 포렌식 점검을 요구합니다. 연방 기관들은 약 12월 7일까지 180일 이내에 지침의 대응 시한을 전면 준수해야 합니다.
위협 행위자들이 AI 학습 가이드 및 개발자용 자료로 위장하여 AsyncRAT 악성코드를 유포하는 다단계 공격을 진행하고 있다. 이 공격은 LNK 파일과 가짜 문서, Realtek 서비스로 위장한 AutoHotkey 등을 활용해 시스템 내 정상 프로세스에 악성코드를 주입하는 프로세스 허로잉 기법을 사용한다. 또한 코드 내 주석 등을 볼 때 생성형 AI가 악성코드 개발 속도를 높이는 데 활용된 것으로 분석된다.
ISC2가 전 세계 대기업 보안 리더 약 1,000명을 대상으로 조사한 결과, 응답자의 73%가 지난 1년간 사이버보안 교육 예산을 늘렸고 47%가 인공지능(AI) 관련 역량을 가장 시급한 교육 과제로 꼽았습니다. 그러나 응답자의 98%가 근무 시간 내 교육 참여를 허용함에도 불구하고, 53%는 일상적인 업무 부담과 시간 부족 등으로 인해 실제 교육에 참여하는 데 어려움을 겪고 있다고 답했습니다. 최신 교육 콘텐츠 유지나 강사 부족 등의 장애요인이 존재하지만, 대다수 보안 리더들은 이러한 교육 프로그램이 조직의 주요 프로세스를 개선하는 데 매우 효과적이었다고 평가했습니다.
인터폴이 주도한 '램즈 작전(Operation Ramz)'을 통해 서비스형 피싱(PhaaS) 플랫폼인 'SniperDz'가 차단되고 알제리에서 주개발자가 체포되었습니다. 2015년부터 운영되어 온 SniperDz는 2만 개 이상의 고유 도메인을 통해 페이팔, 페이스북 등 30개 이상의 주요 글로벌 기관을 사칭하며 피싱 키트와 인프라를 제공해 왔습니다. 이번 인터폴 작전을 통해 총 201명의 피의자가 체포되고 53대의 서버가 압수되었습니다.
보험사 리질리언스(Resilience) 보고서에 따르면 2025년 하반기 갈취 관련 청구 중 65%는 데이터 암호화 없이 진행되었으며, 데이터 탈취가 전체 랜섬웨어 청구의 87%를 차지했습니다. 기업들의 백업 및 복구 능력 향상으로 암호화의 효과가 감소함에 따라 공격자들은 데이터 탈취를 주요 수단으로 활용하고 있습니다. 그러나 데이터 유출을 막기 위해 대가를 지불한 피보험자의 30~40%는 유출 방지에 실패한 것으로 나타났습니다.
2024년부터 2026년까지의 추적 결과, 베트남 연계 해킹 그룹 오션로터스(OceanLotus, APT32)가 외부 활동보다 베트남 국내 스파이 활동에 더 중점을 두는 방향으로 전환한 것으로 나타났습니다. 이들은 'SPECTRALVIPER' 백도어를 사용해 베트남 인프라·수송 건설 기업의 네트워크를 침해했으며, 베트남 주식 투자자들이 사용하는 'FireAnt Metakit' 소프트웨어를 악용한 공급망 공격을 수행했습니다. 해당 공급망 공격은 광범위한 영향력을 가질 수 있었으나, 실제로 백도어를 수신한 대상은 소수에 불과하여 선별적인 표적 공격이 진행된 것으로 확인되었습니다.
위협 행위자들이 틱톡과 인스타그램 릴스 영상을 활용해 유료 소프트웨어 무료 이용 튜토리얼로 위장하여 Vidar 정보 탈취 악성코드를 유포하고 있습니다. ReversingLabs 분석에 따르면 첫 번째 캠페인은 공식 계정을 모방하여 파워쉘(PowerShell) 명령어로 유사 도메인에서 Vidar를 다운로드하도록 유도했습니다. 두 번째 캠페인은 댓글과 메시지를 통해 설문조사 참여 사이트로 유인하는 방식을 사용했으며, 대응을 위해 소프트웨어 설치 권한 감사 및 소셜 미디어 피싱 교육이 권고되었습니다.
Group-IB 분석에 따르면 다크웹에서 월 5,000달러의 서비스형 악성코드로 판매되는 'SilabRAT'은 로그인 세션을 하이재킹해 암호화폐를 탈취하는 원격 제어 트로이목마입니다. 이 악성코드는 숨겨진 가상 네트워크 컴퓨팅(HVNC)과 브라우저 프로필 복제 기술을 사용해 세션을 온전히 복원하고 시스템을 제어합니다. 또한 크롬의 앱 기반 암호화를 우회하여 자격 증명을 탈취하고, 거래 도중 클립보드에 복사된 암호화폐 지갑 주소를 공격자의 주소로 바꿔치기합니다.
멘로 보안(Menlo Security)의 2026 브라우저 위협 보고서에 따르면, 기업 브라우저 사용자를 노리는 피싱 링크 5건 중 1건은 기존 보안 도구에 탐지되지 않는 것으로 나타났습니다. 주요 업무가 브라우저 세션 내에서 이루어짐에 따라 공격자들은 브라우저 계층을 집중 공격하고 있으나, 기존 기술은 이를 감지하도록 설계되지 않았습니다. 또한 공격자들은 사용자가 직접 코드를 붙여넣도록 유도하는 ClickFix 공격과 같은 사회공학 기법을 활용해 기존의 기술적 보안 제어를 우회하고 있습니다.