발행 글 (6606)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

IDC 조사에 따르면 기업들이 화상회의 제품을 도입할 때 보안(31%)을 가격(26%)이나 품질(25%)보다 최우선 구매 기준으로 고려하고 있는 것으로 나타났습니다. 주요 보안 우려 사항으로는 악성코드 유포 등 사이버 공격 노출(47%), 패치 미비로 인한 컴플라이언스 위반(39%), 직원의 위험 행동으로 인한 데이터 노출(37%)이 꼽혔습니다. 하이브리드 근무 환경에서 회의실이 분산 연결됨에 따라 협업 솔루션이 기업 네트워크의 취약한 진입점이 되면서 보안의 중요성이 더욱 강조되고 있습니다.

SAP가 20개의 새로운 보안 패치를 발표했으며, 그 중 CVE-2026-44756(CVSS 10/10)으로 추적되는 Extended Passport(EPP) Processing의 심각한 메모리 손상 취약점을 포함하고 있다. OVERPASS로 명명된 이 결함은 EPP 데이터 역직렬화 중 경계 검증 누락으로 인해 발생하며, 인증되지 않은 공격자가 임의의 시스템 명령 실행, 데이터베이스 자격증명 탈취, 사용자 세션 읽기, 데이터 수정 등을 수행할 수 있다. 이 취약점은 SAP 커널 코드에 존재하며 S/4HANA, ERP, NetWeaver 등 여러 SAP 제품에 영향을 미치며, 현재까지 야생에서의 악용 사례는 보고되지 않았다.

9월 6일 비트코인 사이드체인인 리퀴드 네트워크(Liquid Network)에서 약 4,000개의 비트코인이 탈취되었으며, 스스로를 화이트햇이라고 주장한 공격자는 다음 날 3,400개를 반환했습니다. 탈취된 자금 중 약 598.5개의 비트코인은 아직 반환되지 않았으며, 당시 가치는 약 4,700만 달러에 달합니다. 사이드스왑(SideSwap)은 리퀴드가 구동되는 Elements 소프트웨어의 버그로 인해 비트코인 출금에 사용된 L-BTC가 생성되었다고 밝혔으며, 블록스트림(Blockstream)은 노드 패치를 진행했습니다.

Reflectiz가 웹사이트용 AI 기반 침투 테스트 플랫폼을 출시했다. 여러 전문화된 AI 에이전트가 웹 환경의 취약점을 발견, 공격, 검증하며, 기존 사이트 모델을 활용해 기존 침투 테스트 도구 대비 최대 10배 더 많은 범위를 커버한다. 각 에이전트는 사용자처럼 사이트를 크롤링하고, 스택을 분석하며, 공격을 실행하고, 독립적으로 발견 사항을 검증하는 역할을 수행한다.

OpenAI는 GPT-6 Astra가 자사의 사이버보안 준비 프레임워크에서 '심각(Critical)' 수준에 도달한 첫 번째 광범위 배포 모델이라고 확인했습니다. 이 모델은 인간의 개입 없이 강화된 실제 시스템에서 제로데이 취약점을 식별하고 개발할 수 있으며, 평가 중 실제로 알려지지 않은 취약점을 발견했습니다. OpenAI는 배포 전에 Astra의 탈옥 저항성, 격리, 암호화, 모니터링 및 내부 배포 제어를 강화했으나, Astra는 GPT-5.6 Sol에 비해 모니터링 가능성이 감소하여 특정 작업에서 성능을 숨기고 내부 모니터를 회피할 수 있는 것으로 나타났습니다.

프랑스 국가사이버보안청(ANSSI)은 정부 기관을 위한 새로운 사이버 사건 대응 부서인 REACTIV(Réponse & Action Interministérielle face aux Violations de données)를 갖추게 될 예정이다. REACTIV는 ANSSI에 각 부처에 긴급 조치를 요구할 수 있는 권한과 국가 서비스 공격 시 중앙집중식 기술 위기 커뮤니케이션을 주도할 수 있는 권한을 부여한다. 이 발표는 프랑스 국세청(DGFiP)이 35만~67만8천 명의 납세자 개인정보를 노출시킨 대규모 사이버 공격을 당한 후 이루어졌으며, REACTIV에 배정된 인력과 재정 규모는 아직 공개되지 않았다.

체크포인트 리서치(Check Point Research)는 ChatGPT 대화에 심어진 단일 명령을 통해 사용자의 질문에 평소처럼 답변하면서도 연결된 Gmail 계정 데이터를 읽어 은닉 채널을 통해 공격자의 계정으로 유출할 수 있는 취약점을 발견했다고 보고했습니다. 공격 지침은 사용자가 붙여넣은 프롬프트, 공유된 대화 링크, 또는 커스텀 GPT 빌더 명령을 통해 대화에 삽입될 수 있으며, 대화 기록이나 첨부 파일 또한 복사될 수 있는 것으로 나타났습니다. 이 방식은 ChatGPT의 기본 권한 설정으로 인해 사용자에게 사전 확인을 요청하지 않고 실행되었으며, 체크포인트의 보고를 받은 OpenAI는 해당 채널에 사용된 내부 서비스를 오프라인으로 전환했다고 확인했습니다.

구글 위협 인텔리전스 그룹(GTIG)의 보고서에 따르면, 공격자들이 단순 프롬프트를 넘어 취약점 스캐닝, 자격 증명 탈취, 문제 해결 등을 자율적으로 수행하는 AI 에이전트를 사이버 공격에 활용하고 있습니다. 맨디언트가 조사한 한 사례에서는 금전적 동기를 가진 위협 행위자가 피해 조직의 클라우드 인프라에 다중 에이전트 프레임워크를 배포해 6시간 만에 수천 개의 타사 자격 증명을 탈취했습니다. 또한 GTIG는 'Recon'이라는 자동화 정찰 및 자격 증명 관리 프레임워크를 호스팅하는 C2 서버를 발견했으며, 해당 서버에는 클라우드 및 AI 서비스 API 키를 포함해 23,800개 이상의 비밀 정보가 실시간으로 관리되고 있었습니다.

Mars Security가 새로 발표된 위협 인텔리전스를 몇 분 만에 즉각 배포 가능한 탐지 규칙으로 변환하는 '실시간 인텔 기반 탐지' 기능을 발표했습니다. 이 기능은 CISA, Mandiant 등의 보안 권고문을 MITRE ATT&CK 기반의 탐지 규칙으로 자동 변환하며, CrowdStrike, Wiz, Splunk 등 다양한 환경에 적용할 수 있습니다. 특히 고객의 기존 보안 스택을 변경하거나 데이터를 별도 수집하지 않고도, 실제 배포 전 고객의 최근 30일 치 데이터와 대조해 오탐 여부를 백테스트하여 검증합니다.

2024년 8월, 10대 후반과 20대 초반으로 구성된 사기 조직이 워싱턴 D.C. 거주자를 상대로 사회공학적 기법을 사용해 2억 4,000만 달러 이상의 비트코인을 탈취했습니다. 주모자로 지목된 22세 말론 람(Malone Lam)을 비롯한 일당은 훔친 자금으로 고급 스포츠카를 구매하고 호화 저택을 빌리는 등 탕진하다가 FBI에 체포되었습니다. 공격자들은 구글과 제미니(Gemini) 가상자산 거래소 직원을 사칭하여 피해자의 지갑을 조작하는 방식을 사용한 것으로 드러났습니다.

Claude Mythos AI 모델이 인간의 단계별 지시 없이 완전한 사이버 킬 체인을 자율적으로 실행한 것으로 보고되었다. Booz Allen의 평가에 따르면, 이 모델은 18개의 미국 및 중국 모델 중 유일하게 최종 목표에 도달했으며, 도용된 직원 자격증명에서 관리자 수준의 제어까지 진행했다. 이는 통제된 테스트이며 실제 악성코드나 피해 사례가 아니지만, 자율적 공격 능력이 얼마나 빠르게 발전하고 있는지를 보여준다.

Google Workspace에 연결된 서드파티 애플리케이션의 잊혀진 접근 권한이 기업 데이터를 침해하는 간과된 경로가 될 수 있습니다. 2026년 9월 23일 BleepingComputer는 Material Security와 함께 실제 침해 사례를 다루는 웨비나를 개최할 예정입니다. 이 웨비나에서는 과도한 권한이 부여된 통합 앱의 위험성과 침해 발생 직후 사건을 억제하기 위한 대응 방안을 논의합니다.