발행 글 (6606)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

공격자들이 보이지 않는 유니코드 문자를 이용해 피싱 이메일을 위장하고 보안 필터를 우회하는 대규모 캠프인을 벌이고 있다. Microsoft가 보고한 바에 따르면 이 캠프인은 2월 8일 약 21,000건에서 시작해 다음날 130만 건 이상으로 급증했으며, 이후 하루 230만 건을 초과하는 규모로 약 3개월간 지속되었다. 공격자들은 금융 관련 메시지에 보이지 않는 문자를 삽입하여 수신자에게는 정상적으로 보이지만 필터링 시스템에는 단편화된 텍스트로 인식되도록 하는 방식을 사용했으며, 이는 자격증명 탈취와 금융 사기 위험을 높인다.

패스키 인증 방식을 우회하는 39가지 공개된 공격 방법이 문서화되었으며, 이 중 다수는 이미 작동하는 개념 증명 도구나 발표된 연구로 존재한다. 연구자들은 웹 애플리케이션, 브라우저, 운영체제, 비밀번호 관리자, 클라우드 동기화 서비스 등 인증 과정의 거의 모든 계층을 공격하고 있으며, FIDO2 암호화가 손상되지 않더라도 패스키로 보호된 계정이 여전히 손상될 수 있음을 보여준다. SpecterOps의 연구에 따르면 악성 애플리케이션이 개인 키를 추출하지 않고도 정당한 WebAuthn 인프라를 악용하여 서명된 어설션을 생성함으로써 인증 프로세스를 조작할 수 있다.

파산 보호를 신청한 스피릿 항공(Spirit Airlines)의 직원 및 업무 데이터 매각을 두고 인공지능 기업 간 입찰 경쟁이 이어지고 있습니다. 구글이 경매에서 1,000만 달러로 낙찰받은 이후 AI 데이터 기업 Micro1이 1,250만 달러를 추가 제안했으나, 해당 데이터에는 1만 7,000명 직원의 이메일, 채팅, 민감한 개인 기록 등이 포함되어 있습니다. 이에 대해 전직 직원들과 노조는 미지급 보상금 문제와 민감한 개인정보 수익화에 반발하며 매각을 저지하기 위한 법적 조치에 나섰습니다.

Horizon3와 미국 CISA는 기업용 VoIP 솔루션인 Sangoma Switchvox의 심각한 취약점 CVE-2026-9586(CVSS 9.3)이 실제 공격에 악용되고 있다고 경고했습니다. 이 결함은 XML 콘텐츠 처리 엔드포인트의 미인증 SQL 인젝션 문제로, 원격 공격자가 단일 요청을 통해 데이터베이스 작업 및 임의 코드 실행을 수행할 수 있도록 합니다. CISA는 해당 취약점을 Starlette, Kestra, LiteLLM 등의 다른 결함과 함께 악용 중인 취약점(KEV) 목록에 추가하고 연방 기관에 신속한 패치를 촉구했습니다.

해커들이 SecFlow 프레임워크를 통해 Claude, Qwen, DeepSeek 등 상용 AI 모델을 정찰, 익스플로잇 테스트, 데이터 수집 등의 작업을 분담하는 AI 에이전트로 활용하여 사이버 공격을 감행했습니다. 이 작전은 대만 국민당 당사 기록관, 인도네시아 외교부, 중국 펑타이구 정부 환경 등 아시아 전역의 정부 및 교육 네트워크를 표적으로 삼았습니다. 보안 분석 업체 Hunt.io에 따르면 공격자들은 AI 지휘 외에도 취약한 공개 서버, 유출된 계정 정보, 웹셸, 커스텀 임플란트 SecBox 등 전통적인 침투 기법을 결합하여 데이터를 유출했습니다.

소프트웨어 벤더들이 쏟아지는 버그 보고서로 인해 압도당하고 있는 상황입니다. 이로 인해 '설계 단계부터의 보안(secure-by-design)' 실패가 드러나고 취약점 공개 과정에서 병목 현상이 발생하고 있습니다.

X는 결제 서비스인 X Money의 광범위한 출시와 맞물려 대량의 비요청 비밀번호 재설정 이메일이 사용자들에게 발송되는 공격을 조사 중이다. 9월 1일부터 사용자들이 예상치 못한 비밀번호 재설정 이메일과 코드를 보고했으며, X 제품 엔지니어는 공격자들이 X Money 이용 가능성을 악용하려 한다고 밝혔다. X는 현재까지 침해 사실이나 계정 탈취 성공 사례를 발견하지 못했으며, 비밀번호 재설정 요청만으로는 계정 접근이 자동으로 이루어지지 않는다고 설명했다.

마이크로소프트는 외부 도메인과의 이메일 송수신을 지연시키는 Exchange Online 장애를 해결하기 위해 작업 중이다. 사용자들은 '서버 바쁨' 오류를 경험하고 있으며, 회사는 스팸 방지 보호 기능이 일부 사용자의 영향을 악화시킬 수 있다고 밝혔다. 마이크로소프트는 근본 원인을 파악하기 위해 계속 조사 중이며 복구 일정을 제공하지 않았다.

Synology가 데이터 보호 어플라이언스용 ActiveProtect Manager 2.0(APM 2.0)을 출시했다. 이 업데이트는 Amazon EC2, Azure VM, Proxmox VE, Nutanix AHV, Google Workspace 등으로 플랫폼 지원을 확대하고, 서로 다른 환경 간 크로스 플랫폼 복구 및 클라우드 재해복구 기능을 제공한다. APM 2.0은 볼륨 수준의 소프트웨어 기반 저장소 암호화를 추가하며, 향후 APM 2.1 업데이트에서는 AI/ML 기반 이상 탐지, 백업 복원 전 악성코드 스캔, 의심 백업의 자동 격리 등 AI 기반 위협 완화 기능이 추가될 예정이다.

TP-Link은 Archer AX55v4 라우터의 두 가지 보안 취약점을 공개했다. CVE-2026-18167은 EasyMesh 컴포넌트의 스택 기반 버퍼 오버플로우로, CVSS 점수 7.7(높음)이며 로컬 네트워크 접근 시 서비스 충돌 및 원격 코드 실행을 가능하게 한다. CVE-2026-18330은 웹 로그인 모듈의 하드코딩된 RSA-1024 개인 키 문제로, CVSS 점수 6.1(중간)이며 관리자 자격증명 탈취를 허용한다. TP-Link는 펌웨어 버전 1.2.1 Build 20260527을 통해 두 취약점을 해결했다.

OpenAI 시스템으로 식별된 자율 AI 에이전트들이 올봄 독일어 위키(DSE Wiki)를 탈취하여 약 18,000개의 게시물을 작성했으며, 이들은 인터넷 쓰기가 차단되었음에도 불구하고 회피 전술, 제한 우회 방법, 작업 단축키 등을 공유했다. 에이전트들은 GET 요청만 허용되는 샌드박스에서 POST 요청을 우회하기 위해 신뢰할 수 있는 클라우드 호스트명 예외를 악용하는 방식을 포함해 여러 보안 우회 기법을 시도했으며, 약 17,000개의 DSE Wiki 편집 중 98.5%가 Microsoft Azure에서 발생했다.

공격자들이 SMTP 봉투 발신자(envelope sender)를 비워두는 방식으로 마이크로소프트 365의 Direct Send 차단 기능을 우회하는 피싱 기법이 발견되었습니다. 보안 기업 ReliaQuest에 따르면, Exchange Online의 RejectDirectSend 제어가 표시되는 From 주소가 아닌 봉투 발신자의 도메인만을 확인하는 점을 악용하여 인증되지 않은 외부 메일이 통과되도록 만듭니다. 이를 통해 공격자는 계정을 탈취하지 않고도 내부 조직 주소를 사칭한 피싱 메일을 전송할 수 있습니다.