발행 글 (6622)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

AI 신뢰·안전·보안 기업인 Alice는 AI 시스템의 취약점과 적대적 공격 방어를 위해 1억 4천만 달러의 투자를 유치하며 총 누적 투자액 2억 8천만 달러를 달성했다고 발표했습니다. 이 회사는 출시 전 기초 모델에 대한 스트레스 테스트를 통해 프롬프트 인젝션 및 탈옥 시도에 대비하고, 프로덕션 단계에서는 지속적인 레드팀 활동 및 런타임 가드레일을 제공합니다. 또한 약 10년간 유해 콘텐츠를 추적해 구축한 독점 데이터베이스 'Rabbit Hole'을 활용해 생성형 AI에 대한 적대적 행위를 탐지 및 차단합니다.

Oasis Security가 NVIDIA NemoClaw의 취약점을 공개했으며, 이는 공격자가 제어하는 웹페이지를 통해 로컬 Ollama 인스턴스에 인증 없이 접근하여 AI 모델 내에 숨겨진 명령어를 주입할 수 있게 한다. NemoClaw v0.0.35는 macOS와 Linux에서 이 문제를 수정했지만, Windows와 WSL 경로에는 아직 수정이 없으며 v0.0.34는 경고만 추가했다. 문제의 원인은 NemoClaw가 Ollama를 OLLAMA_HOST=0.0.0.0:11434로 시작하여 모든 네트워크 인터페이스에 바인딩하고, 결과적으로 API 접근을 통해 모델의 채팅 템플릿을 수정할 수 있다는 것이다.

인도의 B2B 조달 플랫폼인 Tata Nexarc에서 공격자가 등록된 휴대폰 번호만 알면 계정을 탈취할 수 있는 심각한 인증 취약점이 발견되었습니다. OTP 로그인 과정에서 API 응답에 생성된 OTP가 포함되어 반환되었으며, 암호화 로직이 클라이언트 측 자바스크립트(AES)에서 처리되어 복호화가 가능했습니다. 이를 통해 공격자는 SMS 도청이나 피싱 없이도 관리자 계정을 포함한 표적 계정에 무단 접근할 수 있었던 것으로 나타났습니다.

다중 요소 인증(MFA) 등의 강화에도 불구하고 공격자들은 신규 입사자 등록 및 계정 복구와 같은 신원 확인 과정을 표적으로 삼고 있습니다. 북한 IT 인력의 외국인 신분 위장 취업이나 Scattered Spider와 같은 위협 조직의 서비스 데스크 대상 사회공학적 비밀번호 재설정 공격이 대표적인 사례로 지목되었습니다. 이에 따라 기업은 단순한 로그인 보안뿐만 아니라 계정 생성 및 복구 전반에 걸친 신원 검증 절차를 강화해야 하는 과제에 직면해 있습니다.

메타가 왓츠앱에 피싱 방지 기능인 패스키를 단일 계정에 여러 개 등록할 수 있도록 지원하여 iOS와 안드로이드 기기 간 로그인을 지원한다고 발표했습니다. 또한 2단계 인증의 기존 6자리 PIN을 영숫자와 특수문자가 포함된 전체 비밀번호 옵션으로 업그레이드했습니다. 아울러 안드로이드 환경에서는 연락처에 없는 사람으로부터 걸려온 전화의 발신 위치 및 공통 그룹 여부 등 추가 정보를 제공하여 사기 피해를 예방할 수 있도록 기능을 강화했습니다.

Citrix가 Windows 엔드포인트 복구 회복탄력성을 지원하는 'Citrix UniconOS dual boot' 기능을 발표했습니다. 이 기능은 윈도우와 격리된 하드닝 환경을 동일한 물리 디스크의 별도 파티션에 구성하여, 랜섬웨어나 OS 손상 등으로 윈도우 장애가 발생해도 몇 분 안에 Citrix DaaS 및 Citrix SecurAccess를 통해 업무 애플리케이션 접속을 재개할 수 있도록 지원합니다. 이를 통해 기업은 추가 하드웨어나 중앙 재이미징 작업 없이 엔드포인트 자체에서 신속하게 업무 연속성을 유지할 수 있습니다.

Fideo Intelligence가 사기 및 금융 범죄 조사팀을 위한 인텔리전스 플랫폼 'Fideo Lens'를 출시했습니다. 이 플랫폼은 단일 신원 신호로부터 계정, 기기, 행동 간의 숨겨진 연관성을 시각화하여 분산된 데이터를 인터랙티브 인텔리전스로 변환합니다. 이를 통해 금융기관, 핀테크, 공공 부문 파트너 등이 수작업 검색 시간을 줄이고 조직적인 금융 범죄 네트워크에 빠르게 대응할 수 있도록 지원합니다.

Zimperium의 zLabs 연구진은 주요 기업을 사칭해 기업용 계정 정보를 탈취하는 가짜 채용 담당자 피싱 캠페인을 분석하고 46개의 침해 지표를 식별했습니다. 해당 피싱 키트는 모바일 기기에서 주소 표시줄을 숨긴 전체 화면 가짜 로그인 페이지를 띄우고, 개인 이메일 주소를 걸러내며 기업 계정 정보만을 수집하도록 설계되었습니다. 공격자가 기업 계정에 접근할 경우 OAuth 토큰을 확보해 내부 통신 및 클라우드 애플리케이션에 접근할 위험이 있습니다.

통합 노출 관리 기업 Nucleus Security가 신규 취약점 공개 시점과 보안 스캐너 업데이트 사이의 공백을 줄이기 위해 플랫폼을 확장했습니다. 이번 확장을 통해 자연어 상호작용을 지원하는 AI 에이전트 'Nucleus Helix'와 조기 노출 탐지 기능인 'Nucleus Discover' 등이 추가되었습니다. 특히 Nucleus Discover의 조기 경보 시스템(NEWS)은 스캐너 시그니처가 준비되기 전에 취약점 인텔리전스와 고객 자산 정보를 결합하여 잠재적으로 영향받는 시스템을 사전에 식별하도록 돕습니다.

왓츠앱이 계정 보안 강화를 위해 다중 패스키 지원 및 향상된 2단계 인증 기능을 도입하기 시작했습니다. 기존 6자리 PIN 대신 영숫자와 특수문자가 포함된 비밀번호를 2단계 인증에 설정할 수 있게 되었으며, Android 및 iOS 기기별로 별도의 패스키 생성이 가능해졌습니다. 또한, 주소록에 없는 발신자의 국가 정보와 공통 그룹 여부 등을 통화 화면에 표시하여 스캠 공격에 대한 보호 기능을 추가했습니다.

SecurityWeek과 MTSI가 협력하여 10월 6-8일 테네시주 내슈빌의 W Nashville에서 25주년 산업제어시스템(ICS) 사이버보안 컨퍼런스의 일환으로 사이버 공격 방법(CAM) 과정을 제공한다. 이 실습 중심 다중일 과정은 참가자들이 공격자의 역할을 직접 경험하며 취약한 가상 사이버물리시스템 환경에서 시스템 발견, 취약점 악용, 임무 중심 공격 실행을 진행하도록 설계되었다. CAM은 사이버보안 팀뿐만 아니라 시스템 엔지니어, 보안 엔지니어, 프로그래머, 개발자, 설계자, 테스터 등 사이버물리시스템 전반을 담당하는 커뮤니티를 위해 설계되었으며, 공격자의 사고방식과 운영 방식을 실제로 이해하고 공격 표면을 줄이며 시스템 복원력을 강화하는 방법을 학습하는 것을 목표로 한다.

Zscaler Client Connector의 다중 취약점(CVE-2026-59568)이 공개되었으며, CVSS 점수 9.1의 심각한 수준으로 분류되었다. 인증 없이 권한 없는 공격자가 원격에서 임의 코드를 실행할 수 있으며, 네트워크를 통한 공격이 가능하고 낮은 복잡도와 사용자 상호작용이 필요 없다. 조직은 영향받는 버전을 파악하고 Zscaler의 2026 Client Connector 릴리스 요약에서 수정된 버전으로 업그레이드해야 하며, 업데이트 배포 전까지 엔드포인트 텔레메트리를 모니터링해야 한다.