발행 글 (6606)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

Clop 랜섬웨어 조직이 글로벌 에너지 기업 Shell에서 89GB 규모의 데이터를 탈취했다고 주장하자, Shell은 잠재적인 보안 침해 사고에 대해 조사를 진행 중이라고 밝혔습니다. 공격자들은 엔지니어링 도면, 시설 테스트 보고서 스캔본, 프로젝트 계획 등을 탈취했다고 주장하며, PTC Windchill 및 FlexPLM의 심각한 취약점(CVE-2026-12569)을 악용한 43개 피해 조직 목록에 Shell을 포함시켰습니다. Clop은 동일한 공격을 통해 General Electric과 Philips에서도 데이터를 훔쳤다고 주장하고 있으며, 미국 CISA 등 보안 당국은 해당 취약점이 실제 공격에 활발히 악용되고 있음을 확인하고 긴급 패치를 촉구했습니다.

보안 기업 SOCRadar에 따르면 최근 2,500여 개 조직이 영향을 받은 것으로 알려진 공급망 공격의 주원인은 LiteLLM이 아닌 Aqua Security의 Trivy 스캐너 침해인 것으로 분석되었습니다. 위협 행위자 TeamPCP의 Shai-Hulud 웜 공격은 Trivy 스캐너에서 시작되어 하위 패키지 및 저장소로 확산되었으며 자격 증명과 API 키 등을 탈취했습니다. 조사 결과 식별된 2,188개 조직 중 95%는 LiteLLM의 악성 패키지가 배포된 3월 24일 이전에 이미 데이터 수집 피해가 발생한 것으로 나타났습니다.

웹사이트와 모바일 앱에서 광고를 노출하거나 사용자 데이터를 수집하는 기업을 추적할 수 있는 무료 신규 서비스 'DecryptAds'가 출시되었습니다. 이 서비스는 ads.txt, app-ads.txt, buyers.json, sellers.json 등 공개된 광고 기술 데이터를 수집 및 교차 참조하여 추적 엔티티를 쉽게 파악할 수 있도록 지원합니다. 공동 창립자인 Zach Edwards는 보안 관점에서 악성 광고 출처 추적, 적대국에 위치한 광고 네트워크 식별, AI 생성 불량 웹사이트 탐지 등 프라이버시 및 보안 목적으로 구축되었다고 설명했습니다.

사이버 범죄자들이 악성코드를 숨겨 윈도우 디펜더, EDR, 마이크로소프트 스마트스크린 탐지를 우회하도록 돕는 '크립터(crypter)' 서비스가 활발히 거래되고 있습니다. 레코디드 퓨처(Recorded Future)에 따르면 이러한 상용 서비스는 악성 파일을 암호화하거나 변형할 뿐만 아니라 메모리 전용 실행, 샌드박스 탐지, 프로세스 인젝션 등의 기능을 제공하여 분석을 어렵게 만듭니다. 연구진이 활성 공급업체 24곳을 조사한 결과 윈도우 페이로드가 주를 이루고 안드로이드 지원도 등장했으며, 이는 기술력이 부족한 공격자들도 손쉽게 고도화된 회피 기법을 사용할 수 있게 만듭니다.

클라우드 기반 협업 및 통신 플랫폼 RingCentral이 정교한 사회공학적 공격을 받아 해킹 피해를 입었습니다. 유출 데이터 확인 서비스 Have I Been Pwned에 따르면, ShinyHunters 해킹 조직이 160만 개 계정의 이름, 이메일, 전화번호, 주소 등 개인정보를 탈취해 다크웹에 유출했습니다. RingCentral 측은 몸값 지불을 거부한 후 데이터가 공개되었으나, 핵심 플랫폼 운영에는 영향이 없으며 피해 고객과 직접 소통하고 있다고 밝혔습니다.

비즈니스 커뮤니케이션 플랫폼 RingCentral이 지난 7월 정교한 사회공학적 공격을 받아 데이터 유출 사고를 겪었으며, 약 160만 명의 개인정보가 영향을 받은 것으로 나타났습니다. 갈취 조직인 ShinyHunters는 623GB 이상의 데이터를 탈취했다고 주장하며 협박이 통하지 않자 280GB 분량의 데이터를 유출했고, HaveIBeenPwned에 따르면 이 데이터에는 160만 개의 이메일 주소, 이름, 주소, 전화번호 등이 포함되었습니다. RingCentral은 핵심 플랫폼에는 영향이 없으며 공격을 인지한 즉시 차단 조치와 조사를 진행했다고 밝혔으나, 유출 규모 등에 대해서는 아직 공식 확인하지 않았습니다.

GitHub Gists를 은밀한 명령 제어(C2) 및 데이터 탈취 채널로 악용하는 신종 멀웨어 프레임워크인 HACKERAI C2 Agent가 발견되었습니다. Acronis 연구원들은 남아시아의 통신, 정부, 국방, 에너지 등 주요 인프라를 겨냥한 스파이 캠페인을 조사하던 중 이를 식별했으며, 배후 활동은 파키스탄과 연계된 위협 조직인 APT36(Transparent Tribe)과 겹치는 것으로 중간 수준의 신뢰도로 평가되었습니다. 감염된 기기는 GitHub Gists를 통해 명령을 받아 실행하고 탈취한 데이터를 전송하며, 브라우저 바로가기를 변조해 지속성을 확보합니다.

티피링크는 스마트홈 브랜드 '타포' 홈카메라의 영상·음성 중계 릴레이 서버와 클라우드 영상 저장 서비스를 해외에서 AWS 서울 리전 및 국내 클라우드 인프라로 이전을 완료했습니다. 이를 통해 데이터 전송 거리를 단축하여 실시간 스트리밍 지연시간을 줄이고 국내 사용자 환경을 개선했습니다. 또한 기존의 ISO 27001 및 ISO 27701 인증, AES-128 암호화, TLS 1.2 프로토콜 등의 보안 및 개인정보 보호 체계는 동일하게 유지됩니다.

Huntress에 따르면 아키라(Akira) 랜섬웨어 공격자는 EDR을 우회하기 위해 감염된 윈도우 시스템을 네트워킹 사용 안전 모드로 재부팅하는 기법을 사용했습니다. 공격자는 노출된 SonicWall SSL VPN을 겨냥한 크리덴셜 스프레잉(credential-spraying) 공격으로 침투한 후 데이터를 탈취하고 AnyDesk를 설치했습니다. 이어 안전 모드에서도 AnyDesk가 실행되도록 레지스트리를 수정한 뒤 시스템을 안전 모드로 전환하여 보안 솔루션의 실시간 보호를 무력화했습니다.

공격자가 유출된 API 키를 훔쳐 타인의 계정으로 고가의 AI 모델 서비스를 소비하는 'AI 토큰 재킹(Token Jacking)' 공격이 증가하고 있습니다. 팔로알토 네트웍스 Unit 42에 따르면, 공격자들은 피싱, 정보 유출 악성코드, 공개 코드 저장소 등을 통해 개발자 자격 증명을 획득한 후 불법 프록시 서비스나 암시장을 통해 이를 재판매하며, 피해자가 조치하기 전까지 최대 100만 달러에 가까운 요금을 발생시켰습니다. 이러한 서비스는 하루 수천만 건의 API 호출을 생성하며, 소비 한도를 해제하거나 알림을 차단하는 방식으로 막대한 금전적 피해를 입히고 있습니다.

사이버보안 팀은 모든 조치를 직접 실행하기보다는 위험 감독 역할을 맡아야 하며, 인프라 및 비즈니스 운영 담당자가 실제 조치를 실행해야 합니다. 보안 팀에 문제 발견부터 조치 이행까지 전 과정을 떠맡기면 책임성이 저하되고 미해결 문제만 쌓이게 됩니다. 취약점 조치 적체가 늘어나는 것은 운영 모델의 실패를 나타내며, 각 자산 소유자에게 명확한 책임을 부여하는 명확한 역할 분담이 필요합니다.

가트너는 보고서를 통해 섀도우 AI가 차세대 기업 보안의 핵심 전쟁터가 될 것이며, AI 사용 제어(AIUC)를 선도하는 기업이 수십억 달러 규모의 시장을 장악할 것이라고 전망했다. AIUC는 AI 발견, 자산관리, 데이터 제어 등의 기능을 통해 섀도우 AI와 오작동 문제를 해결하는 솔루션으로, 2028년까지 엔드포인트 보호 및 보안 서비스 에지(SSE) 등에 핵심 기능으로 통합될 것으로 예상된다. 또한 가트너는 기존 보안 운영 환경과 통합할 수 있는 공급업체가 경쟁 우위를 확보할 것이며, 소비·접근, 연결·프로토콜, 런타임·아티팩트 등 전체 AI 사용 계층에 대한 가시성과 세밀한 통제가 필요하다고 강조했다.