발행 글 (6363)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

AI의 발전으로 취약점 발견부터 악용까지 걸리는 시간이 수개월에서 수 시간으로 단축되었습니다. 신속한 패치가 어려워지면서, 기업들은 이제 '무엇이 취약한가'가 아닌 '현재 어떤 것이 실제로 악용될 수 있는가'에 집중해야 합니다. 이는 기존의 취약점 관리 방식으로는 대응하기 어려운 새로운 보안 위협 환경을 의미합니다.

도널드 트럼프 미국 대통령이 연방 기관의 양자 후 암호(PQC) 전환을 가속화하기 위한 행정명령(EO 14412)에 서명했습니다. 이에 따라 미국 연방 기관은 고가치 자산과 영향력이 큰 시스템에 대해 키 설정은 2030년 12월 31일까지, 디지털 서명은 2031년 12월 31일까지 PQC로 전환해야 합니다. 또한 미 상무부는 즉시 PQC 전환 시범 프로젝트를 시작해 2027년 12월 31일까지 완료하도록 지정되었습니다.

LastPass는 Klue 공급망 공격으로 인해 해커가 자사의 Salesforce 환경에 접근하여 고객 데이터를 탈취했다고 밝혔습니다. 이 공격으로 고객 이름, 전화번호, 이메일 주소, 주소, 지원 사례 정보, 영업/CRM 데이터가 노출되었을 수 있습니다. LastPass는 제품, 서비스, 인프라 및 고객 볼트는 안전하다고 강조하며, 노출된 OAuth 토큰을 비활성화하고 관련 기관에 신고했습니다.

삼성 갤럭시 스마트폰에서 8년 된 심각한 취약점이 발견되어 수백만 대의 기기가 커널 공격에 노출될 수 있었습니다. 이 취약점은 PROCA와 FIVE 서브시스템 간의 상호작용을 통해 악용될 수 있으며, 공격자는 커널 메모리 손상을 일으켜 기기에 대한 심층적인 제어권을 얻을 수 있습니다. 삼성은 2026년 1월 업데이트에서 이 문제를 해결했습니다.

GTA 6 사전 예약이 시작되면서 사기꾼들이 가짜 웹사이트를 만들어 조기 접근을 미끼로 암호화폐를 요구하는 사기가 기승을 부리고 있습니다. 이러한 사기 웹사이트는 공식 채널을 통하지 않으므로 주의해야 하며, 암호화폐 결제 특성상 환불이 어렵습니다. Malwarebytes는 공식 발표만 신뢰하고, 의심스러운 링크를 피하며, 2단계 인증을 활성화할 것을 권고합니다.

공격자들이 43만 개 이상의 포티게이트 방화벽을 대상으로 골랑 기반 스니퍼를 개발하여 1억 1천만 개 이상의 자격 증명을 탈취하는 글로벌 캠페인을 진행 중입니다. 이 공격은 방화벽을 자격 증명 탈취 도구로 악용하는 새로운 수법을 보여줍니다.

새로운 악성코드인 CryptoBandits는 USB 드라이브를 통해 감염되며, 클립보드를 감시하여 암호화폐 지갑 주소를 탈취하고 공격자의 주소로 대체합니다. 또한, 감염 시스템에 대한 원격 제어 기능을 제공하며, 탐지를 피하기 위해 Windows Defender 제외 설정을 변경하고 Tor를 이용해 통신합니다.

FFmpeg의 libavcodec 라이브러리 내 MagicYUV 디코더에서 발견된 PixelSmash 취약점(CVE-2026-8461)은 원격 코드 실행(RCE)을 허용합니다. 이 취약점은 미디어 파일 처리 시 힙 메모리 초과 쓰기를 유발하여, 비디오 플레이어, 미디어 서버, NAS 등 FFmpeg를 사용하는 다양한 애플리케이션에 영향을 미칠 수 있습니다. 공격자는 특수하게 조작된 미디어 파일을 통해 인증 없이도 시스템에 침투하여 쉘 실행을 획득할 수 있습니다.

OpenAI는 사이버보안 이니셔티브인 Daybreak를 확장하며, 취약점 발견보다 패치 배포의 중요성을 강조했습니다. AI 모델이 취약점 발견 속도를 높여 방어자들이 압도당하는 상황에 대응하기 위해, OpenAI는 코드베이스 전체를 스캔하고 패치를 생성하는 Codex Security 플러그인을 업데이트했습니다. 또한, 대규모 코드베이스 분석 및 패치 개발에 특화된 GPT-5.5-Cyber 모델의 전체 버전을 출시하고, 오픈소스 프로젝트 유지보수팀의 부담을 줄이기 위한 Patch the Planet 프로그램을 발표했습니다.

텍사스 공원야생동물부(TPWD)의 사냥 및 낚시 면허 처리 업체가 해킹당해 3백만 명 이상의 텍사스 주민의 개인 정보가 유출되었습니다. 유출된 정보에는 운전면허증 정보, 여권 번호, 이메일 주소, 전화번호, 주소 등이 포함될 수 있으나, 정확한 유출 범위는 불분명합니다. TPWD는 해당 업체와 협력하여 보안 강화를 진행 중이라고 밝혔습니다.

2024년 런던 교통공사(TfL)를 해킹한 해킹 그룹 '스캐터드 스파이더(Scattered Spider)' 소속 영국 청소년 탈하 주베어(Thalha Jubair, 20세)와 오웬 플라워스(Owen Flowers, 18세)가 유죄를 인정했습니다. 이번 사건으로 TfL은 손실 및 복구 비용으로 2,900만 파운드(약 3,800만 달러)의 피해를 입었으며, 환불 시스템 차질 및 전 직원 2만 8,000명의 암호 재설정 등이 발생했습니다. 두 사람은 울위치 형사법원에서 유죄를 인정했으며 오는 7월 16일 선고를 받을 예정입니다.

캐나다의 전력 회사인 런던 하이드로가 고객 데이터 유출 사고를 조사 중이라고 발표했습니다. 해커들이 시스템에 침입하여 고객의 이름, 주소, 이메일, 전화번호 등 개인 정보와 계정 정보가 유출되었을 가능성이 있습니다. 회사는 금융 정보나 생년월일, 정부 발급 신분증 번호 등 민감한 정보는 유출되지 않았다고 밝혔습니다.