한 야드 관리 플랫폼의 맞춤형 세션 쿠키 시스템에서 인증되지 않은 공격자가 직원 및 관리자로 위장할 수 있는 취약점이 발견되었습니다. 이 결함은 Microsoft Entra ID 자체를 손상시킨 것은 아니지만, 하드코딩된 비밀 키와 공개적으로 노출된 데이터베이스 식별자를 사용하여 위조된 쿠키를 생성함으로써 다중 인증(MFA)을 우회할 수 있게 했습니다. Resecurity의 평가에 따르면, 연구원들은 이 취약점을 통해 테스트된 241개의 사용자 ID 중 관리자 계정을 포함하여 95개의 직원 계정을 성공적으로 도용했습니다.
몬테네그로 당국은 2013년부터 수백 개의 미국 및 해외 기관을 해킹해 34억 달러 이상의 피해를 입힌 혐의를 받는 이란 국적의 해커를 미국으로 인도했다. 이 용의자는 이란 이슬람 혁명 수비대(IRGC) 등을 대신해 사이버 공격을 수행한 이란 기반 기업 'Mabna Institute'의 소속인 Amir Barati로 지목되었다. 이들은 대학, 기업, 정부 기관 등에서 31테라바이트 이상의 학술 데이터와 지적 재산을 탈취하여 이란 정부에 넘기거나 이란 대학에 판매한 혐의를 받고 있다.
안드로이드 및 iOS용 Capacitor에서 악성 링크를 통해 공격자가 제어하는 웹 콘텐츠를 애플리케이션의 신뢰할 수 있는 출처에서 로드할 수 있는 심각한 취약점(CVE-2026-103922)이 발견되었습니다. 이 취약점은 Capacitor의 WebView 탐색 보호 기능이 URL 경로를 제대로 검증하지 않아 발생하며, 피해자가 앱 내에서 악성 링크를 클릭할 경우 공격자의 스크립트가 동일 출처 권한을 얻게 됩니다. 이를 통해 공격자는 localStorage 데이터와 쿠키에 접근하거나 등록된 플러그인을 통해 기기의 기본 기능 및 민감한 정보에 접근할 수 있어 사용자 제어 링크를 표시하는 앱에 특히 위험합니다.
macOS의 Safari 브라우저 기록 데이터베이스(History.db)에 자동으로 생성되는 주제 태그가 디지털 포렌식 조사관들에게 사용자의 브라우징 활동을 파악할 수 있는 새로운 단서를 제공할 수 있습니다. 이 태그 데이터는 'history_tags' 및 'history_items_to_tags' 테이블에 저장되며, 방문한 웹페이지와 관련된 일반적인 주제나 위키데이터(Wikidata) 엔티티를 나타냅니다. 다만 Safari가 페이지의 주요 내용이 아닌 부수적인 개념을 태그로 지정할 수도 있으므로, 이 데이터는 결정적인 증거보다는 정황적인 단서로 활용되어야 합니다.
'밀크 드래곤(Milk Dragon)' 또는 '나이롱(NaiLong)'으로 알려진 이 피싱 키트는 2025년 10월부터 활동하며 소셜 미디어와 마켓플레이스 광고의 가짜 할인 상품을 통해 피해자를 유인합니다. Group-IB 연구원들은 66개국에서 258개의 피싱 페이지를 발견했으며, 이 키트는 텔레그램에서 월 300 USDT에 구독형 서비스로 판매되고 있습니다. 공격자는 악성 워드프레스 플러그인인 'BytePress'를 통해 실시간 웹소켓(WebSocket) 연결을 유지하여 피해자의 키 입력과 결제 정보를 실시간으로 탈취합니다.
신한, KB, 하나은행에 이어 BNK부산은행도 해킹 공격을 받아 외주 개발직원 11명의 개인정보가 유출되었다. 우리은행과 NH농협은행 역시 비슷한 시기에 공격을 받았으나 개인정보 유출 피해는 발생하지 않았다. 이에 금융위원회는 주요 은행 및 카드사와 긴급 상황대응 회의를 열고 정보유출 사건과 보안 현황 대응 방향을 논의했다.
1,300만 명 이상의 팔로워를 보유한 마이크로소프트(Microsoft)의 공식 X 계정이 해킹되어 암호화폐 토큰을 홍보하는 사기에 악용되었습니다. 공격자들은 마이크로소프트의 가상 비서인 클리피(Clippy)를 사칭한 계정의 게시물을 리포스트하며 펌프 앤 덤프(pump-and-dump) 사기를 시도했습니다. 이에 마이크로소프트는 무단 게시물을 삭제하고 계정을 안전하게 확보했으며, 해당 암호화폐와 아무런 관련이 없음을 밝히고 법적 대응을 예고했습니다.
하나은행의 영업지원시스템(ODS)에 외부 해킹 세력이 비정상적으로 접근하여 고객 89명의 개인정보가 유출되는 사고가 발생했다. 유출된 데이터에는 주민등록번호, 성명, 연락처 등이 포함되었으나, 해당 시스템이 금융거래 시스템과 분리되어 있어 금융거래 정보는 안전한 것으로 파악됐다. 은행 측은 관련 IP를 긴급 차단하고 금융감독원 등에 보고했으며, 실제 피해 발생 시 전액 보상할 방침이다.
Kiteworks는 자사의 보안 데이터 전송 플랫폼 및 관련 애플리케이션 전반에 걸쳐 126개의 취약점을 해결하는 대규모 보안 업데이트를 출시했습니다. 이번 업데이트는 계정 탈취, 임의 코드 실행, 권한 에스컬레이션 및 서비스 거부(DoS) 등 심각한 보안 문제를 수정하며, 가장 치명적인 결함은 9.5.1 이전 버전의 Kiteworks Core 및 Email Protection Gateway에 영향을 미칩니다. 해당 제품을 사용하는 조직은 배포된 버전을 확인하고 가능한 한 빨리 최신 업데이트를 적용해야 합니다.
오는 6일 시작되는 국정감사에서 통신 3사와 플랫폼, 커머스 기업들의 잇따른 보안 사고가 핵심 의제로 다뤄질 예정이다. 국회 과방위 등은 SK텔레콤, KT, LG유플러스의 최고정보보호책임자(CISO)를 비롯해 티빙, 쿠팡, 우아한형제들 등의 경영진과 보안 책임자를 주요 증인으로 채택했다. 이번 국감에서는 각 기업의 개인정보 유출 및 해킹 사고 원인, 보안 투자 이행 실태, 취약점 방치 여부, 그리고 피해 보상과 재발 방지 대책 등이 집중적으로 점검될 전망이다.
전통적인 사이버 보안 방식과 결정론적 모의 침투 테스트로는 LLM 및 AI 모델에 내재된 보이지 않는 위험이나 악의적인 동작을 쉽게 탐지할 수 없습니다. 오픈 가중치(open-weight) 모델은 로컬 실행 및 미세 조정이 가능하지만 훈련 데이터와 스크립트에 대한 투명성이 부족하여 출처를 검사하기 어렵습니다. 반면 오픈 소스 이니셔티브(Open Source Initiative)의 기준을 따르는 오픈 소스 모델은 데이터 정보, 훈련 코드, 매개변수 등을 제공하여 제3자가 모델의 생성 과정을 조사할 수 있도록 지원합니다.
클라우드플레어(Cloudflare)는 전 세계 웹 보안을 강화하고 양자 내성 암호화에 대비하기 위해 무료 자동화 디지털 인증서를 제공하는 공인 인증기관(CA)이 될 계획이라고 발표했습니다. 이를 위해 구글 크롬, 애플, 마이크로소프트, 모질라의 루트 프로그램에 승인을 신청했으며, 폭넓은 호환성을 확보하고자 글로벌사인(GlobalSign)으로부터 기존 신뢰 루트를 인수하는 계약을 체결했습니다. 새로운 인증기관은 ACME 프로토콜을 기반으로 인증서 발급 및 갱신을 자동화하여, 기존 무료 인증기관 생태계에 대규모의 탄력적인 대안을 제공할 예정입니다.