발행 글 (6430)?발송된 뉴스레터의 기사들을 최신순으로 모았습니다. 카드를 누르면 원문으로 이동합니다.

해커들이 특수하게 조작된 이메일을 사용하여 인터넷에 노출된 Zimbra 메일 서버의 심각한 취약점(CVE-2026-73570)을 악용하고 있습니다. 이 취약점은 서버의 SNMP 알림 기능에 존재하는 명령 주입 문제로, 공격자가 로그인이나 사용자 상호 작용 없이도 취약한 서버에서 원격으로 명령을 실행할 수 있게 합니다. Microsoft 위협 인텔리전스의 조사에 따르면, 공격자들은 접근 권한을 얻은 후 웹 셸 설치, 인증 자료 탈취 및 메일 데이터 수집을 시도한 것으로 나타났습니다.

영국 시험 감독청(Ofqual)의 설문조사에 따르면, 2025/26 학년도에 사이버 보안 사고를 겪은 잉글랜드 중등학교의 비율은 27%로 이전 연도들에 비해 감소했습니다. 가장 흔하게 보고된 사고 유형은 피싱이었으며, 사고를 겪은 학교 중 66%가 '즉시' 복구했다고 답해 복구 시간도 개선된 것으로 나타났습니다. 사이버 보안의 주요 책임 소재에 대해 교사들의 46%는 IT 팀을, 40%는 전체 교직원을 지목하며 의견이 엇갈렸으나, Ofqual은 이를 단순한 IT 문제가 아닌 경영진의 책임으로 평가했습니다.

마이크로소프트는 Windows 11 26H2로 업그레이드된 모든 Microsoft Entra 가입 및 하이브리드 가입 엔터프라이즈 시스템에서 Windows 설정 백업 기능이 기본적으로 활성화된다고 발표했습니다. 이 새로운 기본 설정은 관리자가 정책을 명시적으로 구성하지 않은 경우에 적용되며, EU 디지털 시장법(DMA) 규제 지역이나 제한된 클라우드 환경의 기기에는 적용되지 않습니다. 백업 기능이 기본 활성화되더라도 복원 기능은 관리자의 명시적인 구성이 필요하며, 관리자는 Microsoft Intune이나 그룹 정책을 통해 해당 정책을 제어할 수 있습니다.

노스이스턴 대학교(Northeastern University)와 컨슈머 리포트(Consumer Reports)의 연구원들은 15개 자동차 제조업체의 개인정보 처리방침과 데이터 브로커들을 조사하여 최신 자동차의 운전자 감시 실태를 평가했습니다. 조사 결과, 자동차 제조업체들은 인포테인먼트 시스템이나 모바일 앱을 통해 운전자도 모르게 데이터 수집에 대한 동의를 얻고 있는 것으로 나타났습니다. 이렇게 지속적으로 수집된 운전 데이터는 자동차 보험사, 대출 기관, 데이터 브로커 및 정부 기관 등에 공유되어 운전자에게 불리하게 사용될 수 있습니다.

Malwarebytes는 AV-TEST의 7/8월 Windows 소비자 보안 제품 테스트에서 18점 만점을 받아 최우수 제품(Top Product) 상을 수상했습니다. 또한 MRG Effitas의 2026년 7월 소비자 평가에서 300개의 실제 악성코드 샘플을 모두 차단하고 오탐지 0건을 기록하여 최고 등급인 레벨 1 인증을 획득했습니다. 아울러 AVLab Cybersecurity Foundation의 2026년 5월 및 7월 테스트에서도 위협이 실행되기 전에 100% 차단하는 성과를 거두었습니다.

미국 재무부는 트렌 데 아라과(TdA)와 연계된 ATM 잭팟팅 악성코드 개발자 아니발 알렉산더 카넬론 아기레(일명 '프로메테우스')와 그의 네트워크 및 멕시코 소재 기업 두 곳을 제재 대상에 올렸습니다. 이 악성코드는 범죄자들이 ATM 보안 시스템을 우회하여 현금을 강제로 인출하도록 원격으로 활성화되며, 재무부에 따르면 2025년 8월 기준 미국 내 1,500건 이상의 공격으로 4,000만 달러 이상의 피해가 발생했습니다. 미국 법무부는 이 ATM 잭팟팅 음모와 관련하여 119명을 기소했으며, 일부 피고인들은 이미 징역형을 선고받았습니다.

9월 30일부로 영국의 데이터 보호 감독 기관이 단일 책임자 체제에서 이사회가 감독하는 법인 체제인 'Information Commission'으로 변경되었으며, 기존의 ICO 명칭은 계속 사용된다. 이 새로운 구조는 2025년 6월 국왕 재가를 받은 'Data (Use and Access) Act 2025'에 의해 신설되었으며, 기존의 규제 기능은 그대로 유지된다. 한편 전임 위원장인 John Edwards가 직장 내 조사 후 6월에 사임함에 따라 Paul Arnold가 임시 최고경영자를 맡고 있으며, 본부는 Wilmslow에서 맨체스터로 이전되었다.

일본의 카셰어링 서비스인 타임즈 카(Times Car)에서 데이터 유출 사고가 발생하여 전·현직 회원의 계정 약 660만 개의 정보가 노출되었습니다. 유출된 데이터에는 이름, 주소, 운전면허증 정보 등이 포함되며, 약 160만 개 계정의 신원 확인용 이미지 문서도 접근된 것으로 확인되었습니다. 운영사인 타임즈 모빌리티(Times Mobility)는 9월 25일에 무단 접근을 탐지한 후 26일에 이를 차단했으며, 신용카드 정보는 유출되지 않았다고 밝혔습니다. 현재 외부 전문가와 함께 조사를 진행 중이며, 사용자들에게 피싱 공격에 주의할 것을 당부했습니다.

사이버 보안 인식의 달을 맞아 8명의 Cisco Talos 연구원들은 허니팟, 가짜 인프라, 타르핏 등의 기만 기술을 통해 공격자를 방해하는 실용적인 방법들을 공유했습니다. 합법적인 원격 관리 도구에 대한 통제 강화와 행동 기반 탐지를 활용하면 공격자의 필수적인 활동을 더 쉽게 파악하고 차단할 수 있습니다. 또한, 공격 단계 간의 종속성을 끊고 환경을 독특하게 구성함으로써 공격자의 선택지를 줄이고 시간과 비용을 증가시켜 궁극적으로 공격을 포기하게 만들 수 있습니다.

연구원들이 일반 PS5 및 PS5 Pro의 펌웨어 7.00부터 13.60 버전을 표적으로 삼는 새로운 탈옥 익스플로잇인 'Relapse'를 공개했다. 이 익스플로잇은 내장 브라우저의 WebKit 취약점을 악용한 뒤 커널 단계로 넘어가 서명되지 않은 코드를 실행할 수 있는 권한을 확보하는 2단계 체인으로 구성된다. 해당 취약점은 2026년 9월 중순에 출시된 펌웨어 14.00 버전에서 패치되었으며, 이 탈옥은 재부팅 시 유지되지 않는 테더드(tethered) 방식이다.

OWASP ModSecurity에서 공격자가 웹 애플리케이션 방화벽 보호를 우회할 수 있게 하는 여러 신규 취약점이 공개되었습니다. 가장 심각한 취약점인 GHSA-5pww-8rfg-9crf는 멀티파트 HTTP 업로드의 RFC 2231 filename* 매개변수 처리 시 방화벽과 백엔드 간의 해석 차이를 악용하여 악성 파일 업로드를 허용할 수 있습니다. 이 외에도 잘못된 Base64 패딩 처리로 인해 검사를 우회하는 취약점(GHSA-4j47-8qcr-jf59)과 주석 제거 기능의 오류를 악용해 패턴 매칭을 피하는 취약점(GHSA-qrch-pjfr-9g47)이 포함되어 있습니다.

미 국방부 산하 국방인력데이터센터(DMDC)의 인사 관리 시스템이 해킹되어 300만 명 이상의 개인정보가 유출되었습니다. 해커들은 2025년 10월부터 2026년 7월까지 파일 공유 시스템의 취약점을 악용해 사회보장번호(SSN), 이름, 생년월일 등 민감한 데이터에 접근했습니다. 이에 국방부는 피해자들에게 IDX를 통해 12개월간 무료 신용 모니터링 서비스를 제공하며 시스템의 사이버 보안을 강화하고 있습니다.