1. Anthropic 154페이지 위협 보고서 — 러시아 GTG-20006, Claude로 멀웨어를 '자동 재빌드'해 탐지 회피
Anthropic이 2025년 12월부터 2026년 8월까지 약 8개월간 자사 Claude 모델이 사이버 공격·무기 설계·선전·대규모 감시에 악용된 사례를 정리한 154페이지 위협 인텔리전스 보고서를 공개하고, 이들 행위자를 '생성형 위협 그룹(GTG, Generative Threat Group)'으로 명명했다. 전날 공개된 '네 번째 AI 해킹 사고(Claude Opus 4.6)'에 이어 나온 후속 상세 내용으로, 국가 후원 조직과 금전 목적 범죄 조직이 섞여 있다.
- GTG-20006 (러시아 연계): 트레이드크래프트가 Midnight Blizzard(APT29·Cozy Bear)와 겹치는 러시아 정탐 그룹. AI 에이전트가 자사 멀웨어의 탐지 여부를 상시 모니터링하고, 보안 제품이 탐지하면 에이전트가 자율적으로 멀웨어를 수정·재빌드해 기존 탐지를 우회 — 사람의 개입 없이 탐지 회피가 이뤄진 사례다
- 표적: 정부 부처, 국방·정보기관, 대사관, 싱크탱크, 방산기업 등 20개 이상 조직 — 주로 우크라이나·유럽이며 중동과 아시아 해양 관련 정부기관까지 확대. AI로 도메인 등록, 피싱 인프라 구축, C2 채널 모니터링까지 수행
- 호텔 Wi-Fi 하이재킹(CaptiveCrunch): 게스트 Wi-Fi를 운영하는 호텔 업체 최소 3곳의 관리자 자격증명을 탈취해 DNS 레코드를 공격자 서버로 돌리고(디엔에스 하이재킹), 투숙객의 트래픽·기기 식별자·IP를 수집. 이후 Windows(PowerChrome·WUEngine·Shadow C2·MiniPlasma·CloudSyncSvc), Android(GiftDrop), iOS(DarkSword) 멀웨어를 맞춤 배포하고 WhatsApp 계정 탈취도 시도
- 다른 GTG들: GTG-10007(중국 후난성 추정 대학생 포함, 교육·소매·에너지·기술·헬스케어·금융·제조·정부 약 50개 조직 표적·엔드포인트 보안제품 취약점 연구 프로그램 운영), GTG-50014(ShinyHunters 계열, AWS EC2 워커 10대로 안드로이드 APK 180만 개를 수집·TruffleHog로 하드코딩 시크릿 스캔 후 텔레그램 전송), GTG-50020(4일간 AI 벤더 약 30곳의 모델 제공자 API 키 탈취 시도), GTG-50021(가짜 Claude 리셀러로 자격증명 수확), GTG-50029(유럽 정당·언론·싱크탱크 표적)
- ShinyHunters 구성원 ‘frkoo’ 추가 정황(BleepingComputer): 다양한 앱스토어에서 180만 개 Android APK를 대량 다운로드·디컴파일해 TruffleHog로 하드코딩된 시크릿을 스캔하고, 검증된 결과만 100개 이상 소스 유형으로 분류된 텔레그램 그룹에 실시간 전송. 같은 행위자는 GitHub 조직 이메일을 수집해 개인 액세스 토큰(PAT)을 발급받는 별도 자동화도 운영해 ‘확인된 침해의 대부분’에 초기 접근 자격증명을 공급했고, 프랑스 경찰을 사칭한 카딩 샵 policenationale[.]cc에서 도난 카드 정보를 판매
- AI 속도: Claude의 도움으로 Azure AD 인증 토큰 2,100여 세트(기업 Microsoft 테넌트 40곳 이상)를 탈취하기까지 약 34시간 — Anthropic은 "거의 모든 작업을 AI 에이전트가 수행"했다고 설명
출처: The Hacker News - Russian State-Sponsored Hackers Use Claude to Rebuild Malware After Detection · The Hacker News - Claude Used to Automate Exploitation and Data Theft Across Multiple Victims · SecurityWeek - Anthropic Says Russian Hackers Used Claude AI to Automate Malware Evasion · BleepingComputer - Hackers abused Claude to extract secrets from 1.8M Android apps
2. JFrog Artifactory 결함 2건 체인 — 익명 토큰이 관리자 권한으로 승격, 백도어 설치
클라우드 보안업체 Wiz는 공격자들이 JFrog Artifactory의 결함 2건을 연쇄 악용해 자체 호스팅 서버의 관리자 권한을 장악하고 백도어를 심었다고 보고했다. Wiz가 확인한 공격은 2026년 8월 15일부터 9월 8일 사이에 이뤄졌으며, JFrog는 그 이전에 두 결함을 모두 수정했기 때문에 미업데이트 서버만 영향을 받았다.
- CVE-2026-42018: Artifactory가 내부 익명 사용자 토큰을 로그인하지 않은 호출자에게 발급 — 익명 접근이 꺼져 있어도 마찬가지
- CVE-2026-42016: 그 저권한 토큰을 관리자 범위 토큰으로 교환할 수 있게 함 — Artifactory가 토큰의 서명과 발급자만 확인하고 '무엇을 할 수 있는지(권한 범위)'는 검사하지 않는 허점을 이용
- 흔적 은닉·속도: 관리자 권한 작업이 로그에 이름 있는 계정이 아닌 'token:anonymous'로 남음. 첫 요청에서 새 관리자 계정 생성까지 5분 이내로 끝난 사례도 있었다
- 영향 범위: 서버가 두 결함에 모두 취약해야 성립 — CVE-2026-42016은 7.133.11에서 범위가 끝나 7.146·7.161 브랜치는 해당 없음. CVE-2026-42018 수정은 7.146 브랜치에 4월 28일, 7.133 브랜치에 8월 12일(공격 개시 3일 전) 배포
- 공격 후 행동: 관리자 계정 생성·잔존, Groovy 플러그인 악성 설치로 서버 코드 실행, 플러그인 실행 엔드포인트로 셸 명령·파일 탐색, HTTP 드로퍼로 /tmp 같은 전역 쓰기 가능 디렉터리에 바이너리 기록 후 C2 채널 개설, 커스텀 Rust 백도어 배치
- 별개 결함 CVE-2026-82329 (CVSS 9.8): 9월 1~8일 별도로 악용된 인증 우회 — 기본 설정에서 무인증 공격자만으로 관리자 권한 획득 가능, 7.161까지 6개 브랜치 영향. CISA는 9월 2일 KEV 등록 후 9월 5일 연방 패치 마감을 설정했고, CDN 업체 Fastly는 9월 2일 하루에 약 406,000건의 악용 시도를 관측(트래픽 기준 시도이며 침해 건수는 아님). Wiz는 이 결함으로 장악된 서버에서 Artifactory 노드 간 등록에 쓰이는 '클러스터 조인 키'가 탈취된 사례도 확인
출처: The Hacker News - Attackers Chain JFrog Artifactory Flaws to Gain Admin Control and Plant Backdoors
3. 중국 연계 UNC3569, Sogou 입력기 결함 악용해 GRAYRABBIT 백도어 유포 — 링크 클릭 한 번으로
보안업체 Gen Digital은 중국 연계 해킹 그룹 UNC3569가 윈도우용 Sogou 입력기(중국 최대 입력기)의 결함을 악용해 GRAYRABBIT 백도어를 설치했다고 발표했다. 공격은 조작된 링크 클릭으로 시작해 최종적으로 로그인 사용자가 할 수 있는 모든 권한을 공격자가 갖는 것으로 끝난다.
- 취약 체인: Sogou는 단일 프로그램이 아니라 'sgbiz:' 커스텀 링크 타입으로 서로 통신하는 컴포넌트 집합 — 링크를 열면 Windows가 biz_helper.exe에 전달하는데, 이 핸들러가 '시작할 프로그램'은 확인하지만 '전달할 명령줄 인자'는 전혀 필터링하지 않음
- 악용: 링크가 Sogou 설정 프로그램 SGMyInput.exe를 가리켜 공격자가 고른 웹 주소로 스킨 스토어(브라우저 창을 여는 유일한 화면)를 열게 함 — 주소 검증이 전혀 없음
- 근본 원인: 그 브라우저는 Sogou가 자체 빌드한 Chromium 80(2020년 3월경) — 샌드박스와 동일 출처 정책이 코드 차원에서 꺼진 상태로 작성됨. 샌드박스가 없으면 페이지의 자바스크립트 결함이 곧 사용자 권한의 코드 실행이 되며, 브라우저를 빠져나오는 2단계 탈출도 필요 없음
- 미완의 수정: Tencent의 패치는 진입 경로만 막았을 뿐 공격을 가능케 한 부분은 바꾸지 않음 — Gen이 조사한 패치 버전에서도 내장 브라우저 엔진은 2020년 버전이고 샌드박스는 여전히 꺼져 있었다. Tencent는 체인이 상대적으로 복잡하고 팝업 승인 등 사회공학이 필요하다고 반박
- 배경: UNC3569는 2021년부터 활동하며 정부·교육·기술·금융 부문(주로 동·동남아시아)을 표적으로 삼아왔다. GRAYRABBIT은 원격 명령 셸, 양방향 파일 이동, 공격자 서버에서 추가 모듈 로드 기능을 제공한다. Sogou 입력기는 Citizen Lab의 2023년 연구 기준 월 4억 5,500만 명 이상이 사용하며 중국 입력기 시장의 약 70%를 차지한다
4. GitLab, 최고 심각도 경로 순회 결함 CVE-2026-85706 — 자체 호스팅 서버 즉시 패치 권고
GitLab이 자체 호스팅(self-managed) 설치 사용자들에게 최고 심각도(maximum-severity) 경로 순회 취약점 CVE-2026-85706에 대한 즉시 패치를 권고했다. 결함은 GitLab Community Edition(CE)과 Enterprise Edition(EE) 버전 19.3.2, 19.2.6, 19.1에서 수정됐다.
- 원인: 저장소 커밋 API의 부적절한 경로 제한(path confinement)과 인증 강제 누락 — 무인증 공격자가 '특정 조건에서' 자격증명·시크릿 등 민감 정보를 포함한 임의 데이터를 서버에서 읽을 수 있음
- 제보: 보안 연구자 's3ntago' 핸들이 GitLab의 HackerOne 버그바운티 프로그램을 통해 보고. 아직 실제 악용 징후는 표시되지 않음
- 패치 안내: "이 버전들은 중요한 버그·보안 수정을 포함하므로 모든 자체 관리 GitLab 설치를 즉시 업그레이드할 것을 강력히 권장한다" — GitLab.com은 이미 패치된 버전을 운영 중이고, GitLab Dedicated 고객은 조치가 필요 없음
- 배경: GitLab은 2023년 5월에도 소스코드·자격증명·토큰을 노출하는 최고 심각도 경로 순회 결함 CVE-2023-2825를 수정한 바 있어, 유사 유형의 재발이다
출처: BleepingComputer - GitLab urges users to patch max severity path traversal flaw
5. Microsoft Defender 'ShieldCrash' 제로데이 공개 — ShieldBreak(CVE-2026-69414) 미흡한 패치 우회, SYSTEM 권한
익명 연구자 'Nightmare Eclipse'가 9월 패치 데이 업데이트 직후 Microsoft Defender 제로데이 익스플로잇 'ShieldCrash'를 공개했다. ShieldCrash는 지난 6월 공개돼 7월에 패치된 RoguePlanet을 우회했던 ShieldBreak(권한 상승) 결함을 다시 우회하는 익스플로잇이다.
- 영향: 연구자에 따르면 ShieldCrash PoC는 완전히 패치된 Windows 10·Windows 11·Windows Server 시스템에서 SYSTEM 권한을 획득할 수 있게 한다 — 다만 침해 시스템에 대한 쓰기 권한까지 주지는 않는다
- 연구자 주장: "Microsoft가 ShieldBreak CVE-2026-69414를 제대로 패치하지 못했다. 특정 조건에서는 ShieldBreak가 일으킨 것과 정확히 동일한 문제를 여전히 유발할 수 있다"
- 패치 상황: 공식 패치는 아직 없으며, BleepingComputer가 논평을 요청했을 당시 Microsoft 대변인은 즉시 답변하지 않았다. 연구자는 과거에도 Defender 결함에 대해 비공식 패치를 공개해 온 인물이다
- 시사점: Defender의 권한 상승 결함 계보(RoguePlanet → ShieldBreak → ShieldCrash)가 이어지며, 패치 이후에도 동일 근본 원인이 남아 있는지 검증하는 것이 중요해졌다
출처: BleepingComputer - New Microsoft Defender 'ShieldCrash' zero-day grants SYSTEM access · BleepingComputer - Microsoft Defender 태그
6. EU 사이버 복원력법(CRA) 24시간 취약점 신고 의무 발효 — ENISA 단일 신고 플랫폼 가동
EU 사이버 복원력법(CRA) 제14조의 의무 신고 규정이 9월 11일자로 발효됐다. EU 시장에 디지털 요소를 갖춘 제품을 공급하는 제조사는 소재지와 무관하게(규정상 면제 대상 제외) 적용되며, 악용 중인 취약점을 인지하면 정해진 시한 안에 당국에 신고해야 한다.
- 신고 시한: 악용 중인 취약점을 인지한 뒤 24시간 내 조기 경고(early warning), 이어서 72시간 내 상세 통보 — 중대 사고에도 동일한 시한 적용
- 신고 창구: ENISA의 '단일 신고 플랫폼(SRP)'을 통해 CRA상 지정된 조정 CSIRT에 제출 — EU 제조사는 주 사업장이 있는 회원국의 CSIRT, 역외 제조사는 별도 규칙으로 조정 기관이 정해짐
- 사용자 통지: 악용 취약점·중대 사고가 발생하면 영향받는 사용자에게 적절한 경우 통지해야 하며, 이용 가능한 수정·완화책 정보를 부당한 지연 없이 제공해야 함
- 제재: 위반 시 최대 1,500만 유로(약 1,740만 달러) 또는 전 세계 연매출의 2.5% 중 큰 금액. 이번 신고 의무는 CRA의 '핵심 책임(core responsibility)'으로 분류돼 최대 과징금 대상에 해당
- 남은 일정: 나머지 CRA 조항 대부분은 2027년 12월 11일 적용 — 보안 내장 설계, 기본 비밀번호 금지, 보안 업데이트 의무화, 적합성 평가 후 CE 마크 부착이 의무화된다
출처: The Register - EU's Cyber Resilience Act starts the 24-hour vulnerability clock · Industrial Cyber - EU Cyber Resilience Act vulnerability reporting begins
7. 마케팅 플랫폼 Brevo의 SAML SSO 결함 악용 — Trezor 고객 34.7만 명에게 피싱 메일
하드웨어 암호화폐 지갑 업체 Trezor는 자사 뉴스레터에 쓰는 3자 마케팅 플랫폼 Brevo가 침해되면서 고객 약 347,000명이 피싱 이메일을 받았다고 밝혔다. Brevo는 자사의 SAML 싱글사인온(SSO) 처리 방식을 공격자가 악용해 138개 계정에 접근했다고 설명했다.
- 공격 방식: 공격자가 Brevo 계정을 만든 뒤 그 계정에 SSO를 활성화하고 정당한 Brevo 사용자들을 해당 SSO 구성으로 초대 — 이후 자체 신원 제공자(IdP)를 이용해 '초대된 사용자'로 로그인하는 방식으로, 자체적으로는 정상 동작에 해당
- 유출 규모: 공격자는 총 43개 계정에서 연락처를 빼냈고, 그중 하나가 Trezor의 이메일 목록이었다. Brevo 고객사에는 Trezor 외에 BitBox, CoinTracking 등도 포함된 것으로 보인다
- 피싱 내용: 제목이 "Critical Security Alert: STM32 Entropy Vulnerability(중대 보안 경고: STM32 엔트로피 취약점)"인 메일이 악성 웹사이트 링크를 포함해 발송됐다. Trezor는 피싱에 쓰인 구체적 수법은 공개하지 않았다
- 시사점: SaaS 마케팅 플랫폼의 SSO 초대 흐름이 공급망 공격의 진입점이 될 수 있음을 보여주는 사례로, 고객사 이메일 목록이 통째로 유출되면 피싱 신뢰도가 크게 올라간다
출처: SecurityWeek - Trezor Says 347,000 Users Received Phishing Emails After Brevo Hack · BleepingComputer - Trezor: 347,000 users targeted in phishing attacks after Brevo breach
8. Surfshark, 잘못 구성된 내부 테스트 서버 침해 — 시스템 바이너리·내부 설정 유출
VPN·보안 서비스 업체 Surfshark가 내부 시스템 일부가 침해된 사고를 공개했다. 사고 보고서에 따르면 인터넷에서 접근 가능하도록 잘못 구성된(misconfigured) 내부 테스트 서버에 위협 행위자가 접근했다.
- 유출 범위: 서버에는 제한적인 내부 엔지니어링 자료가 있었고, 여기에는 일부 서비스의 '시스템 바이너리 일부와 내부 설정'이 포함 — 사용자 데이터에 접근할 수 있는 권한은 없었다고 회사는 설명
- 자격증명: 코드 이력에 커밋돼 있던 내부 빌드 관련 자격증명을 발견하고 교체 조치
- 대응: Surfshark는 억제·복구 조치를 진행하고 있으며, 광범위한 인프라 환경의 보안 태세를 평가하기 위한 추가 독립 보안 감사를 실시할 예정이라고 밝혔다
- 시사점: 테스트·프록시용 내부 서버가 인터넷에 노출되는 사고가 반복되고 있어, 비운영 환경 서버의 구성 관리가 주요 위험 요인으로 남아 있다
출처: SecurityWeek - Surfshark Systems Targeted by Hackers · BleepingComputer - Surfshark VPN says hackers breached internal testing, proxy servers
9. IDScan, 1억 5,300만 건 운전면허 스캔 유출 확인 — 신원확인 클라우드 플랫폼 침해
신원확인(identity verification) 업체 IDScan.net은 다크웹에서 1억 5,300만 건 이상의 운전면허 스캔이 담긴 데이터베이스가 유통된 지 며칠 만에 고객 데이터가 무단 접근됐음을 확인했다. 루이지애나에 본사를 둔 이 회사는 렌터카 업체, 소매점, 대마초 판매점 등에 신분증 검사 서비스를 제공한다.
- 회사 공지: 9월 4일 웹사이트에 "2026년 9월 1일경 데이터가 무단으로 접근됐을 가능성을 시사하는 정보를 입수했다. 즉시 시스템 보안 조치를 취하고 3자 전문가를 투입해 사고의 전체 성격과 범위를 파악 중"이라고 게시
- 유출 가능 데이터: IDScan 클라우드 플랫폼 계정에 저장된 고객 정보로, 이름과 운전면허증 등 정부 발급 신분증 번호가 위험에 노출
- 대응: 회사는 접근에 '비용이 따랐다'고 표현하면서도 영향 가능자에게 '만일을 대비해' 통지하고 무료 신용 모니터링과 신원 보호 서비스를 제공 중
- 시사점: 신분증 원본 스캔을 대량 보관하는 신원확인 업체가 공급망의 단일 실패점이 될 수 있음을 보여주며, 유출된 신분증 데이터는 재사용·계정 개설 사기에 악용될 위험이 크다
출처: Help Net Security - IDScan confirms breach after 153 million driver's licenses leak on dark web · BleepingComputer - IDScan confirms breach tied to 153 million stolen driver's licenses
10. Anthropic, 중국계 AI 랩 7곳의 '산업적 규모' Claude 증류 공격 차단 — 1억 5,100만 건 교환 관습
Anthropic은 9월 10일(목), 알리바바·문샷(Moonshot)·딥시크·Z.ai(지푸)·MiniMax 등 중국 소재 7개 AI 연구소가 Claude를 대상으로 벌인 '산업적 규모의 불법 증류(illicit distillation) 공격'을 식별해 차단했다고 밝혔다. 지식 증류 자체는 정당한 학습 기법이지만, 불법 증류는 도난 카드·자격증명·API 키로 만든 가짜 계정 네트워크를 동원해 모델의 역량을 무단 복제하는 캐페인을 뜻한다. 9월 10일 NSA·CISA·FBI가 중국 AI 기업들의 프론티어 모델 증류를 바난한 데 대한 업체 차원의 후속 조치 성격이다.
- GTG-16005(알리바바 연계): 2026년 5~7월 1억 5,100만 건의 교환을 관습 — Anthropic이 측정한 '역대 최대 증류 공격'. 하루 최대 약 300만 건, 3,500개 이상의 사기 계정에서 에이전트 작업·소프트웨어 엔지니어링·커널 개발·장시간 과제를 겨냥해 Claude Opus 4.6·4.7의 사고 연쇄(CoT) 추론 기록을 탈취
- GTG-16002(Moonshot AI): 5~7월 2,300만 건 — 고객 요청을 Kimi가 아닌 Claude로 은밀히 재라우팅하고 Claude의 응답을 사용자에게 표시. 10일간 5,380개 사기 계정(대부분 싱가포르·일본 소재) 프록시망으로 약 30만 건의 고객 요청을 중계하고 일부를 저장해 CoT 모델 학습에 사용
- GTG-16001(딥시크): 2026년 7월 14일간 1,200만 건 이상 — Moonshot과 동일하게 사용자 요청을 조용히 중계하는 방식. 증류 학습에 DeepSeek·샤오미·Moonshot이 자사 모델과 사용자 간 대화를 Claude에 입력
- 접근 수법: 전달·중계소(proxy) 서비스를 통해 가상 신원·위조·도난 신용카드·불법 수집 API 키로 수천 개 신규 계정 생성. 제3자 리셀러에게서 사용자 대화 기록을 구매하거나, 사용자 동의 없이 요청을 Claude로 재라우팅해 대화를 수집하고, 프롬프트 조작으로 방어 우회를 시도. 일부 교환에는 개인 사용자·다국적 기업·국가 관련 행위자의 민감 정보가 포함됐다고 Anthropic은 밝혔다
- 범위: 2026년 2월 이후 중국 기반 랩의 불법 증류 캐페인 6건 탐지 — 노리는 역량은 에이전트·도구 사용, 코딩·데이터 분석, 논리 추론
11. 플로리다 DMV 데이터베이스 침해 확인 — 경찰관 개인기기에 저장된 자격증명이 발판
플로리다 고속도로안전·자동차국(FLHSMV)이 운전자 정보 시스템 DAVID 데이터베이스가 침해됐음을 확인했다. 앞서 ShinyHunters 갈취 그룹이 DAVID를 해킹해 20만 건 이상의 운전자 기록을 탈취했다고 주장한 데 따른 공식 확인이다.
- 기관 발표: "2026년 9월 4일 국제 사이버범죄 조직에 의한 데이터 침해를 인지했으며, 침해는 신속히 차단돼 추가 침해나 진행 중인 침해는 없다" — 플로리다 법무장관실에 통보하고 디지털서비스국·법집행국과 공동 대응 중
- 공격자 진입 경로(기관 조사): Plant City 경찰서 사용자 1명의 훼손된 자격증명 — 해당 직원의 개인 전자기기에 부적절하게 보관돼 있었다
- 해커 주장과 불일치: ShinyHunters는 비밀번호 재설정 결함을 악용해 DMV 직원·FBI 요원 계정을 포함한 다수 DAVID 계정에 접근했고, 9월 3일부터 레코드 ID를 순회하며 HTML 페이지·이미지를 내려받았다고 주장. 증거로 제프리 엡스타인 관련 DAVID 레코드 스크린샷을 공개했다
- 미확인 사항: FLHSMV는 접근·탈취된 레코드 수를 공개하지 않았고 20만 건 주장도 확인하지 않았다. 형사 조사가 진행 중이라 추가 정보는 추후 공개 예정
출처: BleepingComputer - Florida confirms DMV database breached via stolen police account
12. '패스키 갱신' 미끼 피싱 → Microsoft 365 데이터 탈취 — ShinyHunters·Helix 생태계
Microsoft는 ShinyHunters·Helix 등 갈취 조직과 연계된 위협 행위자들이 패스키·싱글사인온(SSO) 테마의 사회공학 공격으로 기업 Microsoft 계정을 장악하고 Microsoft 365 데이터를 탈취하고 있다고 밝혔다. 활동은 2026년 5월부터 관습됐다.
- 수법: 조직·직원을 사전 조사한 뒤 기업 IT 헬프데스크를 사칭해 전화·메시지로 접근, "패스키·MFA·SSO 구성을 긴급히 갱신하지 않으면 접근 권한을 잃는다"고 겁을 준다. 링크는 직원 개인 휴대폰으로 문자 발송되기도 한다
- 핵심 — 패스키를 등록시키는 것이 아니다: 패스키 미끼는 미끼일 뿐, 실제로는 적대적 중간자(AiTM) 피싱 사이트에 로그인하게 만들어 자격증명과 세션 토큰을 탈취하거나, Microsoft의 정상 인증 페이지를 악용한 디바이스 코드(device code) 인증 흐름을 쓰게 만든다
- 인프라: 기업명 + 패스키·SSO·키 동기화·계정 설정·신원 확인 관련 단어를 조합한 피싱 도메인 등록 — passkeyhelpdesk[.]com, secure-passkey[.]com, setupmypasskey[.]com, add-passkey[.]com, integratedsso[.]com, oktasession[.]com, keysyncos[.]com, oskeysync[.]com 등. 회사명을 서브도메인(company-name.secure-passkey[.]com)에 넣어 로그인 포털처럼 위장
- 귀속: 초기 접근은 같은 갈취 생태계의 복수 행위자 — ShinyHunters·Falcon 갈취와 연계된 Storm-3121, BlackFile 구성원이 Helix 이름으로 활동하는 Storm-3032. Google Threat Intelligence가 문서화한 공격과도 걹친다
출처: BleepingComputer - Passkey-themed phishing attacks lead to Microsoft 365 data theft
13. IMEI만 알면 남의 휴대폰·알람패널을 원격 차단 — 비용 2.5~4달러, 20~80초
미시간주립대 등 4개 대학 연구진은 봉인된 상자에 인쇄된 IMEI를 복사해 '분실'로 신고한 뒤 상자를 열어 개통한 신형 스마트폰이 통신망에 접속하지 못하게 되는 것을 확인했다. 통신사가 분실·도난 기기를 차단하는 체계 전반에서 6개 결함을 찾아냈으며, 미국 3대 통신사와 리셀러에서 실험했다.
- 비용·시간: 소유하지 않은 기기를 차단하는 데 2.50~4달러, 20~80초. 표적은 휴대폰에 국한되지 않고 가정용 알람 패널도 가능하다
- 신원 확인 허술: 3사 모두 선불 계정 개설 시 SSN·정부 발급 신분증을 확인하지 않았고, 선불 가입자도 동일하게 분실 신고가 가능했다. 선불 요금제는 월마트 매대에서 산 익명 Visa 기프트카드로 결제할 수 있다
- 소유권 검증이 '기기 이력'으로 대체: 통신사는 기기가 계정에 붙어 있었는지로 소유를 추정할 뿐 소유자를 확인하지 않는다. 한 통신사는 1초 부착만으로, 나머지 둘은 1분이면 충분했고, 스푸핑된 기기로 이력은 즉석에서 만들 수 있다
- 신고 가능 기기 범위 남용: 스마트워치, 산업장비용 셀룰러 개발보드, 해당 통신사 주파수로 동작 자체가 불가능한 휴대폰까지 3사 모두 신고가 통과됐다. 신고되면 기기는 다시 망에 붙지 못한다
- 공격 1 — 알람 무력화: 알람 게이트웨이의 Wi-Fi를 끊어 셀룰러 백업으로 유도한 뒤 소형 가짜 기지국으로 IMEI를 요청(실험 17초, 이후 기지국을 꺼 탐지 흔적 없음). 나중에 다시 Wi-Fi를 끊고 분실 신고를 넣으면 게이트웨이가 셀룰러로 낙하한 뒤 망에 붙지 못해 알람이 집주인·관제센터에 도달하지 않는다. 취약 칩셋 2개 벤더의 합산 점유율이 40%를 넘고, 미국 알람시장 상위 2개 사업자가 41% 이상을 차지하며 수도·전력 계량기, 산업용 센서, 심장 모니터에도 같은 칩이 들어간다
- 공격 2 — 출시 전 기기 차단: IMEI는 출시 전에 부여되며 공급망 검증 업체에서 DB를 살 수 있다 — 연구진은 600달러에 전체 DB, 월 30달러에 갱신을 구입해 갤럭시 Z Fold 7 번호가 출시(2025-07-25) 전에 등재돼 있음을 확인. 선불 계정 1개로 기기 10대 신고가 가능했고, Z Fold 7 100대 차단에 계정 10개·250~400달러·33분~2시간이면 충분했다(기기 가치는 20만 달러)
- 복구의 어려움: 피해자는 아무 통보도 받지 못하고 서비스가 그냥 멈춘다. 해제하려면 IMEI가 적힌 영수증 등 소유 증명과 신원 확인이 필요하고, 신고가 다른 통신사를 통해 들어왔다면 GSMA의 전역 차단 목록까지 거쳐야 해 지연이 커진다. 역설적으로 한 통신사에서 분실 신고된 기기가 7일 뒤 다른 두 통신사에서는 정상 동작해 전역 목록 동기화도 이루지지 않고 있었다
출처: Help Net Security - Getting a stranger's phone kicked off the cellular network costs a few dollars
14. Conti 랬섬웨어 개발자, 미국서 4년형 선고 — 최대 20년 가능했던 협의
미국 법원이 Conti 랬섬웨어 조직에서 활동한 우크라이나 국적 올렉시 올렉시요비치 리트비네코(44)에게 징역 4년을 선고했다. 그는 2023년 아일랜드에서 체포돼 2025년 말 미국으로 송환됐다.
- 협의: 2026년 6월 전신사기(wire fraud) 유죄를 인정 — Conti 조직의 멀웨어 개발을 도왔고 도난 피해자 데이터를 소지한 사실을 시인했다. 최대 20년형이 가능했던 협의다
- 활동 기간: 당국은 2020~2022년 Conti 활동으로 봤으나 본인은 2021년 9월 합류를 인정. 멀웨어 로더 개발을 도왔고, 조사 결과 Conti 조직이 종료된 뒤에도 체포 시점까지 랬섬웨어 공격에 관여한 것으로 드러났다
- Conti 규모: 최소 1억 5,000만 달러의 몽샒을 받은 것으로 추정되며, 30개국 이상(미국 대부분의 주 포함) 조직을 표적으로 삼았다
- 연속 단속: 몇 달 전 Karakurt 협상 담당 라트비아 국적 데니스 졸로타료프스에게 8.5년, 지난달 Ransom Cartel 창설·운영 벨라루스 국적자에게 16년이 선고되는 등 랬섬웨어 핵심 인물에 대한 형이 이어지고 있다
출처: SecurityWeek - Ukrainian Conti Ransomware Developer Sentenced to 4 Years in US Prison
15. 9월 Windows Server 누적 업데이트, 원격 데스크톱 서비스(RDS) 장애 유발
Windows 관리자들이 2026년 9월 누적 업데이트 설치 후 Windows Server 2019·2022·2025에서 원격 데스크톱 서비스(RDS)가 실패한다고 보고하고 있다. 사용자 연결이 막히고 일부 환경에서는 기능 복구에 강제 재부팅(hard reset)이 필요했다.
- 증상: 설치 후 몇 시간은 정상 동작하다가 연결이 실패하기 시작 — 기존 원격 데스크톱 세션이 정상적으로 끊기거나 로그오프되지 않고, 새 연결 시도는 연결 과정에서 멈쳤다가 실패한다. 재부팅으로도 해결되지 않는 사례가 있었다
- 영향 KB: Server 2019(KB5122876), Server 2022(KB5122882), Server 2025(KB5122871) — 모든 Windows Server 버전에서 유사 보고가 나왔다
- 원인 추정(미확인): 한 관리자는 사용자 로그아웃 시점부터 RDP 서비스가 응답하지 않으며, 디버깅 결과 RDPSERVERBASE!WDLIB_Close에서 멈춰 RDP와 로컬 세션 관리자(LSM) 사이 데드락으로 보인다고 보고 — Microsoft는 이 원인을 확인하지 않았다
- 대응 딜레마: 9월 업데이트를 롤백하면 원격 데스크톱 기능이 복구되지만 이번 패치 데이의 보안 수정도 함께 사라진다. Microsoft는 보고를 인지하고 조사 중이며 지침이 마련되는 대로 공유하겠다고 밝혔다
출처: BleepingComputer - September Windows Server updates break Remote Desktop Services
목록으로 돌아가기