1. [사건] 日 IDCF Cloud 랜섬웨어 — 소프트뱅크 자회사 클라우드 마비, 495개 기관 피해 · ‘7분’ 침투 주장
소프트뱅크그룹 자회사 IDC Frontier가 운영하는 클라우드 서비스 IDCF Cloud가 랜섬웨어 공격으로 동일본 리전 인프라가 격리·중단됐다. 피해 범위는 495개 기업·지방자치단체로 확대됐고, 철도·경찰·식품 공급망 등 공공·산업 고객이 함께 흔들렸다.
- 공격 규모 공표: IDC Frontier는 침해 확산을 막기 위해 동일본 리전 1(East Japan Region 1)을 격리·차단했고, 전 지역 관리 콘솔 접속을 선제적으로 막았다. 회사는 495개 사가 영향을 받았다고 밝혔으며 침입 경로와 다른 리전 보안을 확인 중이다.
- 공격자 주장(미검증): 고객 화면에 남은 공격자 메시지는 7분 만에 침투했다고 주장하며 DB 225개(3.6PB), 하이퍼바이저 239대, VM 디스크 16,000개 봉인, 스냅샷 554,153개 삭제를 주장했다. ‘주장’이며 아직 검증된 수치는 아니다.
- 연쇄 피해: 일본 수산식품 기업 닛스이(Nissui)의 물류 자회사도 제3자 데이터센터 무단 접속 의심으로 시스템 장애를 겪어 입출하가 멈췄다. IDCF Cloud 사건과의 연관성은 아직 확인되지 않았다.
- 배경 수치: 맥니카(Macnica) 집계로 올해 일본에서 공개된 개인정보 탈취·유출 사고는 119건(2025년 84건, 2024년 62건)이며 그중 81건이 7월 이후에 몰렸다. 공격자들은 웹사이트·API의 접근제어·설정·인증 약점을 훑고 있다.
출처: BleepingComputer - Ransomware attack disrupts Japan’s IDCF Cloud used by govt clients
2. [사건] 니혼콜롬비아 악성코드 → 다이이치코쇼 가라오케 고객 870만 건 노출 — 협력업체가 발판
일본 최대 가라오케 기업 다이이치코쇼(빅에코 체인 운영)가 위탁 개인정보 처리업체 니혼콜롬비아 직원 PC에서 악성코드가 발견됐다고 공표했다. 고객 863만여 건과 직원 9만3천 건, 합계 870만 건이 노출 위험에 놓였다.
- 유출 항목: 이름, 성별, 생년월일, 이메일 주소, 전화번호. 비밀번호는 포함되지 않았고, 포인트 부정 사용 증거는 아직 확인되지 않았다.
- 경위: 니혼콜롬비아그룹(NCG)은 10월 5일 다이이치코쇼에 통보했고 다음 날 감염 시스템을 격리하고 자격증명을 재설정했다. 다이이치코쇼는 자사 시스템 자체가 침해된 것은 아니라고 밝혔다.
- 영향 브랜드: BIG ECHO, MEGA BIG, カラオケCLUB DAM, Banana Club, B-GARAGE, DK Dining 이용 고객.
- 시사점: 협력업체 직원 PC 한 대의 감염이 본사가 보유한 전 브랜드 고객 데이터로 번졌다. 제3자·위탁 관리가 곧 대규모 유출 규모를 결정한다는 전형적 사례다.
출처: BleepingComputer - Nippon Columbia malware incident exposes 8.6 million karaoke fan records
3. [사건] 日 웹 데이터 유출 급증 — JPCERT/CC 경보: 모바일 앱 API 악용 · Metabase 결함
일본 JPCERT/CC가 10월 8일 경보를 내고, 조직들의 개인정보 유출이 잇따르는 배경으로 모바일 앱 뒤편 API 악용과 알려진 제품 결함 악용을 지목했다. 특정 공격자·피해 조직을 명시하지 않은 ‘부분적·단편적’ 정보라는 단서도 함께 달았다.
- 규모: 파크24(Park24)는 타임스카 셰어링 웹시스템에서 약 660만 계정 정보가 제3자에 넘어갔다고 9월 28일 밝혔고, 다음 날 운전면허증 이미지 등 신분증이 약 160만 계정에서 유출됐다고 추가 공표했다. 야키니쿠킹을 운영하는 모노가타리는 앱 회원시스템에서 10,788,963건 유출을 알렸다(10월 5일 보도).
- 침투 패턴 3가지: ① 공개 앱을 분석해 API 엔드포인트·키 추출 ② 앱 화면으로는 접근 불가한 내부 API 공격 — 권한 변경·무단 계정 생성·헤더/토큰 변형 비교·blind NoSQL 인젝션 ③ 다른 시스템 침해로 탈취한 API 키 재사용. 악용 결함은 과다 데이터 반환, 과도한 권한, 익명 접근 가능한 회원 기능, 로직 오류, 세션 관리 결함 등이다.
- 제품 결함: 유일하게 이름이 오른 제품은 BI 도구 Metabase이며 결함은 CVE-2026-72898(SQL 인젝션)이다. 최소 안전 릴리스 이상으로 업그레이드하도록 권고했다.
- 국경 밖 확산: 맥니카는 13개국에서 유사 사례 99건을 확인했고, 그중 한국이 30건으로 가장 많았다(프랑스 11, 폴란드 8).
출처: The Hacker News - Japan Sees Sharp Rise in Web Data Leaks Amid Mobile API Abuse and Metabase Attacks
4. [사건] UAC-0099의 새 무기 ASHVEIN RAT · MATCHBOIL — 우크라이나 정부 겨냥 ‘은닉 지령’
러시아 연계 위협 행위자 UAC-0099가 새 .NET 정보탈취·원격접속 트로이목마 ASHVEIN(개발자 내부 명칭 TelemetryBrowser)을 우크라이나 정부 인사 공격에 투입한 것으로 분석됐다. TrendAI는 이 클러스터를 Earth Sirrush로 추적한다.
- ASHVEIN 기능: 크롬·파이어폭스 자격증명 탈취, GDI 기반 화면 캡처, 파일 열람·회수, PowerShell 원격 셸 실행, 시스템 지문 수집, 암호화된 C2 통신을 한 몸에 담았다.
- 은닉 기법: 보이지 않는(invisible) HTML 요소 안에 공격 지령(tasking)을 숨긴다. 일부 변종은 GitHub 기반 dead drop resolver를 폴백으로 쓰고, 전달 경로는 DLL 사이드로딩·VHD 컨테이너·전용 .NET 드로퍼다.
- MATCHBOIL: ESET는 UAC-0099가 쓰는 다운로더 MATCHBOIL의 약 2년치 변화를 추적했다. 윈도우에 2차 감시 프로그램을 심고, 그 접근 권한은 다른 그룹에도 유용할 수 있다고 봤다.
- 위협 맥락: UAC-0099는 2022년부터 우크라이나 정부·국방·국경수비·물류 조직을 겨냥했고, Sandworm의 초기 침투 브로커 역할을 할 수 있다는 평가가 있다.
출처: The Hacker News - UAC-0099 Targets Ukrainian Government Personnel With ASHVEIN RAT | Help Net Security - What is MATCHBOIL? (week in review)
5. [취약점] openPDC·openHistorian OT 콘솔 — CISA 경고: 도커 이미지에 하드코딩된 관리자 자격증명(9.8)
전력계통 데이터 수집·분석 소프트웨어 openPDC·openHistorian에서 CVSS 9.8 치명 결함 2건이 CISA ICS 권고(ICSA-26-281-02)로 공개됐다. 배포용 도커 이미지에 고정 관리자 자격증명이 들어 있는 것이 핵심이다.
- CVE-2026-105278(9.8): 공개된 도커 이미지에 최초 사용 시 변경을 강제하지 않는 고정 관리자 자격증명이 포함된다. 관리 인터페이스에 네트워크 접근이 가능한 공격자는 그 자격증명으로 전체 관리자 권한을 얻는다.
- CVE-2026-100730(9.8): 서비스 콘솔 인터페이스가 클라이언트가 보낸 데이터 구조를 역직렬화한다. Windows 인증을 쓰는 환경에서는 인증이 필요하지만, 쓰지 않는 환경에서는 무인증 원격 공격자가 임의 객체 그래프 역직렬화를 유발할 수 있다.
- 왜 위험한가: 변전소·계통 모니터링 같은 OT 자산에 컨테이너 형태로 배치되는 경우가 많아, 이미지 자격증명 미교체 + 네트워크 노출이 겹치면 즉시 장악으로 이어진다. 도커 이미지 사용 조직은 자격증명 교체와 관리 인터페이스 격리를 최우선으로 해야 한다.
출처: CISA - ICSA-26-281-02 (openPDC/openHistorian) | NVD - CVE-2026-105278 | NVD - CVE-2026-100730
6. [취약점] FalkorDB 그래프 DB 무인증 RCE 4건 — AI·GraphRAG 인프라 직격
그래프 데이터베이스 FalkorDB의 Bolt·RDB 처리 경로에서 CVSS 9.8~9.1 힙 메모리 결함 4건이 공개됐다. Redis 프로토콜 포트가 노출된 인스턴스에서는 무인증 상태로 원격 코드 실행까지 가능하다.
- CVE-2026-107908(9.8): Bolt RESET 메시지의 청크 크기를
ASSERT()로만 검사하는데, 릴리스 빌드에서 어서션이 제거돼 힙 OOB write로 이어진다. Bolt 포트로 조작된 메시지만 보내면 DoS·코드 실행 가능. 4.20.0에서 수정. - CVE-2026-5759(9.8): RDB 그래프 디코더의 이중 해제·use-after-free. 패스워드 미설정 인스턴스에 Redis 복제 명령을 보내 redis-server 프로세스에서 코드를 실행할 수 있다. 4.18.1에서 수정.
- CVE-2026-7826(9.1) / CVE-2026-107909(9.1): 각각 힙 OOB read(서브버퍼 길이 필드 조작)와 WebSocket 64비트 확장 페이로드 길이 미검증으로 인한 힙 OOB write. 4.18.4·4.20.0에서 수정.
- AI 인프라 관점: GraphRAG·에이전트 메모리 저장소로 FalkorDB 채택이 늘면서 ‘AI 파이프라인 뒤편의 DB’가 새 공격면이 됐다. 패스워드 설정, Bolt 포트 외부 노출 차단, 4.20.0 이상 업그레이드가 필요하다.
출처: NVD - CVE-2026-107908 | NVD - CVE-2026-5759 | GitHub - FalkorDB v4.20.0 릴리스
7. [취약점] 플러그인·결제 모듈 대량 결함 — Zombify 웹셸 업로드 10.0 · 결제 서명 위조 9.8
10월 9일 NVD에는 WordPress 생태계와 결제 모듈, 컨테이너 도구 전반의 9점대 결함이 한꺼번에 올라왔다. 공통 원인은 인증 없는 파일 업로드와 서명·권한 검증 누락이다.
- CVE-2026-94503(10.0): PX-lab Zombify 1.7.7 이하의 위험 파일 형식 무제한 업로드 결함. 웹셸을 올려 서버를 장악할 수 있어 이번 배치 최고 위험도다.
- CVE-2026-85531·86405(9.8): Sipay 전자화폐·결제 서비스의 OpenCart·PrestaShop 가상 POS 모듈이 암호학적 서명을 제대로 검증하지 않아 서명 위조가 가능하다(OpenCart 모듈 26.8.2 → 26.9.1).
- Blind SQL 인젝션 9.3 도배(6종): Traveler 3.2.9 이하, WPLMS 1.9.9.8.2 이전, JNews Pay Writer, tagDiv Opt-In Builder, Ajax Search Pro 4.29.1 이하, EduAdmin Booking — 서로 다른 벤더에서 같은 유형이 하루에 몰려 나왔다.
- CVE-2026-107935(9.3): 컨테이너 네트워크 포워더 gvproxy(gvisor-tap-vsock)의
/services/forwarder/expose엔드포인트가 호출자 지정 소켓 경로를 검증하지 않아, 무인증 공격자가 호스트의 임의 파일을 삭제할 수 있다(Podman 데스크톱 계열 영향).
출처: NVD - CVE-2026-94503 | NVD - CVE-2026-85531 | NVD - CVE-2026-107935 | Patchstack - Zombify 1.7.7 임의 파일 업로드
8. [패치] 내일(10/13) 10월 패치 화요일 · 주말 새 긴급 패치 없음 · Galaxy 10월 업데이트
주말 동안 새 긴급 패치는 나오지 않았다. 관심은 내일 예정된 10월 패치 화요일(10/13)로 모인다. 9월이 MS 전 제품 973 CVE로 역대 최다를 기록한 뒤 첫 대규모 배치다.
- 캘린더: 10월 Patch Tuesday는 10/13. Ivanti 예측은 이번 달 관전 포인트를 ‘Office 정리’로 본다 — 지원 종료된 Office 2016/2019에 월 단위 보안 업데이트가 계속 나오는데, KB5002907(구버전 Microsoft 365 갱신) 배포 후 Office가 제거·비활성화되는 사태가 벌어져 MS가 배포를 일시 중단했다. 마이그레이션 대상·채널 혼선도 계속되고 있다.
- KEV 현황: 연방기관 패치 마감일은 10/11(일)로 종료됐다. 카탈로그는 1,739건까지 늘었지만 신규 등록은 10/8 Flax Typhoon 관련 5건이 마지막으로, 주말 동안 새 악용 등록은 없었다.
- 모바일: 삼성 10월 보안 업데이트는 Galaxy 기기 전반에 결함 76건(치명 9건 포함)을 배포 중이고, Android 17 10월 업데이트도 픽셀 수정 3건을 포함해 롤아웃 중이다.
출처: Help Net Security - October 2026 Patch Tuesday forecast: Time for an Office cleanup | Google News 검색 - Samsung 10월 보안 업데이트(TechRepublic·SammyGuru) | Google News 검색 - Android 17 10월 업데이트(9to5Google)
9. [트렌드] AI 기반 랜섬웨어·대량 탈취 — 분기 신기록과 숫자들
랜섬웨어 활동이 분기 신기록을 세우는 가운데, AI 보조 공격이 탈취 데이터 규모를 끌어올리고 있다는 보고서와 집계가 이어졌다. 오늘 다룬 일본 사례(IDCF Cloud·니혼콜롬비아)도 이 흐름 위에 있다.
- 분기 신기록: 3분기 랜섬웨어 공격이 새 기록을 세웠다는 집계(Infosecurity, 10/9)와 GuidePoint Security의 ‘피해자 수 전년 대비 75% 증가·역대 최고 활동량’ 보고(10/8)가 나란히 나왔다.
- AI 보조 탈취: Zscaler ThreatLabz 2026 랜섬웨어 보고서는 AI 보조 공격으로 데이터 탈취가 275% 급증했고, 탈취량 896TB, 갈취액 3억 2,800만 달러에 달한다고 집계했다. 피해자는 데이터를 빼앗긴 뒤 협상 테이블로 끌려간다.
- 자율·에이전트 악용: Forbes(10/7)는 AI 에이전트가 스스로 랜섬웨어 공격을 수행한 사례를 보도했고, 앞서 위협 행위자들이 코딩 에이전트 Cursor를 랜섬 작업에 악용한 사례도 보고됐다. 공격 자동화가 ‘도구 사용’에서 ‘자율 실행’으로 넘어가는 중이다.
출처: Google News 검색 - Infosecurity Magazine, Q3 2026 Sets New Record for Ransomware Attacks | Google News 검색 - GuidePoint Security, Victims Rise 75% Year Over Year | Google News 검색 - Zscaler ThreatLabz 2026 랜섬웨어 보고서
10. [트렌드] 노출된 인프라와 유출 후폭풍 — 유럽 풍력·태양광 8,547대 · 합의금·집단소송 · AI 감시 거버넌스
인터넷에 그대로 노출된 에너지 인프라, 유출 뒤 따라오는 소송과 합의금, 그리고 AI 감시를 통제하려는 시도가 나란히 부각됐다.
- 풍력·태양광 노출: Modat와 네덜란드 NCSC-NL이 EU 인근 35개국에서 인터넷에 노출된 풍력·태양광 시스템 8,547대를 확인했다. 태양광 7,942대(스페인 2,766대=35%, 그리스 1,860, 이탈리아 753, 독일 672 — 상위 4개국이 76%), 풍력 605대(독일 212, 이탈리아 192 — 67%). 어떤 터빈 페이지는 누구나 누를 수 있는 Start·Stop·Reset 버튼과 Siemens ET 200SP PLC 웹서버로 연결돼 있었고, 한 로그인 페이지엔 ‘기본 사용자명 root’가 적혀 있었다.
- 엣지 백도어: Rapid7은 ‘매직 패킷’을 기다렸다 조용히 동작하는 리눅스 백도어 BPFDoor가 메일 게이트웨이·엣지 장비를 노린다고 짚었다. 엔드포인트 에이전트를 설치할 수 없는 장비가 표적이며, 통신망이 뚫리면 국가 단위 위험으로 번질 수 있다.
- 유출 후폭풍: Cash App 유출 합의금 1,500만 달러 지급이 시작돼 최대 2,500달러가 지급된다(10/11 보도). 보안 침해 관련 법적 공방도 계속된다 — 로펌 Sheppard Mullin 피소(Reuters, 10/8)에 이어 뉴올리언스 소프트웨어 기업에 유출 관련 집단소송 19건이 제기됐다(10/11).
- AI 감시 거버넌스: 일본 군마대 후지이 유사쿠 교수는 AI가 분석하는 거리 CCTV의 오남용을 막기 위해 독립 기록 보관자, 예고 없는 현장 점검, 제재를 결합한 감사 체계를 설계했다. ‘AI가 AI를 감시하는’ 문제에 통제 장치를 붙인 사례다.
출처: Help Net Security - Thousands of wind and solar park systems sit exposed on the internet across Europe | Help Net Security - What the BPFDoor backdoor tells us · Who watches the AI watching your street | Google News 검색 - Cash App 합의금 지급 시작(NY Post·Quartz)