gyumin.log

주간 보안 Top 5 - 7.27 ~ 8.2

2026-08-02

이번 주 한눈에 콜드카드 지갑 펌웨어 결함으로 41분 만에 7천만 달러 상당 비트코인이 탈취되는 등 암호화폐를 노린 공격이 두드러진 한 주였다. 국내에서는 롯데카드 제재와 쿠팡 배상 결정으로 유출 사고의 책임이 구체적인 수치로 확정됐고, 북한발 npm 공급망 공격 규명과 클라우드·기업 솔루션의 초고위험 취약점 공개도 잇따랐다.

1. 콜드카드 지갑 결함, 41분 만에 7천만 달러 비트코인 탈취

분류 침해사고·유출 · 주요 대상 암호화폐 보유자·가상자산 서비스 운영자

선정 이유: 이번 주 공개된 사건 중 피해 규모가 가장 크고, ‘오프라인 지갑은 안전하다’는 하드웨어 지갑의 전제가 펌웨어 결함 하나로 무너질 수 있음을 보여준 사건이라 선정했다.

비트코인 하드웨어 지갑 ‘콜드카드’의 펌웨어 결함이 대규모 비트코인 도난 사건과 연결됐다. 공격자는 7월 30일 단 41분 동안 1,196개의 비트코인 주소를 쓸어가 당시 시세로 약 7,020만 달러 상당의 1,082.65 BTC를 탈취했다. Galaxy Research가 이 자금 이동을 매핑해 콜드카드 펌웨어 결함과 연결지으면서 사건의 전모가 드러났다.

하드웨어 지갑은 개인키(암호화폐 소유권을 증명하는 비밀 값)를 인터넷과 분리된 전용 기기에 보관해 온라인 해킹을 원천 차단하는 장치다. 그런데 이번 사건의 공격 흐름은 그 전제를 우회한다. ① 펌웨어 결함으로 개인키 생성에 쓰이는 값이 예측 가능해지고, ② 공격자가 이를 근거로 개인키를 역산하면, ③ 기기를 만지지 않고도 원격에서 해당 주소의 자산을 빼갈 수 있다. 기기가 오프라인이어도 키 자체가 약하게 만들어졌다면 격리는 의미가 없어지는 셈이다. 1,196개 주소가 41분 만에 정리됐다는 것은 공격자가 취약한 키 목록을 미리 확보해 두고 일괄 실행했음을 시사한다.

개인키의 안전은 ‘보관 위치’뿐 아니라 ‘생성 과정의 무작위성’에도 달려 있다는 점이 이번 사건의 교훈이다. 하드웨어 지갑 사용자는 제조사 권고에 따라 펌웨어를 최신으로 유지하고, 구버전 펌웨어로 생성한 지갑이라면 새 주소로 자산 이전을 검토해야 한다. 가상자산을 다루는 조직이라면 콜드월렛 기기의 펌웨어 버전 관리도 자산 보호 통제 항목에 포함할 필요가 있다.

관련 기사

2. 롯데카드 업무정지·쿠팡 배상 - 유출 책임이 수치로 확정

분류 정책·제도 · 주요 대상 기업 보안 담당자·CISO

선정 이유: 국내 대형 유출 사고 두 건의 책임이 같은 주에 업무정지·과징금·1인당 배상액이라는 구체적 수치로 확정돼, 개인정보를 다루는 모든 기업에 직접적인 선례가 되기 때문에 선정했다.

금융위원회가 297만 명의 고객 신용정보가 유출된 롯데카드 해킹 사고에 대해 신규 카드 발급 업무 1.5개월 정지와 과징금 50억 원 부과를 확정했다. 당초 논의되던 기관 제재보다 업무정지 기간이 줄어든 감경 결정이며, 전·현직 정보보호최고책임자(CISO, 기업의 정보보호를 총괄하도록 지정하는 임원)와 보안팀장에게 예고된 개인 제재는 금융감독원에서 재논의가 필요하다는 요구가 금융위 안건소위원회에서 제기됐다.

같은 주 소비자분쟁조정위원회는 쿠팡 개인정보 유출 집단분쟁조정 사건에서 피해자 1인당 현금 10만 원 또는 쿠팡캐시 10만 원을 배상하라고 결정했다. 이번 조정은 한국소비자원에 집단분쟁조정을 신청한 50명을 대상으로 하며, 쿠팡은 결정일로부터 15일 이내에 답변해야 한다. 수락하면 재판상 화해와 같은 효력이 발생하고 나머지 피해자들에게도 동일한 절차가 적용될 수 있다. 집단분쟁조정은 같은 피해를 입은 다수 소비자가 개별 소송 없이 한 번의 조정 절차로 구제받는 제도로, 개인이 대기업을 상대로 소송해야 하는 부담을 덜어준다.

두 결정을 나란히 놓으면 유출 사고의 비용 구조가 보인다. 감독당국의 업무정지·과징금이라는 기관 제재에 더해, 피해자 1인당 배상액까지 구체적으로 제시되면서 유출 사고가 곧바로 기업의 배상 책임으로 이어지는 흐름이 자리잡고 있다. 보안 실무자 입장에서는 유출 예방 통제뿐 아니라 사고 이후의 통지·배상 대응 체계까지 함께 점검해야 하며, CISO 개인 제재의 향방은 보안 책임자의 책임 범위와 처우에 직결되는 사안이므로 계속 주시할 필요가 있다.

관련 기사

3. AWS, npm 공급망 공격 4건 배후로 북한 ‘사파이어 슬릿’ 지목

분류 공급망 · 주요 대상 개발자·개발 조직

선정 이유: 별개로 보이던 대형 npm 침해 사건들이 하나의 북한 조직으로 묶이면서, 오픈소스 공급망 공격이 일회성이 아닌 지속 캠페인임이 확인됐기 때문에 선정했다.

아마존웹서비스(AWS)가 최근 18개월 동안 발생한 주요 npm 공급망 공격 4건을 동일한 북한 연계 해킹 조직의 소행으로 지목했다. AWS는 7월 30일 공개한 분석에서 타이포-크립토, 디버그, 초크, 액시오스 침해 사건의 배후를 ‘사파이어 슬릿’으로 평가했으며, 판단 신뢰도는 중간 수준으로 제시했다. 사파이어 슬릿은 라자루스 그룹과 연계된 것으로 알려진 북한 해킹 조직이다.

공급망 공격의 흐름은 이렇다. ① 공격자가 개발자들이 널리 쓰는 오픈소스 패키지 저장소(npm은 자바스크립트 패키지 저장소)의 인기 패키지를 침해하거나 유사 이름의 악성 패키지를 올리고, ② 개발자가 평소처럼 의존성을 설치하는 순간 악성 코드가 함께 내려오며, ③ 그 패키지를 쓰는 수많은 프로젝트와 서비스로 피해가 한 번에 확산된다. 개별 표적을 뚫는 대신 모두가 신뢰하는 상류(업스트림)를 오염시키는 방식이라 효율이 높고 탐지가 어렵다. 이번 분석의 의미는 개별 사건의 기술적 세부가 아니라 귀속(attribution)에 있다. 서로 무관해 보이던 4건이 한 조직의 작전으로 묶이면서, 북한발 공급망 공격이 자금 확보를 노린 장기 캠페인이며 다음 사건도 예정돼 있다고 봐야 할 근거가 생겼다.

개발 조직이라면 의존성 패키지의 출처 검증, lockfile을 통한 버전 고정(검증되지 않은 최신 버전이 자동 유입되는 것을 차단), 패키지 설치 스크립트 실행 제한 같은 공급망 보안 통제를 이번 기회에 점검할 필요가 있다. 특히 암호화폐·금융 관련 코드를 다루는 조직은 북한 조직의 우선 표적임을 전제로 대비해야 한다.

관련 기사

4. Azure Cosmos DB 샌드박스 탈출로 전 고객 DB 접근 가능했다

분류 취약점·패치 · 주요 대상 클라우드 이용 기업 보안 담당자

선정 이유: 개별 고객의 설정 실수가 아니라 클라우드 플랫폼의 테넌트 격리 자체가 깨진 취약점으로, 파급 범위가 서비스 전 고객에 이르는 최상위 유형의 사고라 선정했다.

마이크로소프트 Azure의 관리형 데이터베이스 서비스 Cosmos DB에서 플랫폼 전역 키가 노출되는 취약점이 발견됐다. 공격자는 Cosmos DB의 Gremlin 쿼리 샌드박스를 탈출해 다른 고객 테넌트의 데이터베이스에 대한 전체 읽기·쓰기 권한을 얻을 수 있었으며, 현재는 패치가 완료된 상태다.

공격 흐름을 단계별로 보면 위험성이 분명해진다. ① 공격자가 정상 고객 자격으로 Gremlin(그래프 데이터 질의 언어) 쿼리를 제출하고, ② 사용자 코드를 격리된 환경에만 가둬야 할 샌드박스의 격리를 깨고 밖으로 나가, ③ 플랫폼 전역에서 통하는 키를 확보하면, ④ 같은 인프라를 쓰는 다른 고객의 데이터베이스까지 읽고 쓸 수 있게 된다. 클라우드는 여러 고객이 하나의 물리 인프라를 공유하는 멀티테넌트 구조이고, 그 안전은 테넌트 간 격리라는 단 하나의 약속에 기대고 있다. 이 격리가 깨지는 취약점은 개별 고객이 아무리 설정을 잘해도 막을 수 없다는 점에서, 설정 실수로 인한 유출과는 차원이 다른 유형이다.

서비스 제공자가 이미 패치했으므로 고객이 지금 당장 취할 조치는 없지만, 교훈은 남는다. 클라우드 이용 기업은 자신이 직접 통제할 수 없는 플랫폼 계층의 사고에 대비해 벤더 취약점 공지 구독, 데이터 접근 로그 모니터링 같은 탐지 체계를 갖춰야 한다. 민감 데이터라면 클라우드 서비스의 격리만 믿지 말고 애플리케이션 수준 암호화처럼 자신이 키를 쥐는 추가 방어층을 검토할 만하다.

관련 기사

5. 어도비 캠페인 클래식, CVSS 10.0 무개입 원격 코드 실행

분류 취약점·패치 · 주요 대상 캠페인 클래식 운영 기업의 IT·보안 담당자

선정 이유: 사용자 개입 없이 코드 실행에 이르는 CVSS 만점 취약점인 데다, 고객 개인정보와 이메일 발송 인프라를 함께 쥔 시스템이라 악용 시 2차 피해까지 큰 사안이라 선정했다.

어도비가 기업용 마케팅 자동화 플랫폼 ‘캠페인 클래식’(ACC)의 최고 심각도 보안 결함을 해결하는 보안 업데이트를 발표했다. 해당 취약점은 CVSS 10.0 만점의 최고 등급으로, 사용자의 어떤 개입도 없이 임의 코드 실행으로 이어질 수 있다.

CVSS는 취약점의 심각도를 0~10으로 수치화한 국제 표준 점수로, 10.0은 인증이나 사용자 상호작용 없이 원격에서 시스템을 장악할 수 있는 최악 수준을 뜻한다. 피싱 링크를 누르게 하거나 계정을 훔치는 단계 자체가 필요 없다는 뜻이므로, 인터넷에 노출된 취약 서버는 자동화된 스캔만으로도 공격 대상이 된다. 캠페인 클래식이 특히 위험한 이유는 시스템의 성격에 있다. 마케팅 자동화 플랫폼은 대량의 고객 개인정보와 대량 이메일 발송 인프라를 한 몸에 갖고 있어서, 장악될 경우 고객 데이터 유출에 그치지 않고 ‘정상 기업 도메인에서 발송되는’ 대규모 피싱의 발판으로 악용될 수 있다. 이 경우 피해는 자사를 넘어 고객과 수신자 전체로 번진다.

캠페인 클래식을 운영하는 기업은 이번 업데이트를 최우선 순위로 적용해야 한다. 아울러 이런 유형의 시스템은 관리 인터페이스를 인터넷에 직접 노출하지 않고 접근을 내부망이나 VPN으로 제한하는 것이 기본이며, 패치 전 노출 기간이 있었다면 비정상 발송 이력과 데이터 접근 로그를 함께 점검하는 것이 안전하다.

관련 기사

이 정리는 7월 27일~8월 2일 수집된 보안 뉴스 40건 중에서 자동 선별되었습니다.