오늘의 보안 뉴스 - 2026-08-18

오늘의 브리핑

중국 연계 APT, CVSS 9.8 VMware vCenter 취약점 악용해 Babuk 변종 랜섬웨어 유포

美 민간기업 해킹 반격 허용·獨 정보기관 공격 권한 추진 등 공세적 전환 가속

GitLab·Forminator 등 무인증 원격 공격 가능한 치명적 취약점 공개 잇따라

보안뉴스

중국 연계 추정 해킹그룹, Babuk 랜섬웨어 변종 유포… VMware vCenter 취약점 악용

중국 정부와 연계된 것으로 추정되는 지능형 지속 위협(APT) 그룹이 최근 패치된 VMware vCenter의 보안 취약점을 악용해 바북(Babuk) 랜섬웨어 변종을 유포한 것으로 확인됐다. 악용된 취약점은 CVSS 점수 9.8점에 달하는 치명적 결함으로 7월 28일 패치가 완료됐으며, 인증 우회 취약점 CVE-2026-59309도 함께 악용됐다. vCenter는 기업의 가상머신(VM) 인프라를 중앙에서 관리하는 콘솔로, 이곳이 뚫리면 그 위에서 돌아가는 수많은 가상 서버를 한꺼번에 장악하거나 암호화할 수 있어 랜섬웨어 공격자들이 선호하는 표적이다. APT는 특정 목표를 정해 장기간 은밀하게 침투를 지속하는 공격 형태로, 국가 배후 그룹이 랜섬웨어까지 동원한다는 것은 파괴와 수익 목적이 결합되는 추세를 보여준다. 패치가 이미 나온 취약점인 만큼 vCenter를 운영하는 조직은 즉시 패치 적용 여부를 확인하고, 관리 인터페이스를 인터넷에서 격리하는 것이 최우선 대응이다.

[배종찬의 보안 빅데이터] 중국의 대만 침공, 군대 아닌 AI 해킹

중국과 연계된 것으로 의심되는 해커들이 AI 에이전트 여러 개를 동시에 운용해 대만 정부 시스템을 공격, 계정 85개를 침해하고 인사정보 2,500건 이상을 탈취한 사실이 확인됐다는 내용을 다룬 칼럼이다. 비슷한 시기 미국에서도 중국 해킹 조직 솔트 타이푼의 활동이 이어지는 등, 국경을 넘는 위협이 이제 군대의 이동이 아니라 코드 몇 줄과 AI 에이전트 몇 개로 시작된다는 점을 짚었다. AI 에이전트는 사람이 단계마다 지시하지 않아도 스스로 판단하며 작업을 수행하는 AI로, 공격에 동원되면 정찰부터 침투·탈취까지를 자동화·병렬화해 공격의 속도와 규모를 비약적으로 키운다. 사이버 공격이 물리적 충돌에 앞서는 전초전 성격을 띠면서, 정부·공공 시스템의 계정 보안과 AI 기반 공격에 대한 탐지 역량이 곧 안보 문제로 직결되고 있다.

[속담으로 배우는 100가지 보안 습관 85] 소 잃고 외양간 고친다(5)-모르는 계좌 정리하기

‘속담으로 배우는 100가지 보안 습관’ 연재 85회차로, ‘소 잃고 외양간 고친다’에 빗대 모르는 계좌 정리하기를 다뤘다. ‘내 계좌 한눈에’ 서비스로 본인 명의의 모르는 계좌가 있는지 확인하라는 조언으로, 보안 사고의 90%는 해킹이 아니라 ‘실수’에서 시작되는 만큼 기술보다 습관이 중요하다는 점을 강조한다.

데일리시큐

앤트로픽 클로드 접속 장애…30여 분 만에 복구

앤트로픽의 생성형 AI 서비스 클로드가 글로벌 장애를 일으켜 사용자들이 로그인과 서비스 이용에 불편을 겪었다. 장애는 8월 16일 21시 58분께 시작돼 클로드닷에이아이와 AI 코딩 도구 클로드 코드, 업무용 클로드 코워크에서 문제가 발생했으며, 처음에는 일부 사용자의 로그인 실패(인증 문제)로 확인됐다가 서비스 장애로 확대된 뒤 30여 분 만에 복구됐다. AI 도구가 개발·업무 파이프라인에 깊숙이 들어온 만큼, 이런 장애는 의존 중인 외부 서비스가 멈췄을 때의 업무 연속성 대책을 점검할 계기가 된다.

독일, 사이버 방어 넘어 ‘적극 대응’…적대국 시스템 해킹 허용 추진

독일 정부가 정보기관에 해외 시스템 해킹과 사보타주(sabotage) 권한을 부여하는 법 개정을 추진한다. 기존의 정보 수집·감시를 넘어 독일을 공격하는 세력의 서버와 네트워크를 직접 교란하거나 무력화할 수 있도록 하는 것이 핵심이다. 사보타주는 상대방의 시설·장비·시스템이 정상적으로 작동하지 못하도록 의도적으로 방해하거나 파괴하는 행위를 말한다. 방어 중심이던 국가 사이버 정책이 공격 원점을 직접 타격하는 ‘적극 대응(active defense)‘으로 옮겨가는 흐름으로, 미국의 민간기업 해킹 반격 허용 움직임과 맞물려 국가 간 사이버 교전 규범 논의를 가속할 전망이다.

트럼프, 민간기업에 ‘해킹 반격’ 허용…해외 사이버범죄 조직 직접 공격

도널드 트럼프 미국 대통령이 8월 12일 ‘초국가적 사이버 범죄 대응 역량 확대’ 대통령 각서에 서명하면서, 미국 정부가 민간 사이버보안 기업을 해외 사이버범죄 조직에 대한 공격 작전에 투입할 수 있게 됐다. 정부 승인을 받은 기업은 범죄조직의 서버에 침투해 정보를 수집하고 시스템을 마비시키는 작전까지 수행할 수 있다. 이는 피해자 측이 공격자를 되받아치는 이른바 ‘핵백(hack-back)‘을 국가 승인 아래 제도화하는 셈으로, 그동안 무고한 제3자 시스템을 오폭할 위험과 확전 우려 때문에 금기시돼 온 영역이다. 랜섬웨어·금융사기 조직이 사법권이 미치지 않는 해외에 있어 처벌이 어렵다는 현실이 배경이지만, 민간이 공격 작전의 주체가 되면 책임 소재와 국제법 충돌 문제가 뒤따를 수 있다. 국내 보안 업계도 미국발 공세적 사이버 정책 변화가 글로벌 위협 지형과 규범에 미칠 영향을 주시할 필요가 있다.

해커들, 만료된 도메인 사들여 악성코드 유포…하루 6만5천개 재등록

기업이나 기관이 사용하다 버린 인터넷 도메인을 공격자가 사들여 악성코드 유포와 사기에 이용하는 사례가 대규모로 확인됐다. DNS 보안기업 인포블록스는 만료된 뒤 제3자가 다시 등록한 주소를 ‘드롭캐치 도메인(Dropcatch Domain)‘이라고 설명했으며, 이런 재등록이 하루 6만5천개에 이르는 것으로 나타났다. 과거 정상 사이트가 쌓아온 신뢰도와 방문자를 그대로 물려받을 수 있다는 점을 노린 수법이다. 보안 필터와 이메일 게이트웨이는 도메인의 과거 평판을 참고해 차단 여부를 판단하는 경우가 많아, 한때 정상이던 도메인은 탐지를 우회하기 쉽다. 기업 입장에서는 서비스를 접더라도 사용하던 도메인을 일정 기간 계속 보유하고, 만료된 도메인을 가리키는 사내 링크·메일 설정을 정리해 두는 것이 피해 예방책이다.

앤트로픽 클로드가 쓴 글, 보이지 않는 ‘AI 워터마크’ 남는다

앤트로픽이 생성형 AI 클로드가 작성한 텍스트에 사람 눈에는 보이지 않는 워터마크를 적용한다. 유럽연합(EU) AI법에 따른 AI 생성 콘텐츠 투명성 의무에 대응하기 위한 조치다. 숨겨진 문자나 별도의 코드를 문장에 삽입하는 방식이 아니라, AI가 글을 생성하면서 다음 단어를 선택하는 과정에 특정한 통계적 패턴을 남기는 방식이다. 이런 통계적 워터마크는 개별 문장만 봐서는 알 수 없지만, 전용 탐지기로 텍스트 전체의 단어 선택 분포를 분석하면 AI 생성 여부를 판별할 수 있게 하는 기술이다. AI가 만든 텍스트가 피싱 메일이나 허위정보 제작에 광범위하게 쓰이는 상황에서, AI 생성물을 식별하는 수단의 표준화는 콘텐츠 신뢰성 확보의 핵심 과제로 떠오르고 있다.

The Hacker News

GitLab GraphQL 치명적 취약점, 인증 없이 공개 프로젝트 삭제 가능

GitLab이 커뮤니티 에디션(CE)과 엔터프라이즈 에디션(EE)에 영향을 미치는 치명적 취약점을 해결하는 보안 업데이트를 발표했다. 이 결함은 특정 조건에서 인증되지 않은 공격자가 GraphQL을 통해 공개 프로젝트를 삭제할 수 있게 하는 문제다. GraphQL은 클라이언트가 필요한 데이터를 쿼리 형태로 요청하는 API 방식으로, 유연한 만큼 쿼리·변경(mutation) 단위로 권한 검증이 꼼꼼히 이뤄지지 않으면 이번처럼 인가 우회 문제가 생기기 쉽다. 프로젝트 삭제는 소스코드와 이슈, CI 설정 등 개발 자산의 파괴로 직결된다. 인증이 필요 없는 공격이 가능하다는 점에서, 자체 호스팅 GitLab을 운영하는 조직 가운데 인스턴스가 인터넷에 노출된 경우라면 우선순위를 높여 신속히 패치 버전으로 업데이트해야 한다.

Snowflake GitHub Actions 워크플로 취약점, 조작된 이슈로 명령 주입 가능

보안기업 위즈(Wiz) 연구원들이 스노우플레이크의 공개 저장소 snowflakedb/snowflake-connector-net에서 새로운 GitHub Actions 워크플로 주입 취약점을 공개했다. 공격자가 조작된 이슈(issue)를 등록하는 것만으로 워크플로에서 명령 주입을 일으킬 수 있는 문제다. GitHub Actions는 저장소 이벤트에 반응해 빌드·테스트를 자동 실행하는 CI/CD 기능인데, 이슈 제목·본문 같은 외부 입력을 검증 없이 셸 명령에 끼워 넣으면 그 입력이 그대로 명령으로 실행되는 워크플로 인젝션이 발생한다. 이런 공격은 저장소의 시크릿(토큰·키) 탈취나 빌드 산출물 오염으로 이어져 공급망 공격의 진입점이 될 수 있다. 공개 저장소에 CI를 운영하는 조직이라면 워크플로에서 외부 입력을 환경변수로 우회 처리하고 토큰 권한을 최소화하는 점검이 필요하다.

워드프레스 Forminator 플러그인 취약점, 악성 PHP 업로드로 무인증 원격코드실행 가능

활성 설치가 60만 건이 넘는 워드프레스 플러그인 포미네이터 폼즈(Forminator Forms)에서 치명적 보안 결함이 공개됐다. 악성 PHP 파일 업로드를 통해 인증 없이 임의 코드 실행에 이를 수 있는 취약점이다. RCE(원격 코드 실행)는 공격자가 서버에서 원하는 명령을 실행할 수 있게 되는 가장 심각한 유형의 취약점으로, 웹쉘 설치를 거쳐 사이트 전체 장악과 방문자 대상 악성코드 유포로 이어질 수 있다. 폼 빌더 플러그인은 파일 업로드 기능을 다루는 특성상 업로드 검증 결함이 반복적으로 문제가 돼 왔다. 워드프레스 사이트 운영자는 해당 플러그인 사용 여부를 확인해 최신 버전으로 즉시 업데이트하고, 업로드 디렉터리에서 PHP 실행을 차단하는 서버 설정을 병행하는 것이 좋다.

이란 해커의 Cavern C2, DNS와 구글 앱스 스크립트로 정상 트래픽에 위장

이란 국가 배후 해커들이 이스라엘 대상 공격에서 사용하는 명령제어(C2) 프레임워크 ‘캐번(Cavern, 일명 Cav3rn)‘의 지속적인 진화를 보안 연구진이 추적했다. 이 프레임워크는 DNS와 구글 앱스 스크립트(Google Apps Script)를 통신 채널로 사용해 악성 트래픽을 합법적인 트래픽에 섞는 것이 특징이다. C2 서버(공격자가 악성코드를 원격 조종하는 서버)는 감염 시스템에 명령을 내리고 탈취 데이터를 수신하는 거점으로, 방어 측은 보통 C2 통신 탐지를 통해 침해를 발견한다. DNS나 구글처럼 신뢰받는 서비스에 통신을 숨기면 차단 목록·평판 기반 탐지가 무력화되기 때문에 최근 공격자들이 즐겨 쓰는 수법이다. 방어 측에서는 비정상적으로 긴 쿼리나 특정 도메인 대량 질의 같은 DNS 이상 패턴과, 업무상 불필요한 클라우드 서비스 접근을 모니터링하는 것이 대응책이 된다.

주간 요약: VMware 익스플로잇, 윈도우 제로데이, MCP 공격, 브라우저 하이재킹 외

한 주간의 주요 보안 이슈를 정리한 더해커뉴스의 주간 요약 기사다. 이번 주에는 인터넷에 노출된 서비스가 공격당하고, 오래된 버그가 새로 악용됐으며, 브라우저 세션이 공격 경로가 되고 공급망 문제가 불거지는 등 “값비싼 공격이 항상 영리한 것은 아니”라는 점이 확인됐다. VMware 익스플로잇, 윈도우 제로데이, MCP 공격, 브라우저 하이재킹 등이 주요 항목으로 다뤄졌다.