gyumin.log

오늘의 보안 뉴스 - 2026-08-24

2026-08-24

오늘의 브리핑

  • NASA 오픈소스 툴킷에서 초고위험 원격 명령 실행 취약점이 발견되었습니다.
  • 국내 배달 플랫폼 개인정보 유출 및 기내 가짜 와이파이 위협이 확인되었습니다.
  • MS 팀즈를 통한 신종 악성코드 유포 등 협업 툴 사칭 공격이 지속되고 있습니다.

데일리시큐

NASA 우주선 오픈소스 소프트웨어에 치명적 취약점…로그인 없이 장비 명령 실행

NASA JPL의 우주 임무용 소프트웨어 AIT-GUI에서 로그인 없이 우주선에 명령을 보낼 수 있는 CVSS 9.4 취약점이 발견됐다.

문제가 된 것은 NASA 제트추진연구소(JPL)가 공개한 우주 임무용 오픈소스 툴킷 ‘암모스 인스트루먼트 툴킷(AIT)‘의 웹 관리 화면 AIT-GUI다. 취약점은 GHSA-p9r8-2q67-fp86으로 관리되고 있으며, 위험도는 CVSS 9.4점의 초고위험 등급으로 평가됐다. 공격자는 별도의 로그인 인증 없이도 웹 관리 화면을 통해 우주선과 탑재 장비로 악의적인 명령을 직접 원격 전송할 수 있는 상태였다. 관리 화면이 인증 없이 노출되면 그 화면이 제어하는 시스템 전체가 공격자 손에 들어가는 셈인데, 우주 임무처럼 원격 명령이 물리적 동작으로 직결되는 환경에서는 피해가 되돌릴 수 없다는 점에서 특히 치명적이다. 우주 임무 시스템에 물리적 타격까지 줄 수 있는 취약점인 만큼, 해당 툴킷을 쓰는 환경의 신속한 패치가 요구되는 사안이다.

[단독] 플라이, 개인정보 유출 공식 확인…“의심 건수 약 33만건, 4,790만건은 공격자 주장”

배달 플랫폼 플라이가 개인정보 유출을 공식 확인했다 - 회사 추산 의심 건수 약 33만 건, 공격자 주장은 4,790만 건.

공격자는 해외 해킹 포럼에서 4,790만 건에 달하는 대규모 데이터 탈취를 주장했지만, 회사 측은 현재까지 파악된 유출 의심 건수가 약 33만 건이라며 주장과 사실 사이에 차이가 크다고 해명했다. 플라이는 한국인터넷진흥원(KISA)의 사고 통보 메일을 확인한 즉시 침해 가능성을 점검하고 대응 조치에 돌입했으며, 공식 사과문을 발표했다. 침해사고 초기에는 공격자가 판매 가치를 높이려 중복·과거 데이터를 섞어 규모를 부풀리는 경우가 많아, 공격자 주장과 기업 확인 수치가 크게 엇갈리곤 한다. 다만 어느 쪽이든 이용자 정보가 외부로 나간 것은 확인된 만큼, 향후 조사 결과에 따라 피해 규모와 책임 범위가 달라질 수 있는 사건이다.

데프콘 끝난 다음 날, 델타항공 기내에 ‘가짜 와이파이’ 등장…FBI 조사 착수

델타항공 기내에서 공식 서비스를 사칭한 가짜 와이파이가 발견돼 FBI와 항공당국이 조사에 나섰다.

사건은 지난 8월 10일 미국 라스베이거스에서 애틀랜타로 향하던 델타항공 여객기에서 벌어졌다. 항공사 공식 서비스를 가장한 ‘Delta WiFi Fast’라는 이름의 비인가 무선 네트워크가 기내에서 활성화됐고, 당시 승객 199명과 승무원 6명이 탑승 중이었다. 항공기 운항 시스템이 해킹된 사건은 아니지만, 승객 입장에서는 기내라는 폐쇄 공간에서 항공사 이름을 단 와이파이를 의심하기 어렵기 때문에 접속자의 계정정보를 빼내는 피싱 무대가 되기 쉽다. 정상 네트워크 이름을 도용해 트래픽을 가로채는 이런 수법이 세계 최대 해킹 컨퍼런스 데프콘이 끝난 다음 날 라스베이거스발 항공편에서 등장했다는 점도 주목을 받았다.

MS 팀즈 피싱으로 ‘시놉로더’ 유포…가짜 윈도 잠금화면으로 비밀번호 탈취

MS 팀즈에서 기업 IT 지원팀을 사칭해 신종 악성코드 ‘시놉로더(SynkLoader)‘를 유포하는 공격이 확인됐다.

보안업체 엑스펠이 지난 8월 18일 고객사 침해사고를 조사하는 과정에서 시놉로더를 처음 확인했으며, 파일 정보를 분석한 결과 악성코드는 7월 28일 전후부터 제작·유포된 것으로 파악됐다. 공격자는 팀즈에서 기업 IT 헬프데스크 직원으로 위장해 접근한 뒤, MS 애저에 호스팅된 ‘파워셸 클리너’라는 MSI 설치 파일을 실행하도록 유도했다. 파일을 실행하면 파워셸·파이썬 기반의 시놉로더가 시스템에 배포되고, 가짜 윈도 잠금화면을 띄워 사용자가 입력하는 시스템 비밀번호를 탈취한다. 팀즈처럼 신뢰가 전제된 사내 협업 툴 안에서는 IT 부서 사칭이 특히 잘 통하기 때문에, 시스템 취약점 없이 사람의 신뢰만으로 침투하는 사회공학 공격의 정교한 사례로 꼽힌다.

오늘의 용어

  • CVSS(공통 취약점 점수 시스템) - 취약점의 심각도를 0~10점으로 수치화하는 표준 지표. 9점대는 인증 없이 원격 악용이 가능한 수준인 경우가 많다.
  • 침해사고 대응 체계 - 기업이 외부 공격을 인지했을 때 피해 확산을 막고 관계 기관·이용자에게 통지하는 표준 절차. 국내에서는 KISA 통보가 시작점이 되는 경우가 많다.
  • Rogue AP(악성 무선 접속 장치) - 정상 네트워크 이름을 도용해 무선 트래픽을 가로채거나 가짜 로그인 페이지로 유도하는 공격 기법.
  • 사회공학 기법 - 시스템 취약점 대신 사람의 심리(신뢰·긴급함)를 이용해 보안 정보를 탈취하는 공격 방식.