오늘의 보안 뉴스 - 2026-08-25

오늘의 브리핑

중국 해킹조직이 AI로 17만 웹서버 공격을 자동화한 정황이 확인됐습니다.

Keycloak 비밀번호 재설정 결함으로 인증 없이 계정 탈취가 가능해 패치가 나왔습니다.

가짜 마인크래프트·ClickFix 등 사용자를 속여 실행시키는 유포 기법이 잇따랐습니다.

데일리시큐

중국 해킹그룹 UAT-10147, AI로 17만 웹서버 공격 자동화

중국어권 범죄조직이 AI로 전 세계 윈도·리눅스 웹서버 17만 대 공격을 자동화한 정황이 확인됐다.

중국어권 사이버 범죄조직이 인공지능을 활용해 전 세계 윈도와 리눅스 웹서버를 대규모로 공격한 정황이 확인됐으며, 시스코 탈로스는 해당 조직을 ‘UAT-10147’로 추적하고 있다. 이 조직은 취약점 분석부터 공격 코드 수정, 침투 성공 여부 확인, 악성코드 설치까지 공격의 전 과정에 AI를 활용한 것이 특징이다. 주요 공격 대상은 교육·미디어·기술·게임 분야였다. 지금까지 사람이 단계마다 수행하던 침투 작업을 AI가 대신하면, 17만 대라는 규모가 보여주듯 공격의 속도와 범위가 사람 손의 한계를 벗어나 방어 측의 대응 속도를 앞지르게 된다. AI를 이용한 공격 자동화가 우려 수준이 아니라 실제 대규모 캠페인으로 확인된 사례라는 점에서 의미가 큰 소식이다.

경기도교육청, 2,500여 개 홈페이지 개인정보 필터링 일괄 적용

경기도교육청이 본청·25개 교육지원청·학교 홈페이지 2,500여 곳에 개인정보 유출 차단 체계를 일괄 적용했다.

정보자원통합 사업의 일환으로 홈페이지 개인정보 유출 차단 체계를 전면 재구성한 것으로, 외부망 홈페이지뿐 아니라 내부망 시스템까지 검사 범위를 넓혀 총 2,500여 개 사이트에 적용됐다. 필터링 솔루션 공급은 엘세븐시큐리티가 맡았다. 학생·학부모 정보가 수시로 오가는 교육기관 홈페이지는 게시물·첨부파일에 개인정보가 노출되기 쉬운 대표적인 사각지대라, 학교 단위가 아닌 기관 전체 단위로 일괄 점검 체계를 갖췄다는 점이 핵심이다.

GS ITM, 한국공항공사 ‘차세대 SKY-POS 구축 사업’ 최종 사업자로 선정

GS ITM이 전국 14개 공항의 매출 관리·임대 ERP를 개편하는 차세대 SKY-POS 구축 사업자로 선정됐다.

구축부터 안정화까지 내년 말 완료 예정인 인프라 개편 사업 수주 소식이다.

코헤시티, 어스파이어 글로벌 파트너 프로그램 개편

코헤시티가 파트너 리베이트 확대와 프로페셔널 서비스 자격 도입을 골자로 파트너 프로그램을 개편했다.

지난 8월 1일부터 발효된 파트너 정책 개편 소식이다.

메가존클라우드-핑거, 금융 AI 전환 위해 300억 원 상호 투자

메가존클라우드와 핑거가 금융 AI 전환(AX) 협력을 위해 상호 300억 원을 투자하는 파트너십을 맺었다.

지난 21일 협약을 맺었으며, 규제 환경 개선에 맞춰 금융권 AI 전환 사업을 본격화한다는 내용이다.

The Hacker News

감당 못 할 속도로 쌓이는 AI 코드, ‘보안 부채’ 관리법

AI 코딩 도구로 코드 생산 속도가 빨라지면서 보안 검토가 따라가지 못하는 ‘개선 부채’ 문제를 다룬 웨비나 안내다.

개발 속도·코드량 증가라는 장점 뒤에 따라오는 보안 검토 적체를 어떻게 관리할지가 주제다.

가짜 마인크래프트 클라이언트·SEO 포이즈닝으로 퍼지는 ‘Weedhack’ 악성코드

마인크래프트 클라이언트로 위장한 웹사이트들이 게이머에게 ‘Weedhack’ 악성코드를 유포하고 있다.

McAfee Labs 연구진이 발견한 캠페인으로, 여러 웹사이트가 여전히 정상 마인크래프트 클라이언트로 가장해 ‘Weedhack’으로 명명된 악성코드 제품군을 적극적으로 배포하고 있다. 이들은 검색 결과 상위에 노출되도록 조작하는 SEO 포이즈닝을 활용해, 피해자가 광고나 링크를 누르는 게 아니라 스스로 검색해서 악성 사이트에 찾아 들어오게 만든다. 마인크래프트처럼 이용자층이 어리고 공식 스토어 밖에서 클라이언트·모드를 받는 문화가 강한 게임 커뮤니티의 특성을 정확히 노린 공격이다. 게임 파일로 위장한 유포는 오래된 수법이지만 검색 조작과 결합하면서 여전히 현역으로 통한다는 점을 보여준다.

⚡ 주간 요약: AI 기반 PLC 공격, GitLab 공격, 스트라이프 키 유출 등

신뢰하던 도구가 적대적으로 변하고 오래된 약점이 새 공격이 되는 흐름을 짚은 The Hacker News의 주간 정리다.

AI 기반 PLC(산업 제어 장치) 공격, GitLab 공격, 스트라이프 키 유출 등 지난주 주요 사건을 한눈에 훑는 리캡 기사다.

WordlistLoader는 ClickFix로 Amatera 유포, SynkLoader는 윈도 비밀번호 피싱

후속 악성코드 유포와 랜섬웨어 조직 침투 통로 판매에 쓰이는 신종 로더 2종(WordlistLoader·SynkLoader)이 확인됐다.

보안 연구진이 WordlistLoader와 SynkLoader라는 두 가지 새로운 악성코드 제품군을 경고했다. 둘 다 감염 후 다음 단계 페이로드를 내려보내는 ‘로더’이자, 확보한 접근 권한을 랜섬웨어 그룹에 판매하는 통로로 쓰이고 있다. WordlistLoader는 가짜 안내문으로 사용자가 직접 악성 명령을 실행하게 만드는 ClickFix 기법으로 ‘Amatera’를 유포하고, SynkLoader는 가짜 화면으로 윈도 비밀번호를 피싱한다. 초기 침투를 담당하는 로더 조직과 랜섬웨어 조직이 역할을 나눠 접근 권한을 사고파는, 분업화된 범죄 생태계를 보여주는 사례다. SynkLoader는 어제 국내 기사에서 MS 팀즈의 IT 지원팀 사칭 유포(‘시놉로더’)로도 보도된 악성코드라, 국내 기업 환경에도 이미 들어와 있는 위협이다.

치명적인 Keycloak 비밀번호 재설정 결함, 인증 없이 모든 계정 장악 가능

오픈소스 IAM 서버 Keycloak의 비밀번호 재설정 결함으로 인증 없는 원격 공격자가 임의 계정을 장악할 수 있어 패치가 나왔다.

Red Hat과 Keycloak 프로젝트가 오픈소스 ID·접근 관리(IAM) 서버 Keycloak의 치명적 보안 결함을 해결하는 패치를 릴리스했다. 이 결함은 인증되지 않은 원격 공격자가 비밀번호 재설정 흐름을 악용해 임의 계정을 장악할 수 있게 하는 것으로 알려졌다. 비밀번호 재설정은 ‘비밀번호를 모르는 사람’을 위해 만들어진 기능이라 본질적으로 인증 체계에서 가장 공격받기 쉬운 흐름이고, 여기가 뚫리면 정상 로그인 절차 전체가 무의미해진다. 특히 Keycloak 같은 IAM/SSO 서버는 여러 서비스의 로그인을 한곳에서 처리하기 때문에, 이 서버 하나가 장악되면 연동된 모든 서비스의 계정이 한꺼번에 위험해진다. 기업 환경에서 널리 쓰이는 오픈소스인 만큼 신속한 패치 적용이 요구되는 사안이다.

오늘의 용어

오펜시브 AI(공격형 AI) - 취약점 탐색·익스플로잇 수정·침투 판정 같은 공격 단계를 AI로 자동화하는 흐름. 방어도 같은 속도의 자동화가 필요해진다.
SEO 포이즈닝 - 검색엔진 최적화를 악용해 악성 사이트를 검색 결과 상단에 올려, 사용자가 스스로 찾아 들어오게 만드는 유포 기법.
ClickFix - “문제를 해결하려면 이 명령을 실행하세요” 같은 가짜 안내로 사용자가 직접 악성 명령을 실행하게 유도하는 사회공학 기법.
IAM(Identity and Access Management) - 여러 서비스의 로그인·권한을 한곳에서 관리하는 체계. Keycloak은 대표적인 오픈소스 IAM/SSO 서버다.