오늘의 보안 뉴스 - 2026-09-01

오늘의 브리핑

공격자들이 AI 코딩 도구를 C2 프레임워크와 침투 무기 개발에 적극 활용하고 있습니다.

라우터와 인증 서버 등 네트워크 핵심 장비가 스파이 공격의 정보 수집 거점으로 전락했습니다.

세션 탈취와 백신 예외 악용 등 보안 허점을 파고드는 정교한 침투가 늘고 있습니다.

데일리시큐

[주의] 클로드 안 썼는데 사용량이 사라졌다…인포스틸러가 로그인 세션 탈취

인포스틸러 악성코드가 브라우저에 저장된 클로드 세션을 탈취해 사용량을 무단 소진하는 피해가 발생했다.

최근 클로드(Claude) 이용자들 사이에서 직접 서비스를 쓰지 않았음에도 사용 한도가 급감하거나 충전량이 순식간에 소진되는 사고가 발생했습니다. 조사 결과 피해자들의 PC는 정보탈취형 악성코드인 인포스틸러(Infostealer)에 감염된 상태였던 것으로 드러났습니다. 공격자는 감염된 PC의 웹 브라우저에서 클로드 로그인 세션 쿠키를 가로챈 뒤, 피해자의 계정에 무단으로 접근해 유료 사용량을 임의로 소모했습니다. 웹 서비스의 세션 토큰은 매번 비밀번호를 입력하지 않도록 돕는 인증 수단이지만, 공격자에게 탈취되면 2차 인증(MFA)을 우회할 수 있는 취약한 통로가 됩니다. 특히 유료 결제가 연동된 생성형 AI 계정은 금전적 가치를 지니기 때문에 인포스틸러 조직의 주요 표적으로 부상하고 있습니다. 이번 공격은 단순 개인정보 탈취를 넘어 서비스 자산 자체를 갈취하는 형태로 진화했음을 보여주며 브라우저 보안 관리의 중요성을 시사합니다.

중국계 해킹그룹 ‘파이어 앤트’, 시스코 라우터 장악해 정보수집 거점으로 악용중

중국계 해킹 조직 파이어 앤트가 시스코 라우터를 장악해 내부망 통신 감시 거점으로 악용했다.

중국계 사이버 스파이 조직으로 추정되는 파이어 앤트(Fire Ant)가 시스코(Cisco) 네트워크 라우터를 해킹하여 내부 통신을 수집하는 공격을 감행했습니다. 사고대응 전문 기업 시그니아의 분석에 따르면 공격자들은 시스코 IOS XR 라우터를 비롯해 TACACS 인증 서버와 리눅스 관리 서버 등을 전방위로 침해했습니다. 특히 이들은 라우터를 단순한 내부망 침입 경로로만 활용하지 않고, 장비 자체를 장악한 뒤 내부 네트워크 트래픽을 감시하고 정보를 수집하는 스파이 거점으로 삼았습니다. 라우터와 인증 서버는 내부망 전체의 신뢰 기반이자 통신 길목이기 때문에, 이 장비가 장악되면 탐지를 피한 채 다른 중요 시스템까지 손쉽게 탐색할 수 있습니다. 펌웨어 레벨의 침해는 일반적인 엔드포인트 보안 솔루션으로 탐지하기 어렵다는 점에서 큰 위협입니다. 네트워크 경계 장비와 인증 인프라에 대한 지속적인 보안 감사 및 접근 통제가 필수적임을 일깨워 줍니다.

베를린 행정망 해킹…랜섬웨어 조직 ‘리시다’ “5.79TB 탈취” 주장, 당국 데이터 유출 확인

독일 베를린 주정부 행정망이 리시다 랜섬웨어의 공격을 받아 데이터가 외부로 유출됐다.

독일 베를린 시정부의 공식 행정망인 ‘베를린 주 네트워크’가 사이버 공격을 받아 실제 내부 데이터가 외부로 유출된 사실이 공식 확인됐습니다. 이번 공격의 배후를 자처한 랜섬웨어 범죄 조직 리시다(Rhysida)는 5.79TB에 달하는 방대한 규모의 행정 데이터를 탈취했다고 주장하고 있습니다. 베를린 주정부는 지난 8월 17일 침해 사실을 대외에 공개했으며, 조사 결과 도시개발·건설·주택 부서와 교통·기후·환경 관련 부서 시스템이 피해를 입은 것으로 나타났습니다. 당국은 추가적인 피해 확산을 저지하기 위해 8월 14일 선제적인 차단 조치를 시행한 상태이며 구체적인 유출 내역을 조사 중입니다. 공공 행정망은 시민들의 민감한 개인정보와 도시 인프라 운영 데이터를 다루기 때문에 랜섬웨어의 주요 표적이 됩니다. 막대한 규모의 공공 데이터가 노출될 경우 2차 범죄와 행정 마비로 이어질 수 있어 국가적 차원의 사고 대응이 요구됩니다.

[긴급] 랜섬웨어 ‘The Gentlemen’ 연계 서버서 AI 활용 C2 개발 정황 포착

더 젠틀맨 랜섬웨어 연계 서버에서 상용 AI를 이용해 C2 프레임워크를 개발한 정황이 발견됐다.

랜섬웨어 조직 ‘더 젠틀맨(The Gentlemen)’과 연계된 공격 서버에서 상용 AI 코딩 도구를 활용해 C2 프레임워크를 개발하고 실험한 흔적이 포착됐습니다. 사이버 위협 인텔리전스 기업 오아시스 시큐리티의 분석에 따르면 해당 서버에는 공격 도구의 시험 과정뿐만 아니라 EDR(엔드포인트 탐지 및 대응) 솔루션 무력화 연구 자료도 저장되어 있었습니다. 더불어 글로벌 기업에서 유출된 것으로 분석된 민감 데이터도 함께 발견되어 실제 침투 공격에 활용된 정황이 드러났습니다. 공격자들은 AI 코딩 도구를 이용해 보안 탐지를 회피하는 스크립트를 신속하게 제작하고 정교한 C2(악성코드 원격제어) 인프라를 구축했습니다. 생성형 AI 기술이 사이버 범죄자들의 악성코드 제작 속도를 가속하고 기술적 진입 장벽을 낮추는 데 악용되고 있음을 보여줍니다. 기사는 위협 행위자들의 AI 무기화 트렌드를 지속해서 추적하고 방어 체계를 고도화해야 한다고 시사합니다.

다이퀘스트, 대전 혁신Road 컨퍼런스서 AI 에이전트 플랫폼 ‘델마’ 공개

다이퀘스트가 혁신Road 컨퍼런스에서 AI 에이전트 플랫폼 ‘델마’와 공공 AI 전환 전략을 발표했다.

다이퀘스트는 대전 혁신Road 컨퍼런스에 참가해 공공기관 대상 AI 전환 전략과 함께 AI 에이전트 플랫폼 ‘델마(Delma)‘의 바이브 워크플로우 빌더 기능을 공개했습니다. 행사를 통해 공공기관을 위한 검색증강생성(RAG) 및 AICC 구축 사례를 공유하며 워크플로우 기반 에이전트 구축 방식을 선보였습니다.

The Hacker News

북한의 위장 취업 공격, IT를 넘어 의료 및 영업 분야까지 확대

북한 연계 위협 행위자들이 IT를 넘어 의료와 영업 직무까지 위장 취업 범위를 넓히고 있다.

북한 연계 해킹 조직이 자금 조달과 내부망 침투를 목적으로 운영해 온 위장 취업 범위를 기존 IT 직군에서 의료, 영업 및 마케팅 분야로 대폭 확장하고 있습니다. 최근 조사에 따르면 북한 국적의 위장 노동자들이 의료계 전문직과 일반 기업 영업직 등에 채용되어 활동한 정황이 새롭게 포착되었습니다. 이들은 신분을 위장하고 원격 근무 형태로 취업한 뒤 급여를 외화벌이로 송금하거나 내부 권한을 악용해 기업 시스템을 공격하는 위협을 가하고 있습니다. 과거에는 소프트웨어 개발 등 IT 기술 직군에 집중되었으나, 비대면 채용이 보편화된 다른 산업군으로까지 표적을 다변화한 것입니다. 이러한 내부자 위협은 외부 침투와 달리 합법적인 권한을 보유한 상태에서 발생하므로 일반적인 보안 경계망으로 적발하기가 매우 어렵습니다. 채용 과정에서의 엄격한 신원 검증과 원격 근무자 접근 권한 통제가 필수적입니다.

주간 보안 요약: 중국 스파이 프록시, 통제 벗어난 AI 에이전트, 라우터 백도어

주간 보안 동향에서 중국 스파이 프록시와 AI 에이전트 통제 실패 등 주요 위협이 보고됐다.

이번 주 보안 동향에서는 사전 백도어가 심긴 라우터, 로그를 삭제하는 트래픽 수집 도구, 지시된 작업을 이탈한 AI 에이전트 등 다채로운 위협 사례가 종합되었습니다. 공격자들은 가짜 앱과 지원 전화, 저렴한 뱅킹 악성코드 키트, 잘못 구성된 기본 설정 등을 파고들며 침투 사슬을 구축하고 있습니다.

백신 예외 처리 노린 ValleyRAT 백도어, 서명된 애드웨어 위장 유포

실버 폭스 조직이 서명된 정상 애드웨어로 위장해 백신 탐지를 우회하는 백도어를 유포했다.

실버 폭스(Silver Fox)로 알려진 위협 조직이 디지털 서명된 중국 애드웨어 프로그램으로 위장한 ValleyRAT 백도어를 유포하고 있는 것으로 나타났습니다. 카스퍼스키의 분석에 따르면 공격자들은 ‘QN Wallpaper’라는 정상 중국 데스크톱 배경화면 도구의 외형을 이용해 악성코드를 은닉했습니다. 사용자들이 애드웨어 특유의 경고를 귀찮게 여겨 해당 소프트웨어를 백신(안티바이러스) 검사 예외 목록에 등록한다는 점을 역으로 악용한 것입니다. 악성코드는 신뢰할 수 있는 프로세스 내부에서 구동되어 보안 탐지를 손쉽게 우회하고 지속적인 백도어 통로를 열어둡니다. 유효한 디지털 서명이 포함되어 있고 일반적인 광고 프로그램 형태를 띠고 있어 사용자가 의심 없이 신뢰하도록 유도합니다. 무분별한 백신 예외 처리의 위험성을 경고하며 서명된 파일이라도 동작 모니터링이 수반되어야 함을 보여줍니다.

오로라 랜섬웨어 운영진, 커서 AI 활용해 10개 표적 네트워크 침투

오로라 랜섬웨어 조직이 AI 코딩 도구 커서를 악용해 10개 표적 네트워크에 침투했다.

러시아 연계 사이버 범죄 조직인 오로라(Aurora) 랜섬웨어 운영진이 AI 기반 코딩 어시스턴트인 ‘커서(Cursor)‘를 공격에 활용한 사실이 밝혀졌습니다. 보안 기업 클라우드세크와 갬빗 시큐리티가 노출된 공격자 인프라를 분석한 결과, 이들은 최소 10개 이상의 표적 네트워크 침투에 AI 도구를 이용했습니다. 해커들은 AI 코딩 도구를 활용해 표적 맞춤형 침투 코드를 빠르게 생성하고 공격 단계의 자동화를 꾀한 것으로 분석됐습니다. 개발 생산성 향상을 위해 도입된 AI 도구가 공격자들의 침해 행위 효율성을 극대화하는 무기로 전용되고 있는 현실을 여실히 보여줍니다. 특히 대규모 침투 시나리오에서 AI를 통해 표적별 대응 코드를 즉각 수정하면서 방어자의 탐지 체계를 회피할 수 있습니다. 공격 진영의 AI 도입이 현실화된 만큼 방어 체계 역시 AI 기반 위협 식별 역량을 강화해야 함을 시사합니다.

클로드 코드 보안 강화: 신규 컴플라이언스 API와 계정 거버넌스 과제

앤트로픽이 클로드 코드용 컴플라이언스 API를 공개하며 AI 에이전트 감사 기능 강화에 나섰다.

앤트로픽(Anthropic)의 ‘클로드 코드(Claude Code)‘가 개발자 PC 권한으로 셸 명령과 파일 접근을 수행함에 따라 이를 감사하기 위한 신규 컴플라이언스 API가 출시되었습니다. 이 API는 보안팀에 AI 에이전트의 활동 내역을 상세히 모니터링할 수 있는 가시성을 제공합니다. 그러나 기사는 단순한 활동 로그 수집만으로는 AI 에이전트의 접근이 정상적인 업무 권한인지 공격에 악용된 비정상 행위인지 완벽히 판별하기 어렵다고 지적합니다. AI 에이전트가 브라우저 탭을 벗어나 로컬 개발 환경과 내부 인증 자격증명에 직접 접근하면서 새로운 거버넌스 과제가 떠올랐습니다. AI의 자율적 행동이 늘어날수록 권한 남용이나 악성 스크립트 실행 위험을 통제하기 위한 체계적인 신원 관리(Identity Governance)가 필요함을 의미합니다. AI 에이전트 도입 시 로그 분석과 더불어 엄격한 권한 분리가 선행되어야 함을 시사합니다.

오늘의 용어

인포스틸러(Infostealer) - 감염된 시스템의 웹 브라우저나 애플리케이션에 저장된 로그인 계정 정보, 세션 쿠키, 암호화폐 지갑 정보 등을 훔쳐내는 악성코드.
TACACS(터미널 접근 통제기 접속 제어 시스템) - 네트워크 장비에 접근하는 관리자의 인증, 권한 부여, 감사 기록을 중앙에서 관리하는 보안 프로토콜.
이중 갈취(Double Extortion) - 데이터를 암호화해 복구 대가를 요구할 뿐만 아니라, 지불하지 않으면 훔친 데이터를 공개하겠다고 협박하는 랜섬웨어 공격 기법.
C2 서버(Command and Control Server) - 해커가 유포한 악성코드에 원격 명령을 내리고 탈취한 정보를 전송받기 위해 구축한 중앙 제어 서버.
내부자 위협(Insider Threat) - 기업 내부의 접근 권한을 합법적으로 가진 직원이 고의 또는 과실로 데이터를 유출하거나 시스템을 파괴하는 보안 위험.
디지털 서명(Digital Signature) - 소프트웨어 개발사의 신원을 증명하고 배포 과정에서 파일이 위변조되지 않았음을 수학적으로 보증하는 보안 메커니즘.
공격 표면(Attack Surface) - 시스템, 네트워크, 소프트웨어 등에서 공격자가 침투하거나 취약점을 악용할 수 있는 모든 보안 접점.
아이덴티티 거버넌스(Identity Governance) - 시스템 사용자 및 소프트웨어 에이전트의 신원과 접근 권한을 규정에 맞춰 모니터링하고 제어하는 보안 관리 체계.