gyumin.log

오늘의 보안 뉴스 - 2026-09-16

2026-09-16

오늘의 브리핑

  • 경량 프로토콜과 브라우저 확장 프로그램을 악용한 다단계 공격이 급증하고 있습니다.
  • AI 기술 발전으로 초기 침투 후 내부 망으로 확장하는 공격 속도가 8초까지 단축되었습니다.
  • 단일 기술 방어를 넘어 전체 공격 체인을 점검하고 AI 기반 트래픽 통제를 강화해야 합니다.

데일리시큐

SK렌터카, 구글 워크스페이스 도입…클라우드 기반 업무 환경 구축

SK렌터카가 전사에 구글 워크스페이스를 도입하고 클라우드 기반 업무 환경을 구축했습니다.

기존 SK렌터카는 내부 보안 강화를 위해 폐쇄형 VDI(가상 데스크톱) 기반 업무 환경을 운용했으나, 접속 지연과 성능 저하 문제로 최신 AI 솔루션 및 클라우드 협업 도구 도입에 제한이 있었습니다. 이에 따라 보안 수준을 유지하면서 생산성을 높이기 위해 기존 VDI 환경을 클라우드 기반 로컬 PC 환경으로 전환했습니다.

이노그리드, NIA ‘공공 재해복구 DR ISP 6차 사업’ 주관사 선정

이노그리드가 한국지능정보사회진흥원의 공공 재해복구시스템 구축 ISP 6차 사업 주관사로 선정되었습니다.

이노그리드는 5차 사업에 이어 이번 6차 사업까지 연속 수행하며 2027년 1월 28일까지 공공 재해복구(DR) 컨설팅을 진행합니다. 정부는 국가정보자원관리원 대전센터 화재 발생 이후 주요 정보시스템 이중화와 상세 재해복구 체계 구축을 추진해 왔으며, 이번 사업을 통해 소방청, 기후에너지환경부, 해양수산부 등 대상 기관의 시스템 특성에 맞춘 재해복구 설계를 담당하게 됩니다.

소프트캠프, 레드펜소프트 ‘엑스스캔 서버 런타임’ 나라장터 등록…공공 SBOM 시장 공략

소프트캠프가 자회사 레드펜소프트의 운영 서버 보안 솔루션 ‘엑스스캔 서버 런타임’을 나라장터에 등록했습니다.

소프트캠프가 자회사 레드펜소프트의 운영 서버 보안 솔루션 ‘엑스스캔 서버 런타임’을 조달청 나라장터에 등록하고 공공 시장 공급을 시작했습니다. 제3자 단가계약 체결을 통해 공공기관과 지방자치단체는 별도의 경쟁입찰 없이 나라장터에서 솔루션을 즉시 구매할 수 있게 되었습니다. 최근 소프트웨어 공급망 공격이 늘어나면서 개발 및 납품 단계에서 작성하는 SBOM(소프트웨어 자재명세서)만으로는 실제 가동 중인 시스템을 방어하기에 한계가 있다는 지적이 지속해서 제기되어 왔습니다. 실제로 실행되는 운영(Runtime) 환경에서 가동 중인 소프트웨어의 보안 위협과 변조 유무를 실시간으로 감지하고 탐지하는 기술의 필요성이 국내외 공공 및 기업 환경에서 크게 대두되고 있습니다. 기사는 이번 나라장터 등록을 통해 공공기관들이 가동 중인 운영 서버의 공급망 보안 체계를 대폭 강화할 수 있을 것으로 전망했습니다.

한국보건복지인재원, 개인정보 보호의 날 맞아 ‘KOHI 정보보호의 날’ 개최

한국보건복지인재원이 개인정보 보호의 날을 맞아 임직원 인식을 제고하는 ‘KOHI 정보보호의 날’을 개최했습니다.

이번 행사는 임직원의 정보보호 실천 의지를 다지고 업무 현장 내 개인정보 보호 강화를 목적으로 전 직원 대상 캠페인과 전문가 특강으로 진행되었습니다. 특강에서는 최근 발생한 개인정보 유출 사례와 실제 대응 방안이 소개되어 전사적인 보안 의식을 높였습니다.

체크포인트, 기존 인프라 활용하는 ‘AI 네트워크 방화벽’ 출시

체크포인트가 기존 방화벽 인프라에 AI 트래픽 탐지·제어 기능을 추가한 ‘AI 네트워크 방화벽’을 출시했습니다.

체크포인트 소프트웨어 테크놀로지스가 기존 방화벽 인프라를 활용하여 AI 관련 트래픽을 제어하는 ‘AI 네트워크 방화벽’을 발표했습니다. 이번 솔루션은 방화벽 소프트웨어 R82.20 릴리스의 일부로 제공되어 기업이 운용 중인 기존 물리 및 가상 방화벽 환경을 그대로 유지할 수 있습니다. 프롬프트 입력, 자율형 에이전트 동작, MCP(Model Context Protocol) 등 AI 상호작용 과정에서 발생하는 네트워크 트래픽을 정밀하게 탐지하고 통제하는 기능을 수행합니다. 체크포인트 리서치의 ‘AI 시큐리티 리포트 2026’ 분석에 따르면 조사 대상 기업의 87%에서 93%에 달하는 대다수 기업이 AI 도입에 따른 새로운 보안 위협에 노출된 것으로 나타났습니다. 기사는 AI 도입 확산에 따라 생성형 AI 및 자율형 에이전트 트래픽에 대한 실시간 통제와 방어가 기업 보안의 핵심 과제로 부상했다고 강조했습니다.

The Hacker News

브라질 금융 악성코드 KREMLIN, 크롬 및 에지 브라우저 장악해 계정 정보 탈취

브라질 금융 기관을 위장해 크롬과 에지 브라우저를 장악하고 인증 정보를 탈취하는 KREMLIN 악성코드가 발견되었습니다.

보안 연구진이 브라질 금융 기관을 겨냥해 사용자 계정 정보와 세션 토큰을 탈취하는 악성코드 캠페인을 분석했습니다. 일라스틱 보안 연구소(Elastic Security Labs)는 REF9334라는 식별자로 추적 중인 공격 그룹이 KREMLIN 툴킷을 유포하고 있다고 발표했습니다. 공격자들은 최소 2025년 5월부터 활동을 시작했으며, 브라질의 12개 주요 은행을 정교하게 위장하여 피해자를 유인했습니다. 피해자가 속아 악성 브라우저 확장 프로그램을 구글 크롬 및 마이크로소프트 에지 브라우저에 설치하면 브라우저 제어권이 공격자에게 넘어갑니다. 이후 악성 확장 프로그램은 사용자가 입력을 진행하는 로그인 계정 자격 증명(아이디 및 비밀번호)과 세션 토큰(로그인 상태를 유지해 주는 인증 정보)을 모니터링하여 탈취합니다. 공격자는 이를 이용해 금융 계정에 무단으로 접근하여 자금을 인출하는 등 심각한 금전적 피해를 입힙니다. 기사는 신뢰할 수 없는 출처의 브라우저 확장 프로그램 설치를 금지하고 보안 관리를 강화할 것을 당부했습니다.

이란 해커 조직, 텔레그램으로 제어되는 악성코드로 반체제 인사 및 기자 감시

이란 정보기관이 텔레그램 봇으로 통제되는 악성코드를 활용해 전 세계 기자와 반체제 인사를 감시하고 있습니다.

미국, 영국, 네덜란드 등 글로벌 주요 사이버 보안 기관들이 이란 정보기관 배후의 윈도우 악성코드를 다룬 합동 보안 권고를 발표했습니다. 분석에 따르면 공격자들은 메시징 앱인 텔레그램(Telegram)을 C2 서버(공격자가 악성코드를 원격 조종하는 서버) 통신 채널로 악용하여 악성코드를 제어하고 있습니다. 감염된 윈도우 시스템에서는 피해자의 이메일 내용과 채팅 메시지가 수집되고 화면 캡처가 지속해서 일어납니다. 또한 마이크 장치를 임의로 활성화하여 주변 음성을 비밀리에 녹음하는 등 광범위한 도청 및 간첩 행위가 수행됩니다. 주요 타깃은 전 세계에 거주하는 이란 반체제 인사, 인권 활동가, 언론인 등으로 확인되었습니다. 상용 메신저 API를 활용한 C2 통신은 정상 트래픽으로 위장하기 쉬워 일반적인 보안 솔루션을 우회하는 위협을 가집니다. 기사는 관할 보안 기관들이 제시한 침해 지표를 바탕으로 네트워크 내 비정상 텔레그램 트래픽을 차단할 것을 권고했습니다.

BambooToken 악성코드, MQTT 프로토콜 활용해 윈도우 및 리눅스 시스템 제어

사물인터넷용 MQTT 프로토콜을 통신 채널로 사용하는 멀티플랫폼 악성코드 BambooToken이 발견되었습니다.

보안 연구진이 MQTT 프로토콜을 명령 제어 통신망으로 사용하여 윈도우와 리눅스 운영체제를 동시에 타깃으로 삼는 BambooToken 악성코드를 공개했습니다. 이 악성코드 패밀리는 최소 2023년 2월부터 활동을 시작한 것으로 평가되며 아시아와 남미 지역의 다양한 기업 및 기관을 대상으로 공격을 펼쳤습니다. 일반적인 웹 트래픽인 HTTP나 DNS 대신 사물인터넷 환경에서 경량 메시지 전송에 사용하는 MQTT(Message Queueing Telemetry Transport) 프로토콜을 C2 통신에 악용하는 것이 큰 특징입니다. 이를 통해 전통적인 네트워크 보안 장비의 탐지를 효과적으로 회피하면서 원격 시스템 제어 명령을 전달합니다. 멀티플랫폼을 지원함에 따라 서버 환경부터 사용자 단말까지 광범위하게 침투할 수 있어 조직 전반에 심각한 보안 위협을 유발합니다. 기사는 IoT 및 서버 네트워크 트래픽 분석을 강화하여 비정상적인 MQTT 통신을 모니터링해야 한다고 전했습니다.

해커, Marimo 원격 코드 실행 취약점 악용해 8초 만에 SSH 배스천 서버 침투

공격자가 Marimo 오픈소스 취약점을 악용해 초기 침투 후 단 8초 만에 SSH 배스천 서버까지 도달했습니다.

클라우드 보안 기업 시스디그(Sysdig)는 AI 기술의 발달로 취약점 발견과 공격 실행 간격이 극단적으로 짧아진 가운데 전문 해커의 초기 침투 후 이동 속도가 획기적으로 빨라졌음을 보여주는 조사 결과를 발표했습니다. 시스디그에 따르면 공격자는 Marimo 파이썬 노트북에 존재하는 RCE(원격 코드 실행) 취약점을 악용하여 초기 접근 권한을 확보했습니다. 놀랍게도 공격자는 초기 침투 성공 후 단 8초 만에 내부 네트워크의 관문 역할을 하는 SSH 배스천 서버(내부 시스템 접속을 통제하는 보안 서버)까지 정찰 및 도달에 성공했습니다. 이는 AI 도구의 도입으로 공격 자동화 수준이 비약적으로 상승하여 보안 담당자의 대응 시간이 사실상 사라졌음을 의미합니다. 초기 침투 지점에서 인프라 깊숙한 곳으로 피보팅(Pivoting, 내부 침투 확장)하는 속도가 극도로 단축되어 시스템 전체가 신속하게 무너질 수 있습니다. 기사는 오픈소스 AI 도구 및 클라우드 워크로드의 취약점 관리를 최우선으로 강화해야 한다고 강조했습니다.

단순 공격 표면이 아닌 공격 체인 검증: 단일 기법 테스트가 한계를 보이는 이유

개별 보안 기술 검증을 넘어 다단계 침투 시나리오 전체를 점검하는 ‘공격 체인’ 테스트의 필요성이 제기되었습니다.

사이버 보안 팀들은 EDR(엔드포인트 탐지 및 대응) 솔루션의 탐지 성능 검증이나 피싱 훈련 등 단일 기법 중심의 모의 테스트를 꾸준히 수행하고 있습니다. 그러나 보안 전문가들은 개별 공격 표면(Attack Surface)이나 개별 솔루션의 탐지 여부만 확인하는 검증 방식은 실제 공격을 차단하는 데 명확한 한계가 있다고 지적합니다. 실제 공격자들은 단일 솔루션을 우회한 뒤 권한 상승, 피보팅, 데이터 유출 등 여러 단계의 공격 기법을 연쇄적으로 결합하는 ‘공격 체인(Attack Chain)‘을 구성하여 침투하기 때문입니다. 단일 지점 검증만으로는 연쇄적인 공격 흐름 간의 허점을 찾아내기 어렵기 때문에 실제 위협 시나리오 기반의 통합 검증 체계로의 전환이 필수적입니다. 기사는 다단계 공격 흐름 전체를 복합적으로 테스트하고 시나리오 기반의 대응 역량을 검증해야 한다고 권고했습니다.

오늘의 용어

  • SBOM(소프트웨어 자재명세서) - 소프트웨어를 구성하는 오픈소스 및 라이브러리 부품 목록을 명시한 명세서
  • MCP(Model Context Protocol) - AI 모델과 외부 데이터 소스나 도구 간의 상호작용을 안전하게 연결하고 맥락을 전달하는 표준 프로토콜
  • 세션 토큰(Session Token) - 사용자가 로그인한 상태임을 인증하기 위해 웹 서버가 브라우저에 발급하는 임시 식별 자격 증명
  • C2 서버(Command and Control Server) - 공격자가 감염된 악성코드에 원격 명령을 내리고 탈취한 데이터를 수집하는 제어 서버
  • MQTT(Message Queueing Telemetry Transport) - 사물인터넷(IoT) 기기 간 대역폭이 제한된 네트워크 환경에서 가벼운 메시지를 주고받기 위한 프로토콜
  • 배스천 서버(Bastion Host) - 내부 네트워크로 진입하기 전 모든 관리자 접속을 집중시키고 보안을 강화한 관문 서버
  • 공격 체인(Attack Chain) - 공격자가 초기 침투부터 최종 목표 달성까지 여러 공격 기법과 경로를 연쇄적으로 연결하는 일련의 과정