주간 보안 Top 5 - 9.14 ~ 9.20

이번 주 한눈에 이번 주에는 VMware 및 구글 픽셀 등 주요 시스템의 치명적 취약점을 악용한 실제 공격이 연이어 발견되었습니다. 또한 AI 에이전트를 악용해 계정을 탈취하거나 금융 API를 노리는 신종 공격이 현실화되어 AI 보안 관리의 필요성이 대두되었습니다.

1. VMware vCenter RCE 취약점 실제 악용 및 랜섬웨어 확산

분류 취약점·패치 · 주요 대상 기업 보안 담당자 및 가상화 인프라 관리자

선정 이유: 기업 핵심 인프라 스택인 VMware vCenter의 치명적 RCE 취약점이 랜섬웨어 유포 공격에 직접 악용된 사례로 대응 시급성이 매우 높습니다.

최근 브이엠웨어(VMware)의 가상화 관리 플랫폼인 vCenter 서버에서 원격 코드 실행(RCE)이 가능한 치명적 취약점인 CVE-2026-59310이 실제 야생(In the wild)에서 적극 악용되고 있는 것으로 확인되었습니다. 공격자들은 이 취약점을 통해 vCenter 관리 권한을 탈취한 후, 하위 가상화 서버인 ESXi 환경까지 침투하여 랜섬웨어를 감염시키는 공격 패턴을 보이고 있습니다.

원격 코드 실행(RCE, Remote Code Execution) 취약점은 공격자가 인증 과정을 거치지 않고 원격에서 악성 명령어를 실행할 수 있게 해주는 최고 위험도의 결함입니다. 이번 공격 체인에서 해커들은 먼저 외부 네트워크에 노출된 vCenter 서버의 취약점 CVE-2026-59310을 악용해 최고 권한을 확보했습니다. 그 후 동일 네트워크 내의 ESXi 가상화 호스트로 이동(Lateral Movement, 측면 이동)하여 전체 가상 머신(VM) 데이터베이스를 암호화하는 ESXi 전용 랜섬웨어를 유포했습니다. VMware vCenter는 기업 내 다수의 가상 서버를 한곳에서 제어하는 중앙 관리 시스템이므로, 이곳이 타격을 입으면 하위 전체 가상 인프라가 마비되는 심각한 피해 규모로 이어집니다.

실무 보안 담당자는 외부로 노출된 vCenter 관리 콘솔의 접점을 신속히 차단하고 관리자 전용 망(인프라 전용 VLAN)에서만 접근 가능하도록 접근 제어를 강화해야 합니다. 아울러 제조사에서 제공하는 최신 보안 패치를 조속히 적용하고, ESXi 호스트에 대한 SSH 접근 차단 및 계정 자격 증명 재설정을 수행해야 합니다.

관련 기사

09.17 - 브이엠웨어 vCenter 치명적 RCE 실제 악용…ESXi 랜섬웨어 공격까지 확인

2. Claude 악용 OpenAI 직원 계정 탈취 및 AI 위협 가속

분류 악성코드·공격기법 · 주요 대상 AI 서비스 개발자 및 보안 연구원

선정 이유: 생성형 AI 모델이 보안 취약점 연쇄 공격에 악용되어 타사 핵심 서비스 계정까지 탈취할 수 있음을 보여주는 대표적 사례입니다.

보안 연구원들이 앤트로픽(Anthropic)의 Claude Opus 5 모델을 활용하여 오픈AI(OpenAI)의 연쇄 보안 결함을 발견하고, 이를 통해 직원들의 챗GPT(ChatGPT) 및 코덱스(Codex) 계정을 탈취하는 데 성공했다고 발표했습니다. 이번 연구는 고급 AI 모델이 취약점 탐지뿐 아니라 복잡한 다단계 공격 체인 수립에도 능숙하게 쓰일 수 있음을 입증했습니다.

공격 흐름은 AI 모델에 보안 분석 프롬프트를 주입하고 결함 분석을 유도하는 것에서 출발했습니다. Claude Opus 5는 서비스 내 존재하는 두 가지 상이한 소프트웨어 결함을 자동으로 연계 및 분석하여 단일 공격 시나리오로 완성했습니다. 이를 이용해 오픈AI 직원의 자격 증명을 획득한 뒤 권한 상승 및 계정 제어권을 획득하는 단계로 이어졌습니다. 계정 탈취(Account Takeover)는 합법적인 사용자의 계정 로그인 정보를 도용하여 내부 시스템에 무단 접근하는 기법입니다. 해당 공격 연구에서는 AI가 기존 자동화 스크립트보다 정교하게 취약점 간 개연성을 파악하고 공격 가이드를 제시함으로써 취약점 개발 속도를 획기적으로 향상시켰습니다.

AI 기반 공격 및 내부 자격 증명 도용에 대응하기 위해서는 임직원 계정에 대한 다중 인증(MFA, Multi-Factor Authentication) 적용을 필수화하고, 내부 관리자 세션 관리를 대폭 강화해야 합니다. 또한 AI 코딩 어시스턴트나 LLM 서비스 통합 시 최소 권한 원칙(Principle of Least Privilege)을 적용하여 특정 세션이 탈취되더라도 내부 소스코드 및 핵심 서비스 권한으로의 확산을 막아야 합니다.

관련 기사

3. 구글 픽셀 모뎀 제로데이 취약점 실제 악용

분류 취약점·패치 · 주요 대상 모바일 보안 담당자 및 스마트폰 사용자

선정 이유: 사용자의 조작이 필요 없는 제로클릭 모뎀 취약점이 실제 표적 공격에 사용된 심각한 보안 위험 사례입니다.

구글이 픽셀(Pixel) 스마트폰 모뎀 칩셋에서 발견된 제로데이 취약점인 CVE-2026-58704가 실제 야생에서 표적 공격에 악용되고 있음을 공식 확인하고 긴급 보안 업데이트를 배포했습니다. 제로데이(Zero-day)란 제조사가 취약점을 인지하고 패치를 배포하기 전에 공격자가 먼저 이를 찾아 악용하는 위협 상황을 의미합니다.

이번 취약점 CVE-2026-58704는 모뎀 펌웨어 수준에서 발생하는 결함으로, 공격자가 피해자의 어떠한 조작도 요구하지 않는 ‘제로클릭(Zero-click)’ 방식으로 악용할 수 있습니다. 모뎀은 이동통신망 신호를 처리하는 핵심 하드웨어 장치로, 이 영역에서 결함이 발생하면 OS 상위 권한으로 진입할 수 있는 권한 상승(Privilege Escalation) 경로가 열립니다. 공격자는 모뎀 처리 루틴의 메모리 관리 허점을 노려 권한을 상향 조정하고, 기기 내부의 민감 데이터를 탈취하거나 원격 제어를 시도하는 단계별 침투를 수행했습니다.

모바일 기기 사용자는 안드로이드 모바일 OS의 보안 업데이트 알림을 확인하는 즉시 기기를 최신 버전으로 업데이트해야 합니다. 기업 모바일 기기 관리자(MDM 관리자)는 사내 기기들의 보안 패치 적용 여부를 상시 모니터링하고, 미패치 기기의 사내망 접근을 제한하는 정기적 보안 준수 정책을 시행해야 합니다.

관련 기사

09.17 - 구글 픽셀 모뎀 제로데이 실제 악용…사용자 조작 없이 권한 상승

4. 금융권 API 노린 AI 에이전트 기반 공격 탐지

분류 악성코드·공격기법 · 주요 대상 금융권 보안 담당자 및 API 개발자

선정 이유: 단순 패킷 반복을 넘어 자율 동작하는 AI 에이전트가 금융 API의 허점을 자동으로 탐색하는 신종 위협의 출현입니다.

금융보안원이 국내 금융권을 겨냥한 AI 에이전트(AI Agent) 기반의 신종 사이버 공격 시도를 최초로 탐지하고 관련 업계에 경고를 발령했습니다. 자율적으로 판단하고 행동하는 AI 에이전트가 금융 시스템의 오픈 API(Application Programming Interface)를 타깃으로 삼아 탐색 및 침투를 시도한 실질적 사고 사례입니다.

API는 서로 다른 소프트웨어 간 데이터를 주고받는 접점으로, 최근 금융권의 마이데이터 및 인터넷 뱅킹 확대로 공격 표면(Attack Surface)이 급격히 증가했습니다. 이번에 탐지된 AI 에이전트 공격은 정해진 규칙대로 요청을 보내는 기존 트래픽 스캐너와 다릅니다. AI 에이전트는 API 응답 결과와 에러 메시지를 실시간 분석하며 파라미터 변조, 인증 우회 시도, 비정상적 호출 패턴을 능동적으로 변경해 나가는 단계를 거쳤습니다. 이를 통해 기존 보안 장비의 시그니처 기반 탐지 시스템을 우회하고 API 취약점 노출 여부를 지능적으로 점검하는 정찰 활동을 펼쳤습니다.

API 개발자 및 금융 보안 담당자는 API 엔드포인트에 대한 철저한 인증과 인가 검증을 수행하고, 파라미터 입력값 검증을 강화해야 합니다. 또한 IP 및 사용자 단위의 요청 횟수를 제한하는 로드 리미팅(Rate Limiting) 및 동작 기반 이상 행위 탐지 기술(WAF/API Security)을 도입하여, AI가 빠르게 변칙적으로 발생시키는 API 호출 트래픽을 차단해야 합니다.

관련 기사

5. 일본 디지털청 VPN 취약점 악용 해킹 피해

분류 침해사고·유출 · 주요 대상 공공 기관 및 네트워크 보안 담당자

선정 이유: 패치가 배포되었음에도 조치가 지연된 VPN 취약점이 국가 주요 기관의 대규모 개인정보 유출로 이어진 경계 보안 실패의 경각심을 줍니다.

일본 디지털청의 공통 업무 시스템이 알려진 VPN(가상사설망) 취약점을 노린 사이버 공격으로 침해되어 약 24만 6,000건의 개인정보가 유출될 위험에 처했습니다. 국가 주요 정보화 사업을 총괄하는 행정 기관이 패치 미비 상태의 경계 보안 장비를 통해 해킹된 대표적 사례입니다.

공격자는 사전에 공지된 VPN 장비의 미패치 취약점을 탐색한 후, 이를 악용하여 내부망 침입을 위한 초기 접점(Initial Access)을 확보했습니다. VPN(Virtual Private Network)은 외부에서 내부 네트워크로 안전하게 접속하기 위해 터널링을 제공하는 장비지만, 관리가 소홀할 경우 내부망 전체로 통하는 관문이 됩니다. 공격자는 VPN 장비의 인증 우회 또는 RCE 취약점으로 내부 네트워크 진입에 성공한 뒤, 공통 업무 시스템 서버로 이동하여 저장된 대규모 사용자 및 임직원 개인정보 데이터베이스에 접근하는 침투 단계를 이행했습니다.

네트워크 및 시스템 관리자는 외부에 노출된 VPN, 방화벽 등 경계 보안 장비의 보안 권고문(Security Advisory)을 상시 확인하고 최신 패치를 신속히 적용해야 합니다. 또한 VPN 접속 시 SMS나 앱 기반 다중 인증(MFA)을 필수 적용하고, 내부망으로의 무제한 접근을 금지하는 제로 트러스트(Zero Trust) 네트워크 접근 통제 방식을 도입해야 합니다.

관련 기사

09.17 - 일본 디지털청 해킹당했다…알려진 VPN 취약점 패치 전 공격

이 정리는 9월 14일~9월 20일 수집된 보안 뉴스 86건 중에서 자동 선별되었습니다.