오늘의 보안 뉴스 - 2026-09-26

오늘의 브리핑

워드프레스, 팀시티 등 주요 웹·빌드 서버 취약점을 노린 실제 공격이 포착되었습니다.

도커 서버 감염, 암호화폐 거래소 해킹 등 공급망과 자산을 노린 위협이 고도화되고 있습니다.

추석 연휴 스미싱과 개인정보 유출 피해에 대비해 보안 점검과 비상 대응이 필요합니다.

보안뉴스

9월은 교육업계 수난시대… ‘교육 분야 웹사이트’ 해킹 피해 급증

하늘교육 홈페이지 해킹으로 학생 및 학부모의 개인정보 유출 정황이 포착되었습니다.

유아부터 중고교까지 다루는 교육 전문 사이트 ‘하늘교육’이 외부 해킹으로 인한 개인정보 유출 정황을 파악하고 사이트를 통해 공지했습니다. 유출이 의심되는 항목은 학부모와 학생의 이름, 전화번호, 주소 등 민감한 개인정보입니다. 최근 교육업계를 노린 사이버 공격이 기승을 부리고 있으며, 특히 교육업계 웹사이트는 학생과 학부모 모두의 정보가 모여 있는 곳입니다. 이에 따라 개인정보 유출은 물론 카드번호 등 금융정보와 주소 등 민감정보 유출로 인한 2차 피해 우려가 매우 큰 상황입니다. 더욱이 미성년자의 경우 사이버 범죄 피해에 스스로 대응하기 어렵다는 점에서 논란과 불안감이 커지고 있습니다. 교육 분야 웹사이트를 겨냥한 해킹 공격이 급증함에 따라 관련 기관과 기업의 철저한 개인정보 관리 및 보안 강화가 시급합니다. 기사는 유출 정황 파악 및 이용자들의 주의를 당부했습니다.

[2026 AI 보안 솔루션 리포트] 어시스턴트를 넘어 ‘자율형 에이전트’ 시대로… AI가 만드는 K-보안

정부 가이드라인 강화로 AI 보안 솔루션이 보안 산업의 핵심으로 부상하고 있습니다.

국가망보안체계(N2SF) 가이드라인과 국정원, 과기정통부의 지침에서 AI 보안 솔루션을 직접 언급하면서 보안 산업 전반에 큰 파급효과가 나타나고 있습니다. 공공시장에서 시작된 AI 보안 솔루션 도입 흐름은 금융과 대기업, 공급망 등 민간 시장으로 빠르게 확산하고 있습니다.

데일리시큐

개인정보 유출 뒤가 더 문제…불법유통 게시물 3,341건 미삭제

온라인 불법 유통 개인정보 게시물 8만 9천여 건 중 3천여 건이 미삭제 상태입니다.

올해 1월부터 7월까지 국내외 온라인에서 개인정보를 불법으로 판매하거나 공유하는 게시물이 총 8만 9,209건 탐지되었습니다. 국회 과학기술정보방송통신위원회 황정아 의원이 한국인터넷진흥원(KISA)으로부터 제출받은 자료에 따르면, 이 중 3,341건은 7월 기준 여전히 삭제되지 않은 것으로 확인되었습니다. 다만 미삭제 건수에는 최근 탐지되어 삭제 절차가 진행 중인 게시물도 포함되어 있어, 이 수치만으로 삭제 대응이 전년보다 악화되었다고 단정하기는 어렵습니다. 문제는 게시물이 삭제되더라도 이미 누군가 다운로드받은 유출 정보 자체는 소멸하지 않는다는 점입니다. 무단으로 내려받은 개인정보는 텔레그램이나 암시장에서 지속해서 불법 유통되며 2차 범죄에 악용될 위험이 매우 높습니다. 개인정보 유출 후 사후 처리만으로는 유통을 완전히 막기 어렵다는 한계가 드러난 셈입니다. 기사는 단순 게시물 삭제를 넘어 유출 정보의 확산을 막는 근본적인 대책과 관리가 필요하다고 지적했습니다.

AI 에이전트 결합한 ‘카르보나토’ 봇넷…노출된 도커 서버 타고 확산

인증 없이 노출된 도커 서버를 타고 확산하는 ‘카르보나토’ 봇넷이 발견되었습니다.

인증 절차 없이 외부에 노출된 도커(Docker) 서버를 감염시키고 다른 서버로 확산하는 ‘카르보나토(Carbonato)’ 봇넷이 새롭게 발견되었습니다. 보안 조직 스렛다운(ThreatDown)은 지난 8월 접근 제한이 없는 도커 이미지 저장소를 조사하던 중 카르보나토의 구성요소를 확인했습니다. 해당 저장소에는 봇넷뿐만 아니라 가짜 암호화폐 지갑 앱을 배포하는 도구도 함께 포함되어 있었습니다. 공격자들은 감염된 서버에 정상적인 오픈소스 AI 에이전트(인공지능 기반 자율 실행 프로그램)를 설치하여 자신들의 원격 명령을 수행하도록 만든 것이 주요 특징입니다. 인증 설정이 누락되어 외부에 노출된 도커 서버는 공격자들의 손쉬운 먹잇감이 되기 쉽습니다. 인공지능 도구를 악성 행위에 결합하는 공격 수법이 늘어남에 따라 클라우드 인프라의 보안 위협도 커지고 있습니다. 기사는 외부에 공개된 도커 저장소 및 서버의 인증 설정을 철저히 점검할 것을 시사했습니다.

워드프레스 취약점 공개 수시간 만에 공격…PHP 파일 생성 시도 포착

워드프레스 보안 패치 공개 수 시간 만에 CVE-2026-87902 취약점 공격이 포착되었습니다.

워드프레스가 9월 22일 보안 업데이트를 공개한 당일, 취약점 ‘CVE-2026-87902’를 노린 공격 시도가 즉각 포착되었습니다. 초기에는 취약한 사이트를 탐색하는 단순 스캔이 주를 이뤘으나, 이후 서버에 악의적인 PHP 파일을 생성하려는 실제 요청까지 확인되었습니다. 이 취약점은 워드프레스가 페이지에 사용할 템플릿 파일을 찾는 과정의 로직 오류에서 비롯되었습니다. 인증되지 않은 공격자가 특정 조건을 이용해 경로를 조작하면, 현재 테마 폴더 외부에 있는 읽기 가능한 PHP 파일을 강제로 불러올 수 있습니다. 이에 싱가포르 사이버보안청(CSA)은 24일 실제 악용 경보를 발령하고 즉각적인 패치를 당부했습니다. 보안 업데이트가 발표되자마자 이를 분석해 공격에 악용하는 재빠른 시도가 이어지고 있어 심각성을 더합니다. 기사는 위험을 방지하기 위해 워드프레스 사용자들에게 즉시 최신 보안 업데이트를 적용할 것을 권고했습니다.

랜섬웨어 공격에 악용된 팀시티 취약점…빌드 서버 점검 시급

젯브레인즈 팀시티의 취약점 CVE-2026-63077이 랜섬웨어 공격에 악용되고 있습니다.

젯브레인즈(JetBrains)의 빌드 및 배포 자동화 도구인 ‘팀시티(TeamCity)‘에서 발견된 치명적 취약점이 랜섬웨어 공격에 실제로 악용되고 있습니다. 미국 사이버보안·인프라보안국(CISA)은 취약점 ‘CVE-2026-63077’을 실제 악용 중인 목록에 추가한 데 이어, 랜섬웨어 공격에도 활용되는 취약점으로 공식 분류했습니다. 이번 취약점은 기업이 자체 서버에 직접 설치해 운영하는 온프레미스(자체 구축 서버)형 팀시티 제품에 영향을 미칩니다. 공격자가 웹을 통해 취약한 서버에 접근할 수 있다면 별도의 로그인 없이도 인증을 우회하여 서버에서 임의의 명령을 실행할 수 있습니다. 소프트웨어 개발과 배포의 중심이 되는 빌드 서버가 타격을 입으면 조직 전체 인프라로 피해가 급격히 확산할 수 있습니다. 기사는 랜섬웨어 피해를 막기 위해 팀시티 서버 및 관련 빌드 시스템에 대한 긴급 보안 점검 조치를 권고했습니다.

추석 연휴 택배·경품 사칭 스미싱 주의…KISA·금융권 비상대응

추석 연휴를 노린 택배 배송 및 경품 사칭 스미싱 문자가 기승을 부리고 있습니다.

추석 연휴를 맞아 택배 배송 조회나 경품 이벤트 등을 사칭한 스미싱 공격이 기승을 부릴 것으로 예상되어 이용자들의 주의가 요구됩니다. 한국인터넷진흥원(KISA)은 ‘추석 특별 경품’, ‘배송 조회’, ‘교통법규 위반’ 등의 미끼 문자를 통해 개인정보를 빼내거나 금전 피해를 유발하는 악성 메시지가 유포될 수 있다고 경고했습니다. 공격자들은 가짜 경품 행사 페이지나 배송 조회 화면, 공공기관 안내 페이지를 가장하여 이용자들의 클릭을 유도합니다. 출처가 불분명한 문자 메시지 속 웹주소(URL)는 절대 누르지 말고, 배송이나 범칙금 내역은 공식 앱이나 웹사이트에서 직접 확인해야 합니다. 이에 대응하여 KISA와 금융보안원은 연휴 기간 사이버 위협에 대비한 비상대응체계를 본격 가동하기로 했습니다. 기사는 출처 불분명한 링크 접속을 금지하고 공식 채널을 통해 사실관계를 직접 확인할 것을 권고했습니다.

The Hacker News

깃허브 액션 오픈소스 저장소, 악성코드 재실행으로 다시 차단

Mini Shai-Hulud 악성코드에 감염되었던 GitHub Actions 저장소가 다시 차단되었습니다.

지난 5월 ‘Mini Shai-Hulud’ 캠페인 당시 침해되었던 actions-cool의 깃허브 액션(GitHub Actions) 저장소들이 지난주 다시 접근 가능해졌으나 또다시 비활성화되었습니다. 차단된 저장소는 ‘actions-cool/issues-helper’와 ‘actions-cool/maintain-one-comment’ 등 2곳입니다. 해당 리포지토리에 다시 접근할 수 있게 되면서 내부에 남아있던 악성코드가 다시 실행된 것으로 분석되었습니다. 방문 시 현재는 서비스 접근이 차단되었다는 안내 메시지가 표시되고 있습니다. 많은 개발자가 CI/CD(지속적 통합 및 배포) 자동화를 위해 오픈소스 액션을 의존하는 상황에서 감염된 저장소가 다시 노출되는 것은 매우 위험합니다. 소스 코드 관리 플랫폼의 침해 사고는 하위 개발 프로젝트 전체로 악성코드가 전파되는 공급망 위험을 초래합니다. 기사는 깃허브 측이 즉시 저장소 접근을 차단 조치했음을 전했습니다.

맥OS 악성코드 팸스틸러, 서버 기반 페이로드 복호화 및 다중 지속성 기능 추가

맥OS 타깃 악성코드 PamStealer가 C2 서버 복호화 및 다중 지속성 기능을 추가했습니다.

맥OS 환경을 위협하는 악성코드 ‘팸스틸러(PamStealer)‘의 신종 변종이 포착되어 연구진이 주의를 당부했습니다. Jamf Threat Labs의 최신 분석에 따르면, 이번 변종은 메인 페이로드를 C2 서버(공격자가 악성코드를 원격 조종하는 서버) 측 복호화 체인을 통해서만 복원할 수 있도록 구조를 변경했습니다. 기존과 동일하게 JXA(Automation용 자바스크립트) 드롭퍼 메커니즘을 유지하고 있지만, 유인용 파일과 전달 방식을 새롭게 수정했습니다. 암호화 키를 악성코드 내부가 아닌 서버에 따로 배치하여 보안 분석가들의 역공학 및 정적 분석을 방해하려는 의도입니다. 또한 분석을 피하고 시스템에 오랫동안 잔류하기 위해 다중 레이어 방식의 지속성 메커니즘을 도입했습니다. 기사는 맥OS를 겨냥한 악성코드가 탐지 우회 기술을 고도화하고 있음을 전했습니다.

보안운영센터(SOC)가 모든 경보를 처음부터 재조사할 필요가 없는 이유

AI 도입으로 공격자의 공격 시도 비용이 낮아지면서 SOC 대응 방식의 변화가 요구됩니다.

보안 리더들 사이에서 AI가 새로운 사이버 공격 유형을 만들어낼 것인지에 대한 논쟁이 이어지는 가운데, 보다 현실적이고 정숙한 변화가 이미 관찰되고 있습니다. AI 기술의 발전으로 공격자가 실패한 공격을 재시도하는 데 드는 비용이 극도로 저렴해졌습니다. 과거 공격자가 하위 권한의 클라우드 계정에 침투한 뒤 권한 상승에 실패하면, 다음 방법을 찾기 위해 수시간 동안 문서를 읽고 연구해야 했습니다. 그러나 이제는 AI를 활용해 실패 원인을 즉시 보완하고 실패한 공격을 손쉽게 수정하여 다시 시도할 수 있게 되었습니다. 이러한 환경 변화로 인해 보안운영센터(SOC, 보안 사고를 탐지 및 대응하는 조직)가 매번 발생하는 개별 경보를 처음부터 일일이 다시 조사하는 방식은 비효율적이 되었습니다. 공격 재시도 주기가 빨라진 만큼 경보 간의 연관 패턴을 분석하는 체계로의 전환이 시급합니다. 기사는 AI 시대의 공격 양상 변화에 맞춰 SOC의 경보 대응 프로세스도 진화해야 한다고 강조했습니다.

암호화폐 거래소 비트겟, 북한 해커 소행 추정 공격으로 3억 5,160만 달러 피탈

암호화폐 거래소 비트겟이 북한 해커의 공격으로 3억 5,160만 달러를 도난당했습니다.

유명 암호화폐 거래소 비트겟(Bitget)이 북한 연계 해킹 조직의 소행으로 추정되는 공격을 받아 3억 5,160만 달러 상당의 자산을 피탈당했습니다. 비트겟은 2026년 9월 24일 18시 31분(UTC) 공유된 엑스(X) 게시물을 통해 내부 보안 시스템이 일부 핫월렛(인터넷에 연결된 가상자산 지갑)에서 무단 자금 이체를 감지했다고 밝혔습니다. 공격자는 거래소의 백엔드 시스템을 침해하여 인터넷에 연결된 핫월렛과 웜월렛의 자금을 탈취한 것으로 파악되었습니다. 다만 플랫폼 자산의 절대 다수를 차지하는 콜드월렛과 대부분의 자산은 이번 침해 공격으로부터 안전하게 보호받고 있다고 밝혔습니다. 암호화폐 거래소를 노린 국가 배후 해킹 그룹의 금융 자금 탈취 시도는 갈수록 과감해지고 있습니다. 기사는 비트겟 측이 침해 사실을 밝히며 추가적인 자산 안전 조치를 취하고 있다고 전했습니다.

라운드큐브 웹메일의 인증 전 SQL 인젝션 취약점, 실제 공격에 활발히 악용 중

라운드큐브 웹메일의 취약점 CVE-2026-48842가 실제 공격에 악용되어 경보가 발령되었습니다.

캐나다 사이버보안센터(CCCS)는 보안 패치가 공개된 라운드큐브 웹메일(Roundcube Webmail)의 취약점이 실제 현장에서 활발히 악용되고 있다고 경고했습니다. 경보가 발령된 취약점은 ‘CVE-2026-48842’로, CVSS 위험도 점수 8.1을 기록한 치명적인 보안 결함입니다. 라운드큐브 웹메일 1.6.16 미만 버전 및 1.7.1 미만 버전의 ‘virtuser_query’ 플러그인에서 인증 전 SQL 인젝션 문제가 발견되었습니다. 이 문제는 preg_replace() 함수의 역슬래시 처리 미흡에서 발생한 것으로 확인되었습니다. 공격자는 로그인하지 않은 상태에서도 웹 요청을 조작해 악의적인 SQL 문을 실행하고 데이터베이스를 제어할 수 있습니다. 이미 실제 공격에 쓰이고 있는 만큼 해당 소프트웨어를 사용하는 환경에서는 비상이 걸렸습니다. 기사는 취약점 피해를 방지하기 위해 이용자들에게 즉각적인 최신 버전 업데이트를 권고했습니다.

Krebs on Security

미군 병사, 통신사 해킹 및 1억 명 고객 데이터 갈취 혐의로 징역 70개월 선고

AT&T 등 통신사를 해킹하고 고객 데이터를 갈취한 미군 병사에게 징역 70개월이 선고되었습니다.

여러 통신사를 해킹하고 1억 명 이상의 AT&T 고객 통화 및 문자 메타데이터를 탈취한 미군 병사가 법원으로부터 징역 70개월을 선고받았습니다. 유죄를 인정한 해당 병사는 2024년 대형 통신사 시스템에 침입해 탈취한 데이터로 기업을 공갈 협박한 혐의를 받고 있습니다. 미 연방법원은 징역형과 함께 피해자들에게 약 30만 달러의 배상금을 지불하라는 명령을 내렸습니다. 이번 사건은 국가 통신 인프라를 타깃으로 한 대규모 침해 사고가 얼마나 심각한 결과를 초래하는지 잘 보여줍니다. 통화 및 문자 메타데이터는 대화 내용 자체는 포함하지 않더라도 개인 간의 연락 패턴과 관계망을 그대로 노출시킵니다. 대규모 데이터 갈취 행위에 대한 엄벌 조치는 향후 유사 범죄에 대한 경각심을 고취합니다. 기사는 판결 소식과 함께 민감 데이터 수집 및 관리 인프라의 보안 강화 필요성을 시사했습니다.

오늘의 용어

개인정보 유출 - 당사자의 동의 없이 개인을 식별할 수 있는 정보가 외부로 불법 유출되는 보안 사고
개인정보 불법유통 - 무단 유출된 개인식별정보를 온라인 공간이나 암시장에서 불법으로 판매 및 공유하는 행위
도커(Docker) - 애플리케이션을 컨테이너라는 가상화 단위로 배포하고 실행할 수 있게 해주는 오픈소스 플랫폼
경로 조작(Path Traversal) - 파일 경로 입력값을 조작하여 정해진 디렉터리 외부의 시스템 파일에 접근하는 보안 취약점
온프레미스(On-Premises) - 클라우드가 아닌 기업이 자체적으로 보유한 물리적 공간의 서버에 소프트웨어를 직접 설치해 운영하는 방식
사회공학(Social Engineering) - 시스템의 기술적 취약점 대신 사람의 심리나 행동 양식을 이용해 비밀 정보를 얻어내는 공격 기법
CI/CD - 지속적 통합(CI)과 지속적 제공/배포(CD)를 통해 소프트웨어 개발 과정을 자동화하는 시스템
페이로드(Payload) - 악성코드에서 시스템 침투 후 실제로 악의적인 동작을 수행하는 핵심 코드 부분
권한 상승(Privilege Escalation) - 공격자가 시스템의 보안 허점을 이용해 하위 권한에서 관리자급 상위 권한을 획득하는 공격 행위
콜드월렛(Cold Wallet) - 인터넷과 완전히 격리된 오프라인 상태에서 암호화폐 키를 보관하는 가장 안전한 형태의 지갑
SQL 인젝션(SQL Injection) - 웹 애플리케이션의 입력값 검증 부재를 악용해 악의적인 데이터베이스 질의어를 실행하는 공격
메타데이터(Metadata) - 데이터에 대한 데이터로, 통화나 문자에서 내용 제외 발신·수신 번호, 시간, 위치 등 부가 정보를 의미