gyumin.log

주간 보안 Top 5 - 9.21 ~ 9.27

2026-09-27

이번 주 한눈에 이번 주는 소프트웨어 공급망 취약점과 제로데이 악용, AI 에이전트를 겨냥한 새로운 공격 패턴이 집중적으로 발생했습니다. 주니어 보안 엔지니어라면 주요 제로데이 패치 현황과 에이전트 보안 위협을 유심히 살펴야 합니다.

1. 암호화폐 거래소 비트겟, 북한 해커 소행 추정 공격으로 3억 달러 이상 피탈

분류 침해사고·유출 · 주요 대상 기업 보안 담당자

선정 이유: 대규모 자산 탈취가 발생한 심각한 침해사고로, 북한 해킹 조직의 최신 공격 트렌드를 파악하기 위해 반드시 확인해야 합니다.

이번 사건은 글로벌 암호화폐 거래소인 비트겟이 북한 소행으로 추정되는 해킹 공격을 받아 약 3억 5,160만 달러 규모의 막대한 자산을 탈취당한 대형 침해사고입니다. 공격자들은 고도화된 침투 기법을 동원해 내부 인프라에 접근한 뒤, 자금 관리 시스템의 허점을 노려 대규모 암호화폐를 무단으로 유출한 것으로 파악되고 있습니다.

기술적으로 이러한 가상자산 탈취 사고는 주로 표적 피싱(Spear Phishing)이나 공급망 공격을 통한 초기 침투에서 시작됩니다. 이후 권한 상승(Privilege Escalation)과 내부 정찰을 거쳐 핫월렛(인터넷에 연결된 가상자산 지갑)이나 자금 이체 승인 시스템의 관리자 권한을 탈취하는 흐름으로 전개됩니다. 특히 북한 해킹 조직은 장기간에 걸쳐 신분을 위장하거나 제로데이 취약점을 활용해 방어벽을 우회하는 치밀함을 보이는 것이 특징입니다.

이러한 위협에 대응하기 위해서는 제로 트러스트(Zero Trust, ‘아무것도 신뢰하지 않고 검증한다’는 보안 모델) 아키텍처를 도입하여 내부 네트워크 이동을 엄격히 통제해야 합니다. 또한, 중요 자산에 접근할 때는 다중 인증(MFA)을 의무화하고, 가상자산 지갑의 출금 승인 프로세스를 다중화 및 지연시키는 물리적·관리적 통제 장치를 마련하는 것이 필수적입니다.

관련 기사

2. F5 BIG-IP APM 제로데이 및 라운드큐브 웹메일 취약점 악용 주의

분류 취약점·패치 · 주요 대상 기업 보안 담당자, 시스템 관리자

선정 이유: 실제 공격에 활발히 악용되고 있는 제로데이 및 치명적 취약점으로, 즉각적인 패치 적용이 시급하기 때문입니다.

이번 주 F5 BIG-IP APM(Access Policy Manager)에서 인증 없는 원격 코드 실행(RCE)이 가능한 제로데이 취약점이 발견되어 실제 공격에 악용되고 있음이 확인되었습니다. 이와 함께 라운드큐브 웹메일의 인증 전 SQL 인젝션 취약점(CVE-2026-48842) 또한 야외(In-the-wild)에서 활발히 악용되면서 긴급 경보가 발령되었습니다.

취약점의 원리 측면에서, F5 APM의 취약점은 공격자가 인증 절차를 거치지 않고도 시스템에 임의의 명령어를 실행할 수 있게 만듭니다. 라운드큐브의 SQL 인젝션은 사용자의 입력값이 적절한 검증 없이 데이터베이스 쿼리로 전달될 때 발생하며, 이를 통해 공격자는 데이터베이스 조작 및 시스템 장악을 시도할 수 있습니다. 공격자들은 이러한 취약점이 공개된 직후 자동화된 스캐너를 이용해 패치되지 않은 서버를 탐색하고 웹셸(Webshell, 웹 서버를 원격 조종하기 위해 심어두는 스크립트 파일)을 배포하는 흐름을 보입니다.

실무에서는 신속한 벤더 패치 적용이 최우선이며, 패치 전까지는 불필요한 외부 노출을 차단하고 방어벽(WAF) 룰을 업데이트하여 악성 요청을 필터링해야 합니다. 또한, 시스템 로그를 주기적으로 모니터링하여 비정상적인 프로세스 실행이나 파일 생성 흔적을 조기에 발견하는 체계를 갖춰야 합니다.

관련 기사

3. 가비아 웹서비스 및 패션 플랫폼 ‘룩핀’ 개인정보 유출 잇따라

분류 침해사고·유출 · 주요 대상 기업 보안 담당자

선정 이유: 국내 주요 웹서비스 및 플랫폼에서 외부 공격으로 인한 대규모 개인정보 유출이 발생해 실무적인 보안 점검이 요구됩니다.

최근 남성 패션 플랫폼 ‘룩핀’과 웹호스팅 및 서비스 기업 가비아에서 외부 공격자의 비인가 접근으로 인한 개인정보 유출 사고가 발생했습니다. 룩핀의 경우 다크웹에 270만 명분의 고객 정보와 주문 정보가 판매되는 정황이 포착되었으며, 가비아 역시 외부 검증 미흡을 악용한 해킹으로 고객 정보가 유출되어 KISA와 개인정보위에 신고되었습니다.

이러한 침해사고는 주로 웹 애플리케이션의 취약점(예: SQL 인젝션, 파일 업로드 취약점 등)이나 제3자 데이터 분석 도구의 보안 설정 미흡을 통해 발생합니다. 공격자들은 취약한 접점을 통해 데이터베이스에 접근한 뒤 개인정보를 대량으로 탈취하며, 이는 기업의 대외 신뢰도 하락뿐만 아니라 법적 제재로 이어지게 됩니다. 특히 유출된 데이터가 다크웹을 통해 2차 가해나 피싱 공격의 재료로 악용될 수 있다는 점에서 심각성이 큽니다.

대응을 위해 기업은 정기적인 모의해킹과 취약점 진단을 실시하여 웹 서비스의 안전성을 확보해야 합니다. 또한, 개인정보 데이터베이스에는 강력한 암호화를 적용하고, 접근 제어(Access Control)를 강화하여 비정상적인 대량 조회 및 다운로드 시도를 실시간으로 차단할 수 있는 모니터링 체계를 구축해야 합니다.

관련 기사

4. 생성형 AI와 에이전트를 겨냥한 신종 보안 위협 및 악성 확장프로그램 주의

분류 악성코드·공격기법 · 주요 대상 개발자, 기업 보안 담당자

선정 이유: AI 기술 도입이 늘어나는 추세 속에서 AI 에이전트와 브라우저 환경을 악용한 새로운 형태의 공격 기법이 대거 등장했기 때문입니다.

최근 생성형 AI와 브라우저 에이전트의 권한을 악용하는 보안 위협이 급증하고 있습니다. 연구에 따르면 악성 브라우저 확장프로그램 하나만으로 브라우저에 탑재된 AI 에이전트의 권한을 탈취해 임의 명령을 수행할 수 있는 ‘브랙잭’ 취약점이 공개되었으며, 맥용 AI 비서 ‘뮤즈’에서도 터미널 명령 한 줄로 계정이 장악되는 제로데이 취약점이 발견되었습니다. 또한 공격자들이 AI 모델들의 투표로 다음 동작을 결정하는 지능형 윈도우 악성코드까지 등장했습니다.

이들 공격의 기술적 배경은 AI 시스템과 브라우저, 로컬 운영체제 간의 경계가 모호해진 점을 파고듭니다. 공격자는 악성 확장프로그램이나 취약점을 통해 AI 에이전트의 API 호출 권한을 탈취하고, 이를 오케스트레이터(여러 작업을 조율하는 관리 시스템)처럼 활용해 시스템 내부로 침투합니다. 즉, AI가 공격자의 지시를 충실히 수행하는 조력자(Orchestrator)로 변질되는 것입니다.

개발자와 보안 담당자는 AI 서비스를 구축할 때 최소 권한 원칙(Principle of Least Privilege)을 적용하여 에이전트가 접근할 수 있는 시스템 자원과 API 범위를 엄격히 제한해야 합니다. 또한, 외부에서 유입되는 프롬프트나 확장프로그램의 무결성을 검증하고, AI 에이전트의 행위를 실시간으로 감시하는 가시성 확보 방안을 마련해야 합니다.

관련 기사

5. 오픈소스 공급망을 겨냥한 악성 npm·PyPI 패키지 및 깃허브 유출 확산

분류 공급망 · 주요 대상 개발자

선정 이유: 개발자들이 자주 사용하는 오픈소스 저장소를 오염시켜 자격증명을 탈취하는 공급망 공격이 지속되고 있어 주의가 필요합니다.

개발 환경을 겨냥한 공급망 공격이 이어지고 있는 가운데, 트월리오 버그바운티 도구로 위장하거나 정상적인 MemTensor 패키지를 오염시켜 자격증명을 탈취하는 악성 npm 및 PyPI 패키지가 대거 발견되었습니다. 또한 탠스택 공급망 공격의 여파로 보안 기업의 비공개 깃허브 저장소가 유출되는 등 개발 생태계 전반에 위협이 확산되고 있습니다.

이러한 공급망 공격은 소프트웨어 개발 과정에서 외부 라이브러리를 의존성 관리 도구(npm, pip 등)를 통해 다운로드받아 사용하는 점을 악용합니다. 공격자들은 정상 패키지와 유사한 이름을 사용해 개발자를 속이는 타이포스쿼팅(Typosquatting) 기법을 쓰거나, 기존 오픈소스 계정을 탈취하여 악성 코드가 포함된 버전을 배포합니다. 개발자가 이를 인지하지 못하고 프로젝트에 포함시키면, 빌드 서버나 로컬 개발 환경에서 백도어가 실행되어 주요 API 키나 SSH 키 같은 자격증명이 공격자에게 전송됩니다.

이를 방어하기 위해 개발자는 오픈소스 패키지를 도입할 때 평판과 다운로드 수, 배포 주기를 꼼꼼히 확인해야 합니다. 아울러 소프트웨어 구성 요소 명보(SBOM, Software Bill of Materials)를 활용해 프로젝트에 포함된 모든 라이브러리를 추적하고, CI/CD 파이프라인에서 자동화된 취약점 및 악성코드 스캔 도구를 상시 구동하는 보안 습관을 들여야 합니다.

관련 기사

이 정리는 9월 21일~9월 27일 수집된 보안 뉴스 90건 중에서 자동 선별되었습니다.