오늘의 보안 뉴스 - 2026-09-29

오늘의 브리핑

공식 인증 확장 프로그램과 외주 협력업체를 통한 공급망 보안 위협이 대두되고 있습니다.

AI 기반 딥페이크 피싱과 모바일 악성코드가 고도화되며 피해 우려가 커지고 있습니다.

주요 소프트웨어 및 제3자 솔루션의 취약점을 노린 표적 공격에 철저한 대비가 필요합니다.

보안뉴스

구글이 붙여 준 ‘인증 개발자’ 딱지… 크롬 팝업차단 확장, 챗봇 대화까지 빼냈다

200만 명이 사용하는 크롬 인증 확장 프로그램 포퍼블로커가 사용자 정보를 탈취하는 악성코드로 밝혀졌습니다.

크롬 웹스토어에서 200만 명 이상의 활성 이용자와 8만 1천여 건의 평점 4.8점 리뷰를 보유한 팝업 차단 확장 프로그램 포퍼블로커(Poper Blocker)가 이용자 정보를 빼내는 악성코드로 분석되었습니다. 보안 연구조직 베이에어리어랩스(Bay Area Labs)에 따르면, 이 프로그램은 이용자의 대량 정보와 챗봇 대화 내용까지 빼돌린 것으로 나타났습니다. 해당 확장 프로그램은 큼직한 초록색 추천 표시가 붙어 있었으며 구글이 신원과 정책 준수 이력을 인정한 ‘인증 개발자’ 자격을 갖추고 있었습니다. 이 공격은 신뢰받는 개발사 자격을 획득해 사용자의 의심을 피하는 방식으로 진행되었습니다. 겉모습이 정상적이고 높은 평점을 받은 공식 확장 프로그램이라도 보안 위협이 될 수 있음을 보여주는 사례입니다. 기사는 겉으로 드러난 높은 평점이나 공식 인증 자격표시만으로 프로그램을 무조건 신뢰해서는 안 된다고 전했습니다.

조달청, 불공정 조달행위 환수제도 개편… 위반 유형별 환수금 차등화

조달청이 불공정 조달행위 책임 강화를 위해 환수제도를 개편하고 10월 1일부터 시행합니다.

조달청은 불공정 조달행위에 대한 실효성을 높이기 위해 물품구매계약 특수조건을 개정하고 위반 유형별로 환수금을 차등화하기로 했습니다. 비용 입증의 어려움과 복잡한 산정 절차를 개선하고 불공정 행위에 대한 제재 기준을 명확히 정립하는 조치입니다.

서울시 홈페이지에 ‘비밀번호 없는 인증’ 적용… 원모어시큐리티 ‘원모어패스’ 구축

원모어시큐리티가 서울시 홈페이지에 FIDO 기반 패스워드리스 인증 솔루션 원모어패스를 구축했습니다.

원모어시큐리티는 지문, 얼굴인식, PIN 등 다양한 인증수단을 지원하는 차세대 통합 인증 솔루션 원모어패스를 서울시 홈페이지에 구축했다고 밝혔습니다. 이 솔루션은 REST API 연동 및 외부 디렉터리와의 사용자 연동을 지원하여 웹과 모바일 환경의 보안성을 높였습니다.

아우토크립트, 미디어텍 칩셋 취약점 발견… CVE 2건 식별

아우토크립트 레드팀이 미디어텍 칩셋과 오픈소스 커널에서 CVE 취약점 2건을 발견해 패치를 이끌어냈습니다.

아우토크립트의 모의해킹 전담 조직인 레드팀이 미디어텍(MediaTek) 시스템온칩(SoC)과 부트 환경에서 구동되는 오픈소스 임베디드 커널 ‘리틀 커널(Little Kernel, LK)‘에서 보안 취약점을 발견했습니다. 연구진은 올해 상반기 연구를 통해 해당 결함을 식별하고 미디어텍 측에 즉시 제보했습니다. 제보를 받은 미디어텍은 이를 CVE-2026-20466으로 공식 등록하고 취약점을 해결하는 공식 패치를 반영했습니다. 해당 연구는 자동차와 임베디드 기기에 널리 쓰이는 칩셋 부팅 단계의 핵심 결함을 선제적으로 제거했다는 점에서 의미가 큽니다. 기사는 공식 패치 반영을 통해 임베디드 시스템 보안을 강화했다고 전했습니다.

미토스로 취약점 찾는다… 팔로알토 유닛42, ‘지속형 프런티어 디펜스’ 공개

팔로알토 네트웍스 유닛42가 프런티어 AI 모델을 활용한 지속형 프런티어 AI 디펜스 서비스를 출시했습니다.

팔로알토 네트웍스 유닛42는 클로드 미토스 5와 GPT-5.6-사이버 등 고성능 AI 모델을 악용해 기업의 보안 노출을 선제적으로 찾아내는 에이전틱 공격 보안 서비스를 공개했습니다. 이를 통해 기업들은 시스템 내 위협 요소를 정교하게 검증하고 대응 체계를 구축할 수 있습니다.

윤영석 위원장 “연금개혁, 늦출 수 없는 국가적 과제”

국회에서 국민연금의 지속가능성을 제고하기 위한 구조개혁 정책토론회가 개최되었습니다.

윤영석 국민의힘 의원 및 국회의원실 공동주최로 열린 토론회에서 전문가들은 국민연금의 장기 재정구조 안정화와 미래 세대 부담 완화를 위한 구조개혁 방향을 논의했습니다. 참석자들은 보험료율과 소득대체율 조정뿐만 아니라 세대 간 형평성을 함께 고려해야 한다고 강조했습니다.

한국은행, 외부업체 침입으로 186명 개인정보 유출

한국은행 외부 연수업체의 깃허브 시스템 침입으로 직원 186명의 개인정보가 유출되었습니다.

올해 5월 9일부터 6월 8일 사이 한국은행의 온라인 연수를 담당하는 외부 수탁업체의 깃허브(GitHub) 시스템에 불법 침입이 발생했습니다. 이 사고로 인해 한국은행 직원 186명을 포함한 해당 연수업체 회원사들의 개인정보가 대규모로 유출되는 피해가 집계되었습니다. 유출된 항목은 성명, 회사명, 이메일, 전화번호뿐만 아니라 직급, 직무, 소속, 암호화된 비밀번호까지 포함되어 깊은 우려를 낳고 있습니다. 이번 사건은 자체적인 내부망 보안뿐만 아니라 외주 협력업체가 이용하는 외부 개발 시스템 관리의 허점이 핵심 공격 경로가 되었음을 보여줍니다. 기사는 외부 수탁업체가 이용하는 정보시스템 관리에 대한 엄격한 모니터링이 중요함을 시사했습니다.

데일리시큐

‘K-시큐리티’ 해외 진출 속도…국제공동 R&D로 수출·고객 확보

KISIA와 IITP가 국내 보안 기업의 해외 진출 및 국제 공동 R&D 성과 교류회를 개최했습니다.

한국정보보호산업협회는 총 86억 원 규모로 추진되는 해외진출촉진형 R&D 사업 성과교류회를 열고 미국, 인도네시아, 중동 시장을 겨냥한 기술 개발 및 사업화 성과를 공유했습니다.

KISA, ‘디지털 시대의 법’ 학술 경연대회 첫 개최…10월 20일까지 접수

KISA가 디지털 전환 시대의 법적 쟁점을 논의하는 학술 경연대회 참가자를 모집합니다.

한국인터넷진흥원은 과기정통부와 함께 인공지능과 디지털 시대의 법적 해법을 모색하기 위한 학술 경연대회를 첫 개최하고 10월 20일까지 참가 접수를 받는다고 발표했습니다.

한국 생성형 AI 사용률 40.6%, 세계 12위로 상승

한국의 생성형 AI 사용률이 40.6%를 기록하며 세계 12위로 상승했습니다.

마이크로소프트 보고서에 따르면 2026년 2분기 한국의 생성형 AI 사용률은 전 분기 대비 3.5%포인트 상승한 40.6%로 세계 12위를 기록했습니다. 세계 평균 사용률은 18.8%이며 아랍에미리트가 73.3%로 가장 높은 사용률을 보였습니다.

카스퍼스키, 백신 업데이트 개발·배포 과정 SOC 2 Type II 감사 완료

카스퍼스키가 백신 업데이트 개발 및 배포 절차에 대한 SOC 2 Type II 감사를 완료했습니다.

카스퍼스키는 독립 감사기관을 통해 윈도 및 유닉스용 안티바이러스 DB의 개발, 시험, 배포 과정이 무단 변경으로부터 안전하게 보호되고 있음을 평가받아 SOC 2 Type II 감사를 완료했다고 밝혔습니다.

목소리까지 흉내 내는 피싱…보안 책임자 41% “딥페이크 전화 공격 경험”

보안 임원의 41%가 최근 1년간 딥페이크 음성을 활용한 피싱 공격을 경험했다고 응답했습니다.

가트너가 최고정보보안책임자(CISO) 등 보안 임원 297명을 대상으로 실시한 조사 결과, 응답자의 41%가 지난 12개월 동안 직원 대상 음성 통화에서 딥페이크를 악용한 공격을 경험했다고 답했습니다. 화상 통화를 통한 동일한 유형의 공격 경험 비율도 36%에 달해 생성형 AI 기술을 악용한 공격이 본격화되었음을 나타냅니다. 공격자들은 직원의 익숙한 목소리나 영상 합성 기술로 접근해 자금 송금이나 계정 권한 변경을 유도하고 있습니다. 익숙한 목소리나 상사의 지시라는 이유만으로 본인 확인 없이 승인해서는 안 되며 다중 인증 및 검증 절차가 철저히 적용되어야 합니다. 기사는 음성 및 화상 요청 시 무조건 승인하지 않는 신중함이 필요하다고 지적했습니다.

The Hacker News

애플, 표적 공격에 악용된 CoreGraphics 취약점 긴급 패치

애플이 표적 공격에 악용되었을 가능성이 있는 CoreGraphics 컴포넌트 취약점을 긴급 패치했습니다.

애플이 구버전 iOS, iPadOS, macOS에서 표적 공격에 악용되었을 가능성이 있는 보안 취약점 조치를 위해 보안 업데이트를 발표했습니다. 이번에 조치된 취약점은 CVE-2026-86950으로 추적되며 그래픽 처리 시스템 핵심 컴포넌트인 CoreGraphics에서 발생했습니다. 해당 결함은 버퍼 경계 외 쓰기(out-of-bounds write) 취약점으로, 공격자가 악의적으로 제작한 파일 시스템을 대상 기기가 처리하도록 유도할 때 발생합니다. 이를 통해 공격자는 대상 기기에서 임의 코드를 실행(arbitrary code execution)하여 권한을 탈취할 수 있습니다. 애플은 해당 취약점이 실제 표적 공격에 악용되었을 수 있음을 알리고 사용자의 조속한 업데이트를 당부했습니다.

해커들, NeedyMantis 악성코드로 침해 네트워크 내 장기 침투 유지

해커들이 NeedyMantis 악성코드를 이용해 침해된 내부 네트워크에서 장기 상주를 유지해 온 것으로 밝혀졌습니다.

마이크로소프트의 기술 분석 발표에 따르면 해커들이 이미 침입에 성공한 네트워크 내부에서 지속적인 접근 권한을 유지하기 위해 NeedyMantis 악성코드를 사용해 왔습니다. 이 악성코드는 통신사, 대학, 의료 비영리단체, 정부 협력업체 등 일부 엄선된 표적 조직 침입 사례에서 확인되었습니다. 공격자들은 초기 침투 성공 후 NeedyMantis를 백도어로 설치하여 외부 C2 서버와 통신하며 장기간 시스템 제어권을 유지했습니다. 이러한 장기 상주 방식은 보안 탐지를 우회하고 지속적으로 중요한 내부 정보를 수집하는 데 악용됩니다. 마이크로소프트는 고도화된 타깃형 내부 상주 위협에 대비해 침해 탐지 모니터링을 지속해야 한다고 강조했습니다.

AI 에이전트를 위한 IAM: 기업용 실전 접근 제어 프레임워크

기업용 AI 에이전트의 위임 권한과 도구 실행을 통제하기 위한 IAM 프레임워크가 제시되었습니다.

기업 시스템에서 AI 에이전트가 직접 자격 증명을 수행하고 다양한 도구를 호출함에 따라 이를 관리하기 위한 IAM(정체성 및 접근 관리) 아키텍처 구축이 중요해졌습니다. AI 에이전트는 사용자의 위임된 권한을 받아 외부 및 내부 시스템에서 독립적인 행위를 수행하므로 기존의 전통적인 계정 할당 방식으로는 한계가 발생합니다. 해당 가이드는 기존 프로비저닝의 한계점을 분석하고 핵심 구성 요소와 프레임워크 평가 기준, 런타임 내 정상 동작 검증 방안 등을 구체적으로 다루었습니다. 자율성을 가진 AI 에이전트의 확산에 맞춰 정확한 권한 한계를 설정하는 접근 제어가 필수적입니다. 기사는 기업이 AI 에이전트의 동작이 의도대로 수행되었는지 검증하는 체계를 갖춰야 한다고 가이드를 통해 제시했습니다.

비트겟, 제3자 보안 제품 취약점으로 3억 8,800만 달러 피탈 발표

비트겟 암호화폐 거래소가 제3자 보안 솔루션 취약점을 통해 3억 8,800만 달러를 피탈당했습니다.

암호화폐 거래소 비트겟(Bitget)이 외부에서 도입해 사용하던 제3자 보안 제품의 취약점을 통해 약 3억 8,800만 달러 규모의 암호화폐를 피탈당했다고 발표했습니다. 공격자는 해당 외부 보안 제품의 결함을 악용해 최고 수준의 내부 관리자 자격 증명을 탈취했습니다. 이후 9월 24일 이 최고 권한을 악용해 거래소 지갑 시스템으로 허위 출금 명령을 보냄으로써 대규모 자금을 유출시켰습니다. 대부분의 자산은 안전한 지갑에 보관되어 있었으나 제3자 연동 소프트웨어의 결함이 내부 권한 유출로 연결된 결정적 원인이 되었습니다. 기사는 외부 공급업체 소프트웨어의 보안 취약점이 기업 내부 핵심 자산의 대규모 유출로 이어질 수 있음을 보여준 사례라고 설명했습니다.

RatHat 안드로이드 악성코드, 고가치 피해자 식별에 제미나이 AI 활용

안드로이드 금융 악성코드 RatHat이 제미나이 AI를 활용해 고가치 피해자를 자동 식별하고 있습니다.

보안 기업 클리피(Cleafy)에 따르면 안드로이드 뱅킹 트로이목마 RatHat 운영자들이 제미나이(Gemini) AI가 통합된 웹 콘솔을 통해 감염 기기를 제어하고 있습니다. 클리피는 2026년 4월 이후 약 100건의 웹 콘솔 배포 사례를 추적했으며 이들은 서비스형 악성코드(MaaS) 형태로 공급되고 있습니다. 감염된 폰에서 탈취된 정보는 웹 콘솔에 저장된 후 제미나이 AI 모델을 통해 분석되어 금융 자산이 많은 고가치 피해자를 자동으로 분류합니다. AI 기술이 악성코드 관리 도구에 결합되어 공격 효과와 탈취 효율성을 높이는 악용 사례가 늘어나고 있습니다. 기사는 AI를 접목한 모바일 금융 악성코드 위협이 가속화되고 있어 유의해야 한다고 분석했습니다.

Krebs on Security

네덜란드 경찰, 샤이니헌터스 조사 중 전향했다던 20대 해커 체포

네덜란드 경찰이 샤이니헌터스 해킹 그룹의 범행을 도운 23세 전향 해커를 체포했습니다.

네덜란드 수사 당국이 유명 해커 조직 샤이니헌터스(ShinyHunters)의 데이터 탈취 및 금전 갈취 행위를 도운 혐의로 23세의 범죄 전력 해커를 체포했습니다. 그러나 용의자가 체포된 지 며칠 지나지 않아 남아있는 샤이니헌터스 조직원들은 해킹 수위를 극도로 높이며 반발했습니다. 잔존 세력은 미국 연방수사국(FBI)의 민감 데이터를 탈취했을 뿐만 아니라 유명 램섬웨어 조직인 클롭(Cl0p)을 상대로 협박을 감행했습니다. 주요 조직원 체포라는 수사 성과에도 불구하고 잔존 해커 그룹이 보복성 대형 공격을 감행하며 위협을 가중시키는 상황입니다. 기사는 수사 당국의 체포 공조와 그에 따른 해커 조직의 격렬한 보복 공격 양상을 주요 내용으로 전했습니다.

오늘의 용어

공급망 공격(Supply Chain Attack) - 소프트웨어 개발사나 배포 채널 등 신뢰받는 공급 경로를 악용하여 사용자 시스템에 악성코드를 유포하는 공격 기법입니다.
레드팀(Red Team) - 실제 공격자의 시나리오를 모방해 조직의 시스템과 네트워크의 보안 약점을 점검하고 방어 능력을 평가하는 보안 전문가 팀입니다.
깃허브(GitHub) - 분산 버전 관리 시스템인 깃(Git)을 기반으로 소프트웨어 소스 코드와 프로젝트를 저장하고 협업을 지원하는 웹 서비스입니다.
딥페이크(Deepfake) - 인공지능 기술을 활용하여 특정 인물의 음성이나 얼굴 이미지를 실제처럼 진위 여부를 가리기 어렵게 합성해내는 기술입니다.
버퍼 경계 외 쓰기(Out-of-bounds Write) - 프로그램이 할당된 메모리 버퍼의 경계를 벗어난 위치에 데이터를 기록하여 시스템 오작동이나 임의 코드 실행을 유발하는 결함입니다.
지속성(Persistence) - 공격자가 시스템 최초 침투 후 재부팅이나 방어 조치 속에서도 내부 접속 권한을 계속 유지하기 위해 사용하는 기술입니다.
IAM(Identity and Access Management) - 정당한 권한을 가진 주체만이 적절한 시스템 및 데이터 자원에 접근하도록 관리하는 자격 및 권한 제어 체계입니다.
자격 증명 탈취(Credential Theft) - 공격자가 시스템이나 네트워크에 접근하기 위해 사용자 ID, 패스워드, API 키 등의 인증 정보를 불법 취득하는 공격 행위입니다.
MaaS(Malware-as-a-Service) - 악성코드 개발자가 다른 공격자들에게 개발 도구, 제어 서버, 인프라를 구독 형태로 제공하는 사이버 범죄 비즈니스 모델입니다.
랜섬웨어(Ransomware) - 사용자의 시스템이나 데이터를 암호화하여 인질로 잡고, 이를 해제하는 대가로 금전을 요구하는 악성 소프트웨어입니다.