이메일 보안
이 태그가 달린 문서 3건
CVE-2026-116606 및 CVE-2026-111560 — Barracuda Email Security Gateway의 인증 우회와 OS 명령 주입: 해설과 대책(KEV 등재, 기한 11월 13일, 침해 확인 필요)
Barracuda는 2026년 11월 2일 Email Security Gateway(ESG)의 인증 우회(CVE-2026-116606, CVSS 9.3)와 ESG, ADC, BMA, WCC, WAF, WSG에 영향을 주는 OS 명령 주입(CVE-2026-111560, CVSS 8.6)을 공개했습니다. 둘 다 관리 인터페이스에 접근할 수 있어야 하며, 연쇄되면 root로 이어질 수 있습니다. 권고는 소수 조직에 영향을 준 악용이 있었다고 밝히고 있습니다(11월 9일 추가). CISA는 11월 10일 두 건을 모두 KEV에 추가하며 사흘 뒤인 11월 13일을 기한으로 정하고 포렌식 확인을 요구했습니다. 본 사이트의 견해: 패치로 끝내지 마세요. 관리 인터페이스를 제한하고, 업데이트 전에 증거를 보존하며, 침해 징후를 확인하세요.
DreamHost 보안 사고(2026년 10월): File Manager를 통해 FTP·SFTP 로그인 정보 노출, 웹메일 인증 정보도 탈취, 계정 소유자가 해야 할 일
2026년 10월 29일 DreamHost는 10월 23일 웹 기반 File Manager(files.dreamhost.com)를 실행하는 서버에 대한 무단 접근을 발견했다고 밝혔습니다. 공격자는 File Manager가 사용하는 서드파티 소프트웨어의 취약점을 악용해 대략 8월부터 10월 23일까지 File Manager에 로그인한 사용자의 FTP/SFTP 사용자 이름과 비밀번호를 얻었습니다. 공격자는 일부 웹메일 시스템에도 접근해 제한된 수의 웹메일 사용자의 로그인 인증 정보를 얻었고, 소수의 경우 메일함 내용이 열람되었을 수 있어 DreamHost가 해당 고객에게 개별적으로 연락하고 있습니다. DreamHost는 제어 패널 로그인과 결제 정보에 접근한 증거는 찾지 못했으며 카드 번호 전체는 저장하지 않는다고 밝혔습니다. 영향은 이메일 및 FTP/SFTP 계정의 약 10%를 훨씬 밑돈다고 하며 건수는 밝히지 않았습니다. 캘리포니아주 법무장관에 통지를 제출했고(11월 2일 보고), 샘플 서한에는 1년간의 신원 도용 보호가 제시되어 있습니다. 10월 23일부터 예방 조치로 일부 비밀번호를 재설정했고, 해당 이메일·FTP·SFTP 사용자는 계정 소유자가 패널에서 새 비밀번호를 설정할 때까지 로그인할 수 없습니다. 이 사이트의 판단: 8월 이후 File Manager를 썼다면 재설정 안내를 받지 않았더라도 FTP/SFTP 비밀번호를 바꾸고, 도구에 저장된 비밀번호를 고치고, 이메일 전달·필터와 사이트 파일에 알 수 없는 변경이 없는지 확인하세요.
피싱이란? 공격 유형과 알아채기보다 믿을 수 있는 방어법
피싱은 신뢰하는 상대를 사칭해 가짜 로그인 페이지로 유인하여 자격 증명이나 데이터를 훔치거나 악성코드를 실행시킵니다. 소프트웨어 결함이 아닌 사람의 판단을 노리며, 랜섬웨어와 정보 유출의 최대 진입 경로입니다. 현대의 중간자(AiTM) 피싱은 일회용 코드까지 실시간으로 실제 사이트에 중계하므로 SMS/앱 MFA가 무력화될 수 있습니다. 믿을 수 있는 방어는 '알아채기'가 아니라 메커니즘입니다. 도메인에 묶인 피싱에 강한 MFA(패스키/보안 키), 링크 대신 공식 사이트로 직접 가기, 이메일 인증(SPF/DKIM/DMARC).