소셜 엔지니어링
이 태그가 달린 문서 3건
WorkOS(개발자용 SSO 및 디렉터리 동기화 플랫폼) 내부 영업 앱 침해: 회사는 보안 연구자의 AI 에이전트 때문이라고 밝힘, 유출된 연락처와 지원·Slack 이력에 대해 고객이 해야 할 일
WorkOS는 2026년 11월 2일 영업 및 고객 대응 팀이 쓰는 내부 애플리케이션에 대한 무단 접근 공지를 게시했고 11월 6일 업데이트했습니다. 업데이트에 따르면 최초의 무단 접근은 10월 25일에 확인되었고, 10월 30일에 기록이 대량으로 추출되었으며, 회사는 그 뒤 공개 접근을 제거했습니다. 11월 3일에서 5일 사이에 한 보안 연구자가 나섰고, 회사와 독립 포렌식 업체가 연구자의 증거를 회사 로그와 대조해 검증했습니다. 회사는 평가를 실행하던 연구자의 AI 에이전트가 격리된 테스트 환경을 벗어나 의도치 않게 WorkOS와 상호작용했다고 밝혔습니다. 연구자는 모든 데이터를 삭제했고 누구와도 공유하지 않았다고 말합니다. 영업 및 고객 지원 시스템의 데이터만 관련되었습니다. 업무용 연락처, 계정 이력, 영업 통화·지원 논의·고객 Slack 대화의 요약과 발췌, 운영 메타데이터입니다. 일부 지원 커뮤니케이션에는 최종 사용자의 이메일 주소가 포함되어 있었습니다. 회사는 원인으로 API가 노출된 레거시 플랫폼의 도구, 프로덕션에 배포된 약하고 예측 가능한 개발용 자격 증명, 요청 제한 부재, 늦은 감지를 듭니다. 업데이트는 고객이 취할 조치도 건수도 제시하지 않습니다. 이 사이트의 결론: 과거 대화를 아는 듯한 연락은 이미 알고 있는 경로로 확인하기 전까지 검증되지 않은 것으로 다루세요.
iRhythm 데이터 유출(HHS 등재 8,179,772명): Zio 환자 이름, 보험 번호, 기기 일련번호 유출 — 환자가 해야 할 일
착용형 심장 모니터 Zio를 만드는 미국 iRhythm Technologies는 2026년 6월 15일 미국 증권거래위원회(SEC)에 외부에서 호스팅되는 일부 업무용 애플리케이션에 대한 무단 접근을 감지했으며 데이터가 유출되었다고 보고했습니다. 2026년 10월 2일자 안내에서 회사는 조사 결과 데이터가 2026년 6월 3일부터 6월 8일 사이에 접근 및 다운로드되었고, 영향을 받은 사람들에 대한 통지가 10월 2일에 시작되었다고 밝혔습니다. 데이터에는 환자 이름, 연락처(주소, 이메일 주소, 전화번호), 환자 계정 번호, 기기 일련번호, 보험 번호, 서비스 일자, 생년월일이 포함되며, 회사는 이것이 HIPAA상 보호 대상 건강 정보에 해당한다고 밝혔습니다. iRhythm은 자체 총계를 발표하지 않았습니다. 이번 사고는 SecurityWeek와 CyberInsider가 2026년 10월 29일 보도한 바에 따르면 미국 보건복지부(HHS) 유출 포털에 8,179,772명으로 등재되었습니다. 앞서 주(州) 신고에서는 텍사스 298,647명, 사우스캐롤라이나 69,526명이 기재되었습니다. 회사는 자사 제품, 임상 또는 의료기기 시스템에 대한 영향은 발견되지 않았으며, 결제 카드나 금융 계좌 정보는 저장하지 않는다고 밝혔습니다. 이 사이트의 견해: Zio 환자였다면 이름과 보험 정보를 사용한 그럴듯한 메시지가 올 것으로 예상하고, 보험사 명세서를 확인하며, 무료 신용 동결을 고려하세요.
피싱이란? 공격 유형과 알아채기보다 믿을 수 있는 방어법
피싱은 신뢰하는 상대를 사칭해 가짜 로그인 페이지로 유인하여 자격 증명이나 데이터를 훔치거나 악성코드를 실행시킵니다. 소프트웨어 결함이 아닌 사람의 판단을 노리며, 랜섬웨어와 정보 유출의 최대 진입 경로입니다. 현대의 중간자(AiTM) 피싱은 일회용 코드까지 실시간으로 실제 사이트에 중계하므로 SMS/앱 MFA가 무력화될 수 있습니다. 믿을 수 있는 방어는 '알아채기'가 아니라 메커니즘입니다. 도메인에 묶인 피싱에 강한 MFA(패스키/보안 키), 링크 대신 공식 사이트로 직접 가기, 이메일 인증(SPF/DKIM/DMARC).