공급망
이 태그가 달린 문서 28건
Fireworks AI 보안 사고(2026년 10월): 결제 정보와 일부 데이터셋·모델 가중치에 영향, 회사는 클라우드 업체 침해가 관련됐다고 설명. 고객이 해야 할 일
AI 모델 추론 인프라를 제공하는 Fireworks AI는 2026년 10월 9일에 처음 공개한 보안 사고에 대해 11월 9일 업데이트를 발표했습니다. 회사에 따르면 10월 6일에 발견한 최초 사고에서는 Fireworks에 저장된 비밀 정보(평가 작업에서 쓰는 것 등)만 영향을 받은 것으로 알려져 있었는데, 이후 계정·결제 정보에 영향이 있었고 한정된 계정에서는 비밀 정보, 데이터셋, 불완전한 모델 가중치에도 영향이 있었음을 확인했습니다. 회사의 설명으로는 연구개발용 머신을 호스팅하던 제3자 클라우드 업체에서 10월 23일 보안 사고가 있었고, 10월 24일 무단 제3자가 이를 이용해 Fireworks의 개발 머신에 닿아 무단 워크로드를 실행했으며 이로 인해 고객 데이터에 추가 영향이 생겼습니다. 회사는 같은 날 이를 탐지했고, 10월 25일 시점에 고객이 쓰는 플랫폼에 대한 추가적인 무단 접근 성공의 증거는 탐지하지 못했다고 합니다. 증거는 금전 목적의 사이버 범죄 조직과의 연관을 시사한다고 합니다. 결제 카드 번호는 회사가 저장하지 않으며 영향을 받지 않았습니다. 기본값이 데이터 보존 없음(zero data retention)인 Inference, Training SDK, Nexus에서는 영향이 탐지되지 않았습니다. 조사 중에는 셀프 서비스 데이터셋 업로드와 다운로드가 비활성화되어 있습니다. 우리의 견해: 고객은 플랫폼에 저장한 것을 목록으로 만들어 교체하고, 운영자는 개발 환경을 결제·고객 데이터 시스템과 분리하세요.
Ethersphere bee-js 13.3.0과 Swarm Desktop 0.56.2에 악성코드가 배포됨(2026년 11월): 영향받는 버전과 사용자가 해야 할 일
분산 스토리지 네트워크 Swarm의 개발사 Ethersphere의 npm 패키지 @ethersphere/bee-js 13.3.0에 악성 코드가 들어 있었습니다. 2026년 11월 9일 공개된 GitHub 권고(GHSA-hh7j-5m3j-23pf)는 영향받는 버전이 13.3.0뿐이며 패치된 버전은 없다고 밝힙니다. 이 패키지가 설치되었거나 실행 중인 컴퓨터는 완전히 침해된 것으로 간주하고, 그 컴퓨터에 있던 모든 비밀 정보와 키를 다른 컴퓨터에서 즉시 교체하라고 합니다. 패키지를 삭제해도 설치로 생긴 악성 소프트웨어가 모두 지워지지 않을 수 있습니다. Swarm Desktop은 Ethersphere의 릴리스 노트에 따르면 11월 9일 공개된 0.56.3이 침해된 0.56.2를 대체합니다. 한 보안 업체의 분석에 따르면 bee-js 13.3.0은 11월 9일 UTC 00:09경(일본 시간 09:09) npm에 올라왔다가 약 75분 뒤 삭제되었습니다. Swarm Desktop 0.56.2는 약 8.5시간 공개되었고 Windows x64와 Apple Silicon에는 자동 업데이트로도 전달되었습니다. bee-js 13.2.0 이하와 Swarm Desktop 0.56.1은 영향이 없다고 보고되었습니다. 같은 분석은 Bee 노드의 설정 파일(평문 비밀번호가 들어 있음)과 지갑 키가 노렸고, 공식 릴리스 자동화가 쓰는 자격 증명이 악용되었다고 밝힙니다. 우리의 결론: 영향받는 버전을 설치한 머신과 CI 환경은 다시 구축하고, 지갑을 새 키로 옮겨 자금을 이동하며, 다른 머신에서 자격 증명을 교체하세요.
크레디 뮈튀엘 아르케아(프랑스) 사이버 공격: 서비스 제공업체 플랫폼을 통한 자사 계좌의 부정 이체, 고객 자산은 영향 없음
2026년 11월 4일, 프랑스 금융그룹 크레디 뮈튀엘 아르케아(Crédit Mutuel Arkéa)는 부정 거래를 가능하게 한 공격을 받았다고 밝혔습니다. 그룹에 따르면 공격자는 서비스 제공업체의 플랫폼을 통해 그룹에 도달했고, 아르케아 자사 계좌에서 다른 은행 관계자로 자금을 보냈으며, 이 돈은 전문 플랫폼을 통해 암호화폐로 바뀌었을 수 있습니다. 산하 연합회와 자회사 고객의 계좌는 사용되지 않았고, 고객 자산은 영향을 받지 않았으며, 일부 이체만 늦게 실행되었고 대부분의 업무는 11월 4일 오전에 재개되었습니다. 그룹은 인적 오류를 부인했고, 침입이 온라인 은행 자회사를 통해 이루어졌다는 보도도 부인했습니다. 관련 금액은 아직 평가 중입니다. 보충 설명이 질문으로 제기한 1억 1,800만 유로(1억 3,300만 달러)에 대해 그룹은 규모(order of magnitude)는 타당하다고 했지만 최종 금액을 공표할 단계는 아니라고 했습니다. 자금 일부는 차단되었고 회수가 진행 중입니다. 그룹은 피싱을 경고합니다. 이 사이트의 결론: 고객은 그룹을 사칭하는 메시지의 링크를 열지 말고 직접 연 공식 경로로 확인하세요. 기업은 서비스 제공업체가 결제 시스템에 가진 연결과 권한을 점검하세요.
2026년 10월 사이버 공격·개인정보 유출 총정리: 악용된 취약점 36건과 대규모 유출
2026년 10월 CISA는 알려진 악용 취약점(KEV) 카탈로그에 취약점 36건을 추가했습니다. 9월의 43건보다 7건 적습니다. 11건은 VPN 장비와 방화벽 같은 엣지 및 원격 접속 제품, 5건은 2015년부터 2023년 사이에 공개된 오래된 결함(모두 10월 8일 추가), 10건은 Plex, PHP, Ahsay, Zammad 관련, 나머지 10건은 기타 제품입니다. 이 사이트는 10월에 사고와 취약점 115건을 처음 보도했습니다(일본 사고 65건, 해외 28건, 글로벌 4건, 취약점 18건). 이는 이 사이트의 기사 수이며 국가 통계가 아닙니다. 일본에서는 회원·앱 데이터베이스 유출이 이어졌습니다. 발표된 수치가 가장 큰 것은 ShopServe(약 2,335.6만 명), MUJI 앱(최대 약 2,726만 건, 가능성), Club Tourism(약 432만 건, 가능성), Hana Cupid(최대 4,238,242건)입니다. 서비스 제공업체와 SaaS 유출, 암호화폐 거래소 도난, AI 개발 플랫폼 사고도 계속되었습니다. 11월에 대한 이 사이트의 결론은 다음과 같습니다. KEV에 오른 엣지 장비를 먼저 패치하고, 고객 목록을 맡긴 외부 서비스를 파악하고, 유출된 기업을 사칭하는 피싱에 대비하십시오.
AOMEI Backupper 업데이트 서버 변조(2026년 4월–7월): 영향받을 수 있는 사람, 날짜, PC 확인 방법
Windows용 백업 소프트웨어 AOMEI Backupper의 개발사 AOMEI는 2026년 10월 19일(최종 업데이트 10월 30일), 자사 업데이트 서버를 통한 소프트웨어 공급망 침해에 관한 성명을 발표했습니다. 한 보안 회사의 조사를 인용해, 2026년 4월부터 7월 사이 AOMEI Backupper 업데이트 서버의 설정 파일이 약 5–10분씩 반복해서 변경된 뒤 원래대로 되돌려졌다고 밝혔습니다. 그 시간 동안 변경된 설정은 소프트웨어가 악성 파일을 다운로드하게 만들 수 있었습니다. 지금까지 확인된 시간대는 5월 28일(05:40–05:50 UTC), 7월 16일(08:33–08:39 UTC), 7월 20일(10:35–10:40 UTC)의 세 번입니다. 회사는 7월 29일까지 서버를 강화하고, 8월 5일 업데이트 서비스를 새 서버로 옮겼으며, 10월 19일 AOMEI Backupper 8.5.1을 출시했습니다. 회사는 영향 여부와 관계없이 모든 AOMEI Backupper 이용자에게 AOMEI Security Scanner 실행, 8.5.1로 업데이트, 보안 소프트웨어 검사, Windows 또는 도메인 계정 비밀번호 변경을 요청합니다. 영향을 받은 이용자 수와 해당 버전은 공개되지 않았습니다. 이 사이트의 견해: 그 시간대에 켜져 있던 PC에 AOMEI Backupper가 설치되어 있었다면 네 단계를 모두 실행하고, 가능하면 Windows 비밀번호는 다른 깨끗한 기기에서 바꾸세요.
Cursor 마켓플레이스의 변조된 'Claude Code' 확장(10월 29일, 약 11시간): SSH 백도어 확인 방법
Cursor는 2026년 10월 29일(10월 30일 업데이트) 보안 공지를 게시해, Anthropic 이름으로 게시된 확장(Anthropic.claude-code)의 변조된 버전 2.1.312와 2.1.313이 10월 29일 태평양 시간 오전 2시 27분경부터 오후 1시 35분경까지 Windows와 macOS용 Cursor 확장 마켓플레이스에서 배포되었다고 밝혔습니다. Cursor는 해당 버전을 Anthropic이 개발한 것이 아니라고 밝혔습니다. Cursor에 따르면 이 코드는 확장이 로드될 때 실행되어 호스트와 사용자 정보를 수집하고, 공격자가 통제하는 SSH 키(svc-telemetry라는 라벨)를 추가하며, SSH를 활성화하고 리버스 터널을 열려고 시도하고, macOS에서는 LaunchAgent, Windows에서는 예약 작업 또는 시작 프로그램 항목으로 지속성을 설치하며, 호스트 정보를 공격자에게 보냈습니다. Cursor는 대부분의 호스트에서 SSH 활성화가 실패하므로 그곳에서는 공격자가 터널을 통해 로그인할 수 없었을 것이라고 밝혔습니다. Cursor는 확장을 제거하고, 마켓플레이스를 일시 중단하고, 다른 확장을 감사하고, 키를 교체했으며, 공격자 서버는 더 이상 작동하지 않는다고 합니다. 다른 버전이나 공식 배포가 영향을 받았다는 증거는 없다고 합니다. BleepingComputer는 최대 약 5,000명의 개발자가 노출됐을 수 있다고 보도했습니다. 우리의 결론: 10월 29일에 Cursor에서 그 확장을 설치하거나 업데이트했다면 키와 지속성 항목을 확인하고, 그 컴퓨터에서 접근 가능한 비밀 정보를 교체하세요.
폴리마켓, 제3자 스크립트 침해로 거래 중단: 이용자와 사이트 운영자가 해야 할 일
2026년 10월 29일 폴리마켓의 상태 페이지는 국제 플랫폼(Polymarket.com)이 미국 동부 시간 오후 2시 5분에 취소 전용 모드로 전환되었고, 제3자 제공업체가 침해되었으며, 이 사안을 법 집행 기관에 넘겼고, 영향을 받은 사람은 모두 보전받을 것이라고 보고했습니다. 거래는 만일을 대비해 동부 시간 오후 2시 37분에 일시 중단되었으며 오후 3시경 재개될 것으로 예상되었습니다. 보안 연구 업체를 인용한 언론 보도는 해당 제공업체가 폴리마켓 페이지에서 스크립트가 실행되던 웹사이트 성능 모니터링 서비스였고, 로그인한 이용자의 보유 자산을 매도하거나 옮기는 데 쓰였다고 하며, 추적된 금액을 매체에 따라 대략 220만에서 270만 달러로 제시합니다. 폴리마켓은 10월 30일자 상태 페이지 사후 분석에서 390만 달러를 반환한다고 밝혔습니다(탈취된 지갑과 공격 중 취한 포지션에 대한 환불 약 270만 달러, 거래 중단과 관련된 손실 120만 달러). 온체인 및 거래 데이터로 대상 지갑을 직접 확인했기 때문에 청구나 티켓은 필요 없으며, 제공업체의 스크립트를 제거하고 거래를 중단했으며 모든 활성 로그인 세션을 초기화했다고 합니다. 언론에 따르면 제공업체의 초기 조사 결과는 도메인 등록기관을 통해 침해되었다는 것입니다. 사후 분석은 영향을 받은 이용자 수를 밝히지 않습니다. 이 사이트의 견해: 폴리마켓이 청구가 필요 없다고 하므로, 이용자는 환불을 청구하거나 받아 가라고 요구하는 모든 메시지를 사기 가능성이 있는 것으로 보고 공식 사이트만 이용해야 하며, 사이트 운영자는 이용자가 로그인한 페이지의 모든 제3자 스크립트를 목록화해야 합니다.
서드파티 스크립트 안전하게 관리하기: 목록 정리, SRI, CSP, 폼 전송 대상 확인
서드파티 스크립트는 자신이 실행되는 페이지의 내용과 사용자의 입력을 읽을 수 있다. 제공자가 침해되거나 파일이 바뀌면 내 서버가 무사해도 사용자가 영향을 받는다. 방어 순서는 실행 중인 것을 모두 적고, 필요 없는 것을 빼고, 내용이 고정된 파일에는 SRI를 붙이거나 검토한 버전을 직접 배포하고, CSP로 불러오는 곳과 보내는 곳을 좁히고, 변화를 정기적으로 점검하는 것이다. CSP의 form-action은 default-src로 대체되지 않으므로 따로 설정한다.
Trezor, 전 판매업체에서 구입한 Safe 5에서 하드웨어 임플란트 가능성 보고(미확인): 소유자가 해야 할 일
2026년 10월 30일 Trezor는 보안팀이 10월 28일에 Trezor Safe 5의 하드웨어 임플란트에 대한 책임 있는 공개(responsible disclosure) 보고를 받았다는 공지를 게시했습니다. 해당 기기는 2026년 10월까지 동남아시아에서 Trezor의 공식 판매업체였던 회사로부터 2026년 8월에 온라인 마켓플레이스를 통해 구입한 것입니다. 보고에 따르면 메인 기판과 화면 사이에 셀룰러 모듈과 안테나가 달린 추가 회로 기판이 있었고, 화면에 표시되는 내용(지갑 백업인 복구 구문 포함)을 읽어 모바일 네트워크로 보낸다고 합니다. Trezor는 기기를 받지 못했으므로 이는 검증되지 않았으며, 도난된 자금은 알려진 바 없다고 밝혔습니다. 2026년 3월 이후 해당 판매업체에서 구입한 기기에 대해 Trezor는 새 기기를 설정하지 말고, 이미 사용 중이라면 새 기기에서 새 복구 구문으로 새 지갑을 만들어 자금을 옮기라고 안내했습니다. 우리의 결론: 이는 확인된 사실이 아니라 보고이지만, 위험에 비해 조치 비용이 작으므로 기기가 그 판매업체에서 왔다면 제조사의 안내를 따르세요.
ConnectWise Cloud Backup(구 SkyKick) 사건: Microsoft 365 테넌트 2,250개 이상에 대한 AI 기반 로그인 시도, 관리자가 확인할 것
2026년 10월 16일, ConnectWise는 관리 서비스 제공업체(MSP)용 Microsoft 365 백업 서비스인 Cloud Backup(구 SkyKick)과 관련된 애플리케이션 자격 증명에 무단 접근이 있었다는 공지를 게시했습니다. 10월 17일 애플리케이션 ID 7개를 비활성화하고 Cloud Backup, SaaS Security, Cloud Management을 중단했으며, 10월 19일 영향을 받은 환경의 모든 계정과 자격 증명을 초기화했습니다. 10월 21일 Microsoft는 국가 연계 그룹이 이번 침해의 배후이며, 이후 오픈소스 멀티 에이전트 AI 침투 테스트 프레임워크를 사용해 2,250개 이상의 테넌트에 로그인을 시도했다고 평가한 연구를 발표했습니다. Microsoft는 대부분의 시도는 실패했지만 많은 조직에서 권한 있는 클라우드 접근이 이루어졌고, 일부는 3시간이 채 걸리지 않았다고 밝혔습니다. 한 보안 업체는 10월 16일 기준 테넌트 162개에서 무단 로그인을 별도로 확인했습니다. ConnectWise는 기존 백업 아카이브에 침해 징후가 없다고 밝혔지만, 이것이 개별 Microsoft 365 테넌트가 영향을 받았는지 여부를 확정하는 것은 아니라고 합니다. 이 사이트의 결론: 귀사나 MSP가 이 앱을 설치한 적이 있다면, 자사 테넌트의 앱 자격 증명, 디렉터리 역할, 동의 항목을 확인하고, ConnectWise가 달리 안내할 때까지 앱을 비활성화 상태로 유지하세요.
Frontline Education 데이터 유출(학교 소프트웨어 업체): 인디애나 법무장관 목록 기준 309만 명, 사회보장번호, 메디케이드 ID, 학생 ID 영향 — 교직원과 학부모가 해야 할 일
미국 K-12 학군용 행정 소프트웨어를 제공하는 Frontline Education은 2026년 10월 26일자 데이터 유출 통지(Notice of Data Breach)를 게시했습니다. 회사는 8월 14일에 자사가 사용하는 외부 소프트웨어 제품의 취약점을 보안팀이 발견했고, 그 취약점으로 인해 그날부터 환경 일부에 대한 무단 접근이 가능했으며, 무단 활동의 마지막 날은 8월 15일이라고 밝혔습니다. 영향을 받은 데이터는 Frontline Central과 School Health Management 두 제품과 관련됩니다. 회사는 사회보장번호, 생년월일, 운전면허 번호, 여권 번호, 기타 정부 발급 신분증, 메디케이드 ID, 학생 ID가 영향을 받은 데이터 항목이며 어느 항목이 해당하는지는 사람마다 다르다고 밝혔습니다. Frontline은 데이터 악용을 알고 있지 않다고 밝히고, 미국 성인에게 2년간의 TransUnion 신용 모니터링을, 미성년자에게 사이버 모니터링을 제공합니다(사고 안내 페이지에는 가능한 경우 다크웹 모니터링이라고 되어 있음). 인디애나 법무장관의 데이터 침해 목록(2026년 11월판)에는 전체 3,085,266명(인디애나 주민 66,157명, 통지일 10월 26일, 유출일 8월 14일)이 게재되어 있으며, SecurityWeek에 따르면 다른 다섯 개 주(MA, NH, SC, TX, VT)의 신고를 합쳐도 약 130만 명(1,298,917명)이었습니다. 학군 수는 발표되지 않았습니다. 이 사이트의 견해: Frontline을 사용하는 미국 학군에서 일하거나 자녀가 다닌다면 통지가 자신에게 해당한다고 보고, 무료 신용 동결을 설정하고, 메디케이드나 학생 ID를 언급하는 전화나 이메일은 확인되지 않은 것으로 취급하세요.
JAL, JTA, ANA, 대한항공, 아시아나항공 예약 시스템 업체에 대한 무단 접근(JAL/JTA 고객 약 92,000명, ANA 약 37,800명): 예약 번호, 이름 등과 여행객이 해야 할 일
Japan Airlines(JAL)와 Japan Transocean Air(JTA)는 2026년 10월 28일, 10월 23일에 자사 여객 서비스 시스템의 업체인 해외 기업으로부터 그 업체의 시스템에 대한 무단 접근으로 일부 예약 정보가 외부에서 열람된 흔적이 있다는 연락을 받았다고 발표했습니다. 기간은 2023년 8월 10일부터 2026년 9월 23일까지입니다. 약 90,000명은 예약 번호, 이름, 탑승일, 노선, 좌석 등급이 관련되었고, 약 2,000명은 이메일 주소, 전화번호, 여권 번호, 국적, 마일리지 번호, 항공권 번호, 좌석 번호 등도 열람되었습니다. 합계는 약 92,000명입니다. JAL과 JTA는 10월 30일 안내를 업데이트해 해당 고객에게 예약 시 받은 이메일 주소로 연락했다고 밝혔습니다. All Nippon Airways(ANA)는 10월 30일, 같은 기간에 예약한 약 37,800명(그중 약 1,700명은 여권 번호와 마일리지 번호 등 포함)의 일부 예약 정보가 열람된 흔적이 있다고 발표했습니다. 한국에서는 대한항공과 아시아나항공이 10월 23일 같은 회사의 예약 시스템에서 일부 고객의 예약번호가 유출된 정황이 있다고 공지했으며, 로그인 인증정보를 이용한 비인가 접근이 원인이고 2023년 8월부터 2026년 9월 사이에 발생한 것으로 추정된다고 밝혔습니다(두 회사 모두 인원 수는 공개하지 않음). JAL, JTA, ANA는 신용카드 정보와 비밀번호는 포함되지 않았다고 밝혔습니다. 이 사이트의 결론: 항공사를 사칭한 메시지가 예약 번호, 이름, 항공편을 정확히 알고 있더라도 그 안의 링크나 번호는 쓰지 말고 공식 앱이나 사이트에서 확인하세요. 여권 번호나 마일리지 번호가 포함되었을 수 있다면 마일리지 계정 비밀번호를 변경하고 사용 내역을 확인하세요.
피코마 뉴스레터 이메일 주소 유출(1,002,404건): 이메일 주소만 노출, 이용자가 해야 할 일
2026년 10월 24일, 일본 만화 앱 피코마를 운영하는 Kakao piccoma Corp.은 뉴스레터 발송에 사용하던 RAKUS Lite Cloud Corporation의 이메일 발송 시스템 blastmail에 제3자가 무단으로 접근했고, 뉴스레터 한 차례 발송의 수신자였던 고객 이메일 주소 1,002,404건이 유출되었다고 발표했습니다. 피코마는 10월 24일 발송 서비스 측 보고를 통해 이 사실을 알게 되었습니다. 뉴스레터 수신용으로 등록된 이메일 주소만 유출되었으며, 회사는 고객 관리 번호와 최근 구매일이 포함되지 않았다고 확인했다고 밝혔습니다. 비밀번호는 blastmail에 전달된 적이 없어 유출될 수 없으며, 피코마는 이름이나 신용카드 정보를 보유하고 있지 않다고 합니다. 피코마 앱, 웹사이트, 회사 자체 시스템은 접근되지 않았으며, 계정, 비밀번호, 구매 정보는 영향을 받지 않았습니다. 피코마 노벨 뉴스레터에 대해서는 지금까지 유출이 확인되지 않았습니다. 회사는 뉴스레터 발송을 중단했고, blastmail에서 발송된 이메일을 정상적인 피코마 이메일로 취급하지 않도록 설정을 변경했으며, 일본 개인정보보호위원회에 보고했습니다. 영향을 받은 고객에게는 개별적으로 연락할 예정이라고 밝혔습니다. 이 사이트의 결론: 피코마 뉴스레터를 받은 사람은 피코마나 출판사를 사칭한 이메일이나 문자의 링크를 열지 말고, 앱에서 직접 확인하며, 이메일을 통해 비밀번호나 카드 번호를 절대 입력하지 않아야 합니다.
Value Card 선불 플랫폼 침해(레코드 142만 4,748건, MOS Card 113만 3,070건): 카드 번호, PIN, 잔액 유출 및 카드 소지자가 해야 할 일
2026년 10월 23일, 도쿄증권거래소 성장시장에 상장된 PayCloud Holdings는 자회사 Value Design Inc.가 카드 발행사에 제공하는 자사 전자화폐(매장 선불카드) 발행 서비스 Value Card의 서버에 제3자가 무단으로 접근했으며, ID 번호, PIN 및 잔액 정보 1,424,748건이 유출되었다고 발표했습니다(발급된 ID 569,224건과 미발급 ID 855,524건, 미발급 ID는 아직 사용자가 구입하지 않은 ID를 뜻함). 접근은 10월 19일에 확인되었으며, 원인은 제3자가 자회사 시스템 환경 일부의 웹 서버 취약점을 악용한 것이었습니다. 개인정보는 포함되지 않았고, 발급된 ID의 악용 위험은 처리되었으며, 악용으로 인한 실제 피해는 없었다고 합니다. 같은 날 MOS Burger 체인과 선불카드 MOS Card를 운영하는 MOS Food Services, Inc.는 MOS Card 서버의 운영 및 유지보수를 계약한 Value Design 시스템에 무단 접근이 있어 MOS Card 레코드 1,133,070건(16자리 카드 번호, 6자리 PIN 및 잔액, 유통 중 약 57만 장, 미유통 약 56만 장)이 유출되었다고 발표했으며, 유출된 카드 번호와 연결된 PIN을 강제로 재설정했다고 밝혔습니다. 이름, 주소, 전화번호, 신용카드 정보는 포함되지 않았습니다. 어느 다른 발행사의 카드가 영향을 받았는지는 공개되지 않았습니다. 이 사이트의 결론: MOS Card 소지자는 인식하지 못하는 결제가 있는지 이용 내역을 확인하고, 온라인 잔액 조회 등의 기능이 작동하지 않으면 전용 문의 번호로 연락하며, 누구에게도 PIN이나 카드 번호를 알려주지 마십시오.
eMudhra(emSign) 중간 CA 키 유출: Python 사용자가 pip, certifi, uv와 관련해 해야 할 일
2026년 10월 17일, 인도 인증기관 eMudhra의 중간 인증서 8개(TLS용 6개)의 개인 키가 누구나 복구할 수 있을 만큼 부실하게 생성되었다는 보고가 나왔습니다. eMudhra는 10월 18일 8개 모두를 폐기했고, Chrome과 Firefox는 10월 17일 푸시 메커니즘을 통해 이들을 차단했습니다. 10월 20일 Mozilla는 상위 루트인 emSign ECC Root CA - G3에 대한 긴급 신뢰 제거를 결정했으며, Chrome은 10월 27일(태평양 시간) 이를 제거할 예정입니다. 브라우저는 보호되었지만, 브라우저 밖의 TLS 클라이언트는 자체 CA 목록이 업데이트되기 전까지 위조 인증서를 신뢰할 수 있습니다. Python에서는 pip가 항상 내장된 certifi를 읽기 때문에, OS 저장소가 수정된 후에도 구버전 pip는 계속 노출됩니다. Python 프로젝트는 10월 20일 공지(10월 22일까지 갱신)를 게시해, 최소 certifi 2026.10.19, pip 26.2.2, uv 0.13.4, sigstore 4.5.1, conda 26.9.4, pixi 0.82.1로 업그레이드하고 레이어 캐시 없이 컨테이너 이미지를 다시 빌드할 것을 요청했습니다. 10월 21일에는 pip 26.2.2를 포함한 Python 3.15.1, 3.14.9, 3.13.17을 배포했습니다. 새 pip를 포함하는 3.11 또는 3.12 릴리스는 없을 예정입니다. 이는 CPython의 코드 실행 취약점이 아닙니다. 네트워크 경로상의 공격자는 PyPI, python.org 및 기타 사이트로의 연결을 가짜 서버로 우회시킬 수 있습니다. 10월 24일 기준 악용 사례는 발표되지 않았습니다. 10월 22일 eMudhra는 글로벌 SSL/TLS 인증서 사업에서 철수하겠다고 밝혔습니다. 이 사이트의 견해: 모든 환경에서 pip를 26.2.2 이상으로, certifi를 2026.10.19 이상으로 업그레이드하고, Docker 이미지는 캐시 없이 다시 빌드하며, 잠금 파일의 certifi 고정 버전을 올리십시오.
이와이 코스모증권 외부 위탁사 침해사고(고객 4,975명): 유출 내용, 의도하지 않은 거래, 고객이 할 일
2026년 10월 16일, 일본 증권사 이와이 코스모증권 주식회사는 모회사 이와이 코스모홀딩스의 적시공시를 통해, 온라인 거래 시스템의 운영·관리를 맡긴 외부 위탁사 시스템에 제3자가 접근했고 온라인 거래 고객 4,611명의 이름, 이메일 주소 등 기타 정보(氏名、メールアドレス他)가 유출되었다고 발표했습니다. 회사는 10월 14일에 접근을 감지했습니다. 10월 20일의 2차 공지에서 회사는 접근 및 통신 기록을 재점검한 결과 364명이 추가되어 총 4,975명이라고 밝혔고, 이는 이후의 추가 접근 때문이 아니라고 설명했습니다. 유출된 정보에는 거래 비밀번호가 포함되지 않았으며, 회사는 이 정보로 계좌에 로그인하거나 거래할 수 없다고 밝혔습니다. 2차 공지는 또한 10월 14일 거래 관리 시스템도 공격을 받아 고객이 의도하지 않은 주문이 계좌 7건에 들어갔고, 그중 5건이 체결되었다고 공개했습니다. 해당 거래는 취소되었으며 고객에게 비용은 발생하지 않습니다. 회사는 유출된 개인정보가 이 거래에 사용되지 않았다고 밝혔습니다. 회사는 접근을 허용한 지점을 확인해 수정했으며, 위탁사가 관리 기능에 대한 접근 제한 등의 조치를 추가했다고 밝혔습니다. 구체적인 방법은 공개되지 않았습니다. 이 사이트의 판단: 이와이 코스모를 사칭하는 메시지의 링크나 전화번호는 사용하지 마십시오. 직접 연 로그인 페이지에서 주문 및 체결 내역을 확인하고, 우려 사항이 있으면 공식 문의 번호(0120-405-546)로 연락하십시오.
LiteLLM 1.107.0에 자격 증명 탈취 악성코드 포함(2026년 10월): 영향받은 PyPI 릴리스와 Docker 이미지, 사용자가 해야 할 일
2026년 10월 21일(UTC), LiteLLM을 개발한 BerriAI는 릴리스 파이프라인이 침해되어 자격 증명을 탈취하고 원격 코드 실행 도구를 불러오는 악성코드가 담긴 v1.107.0이 배포되었다고 발표했습니다. 영향받은 대상은 PyPI의 litellm==1.107.0(11:39~13:23 UTC), Docker Hub의 v1.107.0, latest, main-latest, main-stable 태그(11:46~14:20 UTC), GHCR의 같은 태그(11:46 UTC부터 늦어도 13:51 UTC에 내려갈 때까지, 약 2시간)입니다. GitHub의 공식 v1.107.0 소스 태그에는 악성 파일이 들어 있지 않으며, 해당 아티팩트는 공격자가 통제하는 유사 저장소에서 빌드되었습니다. 이전 버전은 모두 이번 침해와 무관하며, 회사는 사용자에게 1.106.2 또는 그 이전의 명시적 버전으로 고정할 것을 요청합니다. 10월 24일(UTC) 회사는 1.103.8, 1.104.6, 1.105.4, 1.106.3을 공개했고, 이 릴리스부터 Docker 이미지와 Helm 차트는 새 cosign 키로 서명됩니다(이전 키로는 검증되지 않습니다). 10월 23일 회사는 근본 원인 분석을 공개하면서, 토큰이 내부 LiteLLM 배포 환경의 로그에서 유출되었다는 처음의 판단을 정정했습니다. 분석에 따르면 5월 27일 공개 저장소에 실수로 커밋된 설정 파일에 내부 에이전트 플랫폼의 마스터 키가 들어 있었고, 커밋은 덮어썼지만 키는 폐기되지 않았습니다. 10월 10일 공격자는 이 키로 플랫폼 API를 호출해 그곳에 설정된 GitHub 조직 소유자의 GitHub CLI 토큰을 얻었습니다. 이를 이용해 CI 시크릿을 빼내 다른 메인테이너 두 명의 토큰을 확보했고, 10월 21일 브랜치 보호를 해제하고 릴리스 워크플로를 변경한 뒤 릴리스를 승인했습니다. 이 사이트의 결론: 해당 시간대에 1.107.0을 설치했거나 실행한 환경은 다시 구축하고, LLM 제공업체 키, 프록시 마스터 키, 데이터베이스 비밀번호, 클라우드 역할 등 그 환경이 접근할 수 있던 모든 키를 교체하세요.
Rank Math PRO 3.0.123 악성코드 배포 사고(2026년 10월): 영향 범위와 WordPress 사이트 운영자의 대응
2026년 10월 16일(UTC), Rank Math는 자사 WordPress 플러그인의 유료 버전인 Rank Math PRO v3.0.123에 악성코드가 포함되어 있었다고 발표했습니다. 대상은 2026년 10월 15일 20:02(UTC)부터 10월 16일 07:12(UTC) 사이에 다운로드한 일부 사용자입니다. 플러그인이 활성화된 경우 사이트가 침해될 수 있었고, 사이트에 방문할 때마다 숨겨진 백도어가 다시 만들어질 수 있었습니다. 회사는 해당 파일을 제거하고 깨끗한 v3.0.124를 배포했습니다. WordPress.org에서 배포되는 무료 버전은 영향을 받지 않습니다. 영향을 받은 사용자 수와 악성코드가 파일에 들어간 경로는 공개되지 않았습니다. 2026년 10월 20일 기준 공지의 마지막 변경은 10월 19일이며, 이때 무료 버전은 영향을 받지 않는다는 내용이 추가되었습니다. 이 사이트의 결론: 감염 기간에 얻은 3.0.123을 활성화한 사이트는 침해된 것으로 간주하고, 감염 기간 이전에 받은 백업으로 복원하거나 플러그인 폴더 전체를 삭제한 뒤 회사가 제시한 순서대로 정리하십시오. 어느 경우든 사이트가 읽을 수 있었던 모든 자격 증명을 변경하십시오.
JR동일본, 뷰카드 및 JR규슈 이메일 유출 가능성(2026): 대처 방법
2026년 10월 9일, 동일본여객철도(JR동일본), 주식회사 뷰카드, 규슈여객철도(JR규슈)는 각각 회원에게 이메일을 보내는 데 쓰는 외부 서비스가 클라우드 서비스 제공업체에서 발생한 무단 접근의 영향을 받았으며, 회원의 이메일 주소 등 데이터가 열람 또는 취득되었을 가능성을 배제할 수 없다고 발표했습니다. 대상 건수는 JR동일본의 경우 최대 약 167만 건의 에키넷 회원과 약 39만 건의 어른의 휴일 클럽 회원, 뷰카드의 경우 VIEW's NET 이용자 이메일 주소 약 403만 건, JR규슈의 경우 최대 약 130만 건의 JR규슈 Web 회원입니다. 에키넷, VIEW's NET, JR규슈 Web 회원은 이메일 주소만 해당하며, 어른의 휴일 클럽 회원은 이메일 주소에 더해 회원번호, 신용카드 유효기간, 생년월일이 포함됩니다. 이름, 주소, 전화번호, 카드번호는 대상에서 제외되었다고 합니다. 클라우드 서비스 제공업체는 10월 7일 이른 아침부터 이어진 장애의 원인을 제3자에 의한 랜섬웨어 공격이라고 밝혔습니다. 제공업체는 10월 14일 제5보에서 장애 영향 영역의 가상 서버 내 데이터가 열람되거나 외부로 반출된 흔적은 확인되지 않았으며, 외부로 데이터가 유출되지 않았다고 판단했다고 발표했습니다. JR규슈는 10월 15일 이 조사 결과를 보고받은 뒤, JR규슈 Web 회원의 이메일 주소에 대한 유출 사실은 확인되지 않았다고 발표했습니다. JR동일본의 에키넷 사이트도 10월 15일 메일 발송 서비스 회사로부터 에키넷 회원의 개인정보 유출은 없다고 판단했다는 보고를 받았다고 안내하고 있습니다(10월 19일 확인). 어른의 휴일 클럽 회원과 뷰카드에 대해서는 10월 19일 기준으로 후속 발표를 확인하지 못했습니다(각 회사 사이트에서 확인). 클라우드 서비스 제공업체는 10월 27일 제7보에서 조사가 완료되었다고 밝히고, 원인을 고객용 관리 화면의 인증 시스템에 사용된 오픈소스 소프트웨어의 취약점이라고 공표했습니다. 가상 서버 내 데이터가 외부로 유출되지 않았다는 판단은 바뀌지 않았습니다. 이 사이트의 판단: JR규슈는 유출 사실이 확인되지 않았다고 발표했고, 에키넷은 에키넷 회원의 개인정보 유출은 없었다는 보고를 받았다고 안내하고 있습니다. 그럼에도 이 사건을 빙자한 가짜 이메일은 계속 도착할 수 있습니다. 이메일의 링크로는 로그인하지 말고, 공식 앱이나 직접 저장해 둔 즐겨찾기로 확인하십시오.
다이와증권 협력사 침해(고객 약 11만 명, 기록 22만 건): 유출되었을 가능성이 있는 정보와 고객이 해야 할 일
2026년 10월 5일, 일본 대형 증권사 중 하나인 다이와증권 주식회사는 고객 온라인 문의 관리에 사용하는 서비스의 협력사 서버에 무단 접근이 있었다고 발표했습니다. 문의 기록에 포함된 고객 약 11만 명의 이름, 이메일 주소, 계좌번호 등이 유출되었을 가능성이 있으며, 개인을 특정할 수 없는 문의를 포함하면 약 22만 건의 기록이 관련되어 있습니다. 접근은 2026년 10월 2일 오후 8시 33분경부터 10월 3일 오전 8시 1분 사이에 이루어졌으며, 다이와증권 자체 시스템에 대한 무단 접근은 확인되지 않았습니다. 회사는 이 데이터로는 온라인 거래를 포함해 계좌에 접속하거나 거래할 수 없다고 밝혔고, 10월 5일 기준으로 부정 거래나 데이터의 공개 또는 확산은 확인되지 않았다고 합니다. 10월 6일 협력사 측은 같은 서버를 사용하는 최대 5개 고객사 환경의 문의 데이터가 반출되었을 수 있다고 공지했으며, 문의 건수 기준으로 최대 713,126건이 집계되었습니다. 같은 협력사로부터 보고를 받았다며 시티즌 시계(약 10만 명), 솜포 재팬(문의 기준 약 6만 건), ORIX 생명보험(약 26,500건)도 고객 데이터가 유출되었을 가능성이 있다고 발표했습니다. 이 사이트의 견해: 계좌번호와 과거 문의 내용을 알고 있는 가짜 메시지가 나올 수 있습니다. 이메일이나 문자의 링크에서 절대 로그인하지 마시고, 즐겨찾기나 공식 앱에서 접속하여 메시지함과 조작 이력을 확인하십시오.
TanStack, Nx Console, GitHub로 이어진 침해 연쇄 (2026년 5월): 개발자가 확인할 것
2026년 5월 11일 TanStack의 Router/Start 저장소의 배포 파이프라인이 악용돼 npm 패키지 42개, 84개 버전에 인증 정보를 훔치는 코드가 실렸다. 그중 하나를 설치한 Nx 기여자의 GitHub CLI 토큰이 탈취됐고, 5월 18일 변조된 Nx Console 확장(v18.95.0)이 공개됐다. 같은 날 GitHub는 악성 VS Code 확장으로 직원 기기가 침해돼 GitHub 내부 저장소가 유출됐다고 밝혔다. 세 사건 모두 정상 계정과 정상 배포 경로를 거쳤으므로, 방어는 탈취된 배포 인증 정보(토큰) 하나만으로 새 버전을 낼 수 없게 하는 것, 그리고 설정해 둔 안전장치가 실제로 동작하는지 확인하는 것이다.
Trivy 공급망 침해 (2026년 3월): CI에서 Trivy를 쓰고 있다면 할 일
2026년 3월 19일 Aqua Security가 개발하는 오픈소스 취약점 스캐너 Trivy의 악성 v0.69.4가 배포됐고, GitHub Actions의 trivy-action(태그 77개 중 76개)과 setup-trivy(태그 7개 전부)가 악성 커밋을 가리키도록 바뀌었다. Aqua에 따르면 악성 코드는 CI 러너에서 비밀값을 수집해 외부로 보냈고, 원인은 2월 말에 시작된 침해에서 탈취된 인증 정보였으며, 3월 1일의 교체가 한꺼번에 이뤄지지 않아 공격자가 계속 쓸 수 있었다. 이 사이트의 결론 = 교훈은 액션을 태그가 아니라 커밋 ID(SHA)로 고정하라는 것만이 아니다. SHA로 고정한 액션도 내부에서 다른 구성 요소를 태그로 부를 수 있고, 그 경로로 악성 버전이 들어온다. 유출된 인증 정보는 한꺼번에 교체해야 하며, 그렇지 않으면 공격자가 계속 쓸 수 있다. 스캐너는 배포용 비밀값이 없는 잡에서 돌린다.
Vercel 보안 사고 (2026년 4월): 환경 변수가 노출됐을 때 개발자가 할 일
2026년 4월 19일 Vercel은 일부 내부 시스템에 대한 무단 접근을 공개했다. Vercel에 따르면 직원이 쓰던 서드파티 AI 도구가 침해되면서 공격자가 그 직원의 Google Workspace 계정을 탈취했고, 그 직원의 Vercel 계정과 Vercel 환경에 들어가, 일부 제한된 고객의 '민감'으로 표시되지 않은 환경 변수를 열거하고 복호화했다. Vercel은 영향받은 고객에게 직접 연락했고, 자사가 배포한 npm 패키지는 침해되지 않았음을 확인했다. 이 사이트의 결론 = 변수의 유출 여부는 그 분류, 즉 읽기 가능(저장 후 값을 다시 표시할 수 있음)인지 쓰기 전용(덮어쓸 수는 있지만 표시할 수 없음)인지에 달려 있었다. 다시 읽을 일이 없는 비밀값은 모두 쓰기 전용(현재 Vercel의 Secret)으로 저장하고, 직원이 OAuth(외부 앱이 회사 계정에 접근하도록 허용하는 방식)로 회사 계정에 연결하는 AI 도구도 의존성처럼 목록으로 관리한다.
MOVEit 대규모 유출 사고(2023) — SQL 인젝션 제로데이가 2,700개 이상 조직에 도달한 경위와 방어법
진입점은 인터넷에 노출된 MOVEit Transfer의 SQL 인젝션 제로데이(CVE-2023-34362)였습니다. 웹 셸(LEMURLOOT)이 심어지고 백엔드 데이터베이스에서 데이터가 대량 탈취되어 2,700개 이상 조직, 약 9,330만 명에게 피해를 입혔습니다. 대부분의 피해자는 벤더가 MOVEit을 썼기 때문에 간접적으로 끌려 들어갔습니다. 여러분의 환경에서는 KEV 신속 패치, 노출 최소화, 웹↔DB 최소 권한과 분리, 벤더 인벤토리와 데이터 최소화가 핵심입니다.
osv-scanner 설치와 사용법: 의존성의 CVE를 자동으로 찾아내기
osv-scanner는 락파일과 컨테이너를 스캔해 의존성의 CVE를 무료로 드러냅니다. 설치·실행·CI 연동을 짚고, npm/pnpm audit·Dependabot과 언제 쓸지도 비교합니다. 본 사이트의 견해: 어떤 도구가 맞는지는 당신의 환경에 달려 있습니다. 다중 생태계나 GitHub 비사용 프로젝트엔 osv-scanner를, 단일 npm 트리엔 번들된 pnpm audit을 쓰세요.
자체 호스팅 Git vs GitHub: 실제로 어느 쪽이 더 안전한가?
Git을 자체 호스팅한다고 '더 안전'해지지 않습니다 — 위험을 옮길 뿐입니다. 실수로 인한 공개 노출 부류는 사라지지만, 서버 패치·백업·커밋 전 시크릿 탐지가 당신에게 넘어옵니다. 그 일을 계속 해낸다면 옳은 선택이고, 방치하면 GitHub보다 나쁩니다. 본 사이트의 견해: 자체 호스팅은 보상 통제와 묶일 때만 작동합니다.
Codecov 유출 사고(2021) — CI 도구가 변조되어 비밀 정보가 새어 나갔을 때
신뢰하던 CI 도구(curl|bash로 실행되는 Bash Uploader)가 상위에서 변조되었습니다. 여러분의 코드는 손대지 않았기 때문에 약 2개월간 알아채지 못한 채 CI 비밀 정보가 유출되었고, 체크섬 검사가 이를 잡아냈습니다. 여러분의 CI에서는 가져온 산출물 검증, 최소 권한 비밀 정보, 로테이션, 이그레스 모니터링이 핵심입니다.
XZ Utils 백도어(CVE-2024-3094) — 신뢰받던 공동 메인테이너에 의한 공급망 공격
신뢰받던 메인테이너가 xz에 백도어를 심은 공급망 공격. 한 엔지니어가 로그인이 느려진 것을 알아채 안정 배포 직전에 발견했습니다. 표적은 코드가 아니라 사람과 신뢰였습니다. 의존성을 최소화하고, 버전을 핀 고정하고, 재현 가능하게 빌드하고, 이상을 끝까지 쫓고, 메인테이너를 지원하십시오.