• 북한 해킹 조직 'Kimsuky(김수키)', 한국·일본 집중 공격

  [시큐리티팩트=최석윤 기자] 북한의 국가 지원 해킹 조직으로 알려진 '김수키(Kimsuky)'가 최근 새롭고 지능적인 악성 캠페인으로 한국·일본 집중 타격하고 있다고 21일(현지시각) 해커뉴스가 보도했다. 이들은 이미 보안 업데이트로 막힌 과거의 취약점을 악용하여 초기 침투에 성공하는 수법을 사용하고 있어 더욱 심각한 위협으로 간주된다. 2023년부터 한·미·일 등 전 세계 국가 공격 이번 Kimsuky의 악성 캠페인은 2023년 10월부터 본격적으로 시작된 것으로 추정되며, 주로 한국과 일본의 소프트웨어, 에너지, 금융 분야 기업들을 집중적으로 노리고 있다. 하지만 이들의 공격 대상은 한일 양국에 국한되지 않았다. 미국, 중국, 독일, 싱가포르, 남아프리카공화국, 네덜란드, 멕시코, 베트남, 벨기에, 영국, 캐나다, 태국, 폴란드 등 전 세계 10여 개국 또한 Kimsuky 공격 대상에 포함된 것으로 밝혀졌다. 국내 사이버 보안 업체인 안랩(AhnLab)의 보안정보센터(ASEC)는 이번 Kimsuky의 활동을 'Larva-24005'라는 이름으로 명명하고, 이들의 공격 방식을 면밀히 분석하고 있다. 과거 'BlueKeep' 취약점 노려 침투 ASEC의 분석에 따르면, Kimsuky는 일부 시스템에서 '블루킵(BlueKeep)'이라는 이름으로 널리 알려진 'CVE-2019-0708' 취약점을 악용하여 초기 접근 권한을 획득했다. 이 취약점은 마이크로소프트 원격 데스크톱 서비스(Remote Desktop Services, RDS)의 심각한 보안 결함으로, 인증되지 않은 공격자가 원격으로 코드를 실행하여 시스템을 완전히 장악할 수 있는 매우 위험한 버그이다. 당시 보안 점수가 무려 9.8점으로 평가될 만큼 심각한 수준이었다. 다행히 마이크로소프트는 2019년 5월에 이 취약점에 대한 보안 업데이트를 배포하여 문제를 해결했다. 하지만 Kimsuky는 아직 업데이트를 적용하지 않은 시스템을 찾아 과거 보안 구멍을 파고드는 방식으로 침투를 시도하고 있다. ASEC 측은 "침해된 시스템에서 RDP 취약점 스캐너가 발견되었지만, 실제 악용 증거는 아직 명확하게 확인되지 않았다"고 밝혔다. 이와 더불어 Kimsuky는 또 다른 초기 침투 경로로 '피싱 메일'을 여전히 적극적으로 사용하고 있다. 이들은 'CVE-2017-11882' 취약점을 유발하는 악성 파일을 이메일에 첨부하여 사용자가 무심코 열어보도록 유도한다. 이 취약점은 마이크로소프트의 수식 편집기(Equation Editor)의 오래된 보안 결함으로, 이를 악용하면 공격자가 임의의 코드를 실행할 수 있다. 악성코드 'MySpy'와 '키로거' 심어 정보 탈취 일단 시스템에 침투하는 데 성공하면, Kimsuky는 '드로퍼(Dropper)'라는 악성 프로그램을 이용하여 추가적인 악성 도구를 설치한다. 그중 하나가 바로 'MySpy'라는 악성코드다. MySpy는 감염된 시스템의 기본적인 정보를 수집하는 기능을 수행한다. 이와 함께 Kimsuky는 원격 데스크톱 접근을 용이하게 하기 위해 'RDPWrap'이라는 합법적인 도구를 몰래 설치하고, 원격 데스크톱 연결을 허용하도록 시스템 설정을 변경하는 치밀함을 보였다. 최종적으로 Kimsuky의 공격은 사용자의 키보드 입력 내용을 몰래 기록하여 중요한 정보를 빼가는 '키로거' 악성 프로그램을 배포하는 것으로 마무리된다. 이번 캠페인에서는 'KimaLogger'와 'RandomQuery'라는 두 종류의 키로거가 사용된 것으로 확인됐다. 과거 취약점 악용, 보안 업데이트 '필수' 이번 Kimsuky의 새로운 악성 캠페인은 이미 패치된 과거의 취약점을 능숙하게 활용하여 공격 효율성을 높이고 있다는 점에서 더욱 위협적이다. 특히 한국과 일본의 주요 산업 분야를 집중적으로 노리고 있다는 점은 국가적인 차원에서도 심각한 우려를 낳고 있다. 사이버 보안 전문가들은 Kimsuky의 공격 수법이 점차 고도화되고 있는 만큼, 개인 사용자뿐만 아니라 기업과 기관에서도 운영체제 및 소프트웨어의 최신 보안 업데이트를 반드시 적용하고, 출처가 불분명한 이메일이나 첨부 파일을 열어보지 않도록 각별한 주의를 기울여야 한다고 강조한다. 과거의 작은 보안 구멍 하나가 예상치 못한 심각한 결과를 초래할 수 있다.

• 바이비트 "1조3000억 추적 가능".. 북한 해킹조직 라자루스 압박

  [시큐리티팩트=최석윤 기자] 암호화폐 거래소 바이비트(Bybit)가 북한의 악명 높은 해킹 조직 라자루스 그룹(Lazarus Group)에게 탈취당한 막대한 양의 암호화폐 자금 추적에 여전히 박차를 가하고 있다. 21일(현지시각) 코인텔레그래프에 따르면, 바이비트의 공동 설립자 겸 CEO인 벤 저우(Ben Zhou)는 지난 2월 발생한 이 초대형 해킹 사건과 관련하여, 현재까지 탈취 자금의 상당 부분이 추적 가능한 상태로 남아있다고 밝혔다. 1조9000억 해킹, 68% 이상 여전히 '추적 가능' 벤 저우 CEO는 21일 자신의 X(구 트위터) 계정을 통해 해킹된 바이비트 자금에 대한 상세한 요약 보고서를 공개했다. 보고서에 따르면, 총 14억 달러(약 1조9800억원)에 달하는 해킹 자금 중 68.6%는 여전히 '추적 가능한 상태'인 것으로 나타났다. 반면 27.6%는 여러 단계를 거쳐 추적이 어려운 '암흑 상태'에 놓였으며, 3.8%는 바이비트 측의 노력으로 동결 조치된 것으로 확인됐다. 저우 CEO는 추적이 불가능해진 자금의 상당 부분이 암호화폐 믹서(거래 기록을 섞어 추적을 어렵게 만드는 서비스)를 거쳐 여러 '암호화폐 다리'(서로 다른 블록체인 간 자산 이동을 돕는 서비스)를 통해 개인 간(P2P) 거래 플랫폼이나 장외거래(OTC) 플랫폼으로 흘러 들어갔다고 설명했다. 라자루스 그룹 '믹싱' 수법 확인 지난 2월, 라자루스 그룹과 연계된 해커들은 바이비트의 콜드 월렛(인터넷과 분리된 안전한 지갑) 시스템의 취약점을 악용하여 암호화폐 거래소 역사상 최대 규모로 기록될 14억 달러 상당의 디지털 자산을 탈취했다. 저우 CEO는 "최근 북한 해커들이 주로 사용하는 믹서가 '와사비(Wasabi)'인 것을 확인했다"고 언급하며, 비트코인(BTC)이 와사비 믹서를 거친 후 "일부는 크립토믹서(CryptoMixer), 토네이도 캐시(Tornado Cash), 레일건(Railgun)으로 유입됐다"고 덧붙였다. 토네이도 캐시와 레일건은 익명성 강화를 특징으로 하는 암호화폐 믹서 서비스이다. 구체적으로, 저우 CEO는 약 9000만 달러(약 1270억원) 상당의 944개 비트코인이 와사비 믹서를 거친 것을 확인했다. 또한, 탈취된 자금은 쏜체인(THORChain), eXch, 롬바르드(Lombard), LI.FI, 스타게이트(Stargate), 선스왑(SunSwap)과 같은 다양한 플랫폼을 통해 여러 블록체인 간 이동 및 암호화폐 교환 과정을 거쳐 최종적으로 개인 간 거래나 장외거래 서비스를 통해 현금화되었을 가능성을 시사했다. 이더리움 43만 개 이상, 비트코인으로 전환 주목할 만한 점은 총 12억1000만 달러(약 1조7000억원) 상당의 약 84%에 해당하는 43만2748개의 이더(ETH)가 쏜체인(THORChain)을 통해 이더리움 블록체인에서 비트코인 블록체인으로 이동했다는 것이다. 저우 CEO는 이 중 약 3분의 2에 해당하는 9억6000만 달러(약 1조3600억원) 상당 이더가 3만5772개의 서로 다른 지갑을 거쳐 1만3개의 비트코인으로 전환되었다고 밝혔다. 다행히 모든 자금이 흔적 없이 사라진 것은 아니다. 저우 CEO는 약 1700만 달러(약 2400억원) 상당 이더가 여전히 1만2490개 지갑에 걸쳐 이더리움 블록체인에 남아 있다고 보고했다. 이는 바이비트와 국제 공조 수사 기관의 지속적인 추적 노력을 통해 일부 자금 회수 가능성을 열어두고 있음을 의미한다. '현상금 사냥꾼' 활약.. 4200만 달러 동결 바이비트는 해킹 자금 동결에 결정적인 정보를 제공하는 사람들에게 총 1억4000만 달러의 파격적인 현상금을 내걸고 '라자루스 바운티(Lazarus Bounty)' 프로그램을 운영하고 있다. 저우 CEO는 지난 60일 동안 접수된 5443건의 제보 중 70건만이 유효한 정보로 판단되었으며, 현재까지 12명의 '현상금 사냥꾼'에게 총 230만 달러(약 32억원)의 보상금이 지급되었다고 밝혔다. 특히 맨틀(Mantle) 레이어-2 플랫폼이라는 한 기관의 결정적인 제보를 통해 4200만 달러(약 590억원) 상당의 자금을 동결하는 성과를 거두었다. 저우 CEO는 "더 많은 제보를 환영하며, 앞으로 더 많은 도움이 필요하기 때문에 믹서를 해독할 수 있는 더 많은 현상금 사냥꾼이 필요하다"고 강조하며, 암호화폐 믹서 추적의 어려움을 토로하는 동시에 정보 제공자들의 적극적인 참여를 독려했다. 자금세탁 의혹 거래소 'eXch', 결국 폐쇄 한편, 지난 17일에는 암호화폐 거래소 eXch가 바이비트 해킹으로 인한 자금 세탁에 이용되었다는 보도가 나온 후 오는 5월 1일부로 운영을 중단할 것이라고 발표했다. 이는 해킹 자금 추적 과정에서 자금 세탁에 연루된 것으로 의심되는 거래소까지 압박하는 국제적인 공조 수사가 진행되고 있음을 시사한다. 바이비트와 벤 저우 CEO의 지속적인 자금 추적 노력 공개는 거액의 암호화폐 해킹 사건 발생에도 불구하고 범죄 행위에 대한 경각심을 높이고 끝까지 책임을 묻겠다는 의지를 보여주는 것으로 해석된다.

• 애플, 긴급 보안 경고 발표.. "매우 위험한" 해킹

  [시큐리티팩트=최석윤 기자] 애플이 20일(현지시각) 아이폰 사용자들에게 긴급 보안 경고를 발표했다. 언론인과 공무원 등 특정인을 겨냥한 매우 위험한 해킹 공격이 발견되어, 아이폰을 즉시 최신 버전으로 업데이트해야 한다는 내용이다. 뭐가 문제길래? 핵심 취약점 두 가지 이번에 발견된 심각한 보안 문제는 크게 두 가지이다. 코어 오디오(CoreAudio): 아이폰이 특정 방식으로 만들어진 음악이나 음성 파일을 처리할 때, 해커가 멋대로 코드를 실행시켜 아이폰 내부를 장악할 수 있는 허점이 발견됐다. 이를 통해 해커는 이용자의 오디오 스트림을 엿듣거나, 저장된 민감한 정보를 빼낼 수 있다. 마치 잠겨있는 집에 창문이 깨져 누구나 들어올 수 있게 된 것과 같다. RPAC 취약점: 이 취약점은 아이폰, 아이패드, 맥, 심지어 애플 TV와 비전 프로까지 애플의 여러 기기에 영향을 미친다. 해커가 이 허점을 이용하면 시스템의 가장 기본적인 보안 장치를 무력화시키고, 여러분의 기기에 읽고 쓰는 모든 권한을 얻을 수 있다. 이는 금고의 잠금장치가 완전히 망가져 해커가 원하는 대로 정보를 빼가거나 조작할 수 있게 되는 것과 같다. RPAC은 Return Pointer Authentication Code의 약자다. 쉽게 말해, '돌아가는 길'에 붙이는 일종의 '보안 스티커'라고 생각하시면 된다. 컴퓨터 프로그램은 여러 기능을 수행하기 위해 다양한 '조각'(코드)들을 실행한다. 어떤 조각을 실행하고 나서 원래 위치로 '돌아가야' 다음 작업을 계속할 수 있다. 이때 '돌아가는 길'을 알려주는 정보가 바로 '포인터(Pointer)'이다. RPAC 취약점은 이 '돌아가는 길'에 붙은 '보안 스티커'가 제대로 확인되지 않는 허점이다. 마치 가짜 '보안 스티커'를 붙인 '돌아가는 길'로 해커가 프로그램을 속여서 원하는 대로 '엉뚱한 길'로 가게 만들 수 있는 것과 같다. 애플은 이러한 심각한 결함들이 이미 유명인을 대상으로 한 실제 공격에 사용되었다는 사실을 확인하여 긴장감을 더욱 높이고 있다. iOS 18.4.1, 무엇을 고쳤나? 다행히 애플은 이러한 위험한 취약점을 해결한 긴급 업데이트, 'iOS 18.4.1'을 배포했다. 이번 업데이트를 통해 다음과 같은 문제들이 해결됐다. 코어 오디오(CoreAudio) 메모리 손상 패치: CoreAudio 취약점을 근본적으로 막아, 악의적인 파일로 인한 해킹 위험을 차단했다. 강화된 포인터 인증으로 우회 격차 해소: RPAC 취약점을 악용하여 보안 장치를 우회하려는 시도를 원천적으로 봉쇄했다. 마치 더욱 강력하고 빈틈없는 자물쇠로 금고를 다시 잠근 것과 같다. 무선 카플레이(CarPlay) 연결 문제 수정: 보안 문제 외에도 일부 사용자들에게 불편을 주었던 CarPlay 연결 오류도 함께 해결됐다. 다른 애플 기기도 업데이트해야 이번 긴급 보안 업데이트는 아이폰뿐만 아니라 다른 애플 기기에도 해당된다. 따라서 아래 기기를 사용하고 있다면 즉시 업데이트를 진행해야 한다. 아이패드: iPadOS 18.4.1 맥: macOS 세쿼이아 15.4.1 애플 TV: tvOS 18.4.1 비전 프로: visionOS 2.4.1 업데이트, 어떻게 해야 하나 아이폰 업데이트는 매우 간단하다. 아래 단계를 따라 진행하면 된다. 1. '설정' 앱을 연다. 2. '일반' 탭을 선택한다. 3. '소프트웨어 업데이트'를 탭한다. 4. '다운로드 및 설치'를 탭한다. 업데이트를 시작하기 전에 아이폰이 Wi-Fi에 연결되어 있고 충분히 충전되어 있거나 전원에 연결되어 있는지 확인하는 것이 중요하다. 최근 iOS 위협 중 가장 심각한 수준 애플은 보안 공지를 통해 이례적으로 강력한 어조로 사용자들에게 즉각적인 업데이트를 촉구하고 있다. 이는 이번 취약점이 현재 활발하게 악용되고 있으며, 특정인을 겨냥한 매우 정교한 공격이라는 심각성을 인지하고 있기 때문이다. 사이버 보안 전문가들 역시 감시, 개인 정보 유출, 기기 손상 등 심각한 피해를 막기 위해 '즉시 업데이트'할 것을 강력히 권고하고 있다. 이번 보안 취약점은 최근 몇 년간 발견된 iOS 위협 중 가장 심각한 수준으로 평가받고 있다. 따라서 모든 아이폰 사용자는 안심하고 기기를 사용하기 위해 지금 바로 업데이트를 진행해야 한다. 소중한 개인 정보를 보호하는 가장 확실하고 빠른 방법이다.

• “한국 온라인 뱅킹 사용자, 가짜 청첩장 조심하라”

  [시큐리티팩트=김상규 기자] 한국 온라인 뱅킹 사용자가 청첩장 링크를 클릭하면 숨니봇 멀웨어가 설치되어 개인 데이터 및 은행 디지털 인증서 등의 중요한 정보가 탈취될 수 있다는 경고가 나왔다. 글로벌 사이버 보안 기업인 카스퍼스키는 사이버 범죄자들이 인생에서 가장 소중한 기념일인 결혼식 청첩장을 악용하여 안드로이드 기기 사용자에게 멀웨어를 유포하고 있다고 18일 밝혔다. 카스퍼스키 연구원들은 공격자가 청첩장으로 위장한 링크를 배포하여 피해자가 2024년에 카스퍼스키가 처음 발견한 뱅킹 트로이 목마인 ‘숨니봇(SoumniBot)’을 다운로드하도록 속이는 정교한 악성 캠페인을 발견했다. 이 스팸은 잠재적 피해자에게 결혼식 라이브 스트리밍에 참여할 수 있는 옵션이 포함된 디지털 청첩장으로 보이는 링크를 전송하는 방식으로 작동한다. 하지만 링크를 클릭하면 주로 한국 온라인 뱅킹 사용자를 대상으로 하는 숨니봇 멀웨어를 다운로드하도록 유도하는 악성 웹사이트로 연결되며, 개인의 보안뿐만 아니라 가족 전체의 금융 시스템까지 위협할 수 있다. 카스퍼스키 전문가들은 2024년 8월부터 활동한 이 캠페인에서 공격자들이 사용한 약 400개의 도메인을 확인했다. 카스퍼스키 위협 연구소의 멀웨어 분석가인 드미트리 칼리닌(Dmitry Kalinin)은 “이 공격자들은 청첩장을 악용하여 특히 사회공학 기법을 매우 효과적으로 활용하고 있다. 이것을 악의적이라고 즉시 의심하는 사람은 거의 없다”라고 말하며, “항상 그렇듯이 멀웨어 제작자는 숨어 있으면서 가능한 한 많은 디바이스를 감염시키려고 한다. 숨니봇은 안드로이드 매니페스트 처리(Android manifest processing)의 약점을 악용하여 잠재적인 보안 조치를 우회하는 완벽한 예시다"라고 말했다. ‘숨니봇’은 일단 설치되면 은밀하게 작동되며 쉽게 탐지되지 않도록 앱 아이콘 숨기기, 연락처, SMS 메시지, 사진 및 동영상 탈취, 한국의 은행에서 사용하는 디지털 인증서 탈취, 피해자 기기에서 임의의 SMS 메시지 전송, 15초마다 수집된 데이터를 공격자가 제어하는 서버로 전송한다. 이 악성코드는 ▲압축 방법 조작 ▲매니페스트 크기 변조 ▲분석 도구를 압도하는 매우 긴 이름 공간 문자열 사용 등 3가지 정교한 기술 수법을 사용하여 탐지 시스템을 회피한다. 특히 숨니봇은 우리나라 은행에서 사용하는 디지털 인증서를 표적으로 삼아 공격자가 인증 방법을 우회하고 피해자의 계정을 탈취할 수 있다는 점이 우려된다. 청첩장 미끼는 사회적 신뢰와 감정적 조작을 이용해 기존 피싱 캠페인보다 높은 감염률을 달성하는 악성코드 배포 전술의 진화를 보여주는 우려되는 사례다. 카스퍼스키는 아래와 같이 숨니봇 멀웨어 예방활동 실천을 권장했다. 첫째, 보안 검사를 통해 악성 앱을 걸러내는 Google Play와 같은 공식 스토어에서만 애플리케이션 다운로드해라. 둘째, 예상치 못한 청첩장이나 기타 감정적인 유혹, 특히 앱 다운로드를 요청하는 경우 주의하라. 셋째, 앱 권한을 신중하게 확인하고 접근성 서비스와 같은 고위험 권한을 부여하기 전에 두 번 생각해라. 넷째, 많은 보안 문제가 업데이트를 통해 해결되므로 운영 체제 및 중요한 앱을 최신 상태로 유지하라.

• 라쿠텐·노무라·SBI 증권 털렸다.. 일본 '주식 계좌 하이재킹' 공포

  [시큐리티팩트=최석윤 기자] 일본 온라인 증권 시장이 심각한 계좌 하이재킹 사건으로 몸살을 앓고 있다. 범죄 조직이 탈취한 계좌를 이용해 주가를 인위적으로 조작하려 한다는 우려가 커지면서, 금융 당국과 증권사들이 바짝 긴장하고 있다. 17일(현지시각) 재팬타임스에 따르면, 이번 사태는 지난 3월 말, 일본의 대표적인 온라인 증권사인 라쿠텐 증권(Rakuten Securities)이 다수의 고객 계정이 무단으로 탈취된 사실을 공개하면서 수면 위로 드러났다. 이후 노무라증권(Nomura Securities), SBI증권(SBI Securities) 등 주요 증권사들 역시 유사한 계좌 탈취 피해 사례를 잇따라 확인하면서 사태의 심각성을 더하고 있다. 증권사들에 따르면, 공격자들은 정교하게 위장한 피싱 웹사이트를 통해 고객들의 사용자 ID와 비밀번호를 빼돌리는 수법을 사용했다. 이렇게 확보한 정보를 바탕으로 고객 계정에 무단으로 접속하여 본인도 모르는 사이에 주식 거래를 실행한 것이다. 외국·일본 주식, '묻지마' 매수로 주가 조작 시도 초기 보고에서는 공격자들이 주로 외국 주식을 표적으로 삼은 것으로 알려졌습니다. 이에 라쿠텐 증권은 일부 중국 주식에 대한 매수 주문을 일시적으로 중단하는 긴급 조치를 취하기도 했다. 하지만 우려스럽게도 이러한 불법적인 움직임은 곧 국내 주식으로까지 확산되었고, 비정상적인 거래 활동으로 인해 일부 종목의 거래가 일시 중단되는 상황까지 발생했다. 수사 당국은 범인들이 유동성이 낮고 가격 변동성이 큰 주식을 대량으로 매수하여 인위적으로 주가를 끌어올린 뒤, 차익을 실현하고 빠져나가는 수법을 사용한 것으로 보고 있다. 만약 이러한 행위가 명백한 시장 조작으로 확인될 경우, 이는 일본 금융상품거래법을 위반하는 심각한 범죄 행위에 해당된다. 사태가 심각해짐에 따라 증권사들은 고객들에게 각별한 주의를 당부하고 있으며, 금융 당국 역시 감시망을 더욱 강화하고 있다. 증권거래감시위원회(SESC)의 한 소식통은 "상당수의 주가가 조작되었을 가능성이 있으며, 이는 결코 간과할 수 없는 사안"이라고 강조했다. 이 소식통은 100개가 넘는 종목에서 비정상적인 가격 변동이 포착되었을 수 있다고 언급하며 "이 정도 규모의 계좌 탈취는 전례가 없는 일"이라고 덧붙였다. 법적 보호 받기 어려운 피해자 속출 계정 하이재킹은 일본의 '부정 액세스 금지법'에 명백히 위배되는 불법 행위이다. SESC 관계자는 공격의 배후를 신속하게 밝혀내야 한다고 강조했지만, "우리 조사만으로는 한계가 있다"며 법 집행 기관과의 협력이 "필수적일 수 있다"고 밝혔다. 현재 경찰은 관련 정보를 수집하며 수사에 착수한 것으로 알려졌지만, 사이버 범죄의 특성상 범인 검거까지는 상당한 어려움이 예상된다. 추가적인 피해를 막기 위해 전문가들은 투자자들에게 각별한 주의를 당부하고 있다. 사이버 보안 업체인 트렌드마이크로의 대변인은 "출처가 불분명한 이메일이나 SMS 메시지에 포함된 링크를 무심코 클릭해서는 안 된다"며 "각 증권사 공식 앱을 사용하는 것이 자신을 보호하는 효과적인 방법"이라고 조언했다. 하지만 이미 많은 투자자들이 속수무책으로 계좌 도용 피해를 입고 혼란과 분노를 느끼고 있다. 라쿠텐 증권을 10년 넘게 이용해 온 36세 회사원 남성은 이번 사기 수법으로 약 210만 엔(약 2100만원)의 손실을 입었다. 그는 경찰에 피해 사실을 신고했지만, 안타깝게도 그의 사건은 '고객이 아닌 중개업체가 법적 피해자'라는 이유로 형사 고소조차 받아들여지지 않았다. 그는 "이 돈을 어디서 메꿔야 할지 막막하다. 범죄자들은 원하는 대로 활개 치고 있다"며 절망감을 토로했다. 그는 결혼과 노후 자금 마련을 위해 약 1200만 엔(약 1억2000만원) 상당의 일본 주식을 꼼꼼히 관리해 왔으며, 거의 매일 주가를 확인했다. 하지만 지난 3월 20일, 그는 자신이 보유한 모든 주식이 전날 장 마감 직전에 매도되었고, 그 수익금으로 홍콩에 본사를 둔 생소한 AI 회사의 주식 20만 주가 매수된 것을 발견했다. 즉시 매도했지만, 이미 200만 엔(약 2000만원)이 넘는 손실을 본 뒤였다. 라쿠텐 증권 측은 피싱 공격에 사용된 가짜 웹사이트에 대해 사용자들에게 경고했지만, 이 남성은 의심스러운 페이지에 비밀번호를 입력한 적이 없다고 주장하고 있다. SBI 증권 "정상 거래.. 보상 책임 없다" SBI 증권을 이용하는 35세 남성 역시 비슷한 피해를 겪었다. 그의 계좌는 도용되어 약 960만 엔(약 9600만원) 상당의 중국 주식이 본인도 모르게 매수됐다. 거래 기록에는 그가 거주하지 않는 지역에서 계정에 로그인한 흔적이 남아있었지만, SBI 증권 측은 "정상적인 사용자 이름과 비밀번호가 사용된 거래에 대해서는 보상 책임이 없다"는 입장을 밝혔다. 이에 대해 그는 "이는 그들의 보안 시스템에 결함이 있다 하더라도 아무런 책임을 지지 않겠다는 의미로밖에 받아들일 수 없다"며 분통을 터뜨렸다. 라쿠텐 증권 대변인은 기자들에게 "경찰 수사에 적극적으로 협조하고 있으며, 각 사건을 개별적으로 평가할 것"이라고 밝혔지만, 피해자들의 불안감과 불신은 쉽게 가라앉지 않을 것으로 보인다. 온라인 증권 거래의 편리함 뒤에 숨겨진 보안 취약점이 이번 사태를 통해 여실히 드러나면서, 투자자 보호를 위한 보다 강력한 대책 마련이 시급하다는 목소리가 높아지고 있다.

• 엔디비아 'AI 심장부' GPU에 보안 구멍.. '즉시 패치' 비상

  [시큐리티팩트=최석윤 기자] 인공지능(AI) 기술 개발의 핵심 동력인 엔비디아(NVIDIA) GPU를 사용하는 기업들에게 심각한 보안 위협이 감지됐다고 다크리딩이 17일(현지시각) 보도했다. 연구진들은 AI 관련 작업을 위해 엔비디아 GPU 환경에서 컨테이너를 실행하는 데 필수적인 'NVIDIA Container Toolkit'에서 중요한 보안 취약점을 발견하고, 즉시 시스템을 패치할 것을 강력히 촉구하고 있다. 이 허점을 악용한 공격자는 민감한 데이터 탈취, 핵심 AI 모델 유출, 심지어 시스템 운영 중단까지 초래할 수 있어 각별한 주의가 요구된다. 엔비디아 "패치 처리".. '2차 결함' 여전히 위협 엔비디아는 이미 지난해 9월, NVIDIA Container Toolkit에서 발견된 심각한 취약점(CVE-2024-0132)에 대한 업데이트를 발표했다. CVSS 위험도 점수가 10점 만점에 9점에 달하는 이 취약점은 '체크 시점과 사용 시점 간의 시간차(TOCTOU)' 문제로, 자칫 심각한 보안 사고로 이어질 수 있는 잠재력을 안고 있었다. 하지만 보안 전문가들의 면밀한 조사 결과, 이 초기 패치에도 불구하고 완전히 해결되지 않은 2차 결함이 추가로 발견된 것으로 드러났다. 트렌드마이크로(Trend Micro)와 위즈(Wiz)의 연구원들은 초기 패치 이후에도 일부 환경에서 여전히 공격에 취약할 수 있다는 사실을 밝혀내 충격을 주고 있다. 트렌드마이크로 연구진은 최근 블로그를 통해 CVE-2024-0132에 대한 엔비디아의 수정이 "불완전 하다"고 지적하며, 관련 버그가 '서비스 거부(DoS)' 공격을 허용할 수 있다고 경고했다. 이는 초기 패치가 적용되면 시스템이 안전하다고 믿었던 사용자들에게 혼란을 야기할 수 있다고 보안 전문가들은 우려하고 있다. 엔비디아의 지난해 9월 보안 권고에 따르면, CVE-2024-0132를 악용하면 코드 실행, 서비스 거부, 권한 상승, 정보 유출, 데이터 변조 등 광범위한 악성 행위가 가능했다. 위즈 연구진이 발견한 또 다른 'DoS' 취약점 한편, 트렌드마이크로는 지난 2월 엔비디아가 발표한 보안 권고를 통해 위즈 리서치 연구원들이 발견한 또 다른 '서비스 거부' 관련 버그(ZDI-25-087 또는 CVE-2025-23359)를 추적했다. 엔비디아 대변인 로렌 핑클은 지난 14일 외신과의 인터뷰에서 위즈 측이 CVE-2025-23359에 대한 자체 보고서를 발표했다고 밝혔다. 하지만 그는 트렌드마이크로의 관련 보고서가 뒤늦게 공개된 이유나, 양사 연구진의 보고 시점 차이에 대해서는 추가적인 언급을 피했다. 트렌드마이크로 역시 거듭된 논평 요청에 응답하지 않아 의혹을 증폭시키고 있다. AI 기술 관련 기업들, 보안 '발등의 불' 보안 전문가들은 현재 두 가지 결함 모두에 대한 패치가 완료되었지만, 초기 패치에 대한 혼란과 뒤늦게 발견된 추가 결함으로 인해 이미 업무 과부하에 시달리는 IT 보안팀에 상당한 부담이 가중되고 있다고 지적한다. 이는 공급업체가 초기 배포 단계부터 패치가 제대로 작동하는지 더욱 철저하게 검증해야 할 필요성을 시사한다. 인증서 관리 기업 섹티고(Sectigo)의 선임 연구원 제이슨 소로코는 "이번 연구 결과는 보안 담당자들이 패치의 완전성에 의문을 제기하고, 드라이버 무결성 검증에 더욱 적극적인 자세를 취하도록 촉구하는 계기가 될 것"이라며 "이미 바쁜 사이버 방어 인력에게 또 다른 부담을 안겨주는 셈"이라고 우려를 표했다. 두 번째 결함인 CVE-2025-23359의 직접 영향을 받는 조직은 AI, 클라우드, 컨테이너화된 환경에서 NVIDIA Container Toolkit 또는 Docker를 사용하는 곳이다. 특히 최신 버전에 도입된 기본 설정이나 특정 툴킷 기능을 활용하는 조직은 더욱 위험에 노출될 수 있다. 트렌드마이크로는 AI 관련 작업이나 Docker 기반 컨테이너 인프라를 운영하는 기업들은 잠재적으로 심각한 위험에 처할 수 있다고 경고했다. 트렌드마이크로 연구진은 "만약 공격이 성공적으로 이루어진다면, 민감한 호스트 데이터에 대한 무단 접근, 독점적인 AI 모델 또는 지적 재산 탈취, 심각한 운영 중단, 시스템 접근 불가능으로 인한 가동 시간 지연 등 심각한 결과를 초래할 수 있다"고 강조했다. 광범위한 공격 표면에 '즉각 패치' 필수 애플리케이션 보안 기업 블랙 덕(Black Duck)의 인프라 보안 실무 책임자 토마스 리차즈는 엔비디아 프로세서가 이미 "AI 처리의 사실상 표준"으로 자리 잡았다는 점을 감안할 때, 패치되지 않은 시스템에서 두 가지 결함을 모두 악용하기 위한 공격 표면은 매우 넓다고 지적했다. 그는 "이러한 취약점의 심각성을 고려할 때, 조직은 시스템을 패치하기 위한 즉각적인 조치를 취해야 한다"고 강력히 권고했다. NVIDIA Container Toolkit은 사용자가 GPU 가속 컨테이너를 구축하고 실행할 수 있도록 지원하는 핵심 도구다. 엔비디아의 설명에 따르면, 공격자는 툴킷의 기본 설정에서 CVE-2024-0132를 악용할 수 있지만, 컨테이너 장치 인터페이스(CDI)를 사용하는 경우에는 해당되지 않는다. 두 번째 결함인 CVE-2025-23359는 리눅스(Linux) 환경에서 Docker를 사용하는 시스템에서 툴킷 사용에 영향을 미친다. 이 결함은 공격자가 호스트 시스템에 접근 가능한 악성 컨테이너를 생성할 수 있도록 허용할 뿐만 아니라, 호스트 인터페이스에서 서비스 거부(DoS) 공격을 유발할 수 있는 성능 문제까지 포함한다. 트렌드마이크로 연구진은 Docker API가 권한 있는 인터페이스로 처리되어, 결과적으로 API 접근 권한을 가진 모든 사용자에게 호스트에 대한 루트 수준의 권한을 부여하기 때문에 이러한 문제가 발생한다고 설명했다. 다만, 이 문제가 Docker 런타임 자체에서 비롯된 것인지, 아니면 리눅스 커널에 존재하는 것인지는 아직 명확하지 않다고 덧붙였다. 한편, 공격자는 먼저 볼륨 심볼릭 링크를 통해 서로 연결된 두 개의 악성 컨테이너 이미지를 생성하는 방식으로 CVE-2025-23359를 악용할 수 있다. 그런 다음 공급망 공격이나 사회 공학적 기법 등을 통해 직간접적으로 피해자의 플랫폼에서 해당 이미지를 실행할 수 있다. 이를 통해 공격자는 '경쟁 조건(race condition)'이라는 취약점을 이용하여 호스트 파일 시스템에 접근할 수 있게 된다. 이러한 접근 권한을 획득한 공격자는 컨테이너 런타임 유닉스 소켓에 접근하여 루트 권한으로 임의의 명령을 실행함으로써, 궁극적으로 감염된 시스템에 대한 완전한 원격 제어 권한을 손에 넣을 수 있다. 즉각 패치와 다각적 보안 강화 조치 필요 앞서 언급했듯이, NVIDIA Container Toolkit의 취약점에 대해서는 현재 엔비디아, 트렌드마이크로 및 기타 보안 전문가들이 영향을 받는 조직에 즉시 적용할 것을 권고하는 패치가 존재한다. 트렌드마이크로는 이와 더불어 Docker API 접근 및 권한을 승인된 직원으로만 제한하는 등 조직이 취할 수 있는 추가적인 완화 조치를 권장했다. 또한 잠재 노출을 최소화하기 위해 불필요한 루트 수준 권한 또는 권한 상승을 허용하지 않아야 한다고 강조했다. 뿐만 아니라, 공격 표면을 줄이기 위해 NVIDIA Container Toolkit의 불필요한 기능을 비활성화하고, CI/CD 파이프라인 내에 강력한 허용 제어 정책을 적용하여 컨테이너 이미지 허용 제어를 구현하는 것도 중요한 보안 강화 방안으로 제시됐다. 트렌드마이크로는 컨테이너와 호스트 간의 상호 작용을 정기적으로 감사하고, 무단 호스트 파일 시스템 바인딩 또는 비정상적인 컨테이너 활동과 같은 런타임 이상 징후 탐지 시스템을 구축하는 것이 문제 악용 징후를 식별하는 데 도움이 될 수 있다고 조언했다.

실시간 시큐리티 기사