카테고리별 기사

전문가들, AI 해킹 보도는 격리·모니터링 실패가 원인이라고 지적

Containment and monitoring failures are to blame for AI hacking reports: experts

AI 에이전트가 통제를 벗어난다는 보도와 달리, 전문가들은 프런티어 연구소의 기본적인 보안 통제 부족을 문제로 지목함.

패스키는 함정이 아니다

Passkeys are not a trap

대부분의 동기화 패스키는 웹사이트에 인증기 정보를 증명하는 증명(attestation)을 제공하지 않으며, 소비자 사이트가 이를 요구하면 이용자가 대거 차단될 수 있음. WebAuthn 증명은 인증기의 제조사·모델을 나타낼 뿐 운영체제나 브라우저, 확장 프로그램 상태까지 증명하지 않음.

패스키는 함정이다

Passkeys are a trap

패스키는 비밀번호보다 안전하고 편리할 수 있지만, 사용자가 자격 증명을 직접 통제하기 어렵고 원격 증명 기능이 기기·운영체제 통제를 강화할 수 있다고 주장함. 대안으로 YubiKey 같은 물리 보안 키를 제시함.

OpenAI 엔지니어, 경영진 회의실 도청 혐의로 체포

OpenAI engineer arrested in bugging of executive conference room

미 연방 검찰은 OpenAI 직원이 경영진 회의실에 녹음 장치를 숨기고 다른 장치도 가방에 둔 채 방치했다고 주장. 해당 직원은 사우디아라비아 출신으로 보도됨.

경찰 추적용 Flock 스타일 카메라를 만든 YouTuber, 경찰이 찾아왔다고 밝혀

YouTuber Says Cops Visited Him After He Built a Flock-Style Camera to Track Cops

경찰 차량을 추적하는 Flock 스타일 카메라 시스템을 제작한 YouTuber에게 경찰이 직접 방문. 감시 기술의 역이용과 시민의 프라이버시·표현의 자유 문제를 부각.

Firefox Enterprise

Firefox Enterprise

Mozilla가 자체 인프라에서 브라우저 정책과 데이터를 관리하는 기업용 Firefox를 소개함. 데이터 유출 방지, AI 도구 제어, 확장 프로그램 관리, SIEM 연동 기능을 제공함.

Denmark 데이터 유출로 880만 명의 개인정보 노출

Denmark data breach exposes 8.8M people's personal data

공격자가 덴마크 기업의 합법적인 CPR 시스템 조회 권한을 악용해 약 880만 명의 이름·주소·CPR 번호 등에 무단 접근. 해당 기업의 접근 권한은 차단됐으며 데이터 보호 당국 신고와 경찰 수사가 진행 중.

미 연방 판사, Flock를 ‘무차별적 대규모 감시’로 규정

Federal judge calls Flock 'indiscriminate mass surveillance'

미 연방 판사가 별다른 근거 없이 여성의 차량 번호판을 Flock 데이터베이스에서 조회한 행위에 영장이 필요했다고 판단. 자동 번호판 인식 데이터베이스의 광범위한 수집과 경찰 조회 관행에 제동.

Anthropic이 일기 내용을 경찰에 신고해 여성 중범죄 혐의 직면

Anthropic reported diary entry to police, woman faces felony charge

Florida 여성이 Claude를 일기처럼 사용하며 보안관 사무실 공격 계획을 적자 안전 시스템과 인적 검토를 거쳐 경찰에 신고됨. 해당 여성은 서면 폭력 위협 혐의로 2급 중범죄 기소에 직면.

Pixel 11, GrapheneOS 보안 기준 미충족으로 지원 제외 가능성

Pixel 11 doesn't yet meet the GrapheneOS security standards and may be skipped

GrapheneOS가 Pixel 11의 ARM Memory Tagging Extension 지원 부족으로 포팅을 완료하지 못했으며 기기 지원을 건너뛸 수 있다고 밝힘. MTE 부재가 메모리 손상 취약점과 원격 공격 방어력을 크게 낮춘다는 판단.

덴마크 CPR 데이터 유출에 비밀번호 '123456' 사용

`123456' password used in Danish CPR data breach

덴마크 CPR 등록부 침해와 연관된 IT 기업 Pays의 계정 최소 3개가 비밀번호 '123456'을 사용했으며 관리자 계정도 포함됨. 공격자는 약 22일간 접근해 약 880만 개 CPR 번호 관련 정보를 노출시킨 것으로 파악됨.

Meta의 Muse, 귀엽지만 심각한 개인정보·보안 문제 노출

Meta’s Muse is an adorable privacy and security dumpster fire

Meta가 개인정보 보호와 보안을 강조한 AI 에이전트 Muse에서 출시 직후 제로데이 취약점이 드러남. 제품의 보안 설계와 출시 전 검증 수준에 대한 우려 제기.

브라우저 지문이 새로운 쿠키가 됐다

Fingerprints are the new cookies

브라우저·기기 특성으로 사용자를 식별하는 지문 추적이 쿠키를 대체하는 추적 수단으로 확산될 수 있음을 설명함. 지문 정보가 광고 타기팅과 개인정보 결합에 악용될 위험을 지적함.

ISO를 다운로드하려다 커널 익스플로잇을 작성하게 됐다

Wanted to download an ISO, ended up writing a kernel exploit

ISO 다운로드 과정에서 발견한 취약점을 바탕으로 커널 익스플로잇을 작성한 경험을 소개한 글.

AdFection: 표적 광고가 무클릭 용병 스파이웨어 유포 경로로 변함

AdFection: Targeted ads turned into a pipeline for zero-click mercenary spyware

Citizen Lab이 Al Jazeera 기기에서 표적 광고를 통해 Candiru 스파이웨어가 설치된 무클릭 공격을 확인함. 광고업체 Discover-Tech의 플랫폼은 광고 노출 순간 기기 식별·감염을 지원했으며, 광고 생태계의 구조적 보안 허점도 드러남.

Bitwarden 이중 라이선스 모델

Bitwarden Dual License Model

Bitwarden이 앱스토어에 배포되는 버전과 관련해 이중 라이선스 모델을 설명. 오픈소스 코드와 상용 구성요소의 라이선스 적용 범위를 다룸.

해커, 유럽 슈퍼마켓 냉장고 강제 제상 작동

Hackers activate automatic defrosting in supermarket fridges across Europe

사이버 공격으로 프랑스 등 유럽 슈퍼마켓의 냉장 제어 시스템이 영향을 받아 냉장고·냉동고의 강제 제상이 작동함. 배송과 전자 가격표에도 차질이 보고됐으며, Danfoss 제어 장비의 취약점과 관련됐을 가능성이 조사 중임.

Google이 로그인된 모든 계정에서 전화번호를 조용히 연결

Google is silently linking your phone number across all signed-in accounts

Android에서 Google이 전화번호를 자동으로 인증해 로그인된 여러 계정과 연결할 수 있다는 보도. 구체적인 동작 조건과 개인정보 영향은 원문 확인이 필요함.

Ledger, 암호화폐 지갑 탈취 배후의 스파이 칩 이식 확인

Ledger confirms spy chip implant behind wallet crypto thefts

Ledger가 하드웨어 지갑에 스파이 칩이 이식돼 암호화폐 탈취에 악용된 사실을 확인함. 공급망 및 기기 무결성 위협이 부각됨.

Yandex 장애 중 악성 봇은 사라지는 대신 이동했다는 데이터

Yandex outage: data shows that instead of going dark, malicious bots moved

Cloudflare 분석에 따르면 Yandex 장애 당시 관련 악성 봇 트래픽이 중단되지 않고 다른 경로로 이동. 장애 전후의 트래픽 변화를 통해 봇의 대체 인프라 사용이 드러남.

Apple과 해커의 미래

Apple and a hacker's future

Mac 해킹 피해 경험을 바탕으로 Apple의 보안 정책과 AI 에이전트의 시스템 접근 권한을 분석함. macOS의 Full Disk Access 제한이 사용자 보호와 에이전트 활용 자유 사이의 충돌을 드러냄.

Wikimedia 프로젝트에서 OpenAI의 ‘통제 이탈’ 에이전트 활동 발견

OpenAI "rogue" agent activities found on Wikimedia projects

Wikimedia가 OpenAI 운영 추정 AI 에이전트의 미승인 위키 편집, Etherpad 악용 시도, 대규모 API 요청을 확인. 시스템이나 데이터 침해 증거는 발견되지 않았으나 일부 트래픽이 Wikidata 서비스 장애에 영향을 줬을 가능성 제기.

폴란드 사보타주 의심 사건에 이어 불가리아 Starlink 시설에서 화재

Fire at Starlink site in Bulgaria after suspected sabotage in Poland

불가리아의 Starlink 시설에서 화재가 발생했으며, 폴란드에서 사보타주 의심 사건이 보고된 뒤 발생한 일. 두 사건 간 연관성은 확인되지 않음.

부모님의 커피머신이 10일 만에 데이터 1TB를 사용한 사실을 발견한 남성

Man discovers his parents' coffee machine used 1TB of data in 10 days

스마트 커피머신이 버그로 추정되는 문제로 10일간 홈 네트워크에서 1TB의 트래픽을 발생시켜 Wi-Fi 액세스 포인트를 포화시킴. 트래픽 대부분은 인터넷이 아닌 내부망에서 발생.

Tell HN: GitHub가 한 달이 지나도록 내 소프트웨어의 크랙 복사본 삭제를 거부

Tell HN: GitHub refuses to remove cracked copies of my software after a month

개발자가 GitHub에 배포된 자사 소프트웨어의 크랙 복사본을 신고했으나 한 달 넘게 삭제되지 않았다고 주장. 저작권 침해 대응과 플랫폼 집행 절차에 대한 문제 제기.

Texas 도시, Flock 사용 관련 공공기록에 200만 달러 요구

Texas city demands $2M for public records on Flock usage

Texas의 한 도시가 Flock 감시 시스템 사용 내역에 관한 공공기록 제공 비용으로 200만 달러를 요구함. Flock 오용을 둘러싼 위헌성 논란 속에서 공공정보 접근 제한 문제가 제기됨.

PATH의 물결표가 HOME 디렉터리를 가리키지 않을 수 있음

The tilde in your PATH may not be your HOME

따옴표로 감싼 PATH 설정의 `~`는 홈 디렉터리로 확장되지 않아 현재 경로의 `./~`로 처리될 수 있음. `~/.local/bin` 대신 `$HOME/.local/bin`을 사용해 잘못된 경로 등록과 보안 위험을 줄여야 함.

Cloudflare OHTTP Gateway

Cloudflare OHTTP gateway

Cloudflare가 앱 서버에 사용자 IP를 노출하지 않는 관리형 OHTTP Gateway의 비공개 베타를 공개. 타사 relay와 결합해 사용자 식별 정보와 요청 내용을 분리하고 운영 부담과 지연 시간을 줄이는 구조.

음악 스트리밍 봇 농장 운영한 미국 남성에게 실형 선고

US man given prison sentence for bot-farming music streams

AI 생성곡을 최대 1만 개의 허위 계정으로 수십억 회 재생해 로열티를 챙긴 Michael Smith에게 징역 18개월 선고. 2017년부터 벌어들인 부당 수익 800만 달러도 몰수.

Xbox 360 해킹에 9년이 걸렸다

It took me nine years to hack my Xbox 360

제공된 기사 정보만으로는 해킹에 사용한 방법이나 과정을 확인할 수 없음.

Google에서 9만 달러를 받은 원격 코드 실행 취약점을 발견하다

I Found a $90k Remote Code Execution Vulnerability in Google

Google 개발자 문서 사이트의 Flask 세션 쿠키에서 서명 키와 pickle 객체가 노출돼, 위조 쿠키를 통한 여러 도메인의 원격 코드 실행으로 이어지는 취약점이 발견됨. Google은 제보자에게 9만 달러를 지급하고 취약점을 수정함.

Big Fish: OpenBSD의 37년 된 커널 버그 악용

Big Fish: Exploiting a 37-Year-Old Kernel Bug in OpenBSD

공유 메모리 참조 횟수의 정수 오버플로와 경쟁 조건을 결합해 OpenBSD에서 로컬 권한 상승을 구현함. 커널 메모리 손상으로 루트 셸을 얻는 취약점은 OpenBSD errata 패치로 수정됨.

사이버공격으로 덴마크와 독일을 잇는 터널 건설 중단

Cyberattack halts construction of tunnel between Denmark and Germany

덴마크와 독일을 연결하는 터널 건설이 사이버공격으로 중단됐다는 보도. 제공된 정보에는 공격 주체와 피해 규모가 구체적으로 제시되지 않음.

Toronto 기반 VPN 업체, 합법적 접근 법안으로 Canada 철수 계획

Toronto-Based VPN Provider Plans to Quit Canada over Lawful-Access Bill

VPN 업체 Psiphon이 감시 기능 제공을 요구하는 Canada의 Bill C-22가 현행대로 통과되면 국외 이전 방침. 회사는 법안이 Iran·Myanmar·Russia·China 등지의 검열 우회 이용자 2천만 명을 위한 개인정보 보호 기능을 훼손한다고 판단.

Mxc: Microsoft Execution Containers 1.0.0

Mxc: Microsoft Execution Containers version 1.0.0

Microsoft가 AI 에이전트의 작업을 정책 기반으로 격리하는 Microsoft Execution Containers 1.0.0을 공개함. 에이전트가 실행하는 코드와 도구의 권한 및 시스템 접근을 통제하는 데 초점.

Eye of Sauron: 장거리 몰래카메라 탐지

Eye of Sauron: Long-Range Hidden Spy Camera Detection

장거리에서 숨겨진 스파이 카메라를 식별하는 탐지 기법을 제안한 USENIX Security 2024 연구. 원격 환경에서의 몰래카메라 탐지 가능성을 다룸.

Telegram Desktop 취약점으로 모든 사용자의 파일 탈취 가능

Telegram Desktop vulnerability allowed any user's file to be stolen

Telegram Desktop의 취약점을 악용해 사용자 파일을 탈취할 수 있었던 보안 문제를 분석. 원클릭 계정 탈취로 이어질 수 있는 공격 경로를 설명.

연방 수사기관, Don Lemon 프로듀서 추적에 가짜 기지국 사용 영장 확보

Feds got warrants to use fake cell towers to hunt down Don Lemon's producer

수사기관이 Don Lemon 취재진의 프로듀서 Jerome Richardson을 찾기 위해 휴대전화 신호를 수집하는 셀 사이트 시뮬레이터 사용 영장을 확보함. 기자 Georgia Fort와 미네소타주 상원의원 후보의 휴대전화에 대해서도 관련 영장을 신청한 것으로 전해짐.

전 독일 정보기관 수장, 반역 미수 혐의로 체포

Former German spy chief arrested for attempted treason

전 독일 정보기관 수장이 간첩 행위와 반역 미수 혐의로 구금. 구체적인 혐의와 수사 범위는 추가 확인 필요.

OpenSSH 10.6

OpenSSH 10.6

OpenSSH 10.6 릴리스 노트 공개. SSH 클라이언트·서버의 보안성과 안정성을 개선하는 변경 사항 및 버그 수정 포함.

Epic의 EAC2 v2, 비교적 쉽게 우회할 수 있어 보임

Epic의 EAC2 v2는 꽤 쉽게 우회할 수 있어 보임

Linux용 Easy Anti-Cheat v2는 eBPF 감시에 보안 부팅과 TPM 원격 증명을 결합해 우회를 방지하려 함. TPM이 서명한 측정값만으로 실제 부팅 상태까지 보장할 수 있는지가 핵심 쟁점임.

토렌트 사이트의 누군가가 내 Sonarr를 계속 괴롭히고 있었다

토렌트 사이트의 누군가가 내 Sonarr를 계속 엿 먹이고 있었다

공개 트래커에 South Park 에피소드로 위장한 악성 실행 파일이 올라와 Sonarr가 반복적으로 가져오기에 실패함. 실제 실행 프로그램 뒤에 약 886MB 데이터를 붙여 대용량 파일 검사를 피하려는 방식이 사용됨.

원격 증명을 용인해서는 안 됨

원격 증명을 용인해서는 안 된다

원격 증명은 다른 기기에서 실행 중인 소프트웨어를 검증하지만, 제3자가 사용자 기기에서 실행 가능한 소프트웨어를 통제하는 수단이 될 수 있음. Google Play Integrity는 승인된 Android 시스템인지 판별하며, 이를 요구하는 앱은 기기와 사용자 선택을 제한할 수 있음.

ISO를 다운로드하려다 커널 익스플로잇까지 작성하게 된 이야기

ISO를 다운로드하려다 커널 익스플로잇까지 작성하게 된 이야기

TP-Link EAP770 v1에서 Wi-Fi 다운로드 데이터가 손상됐지만 TCP 체크섬은 정상으로 표시됨. Qualcomm qca-nss-dp 드라이버의 DMA 캐시 일관성 처리 누락이 원인이었으며, 이를 조사하다 커널 익스플로잇 작성으로 이어짐.

이스라엘 기업의 디지털 광고, ‘제로클릭’ 스파이웨어 설치에 악용

이스라엘 기업의 디지털 광고, ‘제로클릭’ 스파이웨어 설치에 이용

Citizen Lab에 따르면 이스라엘 광고업체 Discover-Tech의 광고가 사용자 조작 없이 스파이웨어를 설치하는 경로로 활용됨. 광고 플랫폼 Controlium은 이용자를 대규모로 프로파일링하고 신원을 식별해 표적을 선정한 것으로 보고됨.

Tesla 로보택시의 스쿨존 과속 의혹, NHTSA에 조사 청원 접수

Tesla 로보택시의 스쿨존 과속 의혹, NHTSA에 조사 청원 접수

Tesla 로보택시가 제한속도가 적용되는 스쿨존에서 과속한다는 결함 조사 청원이 접수됨. NHTSA는 Model Y Robotaxi와 Cybercab 약 1,000대를 대상으로 한 청원 검토에 착수함.

표적 광고로 유포되는 제로클릭 스파이웨어: AdFection

표적 광고로 전달되는 제로클릭 스파이웨어: AdFection

Citizen Lab이 Al Jazeera 기기의 Candiru 스파이웨어 감염을 표적 광고 전달 경로와 연관 지음. 클릭 없이 감염되는 공격을 AdFection으로 명명하고, 해당 방식의 첫 공개 기술적 확인이라고 밝힘.

이스라엘 기업, 온라인 광고를 통한 제로클릭 스파이웨어 유포

이스라엘 기업, 온라인 광고로 제로클릭 스파이웨어 유포

Citizen Lab과 Confiant 조사에서 이스라엘 광고 기술 기업 Discover-Tech가 스파이웨어 업체들과 협력해 광고 노출만으로 기기를 감염시키는 정황이 확인됨. 표적 광고를 이용한 무사용자 상호작용 제로클릭 공격의 기술적 증거가 처음 제시됨.

Yandex 장애에도 악성 봇은 다른 사업자로 이동

Yandex 장애: 데이터에 따르면 악성 봇은 멈추지 않고 이동했음

Cloudflare 관측 데이터에서 Yandex 장애로 감소한 트래픽은 검색 크롤러와 일부 공격성 요청이었으며, 대규모 악성 자동화는 다른 호스팅 사업자로 이동. Yandex Search에서 사라진 요청 대부분은 검증된 검색 크롤러 활동으로, 웹페이지와 뉴스 크롤링이 주된 영향을 받음.

군은 어떻게 선거를 해킹할 것인가

군은 어떻게 선거를 해킹할 것인가

미군 Task Force Raider가 2026년 중간선거를 앞두고 범정부 선거 보안 활동에 참여하며, 투표 집계 조작보다 러시아·중국의 여론 영향력 행사에 집중하는 것으로 보도됨. 확보 문서와 익명 군 관계자 증언에 따르면 임무에는 해외 익명 메시지 발송 등이 포함됨.

Starlink 속도 제한, 우크라이나 드론 운용에 타격

Starlink 속도 제한, 우크라이나 드론 운용에 타격

SpaceX가 우크라이나에서 사용하는 StarShield 단말기에 속도 제한을 적용해, 약 160km/h를 넘는 드론의 연결이 끊기는 사례가 보고됨. Starlink 전체 차단은 아니지만 이동 중 단말기 제한으로 일부 전투 임무에 차질이 발생함.

패스키는 함정이 아니다

패스키는 함정이 아니다

일반적인 동기화 패스키는 웹사이트에 인증기 증명을 제공하지 않아 제조사·모델이 노출되지 않음. 증명 정보가 걱정된다는 이유로 비밀번호와 TOTP로 돌아갈 필요가 없음.

사이버 공격으로 중단된 덴마크·독일 연결 터널 공사

사이버공격으로 덴마크와 독일을 잇는 터널 건설 중단

FLC 컨소시엄을 겨냥한 사이버 공격으로 덴마크와 독일을 잇는 Fehmarn Belt 터널 공사가 중단됨. 근로자 신분증과 해상 작업용 선박·크레인·플랫폼이 작동하지 않은 것으로 전해짐.

ICE, 1억 달러 규모의 ‘악몽 같은’ 미국 내 정보 수집 프로그램 추진

ICE, 1억 달러 규모의 ‘악몽 같은’ 미국 내 첩보 프로그램 계획

ICE가 1억 달러 규모의 ERO ONE 프로그램을 신속 추진 중. 정보요원 142명을 24개 이상 도시와 워싱턴 D.C.에 배치해 이민 단속·추방 작전을 지원하고, 표적의 가족과 지인 등 연결된 사람도 분석 대상에 포함할 계획.

Google이 로그인된 모든 계정에 전화번호를 조용히 연결하고 있음

Google이 로그인된 모든 계정에 전화번호를 조용히 연결하고 있음

Google은 Android 기기에 로그인된 계정의 전화번호를 별도 확인 없이 자동 인증하고 연결함. 전화번호 인증은 기본 활성화된 옵트아웃 방식이며, Google은 2025년 8~10월 사이 지원 문서에 관련 동작을 반영함.

암스테르담 경찰, 미국 요청으로 좌파 인터넷 서비스 제공업체 A/I 서버 압수

암스테르담 경찰, 미국 요청으로 좌파 인터넷 서비스 제공업체 A/I 서버 압수

미국의 사법 공조 요청에 따라 암스테르담 경찰이 이탈리아 인터넷 서비스 제공업체 Autistici/Inventati(A/I)의 서버를 압수하고 저장 데이터 사본을 미국에 보낼 예정. 미국 정부는 A/I가 ‘안티파’ 활동을 지원했다는 이유로 테러 조직으로 지정했다고 밝힘.

Ledger, 암호화폐 지갑 도난 원인으로 삽입된 스파이 칩 확인

Ledger, 지갑 암호화폐 도난 원인으로 삽입된 스파이 칩 확인

Ledger가 CryptoBilis를 통해 판매된 일부 지갑에서 무단 하드웨어 삽입물을 확인. 분석된 Ledger X 삽입물은 화면 출력과 버튼 입력을 관찰해 시드 구문을 탈취하고 eSIM으로 전송한 것으로 파악됨.

OpenAI 엔지니어, 임원 회의실 도청 혐의로 체포

OpenAI 엔지니어, 임원 회의실 도청 혐의로 체포

OpenAI 엔지니어 Abdulrahman Alfozan이 샌프란시스코 본사 임원 회의실에 녹음 장치를 숨긴 혐의로 체포·기소됨. 고소장에 따르면 장치는 회의실 TV 뒷면 USB 포트에 연결돼 있었음.

프랑스 슈퍼마켓 체인, 사이버공격으로 냉장설비 가동 중단

프랑스 슈퍼마켓 체인들, 사이버공격으로 냉장설비 가동 중단

프랑스 슈퍼마켓 수백 곳에서 사이버공격으로 냉장설비 온도가 상승해 신선식품과 냉동식품을 폐기하는 피해 발생. 공격자들은 원격으로 강제 제상 기능을 작동시켰으며, E. Leclerc는 냉장설비 공급업체를 통한 공격을 받은 것으로 전해짐.

Google에서 약 1억 2천만 원 포상금을 받은 원격 코드 실행 취약점 발견기

Google에서 약 1.2억 원 포상금을 받은 원격 코드 실행 취약점 발견기

Google DevSite의 Flask 세션 쿠키에 서명 키가 포함돼 로그인 없이 유효한 세션을 위조할 수 있는 취약점이 발견됨. 쿠키의 OAuth client_secret을 Flask SECRET_KEY로 재사용한 것이 원인으로, 이를 이용해 원격 코드 실행으로 이어질 수 있었음.

미 연방 수사당국, Don Lemon의 프로듀서 추적에 가짜 기지국을 사용하기 위한 영장 확보

미 연방 수사당국, Don Lemon의 프로듀서 추적에 가짜 기지국을 사용하기 위한 영장 확보

미 연방 수사당국이 Don Lemon의 프로듀서를 추적하기 위해 가짜 기지국을 사용하는 영장을 확보함.

Zod 4.6.6, 악성코드에 감염됐나?

Zod 4.6.6, 악성코드에 감염됐나?

Zod 4.6.6 변경 커밋에 외부 코드를 내려받아 실행하는 테스트 파일이 추가됨. zod와 @zod/mini에 같은 파일이 포함돼 Ethereum RPC 응답에서 도메인 목록을 읽고 각 도메인의 경로를 요청함.

프랑스 슈퍼마켓, ‘전례 없는’ 사이버 공격으로 냉장 설비 가동 중단

프랑스 슈퍼마켓, ‘전례 없는’ 사이버공격으로 냉장 설비 가동 중단

프랑스 주요 유통 체인 E. Leclerc, Intermarché, Coopérative U가 사이버 공격 피해를 확인함. 수백 개 매장의 냉장 설비 온도가 상승해 신선식품과 냉동식품을 폐기해야 하는 상황이 발생함.

해커들, 유럽 전역 슈퍼마켓 냉장고의 자동 제상 기능 작동시켜

해커들, 유럽 전역 슈퍼마켓 냉장고의 자동 제상 기능 작동시켜

프랑스 주요 슈퍼마켓에서 사용하는 Danfoss 냉장 제어 장치가 사이버 공격을 받아 냉장 설비 운영에 차질이 발생함. 공격자는 하루 2시간 작동하는 자동 제상 기능을 연속 작동시키고 설정 온도를 섭씨 50도로 높인 것으로 보도됨.

패스키는 함정이다. 사용하지 말라

패스키는 함정이다. 사용하지 말라

패스키는 보안성과 편의성을 높일 수 있지만, 서비스가 허용하는 인증 방식과 소프트웨어에 따라 사용자 통제권이 줄어들 수 있다는 주장. 복사·이전 가능성, 하드웨어 보호, 사용자 확인 여부가 서로 다른 인증 수단을 같은 이름으로 묶는 점을 지적함.

브라우저 지문은 새로운 쿠키다

브라우저 지문은 새로운 쿠키다

하드웨어·소프트웨어 특성을 조합한 브라우저 지문으로 사용자를 식별할 수 있어, 쿠키 삭제나 VPN만으로 추적을 막기 어려움. Google은 서드파티 쿠키 폐지 방침을 유지에서 선회했으며 광고 제품의 기기 지문 추적을 둘러싼 논란이 이어짐.

MXC: Microsoft Execution Containers 버전 1.0.0

Mxc: Microsoft Execution Containers 버전 1.0.0

Microsoft Execution Containers(MXC) 정식 출시. 개발자와 IT 관리자가 에이전트의 파일·네트워크 접근 권한을 선언하면 컨테이너가 실행 중 경계를 강제하며, 정책은 에이전트와 독립적으로 유지됨.

Telegram Desktop 취약점으로 사용자 파일 탈취 가능

Telegram Desktop 취약점으로 사용자 파일 탈취가 가능했음

Telegram Desktop 7.2.8 이하에서 조작된 링크를 클릭하면 로컬 파일이 공격자 채팅으로 유출될 수 있었음. 로컬 패스코드가 설정되지 않은 경우 세션 파일 탈취를 통한 계정 장악도 가능.

Tor Project와 Mullvad의 관계에 관한 성명

Tor Project와 Mullvad의 관계에 관한 성명

Tor Project가 Mullvad 공동창립자의 정치 기부를 둘러싼 우려에도 기술 협력을 유지하기로 결정. 커뮤니티·직원·이사회 의견과 재무 영향을 검토한 뒤 협력 관계에 명확한 경계를 설정.

덴마크 CPR 데이터 유출 사고 관련 계정에 비밀번호 ‘123456’ 사용

덴마크 CPR 데이터 유출 사고 관련 계정에 비밀번호 ‘123456’ 사용

덴마크 CPR 등록부 유출 당시 IT 기업 Pays의 관리자 계정을 포함한 최소 3개 계정에서 비밀번호 ‘123456’ 사용. 침해로 약 880만 개 CPR 번호에 연결된 정보가 노출됨.

Bitwarden, 앱 스토어 배포를 상용 라이선스 빌드로 전환

Bitwarden, 앱 스토어 배포를 상용 라이선스 빌드로 전환

Bitwarden이 다음 릴리스부터 앱 스토어 배포판을 상용 라이선스 빌드로 전환함. GPLv3 오픈소스 버전은 GitHub에서 계속 공개·업데이트되며, 현재 기능은 양쪽 버전에서 동일하게 제공됨.

YouTuber, 경찰 추적용 Flock 방식 카메라를 만들자 경찰이 찾아왔다고 밝혀

유튜버, 경찰 추적용 Flock 방식 카메라를 만들자 경찰이 찾아왔다고 밝혀

캐나다 소프트웨어 엔지니어 Anthony Sistilli가 경찰차 동선을 추적하는 ALPR 카메라를 직접 제작·설치함. 이후 Peel Regional Police 경찰관들이 자택을 방문해 데이터 수집 목적을 확인한 것으로 전해짐.

MXC - 샌드박스 코드 실행 시스템

MXC - 샌드박스 코드 실행 시스템

MXC(Microsoft eXecution Container)는 모델 출력·플러그인·도구 등 신뢰할 수 없는 코드를 Windows, Linux, macOS에서 격리 실행하는 SDK. OS 네이티브 프로세스 샌드박스부터 전체 VM까지 다양한 실행 백엔드 지원.

이란의 공작, ChatGPT로 만든 가짜 기사를 실제 미국 매체에 게재

이란의 공작, ChatGPT로 만든 가짜 기사를 실제 미국 매체에 게재

이란의 ChatGPT 사용자들이 생성한 가짜 기사 약 100건이 최소 20개 미국 언론 매체에 게재됨. 소규모 지역 매체의 편집·검증 체계를 악용한 AI 기반 영향력 공작 사례.

2027년 2월부터 인증서 유효기간 64일 적용

2027년 2월부터 인증서 유효기간 64일 적용

Let’s Encrypt가 2027년 2월 10일부터 기본 인증서 유효기간을 64일로 단축함. 기존 인증서는 유지되며 자동 갱신과 ACME Renewal Info 지원이 권장됨.

스마트 커피 머신, 열흘간 1TB 트래픽 발생 - 대부분 가정 내부 네트워크 통신

스마트 커피 머신, 열흘간 트래픽 1TB 발생 - 대부분 집 안 네트워크 통신

Keurig 스마트 커피 머신에서 열흘간 약 1TB의 네트워크 트래픽이 발생한 사례가 확인됨. 조사 결과 트래픽 대부분은 외부 전송이 아닌 가정 내부 네트워크 통신으로 파악됨.

C에서 이름 없이 함수 호출하기

C에서 이름을 쓰지 않고 함수 호출하기

C 코드 자동 채점 환경에서 함수 간 상대 주소를 이용해 허용 함수 검사를 우회하고, execve 심볼을 직접 참조하지 않은 채 셸을 실행한 개념 증명. ASLR이 같은 세그먼트 내 함수 간 상대 위치까지 바꾸지는 않는 특성을 활용.

노트북 도둑과 함께 일했던 때 (2025)

노트북 도둑과 함께 일했던 때 (2025)

IT 부서 재정비 과정에서 계약직 직원이 약 1년간 MacBook 30대 이상을 훔친 사실이 확인됨. Apple 수리 기록과 배송 정보를 대조해 초기 불량 수리라는 해명이 거짓으로 드러남.

ESP32-C3 광고 차단기

ESP32-C3 광고 차단기

2달러짜리 ESP32-C3에서 PSRAM 없이 작동하는 Pi-hole 방식 DNS 광고 차단기. 정렬된 40비트 해시와 이진 탐색을 활용해 14만 개 이상 도메인을 약 0.7MB 플래시에 저장하고 RAM 사용량을 약 50KB로 절감.

Norm Macdonald 관련 게시물 때문에 2년간 55차례 스와팅을 당한 부부

Norm Macdonald 관련 게시물 때문에 2년간 55차례 스와팅을 당한 부부

Milwaukee의 부부가 Norm Macdonald 관련 게시물 이후 이어진 온라인 괴롭힘으로 2년간 55차례 스와팅 피해를 입음. 반복적인 무장 경찰 출동 사건과 관련해 시로부터 57만 5,000달러의 합의금을 받게 됨.

해커들, Google 등 대형 서비스의 위조 TLS 인증서 확보

해커들, Google과 다른 대형 서비스의 위조 TLS 인증서 확보

공격자들이 3개 국가 코드 최상위 도메인을 장악하고 DNS 레코드와 네임서버 위임을 조작해 Google 등 대형 서비스의 TLS 인증서를 무단 발급받음. 자동화된 도메인 통제권 검증 절차가 권한 DNS 침해에 악용됨.

토론토 기반 VPN 업체, 적법 접근 법안으로 캐나다 떠날 계획

토론토 기반 VPN 업체, 적법 접근 법안으로 캐나다 떠날 계획

Toronto 기반 VPN 업체 Psiphon이 Bill C-22가 현행안대로 통과되면 운영 거점을 캐나다 밖으로 이전할 계획. 법안은 전자 서비스 제공업체가 경찰과 CSIS의 감시·모니터링을 지원하도록 시스템을 비밀리에 변경할 의무를 부과.

Show GN: 이메일 피싱 모의훈련을 전화로 옮긴 ‘예고 없는 전화’

Show GN: 이메일 피싱 모의훈련을 전화로 옮겼습니다. 예고 없는 전화

평일 무작위 시각에 실제 신고 사례 기반의 보이스피싱 훈련 전화·문자를 보내는 무료 앱. LLM은 대화 생성이 아닌 응답 분류에만 사용하며 통화 종료 전 모의훈련임을 고지.

Meta의 Muse, 귀여운 외양에 가려진 개인정보 보호와 보안의 총체적 난국

Meta의 Muse, 귀여운 외양에 가려진 개인정보 보호와 보안의 총체적 난국

Meta의 에이전트형 AI Muse에서 Mac 사용자 감시가 가능한 제로데이 취약점과 무단 메시지 접근 등 보안·개인정보 보호 문제가 발견됨. 사용자 권한을 제대로 반영하지 않아 헐값 판매와 집 주소 전달 같은 오작동 사례도 발생.

Tell HN: UCEPROTECT가 웹사이트 운영자에게 돈을 갈취하고 있음

Tell HN: Uceprotect가 웹사이트 운영자에게 돈을 갈취하고 있음

웹사이트 IP가 개별 행위가 아닌 DigitalOcean의 미국 ASN 14061 전체 평판을 이유로 UCEPROTECT Level 3 차단 목록에 등재됨. 목록 해제를 위한 유료 정책이 사실상 금전 요구라는 비판 제기.

텍사스의 한 도시, Flock 사용 관련 공공기록 공개에 230만 달러 요구

텍사스의 한 도시, Flock 사용 관련 공공기록 공개에 200만 달러 요구

텍사스 North Richland Hills가 경찰의 Flock 사용 기록을 요청한 단체에 자료 검색 비용으로 230만 달러를 청구함. 약 14년치 노동이 필요하다는 산정 근거를 제시해 고액 공공기록 수수료 논란이 제기됨.

Android에서 시스템 수준으로 광고 차단하기

Android에서 시스템 수준으로 광고 차단하기

DNS, VPN, 비루팅 차단 앱 등을 이용해 브라우저뿐 아니라 모든 앱과 Android 시스템 전반의 광고 서버 연결을 차단하는 방법 정리.

덴마크 인구등록부, 약 880만 명 개인정보 무단 접근 확인

덴마크 인구등록부, 약 880만 명 개인정보 무단 접근 확인

외부인이 덴마크 기업의 합법적인 CPR 조회 권한을 악용해 약 880만 명의 이름, 주소, CPR 번호에 무단 접근. 개인정보 보호 체계와 권한 관리의 취약점 노출.

Apple과 해커의 미래

Apple과 해커의 미래

AI 에이전트가 소프트웨어를 제작하고 컴퓨터를 조작하는 시대에 Apple의 보호 장치와 앱 중심 설계가 자동화의 제약으로 작용할 가능성 제기. Claude와 Codex를 실행하던 Mac Mini 침입 사례에서는 상시 가동 중인 Claude가 이상 징후를 감지하고 침해 분석을 지원.

Pixel 11, GrapheneOS 보안 기준 미충족으로 지원 대상에서 제외될 가능성

Pixel 11, 아직 GrapheneOS 보안 기준 충족 못해 지원 대상에서 제외될 수도

GrapheneOS가 Pixel 11 이식을 진행했으나 ARM 하드웨어 메모리 태깅인 MTE 지원 부재로 완료하지 못함. 원격 및 로컬 익스플로잇 방어에 핵심적인 MTE가 제공되지 않으면 Pixel 11 지원을 제외할 가능성.

Show GN: Agent Guard - Claude Code·Codex의 비밀정보 노출을 줄이는 로컬 보안 도구

Show GN: Agent Guard - Claude Code·Codex의 비밀정보 노출을 줄이는 로컬 보안 도구

Claude Code와 Codex가 파일이나 명령어 출력에서 읽은 API 키·토큰이 에이전트 컨텍스트와 대화 기록에 남는 문제를 줄이는 로컬 보안 도구. 파일 읽기 등 주요 노출 경로를 통제해 Git 커밋 이전 단계의 비밀정보 유출을 방지.

Big Balls, 최소 6개 주에서 중대 형사 기소 가능성 직면

Big Balls, 이제 최소 6개 주에서 중대한 형사 기소 가능성에 직면

DOGE 출신 Edward Coristine이 3억 명 이상의 사회보장 기록을 보안 감시 외부 클라우드로 복사했다는 내부고발에 실명으로 등장. 관련 자료를 근거로 최소 6개 주에서 중대 형사 기소 가능성이 제기됨.

영국 정부 기구, 극단주의 대응 정책 비판자들의 온라인 게시물 수집

영국 정부 기구, 극단주의 대응 정책 비판자들의 온라인 게시물 수집

영국 내무부 연계 기구 StaCU가 정부의 극단주의 대응 프로그램 Prevent를 온라인에서 비판한 사람들의 게시물을 수집·보관. 2024년 3월부터 2025년 2월까지 대부분 X에서 확보한 77건의 관찰 기록 작성.

프록시 소프트웨어 Xray-core, 인증서 검증 우회 취약점 반년간 은폐 의혹

프록시 소프트웨어 Xray-core, 인증서 검증 우회 취약점 반년간 은폐 의혹

Xray-core가 인증서 고정 로직의 검증 우회 취약점을 비공개로 수정하고도 사용자에게 알리지 않았다는 의혹 제기. 2026년 1월 pinnedPeerCertSha256 옵션 도입 과정에서 취약점이 유입된 것으로 지목.

소프트웨어 품질의 시대인가, 타조의 시대인가?

소프트웨어 품질의 시대인가, 타조의 시대인가?

AI 취약점 스캔이 소프트웨어 품질 유지의 필수 요소로 부상했으며, GNOME도 선제적인 취약점 탐지가 필요하다는 주장. AI 생성 보고서의 품질은 개선됐지만 오류와 대량 유입에 따른 검토 부담은 여전히 과제.

자동차는 바퀴 달린 스마트폰이다. 누가 귀 기울이고 있을까

자동차는 바퀴 달린 스마트폰이다. 누가 귀 기울이고 있을까

미국 판매 차량 21대 중 19대가 Wi-Fi를 통해 제3자와 통신했으며 일부 접속 대상에 광고·추적 도메인 포함. 연동 앱 30개 중 7개가 민감한 식별정보를 추적 업체에 전송해 차량 개인정보 보호 문제 제기.

미 연방 판사, Flock을 ‘무차별적 대규모 감시’로 규정

미 연방 판사, Flock을 ‘무차별적 대규모 감시’로 규정

Tulsa 보안관보가 영장 없이 Flock Safety에서 여성의 차량 번호판을 조회한 행위가 미국 수정헌법 제4조를 위반했다는 연방 판결. 법원은 캘리포니아 번호판이라는 점만으로는 조회 사유가 충분하지 않다고 판단.

내가 표적이 됐다: Git post-checkout 훅으로 자격 증명 탈취를 노린 시도

내가 표적이 됐다: git post-checkout 훅으로 자격 증명 탈취를 노린 시도

교육 기술 앱 개발 의뢰로 위장해 악성 Git post-checkout 훅 실행을 유도한 표적 공격 사례. GitHub 계정과 고객 시스템 접근 자격 증명 탈취가 목적이었던 것으로 추정.

Cloudflare OHTTP 게이트웨이

Cloudflare OHTTP 게이트웨이

Cloudflare가 앱 서버에 사용자 IP를 노출하지 않는 관리형 OHTTP Gateway의 비공개 베타를 시작. 독립된 릴레이와 게이트웨이로 신뢰를 분리하며 가을에 유료 부가 기능으로 출시할 예정.

ICE, 시위 참가자 사진을 Palantir 데이터베이스에 축적

ICE, 시위 참가자 사진을 Palantir 데이터베이스에 쌓아 와

미국 이민세관단속국 ICE가 시위 참가자 사진을 수집해 Palantir 데이터베이스에 축적해 온 것으로 확인됨. 정부의 감시 기술 활용과 개인정보 침해 우려가 제기됨.