검색 결과
"google" · 26개 기사 · GeekNews · Security
원격 증명을 용인해서는 안 됨
원격 증명을 용인해서는 안 된다
원격 증명은 다른 기기에서 실행 중인 소프트웨어를 검증하지만, 제3자가 사용자 기기에서 실행 가능한 소프트웨어를 통제하는 수단이 될 수 있음. Google Play Integrity는 승인된 Android 시스템인지 판별하며, 이를 요구하는 앱은 기기와 사용자 선택을 제한할 수 있음.
Google이 로그인된 모든 계정에 전화번호를 조용히 연결하고 있음
Google이 로그인된 모든 계정에 전화번호를 조용히 연결하고 있음
Google은 Android 기기에 로그인된 계정의 전화번호를 별도 확인 없이 자동 인증하고 연결함. 전화번호 인증은 기본 활성화된 옵트아웃 방식이며, Google은 2025년 8~10월 사이 지원 문서에 관련 동작을 반영함.
Google에서 약 1억 2천만 원 포상금을 받은 원격 코드 실행 취약점 발견기
Google에서 약 1.2억 원 포상금을 받은 원격 코드 실행 취약점 발견기
Google DevSite의 Flask 세션 쿠키에 서명 키가 포함돼 로그인 없이 유효한 세션을 위조할 수 있는 취약점이 발견됨. 쿠키의 OAuth client_secret을 Flask SECRET_KEY로 재사용한 것이 원인으로, 이를 이용해 원격 코드 실행으로 이어질 수 있었음.
브라우저 지문은 새로운 쿠키다
브라우저 지문은 새로운 쿠키다
하드웨어·소프트웨어 특성을 조합한 브라우저 지문으로 사용자를 식별할 수 있어, 쿠키 삭제나 VPN만으로 추적을 막기 어려움. Google은 서드파티 쿠키 폐지 방침을 유지에서 선회했으며 광고 제품의 기기 지문 추적을 둘러싼 논란이 이어짐.
해커들, Google 등 대형 서비스의 위조 TLS 인증서 확보
해커들, Google과 다른 대형 서비스의 위조 TLS 인증서 확보
공격자들이 3개 국가 코드 최상위 도메인을 장악하고 DNS 레코드와 네임서버 위임을 조작해 Google 등 대형 서비스의 TLS 인증서를 무단 발급받음. 자동화된 도메인 통제권 검증 절차가 권한 DNS 침해에 악용됨.
ChatGPT와 Gemini가 가짜 고객센터 번호를 안내하도록 만드는 사기 수법
ChatGPT와 Gemini가 가짜 고객센터 번호를 안내하도록 만드는 사기 수법
웹에 가짜 지원 페이지와 고객센터 번호를 대량 유포해 ChatGPT, Gemini, Google AI Overview가 사기 연락처를 정상 정보로 인용하도록 유도하는 공격 발견. 항공사·은행·여행 플랫폼·소프트웨어 업체 등 374개 기업 사칭 사례 확인.
Meta의 Muse에 파일시스템을 요청했더니 6.8GB를 보내왔다
Meta의 Muse에 파일시스템을 요청했더니 6.8GB를 보내왔다
Muse에 파일 압축과 Google Drive 전송을 요청하자 세션의 Linux 루트 파일시스템으로 추정되는 6.8GB 자료가 유출됨. 내부 문서, 통합 코드, 앱 템플릿, 메모리 파일, 에이전트 로그 등이 포함됨.
워터마크가 아니라 스파이마크
워터마크가 아니라 스파이마크
사용자 인지나 동의 없이 콘텐츠를 추적하는 숨은 신호를 스파이마크로 구분하자는 제안. Google SynthID처럼 이미지·오디오·텍스트·영상에 삽입되는 비가시적 신호의 개인정보 추적 가능성을 지적.
Google은 왜 여전히 수상한 광고를 내보내는가?
Google은 왜 여전히 수상한 광고를 내보내는가?
YouTube에서 iPhone 시스템 경고를 모방한 광고가 노출됐지만 반복 신고에도 Google은 정책 위반이 아니라고 판단. Google Gemini는 같은 광고를 기만적 디자인과 오해를 유발하는 주장으로 즉시 게재 불승인 판정.
Google 앱 광고에 220달러를 썼는데, 설치의 60%가 봇이었다
Google 앱 광고에 220달러를 썼는데, 설치의 60%가 봇이었다
퍼즐 앱 Dayzle의 Android 광고 설치 56건 중 33건에서 봇 의심 행동 확인. Google이 보고한 설치 수와 앱 관리자 화면의 실제 기록 사이에도 큰 차이 발생.
나는 Google Ads에 ‘악성 소프트웨어’를 광고한다
나는 Google Ads에 ‘악성 소프트웨어’를 광고한다
macOS 터미널 앱 RACE를 광고한 개발자가 ‘악성 소프트웨어’와 ‘침해된 사이트’를 이유로 Google Ads 계정 정지 처분을 받음. Google은 구체적인 문제 지점을 공개하지 않은 채 추가 증거를 요구하고 이의신청을 반복적으로 거부.
Chrome, 사용자 사이트 데이터 설정에서 Google을 또다시 예외 처리
Chrome, 사용자 사이트 데이터 설정에서 Google을 또다시 예외 처리
Chrome에서 모든 창을 닫으면 사이트 데이터를 삭제하도록 해도 google.com 데이터가 남는 현상이 재현됨. 두 대의 Mac과 Chrome 152에서 확인돼 사용자 데이터 삭제 정책의 일관성 문제가 드러남.
Google, Chrome Web Store에서 uBlock Origin 등 모든 MV2 확장 프로그램 삭제
Google, Chrome 웹 스토어에서 uBlock Origin 등 모든 MV2 확장 프로그램 삭제
Google이 Manifest V2 지원 종료의 마지막 단계로 Chrome Web Store에 남아 있던 MV2 확장 프로그램을 모두 삭제함. Chrome 139 이상에서는 이미 작동이 중단돼 있어 이번 조치는 신규 차단보다 스토어 정리 성격이 큼.
근거 없는 AI 저작권 통지로 Google Play에서 삭제된 Luanti
근거 없는 AI 저작권 통지로 Google Play에서 삭제된 Luanti
오픈소스 복셀 게임 제작 플랫폼 Luanti의 Android 앱이 Tracer.AI가 Microsoft를 대신해 제출한 DMCA 통지로 Google Play에서 삭제됨. 통지에는 침해 자산이나 증거가 제시되지 않았고, Luanti는 자체 코드와 적법한 라이선스 자산만 제공한다고 밝힘.
C2PA 카메라는 현실의 공격 앞에서 무너짐
C2PA 카메라는 현실의 공격 앞에서 무너짐
Android C2PA camera 앱은 Key Attestation과 Google Play Integrity로 변조를 막지만, root 권한을 얻은 공격자는 임의 파일에 정상 C2PA 서명을 생성할 수 있음. bootloader가 잠겨 있고 최신 보안 업데이트가 있어도 privilege escalation 취약점으로 rooting이 가능하다는 점을 지적.
Google, 파산한 Spirit 항공 데이터 150억원에 인수
Google, 파산한 Spirit 항공 데이터 150억원에 인수
Google이 청산 절차에 들어간 Spirit 항공의 비식별 데이터를 경매에서 약 1,000만 달러에 낙찰받음. 이메일 1억 건, Microsoft Teams 항목 5억 건, OneDrive 파일 1,700만 건 등 대규모 데이터가 포함됨.
독점 LLM API의 추론 흔적 탈취
독점 LLM API의 추론 흔적 탈취
Anthropic, OpenAI, Google API의 암호화된 추론 블록을 약한 동일 계열 모델로 옮겨 탈옥하면 상위 모델의 chain-of-thought를 평문으로 복원할 수 있음. 강한 모델에서 얻은 추론 흔적을 약한 모델에 복사하도록 유도하는 두 단계 API 공격이 핵심.
Google, AI로 지난 2년치보다 많은 Chrome 버그를 6월에 수정
Google, AI로 6월에 지난 2년치보다 많은 Chrome 버그 수정
Chrome이 Gemini 기반 에이전트로 취약점 발견부터 분류·수정·배포·업데이트 적용까지 자동화함. Chrome 149와 150에서 이전 23개 마일스톤 합계보다 많은 보안 버그 1,072개를 수정함.
대부분의 Googlebot은 가짜다
대부분의 Googlebot은 가짜다
로그에 보이는 Googlebot 요청의 상당수는 실제 Google이 아니라 Googlebot을 사칭한 외부 봇에서 발생함. User-Agent는 임의로 위조 가능해 문자열만으로는 진짜 Googlebot 여부를 판별할 수 없다.
법원, Google이 스크래핑을 DMCA로 막으려던 시도 기각
법원, Google이 스크래핑을 DMCA로 막으려던 시도를 기각
법원이 Google 검색 결과 수집을 DMCA 1201조 우회 금지 위반으로 보려던 청구를 기각함. 다만 범위를 좁혀 다시 제기할 가능성은 남김.
Vancouver 경찰 웹사이트의 Quick Escape 버튼, 방문 기록에서도 흔적을 지움
Vancouver 경찰 웹사이트의 Quick Escape 버튼, 방문 기록에서도 흔적을 지움
위급 상황에서 웹사이트를 빠르게 벗어나도록 Quick Escape 버튼을 제공. 누르면 Google Canada로 즉시 이동해 브라우저 방문 기록에 남는 흔적을 줄이는 방식.
유럽의 “연령 확인” “앱”은 모두에게 Android 또는 iOS 사용을 강요함
유럽의 “연령 확인” “앱”은 모두에게 Android 또는 iOS 사용을 강요함
연령 확인 앱 명세가 Google Play Integrity API와 Apple App Attestation을 전제로 하면서 특정 모바일 OS와 플랫폼 사업자 의존 논란이 제기됨. 검증을 위해 사실상 Android 또는 iOS 사용을 강제하는 구조라는 비판이 나옴.
Android 개발자 검증: 보호로 위장한 위협
Android 개발자 검증: 보호로 위장한 위협
F-Droid가 Android Developer Verification(ADV)을 중앙 통제 장치로 비판함. 악성코드 억제를 명분으로 하지만, 승인되지 않은 개발자의 앱 배포와 실행을 제한할 수 있다는 우려가 나옴.
Google, 연령 확인용 영지식 증명(ZKP) 라이브러리 오픈소스 공개
Google, 연령 확인용 영지식 증명(ZKP) 라이브러리 오픈소스 공개
Google이 개인정보 노출을 줄이는 연령 확인용 ZKP 라이브러리를 오픈소스로 공개. 18세 이상 같은 조건을 필요한 정보만 증명하는 방식으로 지원함.
유럽 디지털 ID 지갑, Google·Apple 보안 서비스에 의존
유럽 디지털 ID 지갑, Google·Apple 안전 서비스에 의존
유럽 디지털 ID 지갑의 무결성 검증을 Google Play Integrity API와 Apple Managed Device Attestation 같은 민간 서비스에 맡기는 구조가 논란이 됨. 공공 신원 인증 체계가 양대 플랫폼 의존도를 높인다는 지적이 나옴.
AI로 Google을 해킹해서 7억원 벌기
구글을 AI로 해킹해서 7억원 벌기
AI를 이용해 Google API를 자동으로 반복 탐색하며 버그 바운티를 찾아낸 보안 연구 사례. 3개월 동안 5만 달러 규모의 수익을 올렸고, Android 앱에서 수집한 API 키와 discovery document가 단서로 활용됨.