[라온 보안동향보고서] 2026년 2월 주요 보안 이슈

1. 악성코드 현황

1.1. 악성코드 동향

Microsoft 정기 패치와 오픈소스·브라우저 생태계를 중심으로 원격 코드 실행(RCE) 및 권한 상승, 정보 유출 취약점이 다수 공개되었습니다. SANS ISC 요약에 따르면 1월 Microsoft 패치만 113개 취약점을 포함하며, 이 중 8개가 Critical 등급이고, 일부(DWM 정보유출 등)는 이미 악용 중인 것으로 보고되었습니다.

Google Android 보안 게시판에서는 다수의 RCE·EoP·정보유출 취약점이 모바일 단말 전반에 영향을 주는 것으로 정리되었으며, 플랫폼·칩셋 벤더 패치를 통해 해소되었습니다. 2월 13일 NVD에 게시된 뒤 2월 17일 CISA KEV에 추가된 Chrome CSS Use-After-Free 취약점(CVE-2026-2441)은 145.0.7632.75 이전 버전에서 브라우저 샌드박스 내부 임의 코드 실행이 가능해, 1월에 이미 진행되던 브라우저·스크립트 엔진 공격 트렌드와 맞물려 중요성이 부각되었습니다.

한편 Node.js vm2 라이브러리의 샌드박스 이스케이프 취약점(CVE-2026-22709)은 1월 26일 보고되며, 서버 측에서 “신뢰하지 않는 코드 실행” 기능을 제공하는 서비스들을 직접적인 RCE 위협에 노출시켰습니다.

전반적으로 2026년 2월은 클라이언트(브라우저·Office·Android)와 서버(오픈소스 런타임/라이브러리)를 동시에 겨냥하는 취약점 공개가 이어지며, 악성코드 유포·권한 상승·방어 우회에 모두 활용 가능한 공격 표면이 넓어진 시기였습니다.

본 섹션에서는 CVE-2026-22709 취약점에 대한 상세 분석과 함께, 2026년 1월부터 2026년 2월

사이 발견된 주요 보안 위협 동향을 살펴봅니다.

1. 개요

CVE-2026-22709는 Node.js용 샌드박스 라이브러리인 vm2에서 발견된 치명적인 샌드박스 이스케이프 취약점입니다.

vm2는 신뢰할 수 없는 JavaScript 코드를 격리 실행하기 위해 널리 사용되어 왔으나, 2023년에 CVE-2023-29017, CVE-2023-37903 등 반복적인 샌드박스 이스케이프 취약점이 발견되며 같은 해 7월 메인테이너가 프로젝트 중단을 선언한 바 있습니다. 이후 2025년 10월 프로젝트가 재개되어 기존 취약점을 수정한 3.10.0이 릴리스되었으나, npm 주간 다운로드 약 100만 건에 달할 만큼 여전히 광범위하게 사용되고 있으며, 메인테이너 스스로도 향후 새로운 우회가 발견될 가능성을 인정한 상태입니다. 이번 CVE-2026-22709는 이러한 구조적 한계가 다시 한번 현실화된 사례입니다.

vm2는 Proxy 등을 활용해 샌드박스 내부 코드가 호스트 환경의 객체·리소스에 직접 접근하지 못하도록 설계되어 있으나, 비동기 처리에 사용되는 Promise 핸들러의 검증 로직에 결함이 존재합니다. 이 취약점은 Promise.prototype.then 및 Promise.prototype.catch에 대한 “콜백 sanitization”을 우회할 수 있게 해주며, 그 결과 샌드박스 외부 컨텍스트에서 임의 JavaScript를 실행할 수 있습니다.

핵심 원인은 async 함수가 반환하는 전역 Promise(globalPromise) 객체의 프로토타입 체인이 적절히 필터링되지 않은 데 있습니다. 공격자는 이 취약점을 악용해 샌드박스 내에서 실행되는 제한된 코드 권한을 탈피하여, 호스트 OS 상의 Node.js 프로세스 권한으로 임의 코드 실행(RCE)을 달성할 수 있습니다.

2. 취약점 요약

3. 기술적 분석

3.1 취약점 상세

vm2는 샌드박스 내부 코드가 호스트 환경의 객체·리소스에 접근하지 못하도록 Proxy 기반 래핑 및 객체 정화(sanitization) 로직을 사용합니다. 문제가 된 부분은 비동기 흐름에서 사용되는 Promise의 then/catch 콜백 처리입니다.

vm2는 샌드박스 내부에서 생성되는 ‘localPromise’에 대해 ‘localPromise.prototype.then’ / `localPromise.prototype.catch`의 콜백을 정화하여, 샌드박스 외부 컨텍스트로의 참조 누출을 방지합니다. 그러나 async 함수가 반환하는 Promise는 JavaScript 엔진의 전역 Promise인 ‘globalPromise’ 경로를 타며, 이 경로에서는 동일한 검증 및 무해화(sanitization)로직이 적용되지 않습니다. 공격자는 이 차이를 이용해 정화되지 않은 콜백이 호스트 컨텍스트에서 실행되도록 유도 할 수 있으며, 결과적으로 샌드박스 외부 객체/프로토타입 체인에 대한 접근이 가능하게 됩니다.

정리하면, Promise 콜백 검증 및 무해화(sanitization) 로직이 적용되는 경로가 일관되지 않아, 일부(local/global Promise 처리 흐름)에서는 검증 및 무해화(sanitization)가 누락되는 데서 비롯되었습니다.

3.2 공격 메커니즘

CVE-2026-22709의 공격 메커니즘은 다음과 같이 요약됩니다.

1. 공격자는 vm2를 통해 사용자 스크립트를 실행하는 서비스(온라인 코드 실행, 플러그인/스크립트 확장, 워크플로/자동화 엔진 등)를 식별합니다. 2. 샌드박스 내에서 async/await 또는 Promise 기반 비동기 코드를 실행할 수 있는 조건을 확인합니다. 3. async 함수/Promise 체인을 구성해 ‘globalPromise’ 경로를 사용하도록 유도하고, then/catch 콜백이 정화되지 않는 지점을 악용합니다. 4. 콜백이 샌드박스 래핑을 벗어난 컨텍스트에서 실행되도록 만들어, 샌드박스 외부 객체에 대한 참조를 획득합니다. 5. 획득한 참조를 통해 파일/네트워크/프로세스 실행 등 호스트 자원에 접근하면서, Node.js 프로세스 권한 범위에서 임의 코드 실행으로 이어질 수 있습니다.

3.3 영향 분석

CVE-2026-22709의 영향은 직접적 영향과 간접적 영향을 나눠 살펴볼 수 있습니다.

직접적 영향:

1. 호스트 임의 코드 실행(RCE) : 샌드박스 밖에서 코드가 실행되면, 공격자는 vm2를 호출하는 Node.js 프로세스 권한으로 시스템 자원에 접근할 수 있습니다.

2. 비밀정보/환경 변수 노출 : 서비스 토큰, API 키, DB Credential 등 런타임 환경에 존재하는 민감한 정보들이 유출될 수 있습니다.

3. 데이터 위변조 및 서비스 장애 : 파일 시스템 변경, 설정 파괴, 랜섬웨어/크립토마이너 설치 등으로 서비스 무결성과 가용성이 저하될 수 있습니다.

간접적 영향:

1. 멀티테넌트 환경 위험 확대 : 한 테넌트의 “사용자 제공 코드 실행”이 다른 테넌트 데이터 접근/유출로 확산될 수 있습니다.

2. 공급망/CI 파이프라인 악용 : 빌드·테스트 자동화 단계에서 vm2가 사용되는 경우, 빌드 아티팩트/배포 키 탈취 등 2차 피해로 이어질 수 있습니다.

3. 침해 범위 확대(피벗/측면 이동) : 내부망 스캔, 추가 자격 증명 수집, 다른 시스템으로의 이동이 가능해질 수 있습니다.

4. 공격 시나리오

다음은 CVE-2026-22709을 활용한 구체적인 공격 시나리오입니다.

시나리오 1: 온라인 코드 실행/플러그인 플랫폼 침해

1. 공격자는 사용자 스크립트를 등록·실행할 수 있는 SaaS/플랫폼을 대상으로 합니다. 2. 취약한 vm2 버전에서 샌드박스 이스케이프를 유발하여 호스트 자원에 접근합니다. 3. 서비스 토큰·DB 자격 증명을 탈취하거나, 추가 악성 행위를 수행합니다.

시나리오 2: 워크플로/자동화 엔진 내 스크립트 기능 악용

1. 조직 내부 자동화 시스템(워크플로 엔진, 챗봇, 데이터 처리 파이프라인 등)에서 vm2 기반 스크립트 기능이 활성화되어 있을 경우에 발생할 수 있습니다. 2. 내부 사용자/외부 연동 입력을 통해 악성 스크립트가 실행되면서 서버 권한으로 침해가 확산될 수 있습니다.

시나리오 3: 멀티테넌트 개발 환경(교육/샌드박스) 침해

1. 교육용/테스트용으로 제공되는 “코드 실행 샌드박스”가 취약한 vm2를 사용하는 경우에 발생할 수 있습니다. 2. 한 사용자 세션에서 호스트 또는 다른 세션 영역으로 침해가 확산될 수 있습니다.

5. 대응 방안

5.1 즉각 조치

패치 적용 (최우선):

가장 효과적인 대응은 제조사가 제공하는 보안 업데이트를 즉시 적용하는 것입니다.

1. vm2 버전 점검 및 업데이트

- 영향 범위를 식별한 뒤, 3.10.2 이상으로 즉시 업그레이드합니다. (운영 환경에서는 최신 안정 버전 권고)

2. 사용자 제공 코드 실행 기능 임시 제한

- 패치 적용 전까지 외부 입력 스크립트 실행을 중단하거나, 인가된 사용자나 코드만 허용하도록 제한합니다.

3. 권한 최소화 및 격리 강화

- vm2를 호출하는 Node.js 프로세스를 최소 권한 계정으로 실행하고, 파일/네트워크 접근을 최소화합니다.

- 가능하다면 컨테이너/VM 등 추가 격리 계층을 적용합니다.

4. 이상 행위 모니터링

- 스크립트 실행 직후 비정상적인 프로세스 생성, 외부 네트워크 통신, 파일 변경 등이 발생하는지 점검합니다.

패치 적용 전 임시 완화 조치:

패치를 즉시 적용할 수 없는 환경에서는 다음 임시 조치를 고려합니다:

1. 공격자 입력(인가되지 않은 JS code) 실행 중단/차단 : vm2를 쓰는 이유가 “사용자/외부가 제공한 스크립트 실행”이라면, 패치 전에는 해당 기능을 일시 중지하거나 관리자 승인/화이트리스트 기반으로만 실행하도록 제한합니다.

2. 알 수 없는 발신자 차단 : vm2는 동일한 Node.js 프로세스 내부에서 격리를 구현하는 특성상, 우회가 발생할 경우 즉시 호스트(애플리케이션) 권한 수준의 영향으로 확장될 수 있습니다. 따라서 패치 적용 전까지는 vm2 실행 영역을 별도 컨테이너/가상머신으로 분리하고, 비인가 사용자 접근 및 불필요한 네트워크 경로를 차단하며, CPU·메모리 등 리소스 제한을 적용하는 방식으로 우회 발생 시 영향 범위와 피해 가능성을 최소화하는 운영적 완화 조치를 권고합니다.

5.2 장기 대응

1. 샌드박스 아키텍처 재검토 : 사용자 공간 샌드박스에 단독 의존하지 않고, 컨테이너/VM 및 OS 보안 정책(AppArmor/SELinux 등)을 병행합니다.

2. 오픈소스 의존성 관리 강화 : SBOM/SCA 기반으로 보안 민감 라이브러리의 버전과 사용 위치를 상시 추적하고, 신규 CVE 공지 시 즉시 영향도를 평가합니다.

3. 코드 실행 기능 보안 정책 수립 : 허용 API/모듈/리소스를 최소화하고, 실행 시간·메모리·출력·네트워크 접근을 강제 제한하는 정책을 수립합니다.

6. IOC (침해 지표)

- 공개 자료 기준으로 특정 공격 캠페인에 연계된 신뢰 가능한 IOC(악성 IP/도메인/해시)는 확인되지 않았습니다.

- 다만 취약점 공개 이후 악용 시도 가능성이 높으므로, 내부 로그/네트워크 관측을 통한 선제적 점검이 필요합니다.

7. 탐지 규칙

운영 환경에 따라 탐지 기준이 달라질 수 있으므로, 아래 규칙은 참고용이며 적용 전 검증·튜닝이 필요합니다.

애플리케이션/감사 로그

- vm2 실행 직후 비정상적인 모듈 로딩(파일/네트워크/프로세스 관련 모듈) 시도

- 평소 사용하지 않던 프로세스 생성 이벤트(예: 외부 명령 실행), 비정상 아웃바운드 연결 증가

런타임 방어

- Node.js 프로세스에 대한 eBPF/audit 기반 프로세스 실행 감시

- 컨테이너 환경에서는 seccomp/AppArmor 정책으로 프로세스 생성 및 민감 경로 접근 차단

7.1 Sigma 형식

8. 참고 자료

- NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-22709

- GitHub Advisory (GHSA-99p7-6v5w-7xg8): https://github.com/advisories/GHSA-99p7-6v5w-7xg8

- vm2 GitHub Security Advisory: https://github.com/patriksimek/vm2/security/advisories/GHSA-99p7-6v5w-7xg8

- Endor Labs 분석: https://www.endorlabs.com/learn/cve-2026-22709-critical-sandbox-escape-in-vm2-enables-arbitrary-code-execution

- The Hacker News 보도: https://thehackernews.com/2026/01/critical-vm2-nodejs-flaw-allows-sandbox.html

1.2. 악성코드 수집 현황

2026년 1월 한 달간 TouchEn mVaccine을 통해 수집된 모바일 악성코드 현황을 분석합니다. 본 데이터는 라온시큐어의 모바일 보안 SDK가 탐지한 실제 위협 데이터를 기반으로 합니다.

그림 1. 수집 및 반영 흐름

월별 악성코드 수집 추이

2026년 1월 악성코드 수집 건수는 총 2,305건으로, 전월(2,283건) 대비 0.96% 증가하였으며, 실제 데이터베이스에 반영된 악성코드 건수가 1,418 건으로 전월(1,386건) 대비 2.31% 증가하였습니다. 1월은 수집 건수 자체는 +0.96%로 소폭 증가했지만, 반영 건수는 2.31%로 더 크게 증가했습니다.

이러한 반영 건수의 증가 추세는 몇 가지 요인으로 분석됩니다. 첫째, Trojan 증가가 반영 증가를 주도했습니다. 특히 가짜 쇼핑 앱과 택배 사칭 악성코드가 급증했습니다. 둘째, Etc 유형의 급증하였습니다. 이는 새로운 형태로 분류되는 악성앱이 증가하는 추세인 것으로 해석할 수 있을 것 같습니다.

주차별 수집 현황 (2026년 1월)

1월 2주차에 658건으로 가장 높은 수집량을 기록했으며, 이는 신년을 중심으로 한 이벤트나 쿠폰 그리고 연말정산 시즌을 노린 악성코드가 집중적으로 유포된 결과로 분석됩니다. 이후 주차별로 수집량이 점진적으로 감소했으나, 4주차에도 여전히 479건의 악성코드가 수집되어 지속적인 위협이 있음을 보여줍니다.

최근 5개월 추이 분석

최근 5개월간 악성코드 수집 건수는 지속적으로 증가하는 추세를 보이고 있습니다. 25년 9월 1,769건에서 26년 1월 2,305건으로 약 30% 증가했습니다. 반영률은 월별로 변동이 있으나, 26년 1월에는 61.51%로 비교적 높은 수준을 유지했습니다. 이는 새로운 유형의 악성코드가 지속적으로 등장하고 있으며, 라온시큐어의 탐지 엔진이 이에 효과적으로 대응하고 있음을 나타냅니다.

1.3. 악성코드 유형별 비율 및 전월 비교

그림 2. 악성코드 유형

유형별 수집 현황 (2026년 1월)

주요 분석 포인트

1. 보이스피싱(VoicePhishing) 높은 위협 수준 유지 (0.00%)

보이스피싱 악성앱은 20건 → 20건(0.00%)으로 전월과 동일한 수준을 유지했습니다. 수치상 증감은 없으나, 금융 사칭 기반 모바일 공격이 지속적으로 유지되고 있다는 점에서 위협 강도는 여전히 높은 것으로 추정됩니다.

연초는 연말정산, 정부지원금, 택배·결제 오류 안내 등 사회공학적 테마 활용이 빈번한 시기로, 공격자는 이를 악용하여 사용자 설치를 유도하는 경향을 보입니다. 주요 특징은 다음과 같습니다.

• 금융기관·공공기관 사칭 피싱 앱

• 통화 가로채기 및 발신번호 변조 기능

• SMS 탈취를 통한 OTP 인증 우회

• 원격제어 기능을 통한 실시간 금융 탈취

즉, 지속적으로 위협적인 상태가 유지되는 것으로 파악됩니다.

2. 트로이목마(Trojan) 가장 많이 증가된 유형 (+9.86%)

트로이목마는 872건 → 958건(+9.86%)으로 증가하며, 전체 유형 중 가장 크게 증가된 유형입니다. 1월 전체 증가(+32건)보다 더 큰 폭(+86건)으로 늘어났는데, 트로이목마 유형 중에 주요하게 증가한 세부 유형은 다음과 같습니다.

• Banking Trojan: 금융 앱 정보 및 계정 탈취

• SMS Trojan: 문자 가로채기 및 무단 발송

• Spyware Trojan: 기기 정보·연락처·통화 기록 수집

• Dropper: 추가 악성코드 다운로드 및 설치

특히 1월 2주차 수집량 급증(658건)과 연계해 볼 때, 단기 대량 유포형 캠페인(택배·결제·이벤트 사칭)과 결합된 트로이목마 유포 가능성이 높은 것으로 확인되었습니다.

3. Riskware 감소 추세 (-21.30%)

Riskware는 460건 → 362건(-21.30%)으로 뚜렷한 감소를 보였습니다. 이는 단순 권한남용·회색지대 성격 앱보다, 명확한 악성 행위를 수행하는 트로이목마 계열 비중이 확대되었음을 시사합니다.

Riskware에는 다음과 같은 유형이 포함됩니다.

• 원격 제어 도구

• 루팅/탈옥 도구

• 네트워크 스니퍼

• 시스템 관리 도구

감소 원인으로는 마켓 정책 강화, 위험 앱 필터링 기준 조정, 공격자 전략이 명확한 악성코드 중심으로 이동했을 가능성 등으로 분석됩니다.

4. Adware 재증가 (+100.00%)

Adware는 8건 → 16건(+100.00%)으로 증가했습니다. 절대 수치는 낮지만, 전월 대비 2배 증가한 점은 주목할 필요가 있습니다.

Adware는 일반적으로:

• 과도한 광고 노출

• 사용자 동의 없는 백그라운드 광고 호출

• 광고 SDK 위장 삽입

등의 행위를 수행하며, 최근에는 단순 광고 기능을 넘어 다운로더·권한 탈취 기능과 결합되는 사례도 확인되고 있습니다.

5. 기타(Etc) 신규 및 복합형 악성코드 증가 추정 (+138.46%)

Etc 유형은 26건 → 62건(+138.46%)으로 가장 높은 증가율을 기록했습니다. 이는 기존 분류 체계에 명확히 속하지 않는 신규 변종 또는 복합 기능형 악성코드 증가를 의미할 가능성이 높습니다.

특히 다음과 같은 특징이 예상됩니다.

• 다기능 결합형(광고 + 정보탈취 + 다운로더)

• 변종 생성 자동화 도구 기반 샘플

• 난독화·패킹 기술 강화

이는 공격자들이 단일 형태의 공격이 아닌 다목적·지속형 공격 전략으로 전환하고 있음을 시사합니다.

유형별 비율 분포 (2026년 1월)

그림 3. 유형별 비율 분포

위협 트렌드 요약

2026년 1월 악성코드 동향의 핵심 포인트는 다음과 같습니다:

1. 트로이목마 중심 구조로 재편: 금융정보 탈취, SMS 가로채기, 추가 악성코드 설치 기능을 포함한 유형이 증가하며 공격이 다기능화되고 있습니다. 최근에는 단순 유포형이 아닌 실질적 피해 유발 목적의 공격 확대가 이루어지고 있습니다.

2. 금융 사칭 위협의 지속: 금융·공공기관 사칭 기반 공격이 꾸준히 발생하고 있어 상시적 금융 위협 상태가 지속되고 있는 것으로 분석됩니다.

3. 정상 앱 위장 고도화: 단순 권한남용 행위를 하는 앱 대신 직접적인 정보 및 금전 탈취를 목적으로 한 악성 앱이 증가하고 있습니다.

4. 신규 및 복합형 악성코드 증가: 유형을 지정하기 어려운 앱들이 높은 증가율을 기록했습니다. 기존 분류에 속하지 않는 신규 변종 또는 복합 기능형 악성 앱이 증가했음을 의미하며, 악성코드 구조가 점차 고도화되고 있음을 시사합니다.

5. 단기 집중 유포 패턴 확인: 1월 2주차 수집량이 최고치를 기록한 점을 고려할 때, 특정 테마를 활용한 단기 대량 유포형 캠페인 공격이 있었던 것으로 판단됩니다.

2. 루팅 및 에뮬레이터, 원격 앱 탐지 현황

2.1. 루팅 탐지 현황(Emulator)

모바일 금융 서비스와 보안이 중요한 애플리케이션에서 루팅/탈옥 탐지는 필수적인 보안 요소입니다. 루팅된 기기는 시스템 보안 메커니즘을 우회할 수 있어, 악성코드 감염이나 데이터 탈취에 취약해집니다. 본 섹션에서는 2026년 1월 기준 루팅 및 에뮬레이터 탐지 현황과 최신 우회 기법 동향을 분석합니다.

2026년 1월 에뮬레이터별 루팅 탐지 유무 테스트를 진행한 결과는 다음과 같습니다.

2.2. 루팅 탐지 현황(Real Device)

2026년 1월 루팅 단말을 대상으로 자사 백신에서 루팅 탐지 테스트를 진행한 결과는 다음과 같습니다.

2.3. 에뮬레이터 탐지 현황

에뮬레이터별 최신 업데이트 버전 정보 목록은 다음과 같습니다

2.4. 원격 탐지 현황

2026년 1월 원격 기능을 제공하는 앱을 대상으로 자사 백신에서 원격제어 앱 감지 유무 테스트를 진행한 결과는 다음과 같습니다.

3. 국내외 보안 동향

3.1. Substack 사용자 약 70만 명 개인정보 유출: API 오용/접근통제 미흡 이슈

2026년 2월 보안 동향은 기반 소프트웨어 취약점 대응, 인터넷 노출 서비스 악용을 통한 랜섬웨어 침투, API 접근통제 취약을 노린 개인정보 유출, 개인정보보호 규제 강화의 네 축으로 정리됩니다. 먼저 운영체제·브라우저 등 핵심 구성요소에서 ‘실제 악용 중(in-the-wild)’으로 보고된 취약점이 연이어 공개되며 긴급 패치가 진행되었습니다. 동시에 인터넷에 노출된 서비스, 특히 메일 서버 취약점을 발판으로 한 침투가 랜섬웨어로 확산되는 사례가 보고되었습니다. 한편으로는 API 설계·권한 검증의 미흡이 대규모 정보 노출로 이어질 수 있다는 위험이 재확인되었고, 이에 더해 제도 측면에서도 개인정보보호 관련 규제 강화 논의가 이어지며 조직의 기술·관리적 보호조치와 거버넌스 요구 수준이 높아지고 있음을 확인할 수 있었습니다.

공통적으로 “취약점 공개 → 악용 가능성(또는 악용 확인) → 패치·통제 미흡 시 피해 확산”의 흐름을 보입니다. 이에 따라 자산 식별, 패치 관리, 접근통제, 사고대응 체계의 실행력이 핵심 요인으로 판단됩니다.

1. 사건 개요

발생 일시: 2025년 10월 무단 접근 발생(공지 기준), 2026년 2월 초 인지 및 이용자 통지 피해 기관: Substack(뉴스레터 플랫폼) 사고 유형: 개인정보 유출(API 오용·접근통제 미흡으로 추정)

2. 사건 경위

Substack에서 약 70만 명 규모의 사용자 계정 정보(이메일 주소, 이름 등)가 유출되는 사고가 발생했습니다. 전통적인 인프라 침해보다, API 설계 및 인증·인가(authorization) 통제 미흡을 악용해 정상 요청처럼 보이는 방식으로 대량 조회·수집이 이뤄졌을 가능성이 제기되고 있습니다. Substack은 문제 API를 차단·수정하는 등 조치를 취했으며, 사용자에게 비밀번호 변경과 2단계 인증 설정을 권고했습니다.

사건이 발생한 흐름을 보면 다음과 같습니다.

1. 외부에서 특정 API 엔드포인트를 반복 호출해 사용자 데이터 조회가 가능함을 확인 2. 자동화(스크립트/봇)로 호출량을 늘려 대량 수집(레이트 리밋·탐지 회피 가능성) 3. 수집된 이메일 주소 등을 기반으로 피싱·스팸·계정 재사용 공격 위험이 증가 4. 플랫폼이 이상 징후 탐지/신고 등을 통해 인지 후 차단·수정 및 공지

3. 기술적 분석

(1) 원인으로 지목되는 통제 미흡

구체적인 엔드포인트/세부 로직은 공개되지 않았으나, 다음 이슈가 결합됐을 가능성이 언급됩니다.

- 객체 단위 인가(BOLA): 요청 주체가 해당 리소스(사용자/구독자/조직)의 접근 권한을 갖는지 서버 측에서 엄격히 검증하지 않는 경우

- 기능 단위 인가(BFLA): “관리자/내부용 기능”이 일반 사용자 세션에서도 호출 가능한 경우

- 과도한 데이터 반환(Excessive Data Exposure): 필요한 필드보다 더 많은 개인정보가 응답에 포함되는 경우

- 레이트 리밋·봇 방어 미흡: 대량 호출을 차단/완화하지 못해 수집 비용이 낮아지는 경우

(2) ‘정상 호출’로 위장되는 대량 수집의 특징

API 오용은 트래픽 형태가 정상 서비스 호출과 유사할 수 있어, 단순 시그니처/차단 목록 중심 통제만으로는 탐지·차단이 어렵습니다.

따라서 권한 검증(서버 측) → 응답 최소화 → 호출량/패턴 기반 이상탐지 → 차단/완화(레이트 리밋·WAF·봇 방어)를 단계적으로 결합하는 방식이 유효합니다.

(3) 탐지 포인트

- 특정 엔드포인트에서 단기간 다계정/다리소스 순회 조회(enumeration)

- 동일 IP/ASN 또는 동일 토큰에서 지속적인 페이지네이션(Pagination)/ID 증가 패턴

- 비업무 시간대 호출 급증, 실패율 증가(권한 오류/ID 미존재 등)

4. 피해 현황

- 유출 항목(보도 기준): 이메일 주소, 이름 등 개인 정보

- 유출 규모(보도 기준): 약 70만 명 ※ 상세 유출 범위(항목·기간·경로)는 이후 조사 결과에 따라 변동 가능

5. 대응 현황

1. 문제 API 차단·수정 및 검증 강화: 유출 경로로 지목된 API 엔드포인트를 즉시 차단하거나 인증·인가 로직을 보강하고, 수정 후에는 재현 테스트(권한 우회/대량 조회)로 보완 여부를 검증합니다.

2. 모니터링·탐지 룰 적용: API 게이트웨이/WAF/로그 기반으로 대량 조회, 반복 호출, 비정상 User-Agent/토큰 사용 등 이상 징후 탐지 룰을 적용하고, 차단/경보 기준(임계치)을 운영 환경에 맞게 조정합니다.

3. 사용자 공지 및 보안 권고: 사용자에게 사고 사실을 공지하고, 비밀번호 변경·2FA 설정·피싱/스미싱 주의 등 즉시 실행 가능한 조치를 안내합니다(필요 시 세션 무효화/토큰 회전 등 병행).

4. 2차 피해 대비 경보 및 대응: 유출 정보가 피싱/스팸/계정 재사용(Credential Stuffing)으로 악용될 수 있으므로, 유사 도메인 사칭·대량 로그인 실패·의심스러운 비밀번호 재설정 요청 등 후속 공격 징후에 대한 경보 체계를 마련합니다.

6. 시사점

API 유출은 “해킹 도구”보다 정상 요청처럼 보이는 대량 조회·수집이 핵심 메커니즘이 되는 경우가 많습니다. 따라서 실무적으로는 인가 설계·데이터 최소화·탐지 운영까지 포함한 수명주기 관리가 중요합니다.

1. 접근통제 설계가 핵심(리소스 단위 인가): 단순 로그인 여부가 아니라, 리소스(사용자/조직/역할) 기준으로 “이 요청자가 이 데이터를 볼 권한이 있는가”를 서버에서 강제해야 합니다. 내부/파트너 API도 동일한 수준으로 적용합니다.

2. 데이터 노출 최소화(응답 필드 제한·마스킹): API 응답은 업무상 필요한 최소 필드만 반환하고, 이메일/이름 등 식별자는 마스킹·부분 공개 원칙을 적용합니다. “편의성 때문에 과다한 응답”이 반복되면 유출 규모가 커집니다.

3. 대량 조회 방지(Rate limit·봇 방어·쿼리 제한): Rate limit, 페이지네이션 강제, 쿼리 조건 제한, 봇 방어(토큰/행동 기반)로 자동화 수집을 어렵게 하고, 임계치를 초과하면 단계적 차단(지연→캡차→차단) 정책을 운영합니다.

4. 운영 탐지 체계(API 로그 표준화·이상행위 탐지): API 게이트웨이 기반으로 호출 로그를 표준화하고, “짧은 시간 내 다계정 조회/대량 페이지 순회/비업무 시간대 급증” 같은 패턴을 상시 탐지합니다. OWASP API Top 10 관점에서 정기 점검(인가 취약점, 과도한 데이터 노출, Rate limit 부재 등)을 루틴화합니다.

▶출처/참고자료:

- http://m.boannews.com/html/detail.html?idx=142298&skind=D

- https://techcrunch.com/2026/02/05/substack-confirms-data-breach-affecting-email-addresses-and-phone-numbers/

- https://www.securityweek.com/substack-discloses-security-incident-after-hacker-leaks-data/

- https://www.theverge.com/tech/874255/substack-data-breach-user-emails-phone-numbers

- https://owasp.org/www-project-api-security/

- https://www.theregister.com/2026/02/05/substack_admit_security_incident/

3.2. SmarterMail 제로데이/취약점 악용: SmarterTools 침해 및

Warlock(Storm‑2603) 랜섬웨어 배포

1. 사건 개요

발생 일시: 2026년 1월 29일(침해 시작 확인, 현지 시간) / 2026년 2월 10~11일 분석·보도 피해 기관: SmarterTools(메일 서버 제품 SmarterMail 개발사) 및 일부 고객 영향 사고 유형: 랜섬웨어

2. 사건 경위

Warlock(마이크로소프트 명 Storm‑2603)로 알려진 랜섬웨어 조직이 SmarterMail 서버의 취약점을 악용해 SmarterTools 내부 네트워크를 침해했습니다. 공격자는 패치 누락된 SmarterMail 서버 1대를 발판으로 AD(Active Directory)를 장악하고 계정을 추가 생성했으며, 원격 관리·조사 도구로 알려진 Velociraptor를 배포한 뒤 랜섬웨어를 실행해 일부 윈도우 서버와 보조 데이터 센터의 데이터를 암호화했습니다.

회사는 고객-facing 서비스(쇼핑카트, 마이 어카운트 등) 및 고객 계정 데이터 유출은 없었다고 밝혔으나, 내부 윈도우 서버 12대와 일부 고객 지원 시스템에 영향이 있었다고 설명했습니다.

사건이 발생한 타임라인을 보면 다음과 같습니다.

1. 2025-01-29: 최신 빌드로 업데이트되지 않은 SmarterMail 서버 1대 침해(직원 구축 VM, 약 30대 중 유일하게 패치 누락) 2. 초기 접근 이후: 공격자가 내부망으로 피벗(pivot)하여 AD 장악, 신규 계정 생성 등 권한 확장 3. 도구 배포: Velociraptor 및 추가 페이로드(랜섬웨어 락커) 배포 4. 영향 확산: 일부 윈도우 서버 및 보조 데이터 센터 암호화, 고객지원 시스템 일부 고객이 피해 5. 복구/조치: 격리·재구축, 패치 배포 및 고객 대상 최신 빌드 업그레이드 권고

3. 기술적 분석

(1) 악용된 취약점

- CVE‑2026‑23760 : 특수 제작된 HTTP 요청으로 관리자 비밀번호 재설정이 가능한 인증 우회 유형으로 소개되었습니다.

- CVE‑2026‑24423 : ‘ConnectToHub’ API 메서드 취약점을 악용해 인증 없이 원격 코드 실행(RCE) 이 가능하다고 소개되었습니다.

- 보도에서는 위 취약점들이 실제 환경에서 악용 중이며, CISA가 CVE‑2026‑24423의 악용을 확인해 긴급 패치를 권고했습니다.

(2) 공격 체인(고수준 정리)

- 초기 접근: 인터넷에 노출된 SmarterMail 인스턴스에서 취약점 악용(패치 누락 시스템 1대가 단일 실패 지점이 됨)

- 권한 획득/확장: 관리자 권한 획득 또는 RCE를 통한 코드 실행 후, AD로 확산 및 계정 생성

- 지속성/통제: Velociraptor 등 합법적 관리/원격 도구를 설치해 탐지 회피 및 장기 통제

- 영향(Impact): 랜섬웨어 배포·암호화, 데이터 센터 일부 마비

(3) “합법적 기능 악용”의 위험

기사에서는 비밀번호 재설정 API, 볼륨 마운트 등 정상 관리 기능이 공격 흐름에 포함되어 “로그 상 정상 행위처럼 보일 수 있다”는 점을 강조합니다. 이 경우 단순 시그니처 탐지보다 행위 기반(Behavior) 탐지, 특히 “외부 IP에서의 관리자 재설정 시도”, “비업무 시간대 대량 호출”, “AD 신규 계정 생성” 같은 컨텍스트 기반 이상 징후가 중요합니다.

4. 피해 현황

- 침해 범위: 내부 윈도우 서버 12대, 보조 데이터 센터 일부 암호화 피해

- 고객 영향: 고객지원 시스템(SmarterTrack) 일부 고객이 큰 피해를 본 것으로 언급

- 데이터 유출: 회사는 고객 계정 데이터 유출은 없었다고 발표

5. 대응 현황

1. 패치/업그레이드 권고: 빌드 9511 이전 대상 패치 배포 및 최신 빌드(9526) 업그레이드 권고

2. 격리·재구축: 감염 서버 격리, AD 계정/권한 재점검, 네트워크 구간 분리

3. 대외 권고: CISA 및 보안업계가 해당 CVE에 대해 노출 시스템 점검과 긴급 패치를 권고

6. 시사점

1. 인터넷 노출 자산 인벤토리화: 제품/버전/패치 수준을 중앙 관리하고 ‘미패치 0대’ 목표 운영

2. 관리 기능 모니터링: 관리자 비밀번호 재설정 API, 원격 코드 실행 가능 API 호출에 대해 별도 알림·차단 정책(외부 IP, 반복 시도, 비업무 시간)

3. AD 보호: 신규 계정 생성/권한 변경/Group Policy 변경 모니터링, Tiering(관리 계정 분리)

4. 랜섬웨어 확산 억제: 백업 서버 분리, 최소 권한, 네트워크 세그먼트 분리, EDR 차단 정책

▶출처/참고자료:

- https://www.hellot.net/news/article.html?no=110272

- https://portal.smartertools.com/community/a97747/summary-of-smartertools-breach-and-smartermail-cves.aspx

- https://www.securityweek.com/smartertools-hit-by-ransomware-via-vulnerability-in-its-own-product

- https://www.bleepingcomputer.com/news/security/hackers-breach-smartertools-network-using-flaw-in-its-own-software

- https://nvd.nist.gov/vuln/detail/cve-2026-24423

- https://nvd.nist.gov/vuln/detail/cve-2026-23760

- https://www.helpnetsecurity.com/2026/02/06/ransomware-smartermail-cve-2026-24423

3.3. 클라우드·SaaS 계정 탈취 기반 침해: 세션 토큰/자격증명 악용 위험

1. 사건 개요

발생 기간: 2026년 2월 피해 기관: 업무용 클라우드(SaaS) 사용 조직 전반(사례 다수) 사고 유형: 자격증명·세션 토큰 탈취 → 계정 접근 권한 획득 → 데이터 접근/권한 확장

2. 사건 경위

최근 침해사고 대응 사례에서는 취약점 기반 침투와 함께, 계정 탈취를 통한 초기 접근이 주요 침투 경로로 확인되고 있습니다. 공격자는 피싱, 인포스틸러(브라우저 저장 비밀번호·쿠키 등), 유출 계정 재사용(credential stuffing) 등을 통해 사용자/관리자 계정을 확보한 뒤, 정상 로그인처럼 보이는 방식으로 SaaS에 접근하는 시나리오가 대표적입니다.

특히 “비밀번호 + MFA”가 적용되어 있더라도, 세션 토큰(쿠키) 탈취 또는 OAuth 동의(Consent) 유도 등을 통해 우회될 수 있다는 점이 운영상 취약점으로 제기됩니다.

일반적인 진행 흐름은 다음과 같이 정리할 수 있습니다.

1) 초기 접근: 피싱·악성코드·유출 계정 재사용으로 사용자 자격증명 확보 2) 인증 우회: 세션 토큰 재사용, OAuth 동의 피싱, MFA 피로도 공격(반복 승인 유도) 등 3) 권한 확장: 관리자 콘솔 접근, 권한 높은 계정/앱 토큰 획득, API 키 생성 등 4) 영향 확산: 메일/드라이브/협업툴 데이터 열람·유출, 내부 사용자 대상 추가 피싱, 설정 변경 5) 은폐/지속성: 새 OAuth 앱 등록, 포워딩/규칙 설정, 접근 로그 교란 시도 등

3. 기술적 분석

(1) ‘세션 기반 인증’의 공격 표면

세션 쿠키/토큰이 탈취되면, 비밀번호 변경이나 MFA 재설정 이전에도 기존 세션이 유지될 수 있습니다(제품/정책에 따라 상이). 따라서 세션 무효화, 토큰 수명 관리, Refresh Token 통제가 중요합니다.

(2) OAuth·API 키 오남용 리스크

사용자에게 “권한 동의”를 유도해 이메일/파일 접근 권한을 얻는 방식은, 계정 비밀번호를 직접 탈취하지 않아도 데이터 접근이 가능해집니다. 또한 서비스 계정/개인 API 키가 장기간 유지되는 환경에서는 노출 시 피해가 확대될 수 있습니다.

(3) 탐지 포인트

- 새로운 국가/ASN/기기 지문에서의 로그인 및 토큰 재발급

- 신규 OAuth 앱 등록/권한 범위 급증, API 키 생성·권한 변경

- 대량 다운로드/검색, 포워딩 규칙·메일 룰 변경 등 “사후 악용” 징후

4. 피해 현황

- 일반적 영향: 메일·드라이브 등 협업 데이터 접근/유출, 내부 사용자 대상으로 추가 피싱 확산, 관리자 설정 변경

- 2차 피해: 유출된 계정/주소록을 이용한 스피어피싱, 결제/거래 사기 등으로 확장 가능

※ 본 항목은 동향 요약이며, 개별 사고의 영향도는 조직별 환경에 따라 상이합니다.

5. 대응 현황

1. 즉시 차단(세션/토큰 강제 만료): 계정 탈취 징후(불명 지역 로그인, MFA 우회, 비정상 앱 승인 등) 탐지 시 해당 사용자/관리자 세션을 강제 만료하고, Access Token·Refresh Token을 회수(폐기)합니다.

2. 자격 증명 회수 및 재발급: 비밀번호 재설정, MFA 재등록(의심 기기 제거 포함), 비상·공유 계정 점검을 수행하며, 고권한 계정은 우선순위를 높여 즉시 교체·재발급합니다.

3. OAuth 앱·API 키 정비: 승인된 OAuth 앱/서드파티 통합을 전수 점검해 불필요·의심 앱을 철회하고, API 키·서비스 계정 키는 로테이션 및 수명 단축 정책을 적용합니다(승인/검토 절차 포함).

4. 운영 탐지·런북 정비: 메일 포워딩/규칙 변경, 관리자 역할 변경, 대량 다운로드 등 핵심 이벤트에 대한 경보를 구성하고, “격리→토큰 폐기→권한 점검→증거 보존→재발 방지” 순서의 대응 런북을 표준화합니다.

6. 시사점

세션 토큰·OAuth 권한은 침해 이후에도 장기간 영향이 지속될 수 있어, ‘인증 강화’와 ‘세션/토큰 거버넌스’를 함께 설계해야 합니다.

1. 관리자/고권한 계정 보호(Tiering): 관리자 계정을 일반 사용자와 분리하고, 상시 MFA·조건부 접근(위치·기기·리스크 기반) 정책을 강제합니다.

2. 세션 토큰 수명·바인딩 관리: 장수명 토큰을 최소화하고, 의심 이벤트 발생 시 자동 회수되도록 정책화합니다(기기 바인딩, 재인증 요구, 세션 재사용 제한 등).

3. SaaS 설정 악용 포인트 상시 점검: 메일 포워딩/규칙, 외부 공유 링크, API 권한, 앱 비밀번호 등 “정상 기능 악용” 포인트를 정기 점검 항목으로 운영합니다.

4. 가시성 확보와 증거 보존: 감사 로그(관리자/보안 로그)의 보존 기간을 확보하고, 위협 헌팅 및 사후 분석이 가능하도록 로그 표준화·SIEM 연계를 유지합니다.

▶출처/참고자료:

- https://www.cisa.gov/resources-tools/resources/protecting-tokens-and-assertions-forgery-theft-and-misuse

- https://csrc.nist.gov/pubs/ir/8587/ipd

- https://techcommunity.microsoft.com/blog/microsoft-entra-blog/oauth-consent-phishing-explained-and-prevented/4423357

- https://techcommunity.microsoft.com/blog/microsoft-entra-blog/defend-your-users-from-mfa-fatigue-attacks/2365677

- https://www.theverge.com/news/715117/google-workspace-dbsc-cookie-stealing-attack

- https://www.itpro.com/security/phishing/warning-issued-as-surge-in-oauth-device-code-phishing-leads-to-m365-account-takeovers

3.4. 고의·중과실에 따른 대규모 개인정보 유출 시 과징금, 개인정보보호법 개정안 국회 통과

1. 개요

발생 시기: 2026년 2월 12일(국회 본회의 의결, 보도 2월 18일) 적용 대상: 국내 개인정보처리자(공공·민간) 전반(위수탁·제3자 제공 포함) 적용 내용: 법·제도 변화에 따른 준수 요구 확대(과징금 상향 및 통지·거버넌스 강화)

국회는 개인정보보호법 개정안을 의결해 고의·중과실에 따른 중대 개인정보 유출 시 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 했습니다. 또한 유출이 “확정”되기 전이라도 유출 가능성 단계에서 정보주체 통지 의무를 부과하고, CPO 지정·변경·해제 시 이사회 의결 및 당국 신고 의무를 도입하는 등 내부 관리 책임을 강화하는 방향으로 정리됩니다(시행: 공포 후 6개월 경과로 보도)

2. 주요 적용 내용

국회 의안(입법예고/제안이유) 및 개인정보보호위원회 안내자료에 근거해 “강화되는 방향성”을 정리하였습니다.

1. ‘유출 가능성’ 단계까지 통지 범위 확대 논의: 정보주체를 특정하기 어렵거나(대상 특정 불가) 유출 규모가 큰 경우, 유출이 ‘확인’된 대상뿐 아니라 ‘유출 가능성이 있는’ 정보주체까지 개별 통지를 의무화하는 취지의 개정안이 제안·논의되고 있습니다.

2. 유출 통지의 실질성 강화: 단순 홈페이지 공지로 갈음하는 방식이 정보주체의 대응을 지연시킬 수 있다는 문제의식 하에, 법정 통지사항을 포함한 개별 통지 의무를 강화하는 방향이 제시되고 있습니다.

3. 과징금 제도(제재) 정비 흐름: 개인정보보호위원회는 2023년 개정법 시행 안내에서 과징금 제도 개편을 주요 개정사항 중 하나로 안내하고 있습니다. (구체 산정 방식·상한 등은 하위 규정/해석 및 향후 개정 동향에 따라 변동 가능)

4. CPO(개인정보보호책임자) 전문성·요건 강화: 시행령 개정 등으로 일정 기준 이상 개인정보처리자에 대해 전문성 요건을 갖춘 CPO 지정(‘전문 CPO’)을 요구하는 방향이 정리되어, 개인정보보호 거버넌스가 강화되는 추세입니다.

3. 영향

1. 초기 탐지·판단 속도 요구: ‘유출 가능성’ 단계에서 통지 범위가 확대될 경우, 탐지→초기 트리아지→포렌식 착수→통지 판단까지의 의사결정 속도와 기준 정립이 중요해집니다.

2. 통지·신고 체계의 상시 운영화: 유출 신고·통지 항목(시점/경위/대응조치/정보주체 조치 등)을 72시간 내 준비해야 하는 경우가 많아, 평시 템플릿과 증거 수집 체계가 필요합니다.

3. 위·수탁/제3자/연계 지점 책임 확대: 사고 원인이 내부가 아닌 외부 연계(API, 클라우드, 파트너 시스템)에서 발생해도, 계약·점검·로그 공유·공조 절차가 미흡하면 관리 책임 리스크가 커질 수 있습니다.

4. 증빙(Evidence) 중심의 감사 대응: 규제·감사 대응에서는 “통제를 했다”보다 “통제를 했음을 증명(정책/기록/로그/점검 결과)”하는 체계가 핵심이 됩니다.

4. 시사점

규제 강화의 핵심은 ‘통지 의무’ 자체보다, 사고를 더 빨리 발견하고(Detect), 더 빨리 사실관계를 정리해(Assess), 더 일관된 기준으로 외부 커뮤니케이션(Notify)할 수 있는 실행력입니다.

1. ‘유출 가능성’ 판단 기준·승인 라인 사전 정의: 어떤 로그·지표·정황을 ‘유출 가능성’으로 판단할지, 그리고 누가(보안·법무·홍보·경영진) 어떤 절차로 승인·의사 결정에 대해 ‘사고 대응 절차서(표준 운영절차, SOP)’로 문서화하고, 정기 모의훈련을 통해 실행 역량을 확보합니다.

2. 통지·신고 템플릿 및 증거 보존 체계: 통지/신고 필수 항목을 반영한 템플릿을 준비하고, 이벤트 타임라인·접근 로그·권한 변경 기록 등 핵심 증거를 표준 포맷으로 보존합니다.

3. 연계(위·수탁/제3자/API) 관리 강화: 계약서에 보안 요구사항(로그 제공, 사고 통지 SLA, 정기 점검)을 명시하고, 연 1회 이상 점검·평가 및 개선 조치를 기록으로 남깁니다.

4. CPO 거버넌스 실효성 확보: CPO 거버넌스의 실효성을 확보하기 위해 CPO의 역할·권한 및 보고 체계를 명확히 하고, 조직의 위험 수용 수준(Risk Appetite)에 기반해 관련 예산·인력을 체계적으로 배정합니다. 이를 통해 CPO 지정이 형식적 요건 충족에 그치지 않도록, 개인정보보호 통제가 실제 운영·관리 체계로 정착되도록 합니다.

▶출처/참고자료:

- https://likms.assembly.go.kr/bill/billDetail.do?billId=PRC_R2S5Q0Q7O0P2O1V0W2U8V4T5U4S7T4

- https://pipc.go.kr/np/default/page.do?mCode=D030040000

- https://www.pipc.go.kr/np/cmm/fms/FileDown.do?atchFileId=FILE_000000000556898&fileSn=0

- https://www.hwawoo.com/newsletter/2024_04_18/240418_k_t.pdf