홈 › 유출 뉴스 › 보관함

유출 뉴스 보관함

Enfour가 FrontierStack과 KeyRotate에 배포한 모든 침해 권고 가운데 마지막 날짜로부터 30일 이상 지난 것입니다. 오래되었다고 끝난 것은 아닙니다. 몇 달 전에 유출되고 교체되지 않은 키는 훔친 사람에게 여전히 쓸모 있는 키입니다.

최근 권고는 유출 뉴스에 있습니다

보관된 권고 1건

2026년 11월

높음영향 기간 2026년 11월 5일 · 2026년 11월 6일 차단Alpine Linux 등 musl 시스템의 OpenSSH 로그인 우회 취약점(sshole, CVE-2026-123158)

SSH 포트에 접속할 수 있는 공격자는 257~1024바이트 길이의 비밀번호를 보내는 것만으로 실제 비밀번호를 몰라도 로그인할 수 있습니다. 대상은 musl libc를 사용하는 Linux에서 PAM 없이 빌드된 sshd이며, Alpine의 openssh-server 패키지도 해당됩니다. PasswordAuthentication이 yes(기본값)이고, 비밀번호 필드가 *인 계정(키 전용 사용자, 클라우드 이미지의 alpine 사용자 등)이 있으며, $5$ 또는 $6$ 비밀번호 해시를 가진 다른 계정이 있는 서버만 영향을 받습니다. root로 직접 로그인되는 것은 PermitRootLogin yes인 경우뿐이지만, doas를 사용할 수 있는 계정이 뚫리면 root 권한을 얻을 수 있습니다. Alpine의 openssh-server-pam을 UsePAM yes로 사용하는 경우에는 영향을 받지 않습니다. 공격 코드는 공개되어 있으나, 현재까지 CISA는 악용 사례로 등재하지 않았습니다. OpenSSH 10.6p2에서 수정되었으며, Alpine은 3.16까지 수정된 패키지를 제공합니다. glibc를 사용하는 Linux(Debian, Ubuntu, RHEL), macOS, FreeBSD는 영향을 받지 않습니다. 이 방법으로 서버가 탈취되면 서버에 저장된 키와 비밀번호가 유출됩니다.

대응 절차(7개 항목)

Alpine에서는 apk upgrade -U -a를 실행한 다음 rc-service sshd restart를 실행하십시오. 자동 업데이트를 포함해 업그레이드만으로는 이전 sshd가 계속 실행됩니다.
Alpine의 수정된 openssh 패키지: edge 10.6_p2-r0, 3.24 10.3_p1-r2, 3.23 10.2_p1-r1, 3.22 10.0_p1-r11, 3.21 9.9_p2-r1, 3.20 9.7_p1-r6, 3.19 9.6_p1-r3, 3.18 9.3_p2-r4, 3.17 9.1_p1-r7, 3.16 9.0_p1-r6. ssh -V로는 패치 여부를 알 수 없으므로 apk list -I 'openssh*'로 확인하십시오.
바로 업데이트할 수 없다면 PasswordAuthentication no로 설정하고 sshd를 재시작하십시오. 먼저 SSH 키 로그인이 되는지 확인하고, 새 로그인이 성공할 때까지 현재 세션을 닫지 마십시오. 정확한 명령은 Alpine 공지에 있습니다. ↗
기타 musl 시스템(OpenWrt, Buildroot, Yocto, Void musl)에서는 OpenSSH 10.6p2 또는 제공업체의 수정된 패키지를 설치하십시오.
과거 로그인을 확인하려면 /var/log/messages에서 비밀번호가 없는 계정에 대한 Accepted password라는 sshd 줄을 찾으십시오. 노출된 시스템에서는 doas 사용 기록과 최근 생성된 사용자, 파일, 인증 키도 검토하십시오. 무단 로그인을 배제할 수 없다면 해당 시스템이 침해된 것으로 간주하십시오.
무단 로그인을 배제할 수 없다면 해당 서버에 저장된 API 키, 비밀번호, SSH 키(.env 파일과 환경 변수 포함)를 교체한 다음 이전 키를 폐기하십시오.
OpenSSH 10.6p2 릴리스 노트입니다. ↗

2026년 10월

위급영향 기간 2026년 10월 29일 – 2026년 10월 30일 · 2026년 10월 30일 차단Binance 해킹, 엔지니어 노트북을 통해 약 63억 달러 탈취(2026년 10월)

Binance에 따르면 공격자는 DevOps 엔지니어의 침해된 노트북을 이용해 서비스 컨테이너에 침입한 뒤 무단 출금을 실행했습니다. 피해 규모는 약 63억 달러로 추정됩니다. Binance는 10월 29일 21:29(GMT)에 보안 문제를 처음 알렸고, 출금을(한때는 입금도) 중단했으며, 탈취된 자금 중 약 30억 달러를 동결했습니다. 10월 30일에는 노트북 외에도 추가 침입 경로를 발견했다고 밝혔습니다. 지갑 개인 키가 유출된 증거는 없으며, 이용자 자금은 안전하고 모든 손실을 SAFU 펀드와 회사 자금으로 보상하겠다고 밝혔습니다. 고객의 API 키, 로그인 정보, 개인정보에 공격자가 접근했는지는 밝히지 않았으므로 Binance API 키를 새로 발급하고 이번 사건을 미끼로 한 사기에 주의하십시오.

대응 절차(5개 항목)

Binance API 키를 삭제하고, 출금을 끄고 본인 IP 주소에서만 쓸 수 있도록 제한한 새 키를 만든 뒤 트레이딩 봇, 세무 도구, 포트폴리오 앱에 새 키를 붙여 넣으십시오. ↗
Binance API 키를 준 모든 봇과 앱에서 주문 및 이체 내역을 확인하고, 출금이 재개될 때까지 자동 매매를 일시 중지하십시오.
Binance ▸ 보안에서 알 수 없는 기기와 출금 주소를 삭제하고, 피싱 방지 코드를 설정하고, 2단계 인증이나 패스키를 켜 두십시오.
Binance는 자금이 안전하며 손실을 직접 보상한다고 밝혔습니다. 환불, 보상 청구, 더 빠른 출금 방법을 제안하는 사람에게 응하지 말고 비밀번호, 2FA 코드, 복구 문구는 절대 알려 주지 마십시오. Binance 공식 채널의 안내만 따르십시오. ↗
Binance가 출금 서비스를 재구축하는 동안 출금은 계속 중단됩니다. 10월 30일 기준으로 약 45시간 후 재개를 목표로 한다고 밝혔습니다. 자금을 옮기기 전에 Binance의 공식 공지를 기다리십시오.

위급영향 기간 2026년 10월 19일 – 2026년 10월 24일 · 2026년 10월 24일 차단So-net·plala 회원 정보 유출, 일부 메일 비밀번호 포함(2026년 10월)

Sony Network Communications에 따르면 2026년 10월 19일 So-net 회원 데이터베이스가 무단 접근을 당했습니다. 이 회사는 10월 23일 무단 접근을 확인하고 서버를 중지한 뒤 공격자의 접속을 차단했습니다. 유출된 정보는 So-net 회원 2,141,986건과 plala(S 코스) 회원 443,495건(2026년 3월 이후 탈퇴자 포함)의 이름, 전화번호, 이메일 주소, 사용자 ID, 생년월일, 성별, 인터넷 접속용 ID, 메일 서비스(G), A-Box, So-net VAIO 메일, PostPet 메일 계정 54,401건의 이메일 주소와 메일 비밀번호(10월 27일 초기화됨), 은행 계좌 정보 16건, 비밀번호 재설정 통지서 7건입니다. 회원 로그인 비밀번호와 신용카드 정보는 포함되지 않았으며 NURO 등 다른 서비스는 영향이 없다고 합니다. 해당 메일 서비스를 사용했다면 My Page에서 메일 비밀번호를 다시 설정하시고, 실제 개인정보를 이용한 정교한 사기 메시지에 주의하십시오.

대응 절차(5개 항목)

메일 서비스(G), A-Box, So-net VAIO 메일, PostPet 메일을 사용했다면 So-net My Page에서 새 메일 비밀번호를 설정하십시오. 기존 비밀번호는 초기화되었으므로 설정하기 전까지 메일 앱은 로그인할 수 없습니다. ↗
해당 메일함과 같은 비밀번호를 사용한 다른 모든 서비스에서도 비밀번호를 변경하고 2단계 인증을 켜십시오.
유출과 관련된 이메일, 문자, 전화에 응하지 말고 링크나 첨부 파일도 열지 마십시오. 보낸 사람이 귀하의 이름, 생년월일, 전화번호, 사용자 ID를 알고 있을 수 있습니다.
회사로부터 은행 계좌 정보가 유출되었다는 연락을 받았다면 본인이 하지 않은 출금이 없는지 계좌를 확인하십시오.
문의: So-net의 질문과 답변 페이지 또는 So-net 특별 상담 전화 0120-36-8887(평일·토요일 10:00~18:00). ↗

위급영향 기간 2026년 10월 21일 · 2026년 10월 22일 차단LiteLLM 1.107.0 릴리스에 자격 증명 탈취 위협 요소 포함(2026년 10월)

PyPI의 LiteLLM 1.107.0(2026년 10월 21일 11:39~13:23 UTC)과 Docker Hub·GHCR의 v1.107.0, latest, main-latest, main-stable 태그 이미지(14:20 UTC까지)는 공격자가 빌드한 것으로, 자격 증명을 훔칩니다. 대상은 AI 제공업체 키(LiteLLM 프록시 데이터베이스에 저장한 키 포함), 클라우드와 Kubernetes 자격 증명, SSH·Git 키, Claude·Codex·Gemini·Cursor 로그인 정보입니다. LiteLLM을 불러오지 않아도 Python이 시작될 때마다 실행됩니다. 설치한 머신이나 컨테이너가 있다면 그곳에서 접근할 수 있던 모든 것이 도난당했다고 보십시오. 먼저 머신을 정리한 뒤 교체하십시오. 공격자는 Claude Code 출력을 기록한 로그에 남아 있던 GitHub 토큰으로 침입했습니다.

영향받기 쉬운 키: OpenAI, Anthropic, Google (Gemini), OpenRouter, Amazon Bedrock API key, GitHub

대응 절차(8개 항목)

모든 가상 환경·CI 작업·컨테이너에서 litellm 1.107.0이 있는지, 10월 21일에 latest·main-latest·main-stable 태그에서 받은 이미지가 있는지 확인하십시오. site-packages에 cook.pth, cook.py, sitecustomize.py가 있으면 감염된 것입니다.
먼저 pip를 실행하지 마십시오. Python을 시작할 때마다 위협 요소가 다시 실행됩니다. 모든 site-packages에서 cook.pth, cook.py, sitecustomize.py와 해당 __pycache__ 파일을 삭제하고, /tmp/remote_code_loader.lock을 잡고 있는 Python 프로세스를 종료한 다음 litellm==1.106.2로 다시 빌드하거나 재설치하십시오. ↗
LiteLLM 프록시에 저장한 모든 제공업체 키(설정·환경 변수·데이터베이스), 마스터 키, 모든 가상 키, DATABASE_URL 비밀번호를 교체하십시오.
머신에서 접근할 수 있던 다른 시크릿도 모두 교체하십시오. 클라우드 역할과 액세스 키, GitHub·Git 토큰, SSH·GPG 키, 데이터베이스 비밀번호, 프로세스 환경 변수의 시크릿이 해당됩니다. 머신을 정리하기 전에 바꾼 것은 다시 바꾸십시오.
해당 머신의 Claude Code, Codex, Gemini CLI, Cursor에서 로그아웃한 뒤 다시 로그인하고, 브라우저에 저장한 비밀번호를 변경하십시오.
2026년 10월 21일 11:00 UTC 이후 AWS CloudTrail에서 GetCallerIdentity 호출, Bedrock 사용, IAM 열거, 새 액세스 키가 있는지, AI 제공업체 사용량에 직접 하지 않은 요청이 있는지 확인하십시오.
DNS나 방화벽에서 litellm.dev 도메인을 차단하십시오. 위협 요소가 훔친 정보를 그곳으로 보냅니다.
AI 도구 출력을 기록한 로그(Claude Code 대화 기록, 프록시 요청 로그)에 GitHub 토큰 등 시크릿이 남아 있는지 찾아보고, 발견한 것은 폐기하십시오.

위급영향 기간 2026년 10월 19일 – 2026년 10월 21일 · 2026년 10월 21일 차단Onamae.com 데스크톱 클라우드 FX 서버 해킹, 거래 계좌 로그인 정보 도난(2026년 10월)

GMO의 FX 자동매매용 VPS인 'Onamae.com 데스크톱 클라우드' 서버에 제3자가 악성 프로그램을 설치했으며, 최대 26,739대가 영향을 받았을 수 있습니다. 서버의 MT4/MT5 등 도구에 저장한 거래 계좌 로그인 정보가 탈취되어 고객 계좌에서 무단 거래가 이루어졌고, 수백만 엔 규모의 손실도 보고되었습니다. GMO는 10월 21일 04:00(일본 시간)부터 모든 서버를 중지했으며, 재개 시기와 침입 시작 시점은 밝히지 않았습니다. 다른 기기에서, 서버에서 사용한 모든 거래 계좌와 기타 로그인의 비밀번호를 변경하고 모든 세션을 끊으십시오.

대응 절차(8개 항목)

VPS가 아닌 기기에서, 서버에서 사용한 모든 거래 계좌와 거래 도구(MT4/MT5, cTrader, 각 사 마이페이지)의 비밀번호를 변경하십시오. ↗
그런 다음 도난당한 로그인 정보가 쓰이지 않도록 모든 세션에서 로그오프하십시오. 플랫폼에서 할 수 없다면 브로커의 마이페이지나 고객센터에서 끊으십시오.
거래 내역과 잔고를 확인하고, 직접 하지 않은 거래가 있으면 즉시 브로커에 알리십시오.
브로커가 제공한다면 2단계 인증, 일회용 비밀번호, 패스키를 설정하십시오.
서버에서 사용하거나 저장하거나 메모한 다른 비밀번호(브라우저, 메모장, 이메일)도 모두 바꾸고, 같은 비밀번호를 쓰는 서비스도 바꾸십시오.
서버가 중지된 동안 EA가 작동하지 않습니다. 보유 포지션은 직접 관리하거나 청산하십시오.
브로커의 공지를 확인하십시오. OANDA, Titan FX, AXIORY, IronFX, IS6FX, XMTrading, FXTF 등이 안내를 냈습니다.
공격자라고 주장하는 이메일이나 비밀번호·카드 정보를 요구하는 메시지에 응하지 마십시오. GMO는 이메일이나 전화로 이를 묻지 않는다고 밝혔습니다.

위급영향 기간 2026년 10월 17일 – 2026년 10월 19일 · 2026년 10월 20일 차단OpenCode Console 제공업체 키 노출(2026년 10월)

침입자가 OpenCode Console의 레거시 시스템에 접근하여, Console 사용자 약 1.4%가 워크스페이스에 연결해 둔 OpenAI, Anthropic, Google 키를 읽었을 수 있습니다. 몇 시간 만에 큰 금액이 무단으로 청구된 사용자도 있습니다. Mac의 OpenCode(CLI 및 데스크톱 앱)는 키를 로컬에 보관하므로 영향을 받지 않았습니다. OpenCode Console에 연결한 모든 제공업체 키를 해당 제공업체에서 폐기하고 새 키를 만든 다음, 그 키를 쓰던 앱을 업데이트하십시오.

영향받기 쉬운 키: OpenAI, Anthropic, Google (Gemini)

대응 절차(6개 항목)

OpenCode Console 워크스페이스에 연결한 모든 OpenAI, Anthropic, Google 키를 각 제공업체의 대시보드에서 폐기하고, 새 키를 만들어 이전 키를 쓰던 모든 앱을 업데이트하십시오.
OpenAI, Anthropic, Google Cloud에서 2026년 10월 16일 이후의 사용량과 청구 내역에 본인이 하지 않은 요청이 있는지 확인하고, 부정 청구는 제공업체와 OpenCode에 신고하십시오.
도난된 키로 큰 금액이 청구되지 않도록 각 제공업체에서 월 사용 한도나 예산 알림을 설정하십시오.
Google Cloud가 리소스 도용을 이유로 프로젝트를 정지했다면 먼저 해당 키를 교체한 다음 Google Cloud 콘솔에서 정지 해제를 요청하십시오. ↗
영향을 받은 사용자에게 보내는 OpenCode 이메일을 확인하십시오(OpenCode는 이메일을 받지 않았다면 키가 영향을 받지 않았다고 밝혔습니다). OpenCode가 사고 종료를 알릴 때까지 Console에 제공업체를 다시 연결하지 마십시오.
침해 안내 이메일의 링크가 아니라 각 제공업체 대시보드로 직접 이동하고, API 키나 OpenCode 로그인 정보를 요구하는 메시지는 피싱으로 간주하십시오.

위급영향 기간 2026년 9월 30일 – 2026년 10월 1일 · 2026년 10월 15일 차단STUDIO 무단 접근(2026년 10월)

STUDIO의 API 연동(Data Connect, API Connect)에 저장된 타사 API 키와 토큰, 사용자 지정 프록시 키, Google 스프레드시트 연동 자격 증명, 페이지 비밀번호가 이를 복호화하는 키와 함께 읽혔을 수 있습니다. STUDIO에 저장한 모든 키를 교체하고 새 키를 STUDIO에 붙여넣은 다음, 각 공급업체에서 이전 키를 폐기하십시오.

영향받기 쉬운 키: OpenAI, Google (Gemini), Anthropic, Stripe (secret key)

대응 절차(10개 항목)

Data Connect 또는 API Connect에 저장한 모든 API 키와 토큰을 교체하고, 새 키를 STUDIO에 붙여넣은 다음 각 공급업체에서 이전 키를 폐기하십시오.
STUDIO에 키가 있던 각 공급업체에서 2026년 9월 30일 이후의 사용량, 청구, 로그에 알 수 없는 활동이 없는지 확인하십시오.
STUDIO 비밀번호를 변경하십시오(이메일 로그인만 해당). 같은 비밀번호를 사용한 다른 서비스의 비밀번호도 변경하십시오. ↗
비밀번호로 보호된 모든 페이지의 비밀번호를 변경하십시오.
양식 ▸ Google 스프레드시트 동기화 ▸ 동기화 중지 후 Google 연결된 앱에서 STUDIO를 제거하고 동기화를 다시 설정하십시오. ↗
사용자 지정 프록시: 10월 16일 STUDIO 이메일로부터 30일 이내에 서버를 새 프록시 키로 전환하고 STUDIO에 알리십시오.
모든 웹훅 알림 URL을 변경하고, URL에 포함된 비밀 값도 교체하십시오.
라이브 미리보기 URL을 삭제하고, 필요하면 새로 발급하십시오. ↗
양식 제출에 관한 STUDIO 이메일을 확인하고, 개인정보가 포함되어 있었다면 제출한 사람들에게 알려야 하는지 판단하십시오.
STUDIO 비밀번호를 묻는 이메일이나 전화는 피싱으로 간주하십시오. STUDIO는 절대 묻지 않는다고 밝혔습니다.

주의영향 기간 2026년 10월 2일 – 2026년 10월 8일 · 2026년 10월 9일 차단SBI 증권 경고: 탈취된 Google·Apple 계정을 통한 패스키 악용(2026년 10월)

SBI 증권은 피싱으로 Google이나 Apple 계정 로그인 정보를 훔친 뒤, 그 계정에 동기화된 패스키와 비밀번호 메모로 증권 계좌에 로그인해 거래하는 수법에 대해 주의를 당부했습니다. 사례는 다른 증권사에서 보고된 것이며, SBI 증권은 자사 계좌의 피해는 확인되지 않았다고 밝혔습니다. 패스키를 Google이나 Apple 계정에 보관한다면 그 계정도 증권 계좌 로그인만큼 철저히 보호하십시오.

대응 절차(5개 항목)

패스키를 저장한 Google·Apple 계정에서 2단계 인증과 복구용 이메일·전화번호를 확인하고, 모르는 기기를 삭제하십시오. ↗
SBI 증권에는 패스키로 로그인하고 로그인 비밀번호를 끄십시오.
증권 계좌 비밀번호를 클라우드 메모 등 계정이 탈취되면 드러나는 곳에 저장하지 마십시오.
이메일이나 문자 링크로 로그인하지 말고 사이트나 앱을 직접 여십시오.
거래 내역과 계좌 등록 정보에 직접 하지 않은 변경이 있는지 확인하십시오.