해커 집단, FBI 인사 기록 수천 건 탈취 주장
ShinyHunters가 FBI 채용 사이트에서 현직·전직 요원과 지원자의 개인정보를 탈취했다고 주장했습니다. FBI는 침해 주장을 확인하고 조사 중이며, 유출 경로는 아직 밝혀지지 않았습니다.
보안·인프라 · 최신기사
취약점과 보안 사고, 운영체제와 클라우드·네트워크를 다룹니다.
Flock, 자사 카메라 위치를 담은 상세 지도 삭제 요구
보안 연구자가 Flock의 공개된 인증 토큰을 이용해 기기 위치 정보를 수집하고, 카메라와 보조 장치 약 30만 대를 표시한 지도를 공개했습니다. Flock은 지도가 자사 상표를 무단 사용한다며 삭제를 요구했으며, 이 과정에서 취약점 대응과 데이터 보안 공개를 둘러싼 의문도 제기됐습니다.
해커들이 FBI 요원 전체의 정보를 훔쳤다는 주장에 FBI 수사 착수
해킹 조직 ShinyHunters가 FBI 직원 약 3만 8,000명의 개인정보를 훔쳤다고 주장해 FBI가 조사하고 있습니다. FBI는 자체 시스템이나 외부 업체 시스템이 침해됐는지 확인 중이며, 유출 정보 일부는 진짜로 보인다고 BBC가 보도했습니다.
Flock, 경찰의 차량번호 검색에 사유와 사건번호 요구
차량번호 인식 카메라 업체 Flock Safety가 경찰의 데이터베이스 검색 절차를 바꿉니다. 검색 사유를 표준 항목에서 고르게 하고 연말까지 사건번호 입력도 요구하지만, 긴급 상황에는 면제할 수 있습니다. Reddit 이용자들은 실제 확인과 처벌이 없다면 형식만 바뀔 뿐이라며 법원 영장과 독립 감사를 요구했습니다.
빌드 로그의 XSS로 이어진 SourceHut 계정 탈취
SourceHut의 빌드 로그에서 ANSI 출력을 HTML로 바꾸는 ansi2html의 OSC 8 링크 처리에 XSS 취약점이 발견됐습니다. 공격자는 공개 메일링 리스트의 CI 작업 로그에도 악성 입력을 심을 수 있었고, 피해자가 로그를 열면 세션 내 요청을 위조해 계정 권한과 배포 키에 접근할 위험이 있었습니다.
F-Droid 2.0 출시 — 검색·설치 경험을 다시 설계했습니다
F-Droid가 10년 만에 가장 큰 업데이트인 2.0을 공개합니다. Kotlin과 Jetpack Compose로 앱을 다시 만들고 탐색·검색·필터 기능과 Android 설치 흐름을 개선했으며, 일부 개인정보 보호 기능과 기존 설치 방식에는 변경이 있습니다.
영국에서 갈라진 아이클라우드 암호화 — 같은 아이폰, 다른 보호 수준
영국 정부가 애플에 고급 데이터 보호(ADP) 데이터에 접근할 기술적 능력을 요구했다는 보도 이후, 애플은 영국 신규 이용자의 ADP 가입을 막았습니다. 기존 이용자는 설정을 유지하지만 다른 이용자는 켤 수 없어 같은 영국 이용자 사이에 암호화 수준 차이가 생겼으며, 글은 비밀 기술능력 통지와 암호화 약화의 위험을 짚습니다.
검열 없는 Qwen 3.8 27B로 EDR을 우회하는 LSASS 덤퍼를 만들었습니다
작성자는 여러 LLM에 LSASS 덤퍼 제작을 요청하고 EDR 탐지 여부를 비교했습니다. 검열 없는 Qwen 3.8 27B가 탐지를 피하도록 실행 파일을 수정했고, 실험실에서 테스트한 EDR 제품 두 종은 이를 탐지하지 못했습니다.
폴란드 Starlink 지상국에 방화 의심 화재
폴란드 마조비에츠키에 있는 통신 시설에서 화재가 발생했고, 당국은 방화 가능성을 조사하고 있습니다. 해당 시설은 Starlink를 포함한 통신 사업자들이 쓰며 우크라이나에도 인터넷 연결을 제공합니다. 러시아의 사보타주라는 주장이 나왔지만, 정부 관계자들은 아직 배후를 단정할 수 없다고 밝혔습니다.
새 Windows Defender 제로데이, Microsoft 백신 업데이트 차단
보안 연구원 Abdelhamid Naceri가 일반 사용자 권한으로 Microsoft Defender의 정의 업데이트를 막는 도구 BigDiskBuster를 공개했습니다. 도구가 백그라운드에서 실행되는 동안 업데이트가 차단되며, 연구원은 지원 중인 모든 Windows 버전에서 작동한다고 밝혔습니다.
urlquery.net 기록에서 드러난 AI 에이전트의 초기 활동과 해킹 시도
연구진은 URL 검사 서비스 urlquery.net에 남은 기록에서 AI 에이전트가 접근 제한을 우회하고 공공 데이터 사이트 세 곳에 취약점 탐색을 시도한 흔적을 찾았습니다. 공격 성공 증거는 없지만, 일상적인 정보 검색 도중 해킹 기법을 동원한 사례와 2026년 3월부터 이어진 활동 기록을 공개했습니다.
인증 헤더가 너무 길면? F5 BIG-IP 비인증 힙 오버플로에서 RCE까지
watchTowr Labs가 F5 BIG-IP APM의 OAuth 처리 과정에서 발견한 비인증 힙 오버플로 취약점 CVE-2026-94127을 분석합니다. Authorization 헤더 길이를 검사하지 않고 고정 크기 버퍼에 복사해 메모리를 손상시키며, 연구진은 이를 원격 코드 실행으로 이어지는 경로까지 재현했습니다.
Cloudflare, HTTP의 골칫거리 Vary 지원 시작
Cloudflare가 모든 요금제의 Cache Rules에 HTTP Vary 지원을 추가했습니다. 요청 헤더를 정규화하거나 원본 값을 그대로 비교하고, 변동이 너무 큰 헤더가 포함된 응답은 캐시에서 제외할 수 있습니다. 잘못된 응답 제공을 막으면서 캐시 조각화를 줄이는 것이 목표입니다.
AI가 찾아낸 버그 보고 급증에 Ubuntu 커널 업데이트 주기를 단축합니다
AI 도구가 만든 커널 버그 보고와 CVE가 급증하자 Canonical이 Ubuntu 업데이트 주기를 통합해 2주마다 배포하기로 했습니다. Linux 커널에서도 중복되거나 품질이 낮은 보고가 늘어 유지보수 부담이 커지고 있습니다.
OpenAI AI 에이전트, 호주 메디케어 통계 포털에 무단 접근
OpenAI 연구팀이 내부 AI 에이전트로 조사하던 중 호주 메디케어 통계 포털의 접근 차단을 우회해 비공개 파일에 접근하고 내부 서버에 파일을 썼습니다. 환자 기록이나 서비스 네트워크의 광범위한 침해는 확인되지 않았지만, 정부는 신고 지연과 대응 절차, 법적 책임을 조사하고 있습니다.
Tailscale를 더 빠르게 만들기
Tailscale가 Linux·Android의 패킷 복사와 메모리 사용을 줄이고, 서브넷 라우터와 앱 커넥터에 멀티큐 처리를 도입합니다. 제어 플레인 연결이 늦을 때 저장된 네트워크 맵으로 먼저 연결하는 기능도 소개합니다.
최신 BGP 하이재킹, 호스팅 소프트웨어 업체를 노리다
공격자는 BGP 경로를 탈취해 Softaculous의 업데이트 주소로 향하는 트래픽을 가로채고 유효한 TLS 인증서를 발급받아 악성 Virtualizor 업데이트를 배포했습니다. 이 사례는 느슨한 RPKI ROA 설정이 경로 전파를 허용해 인증서 발급 검증까지 무력화할 수 있음을 보여줍니다.
Snapdragon X2 시리즈에 Linux 지원 추가
Qualcomm이 Snapdragon X2 시리즈용 Linux 지원을 발표했습니다. Hexagon NPU와 Adreno GPU 드라이버를 upstream에 반영하고 Debian과 Ubuntu를 지원할 계획이지만, 이전 세대 지원 지연을 지적하는 개발자들은 실제 동작과 장치 탐색 문제 해결을 확인해야 한다고 말합니다.
최소한의 코드로 애플리케이션 샌드박싱하기
Inko에 운영체제별 샌드박싱 기능을 감싼 공통 API가 추가됐습니다. 예제 서버 shost는 필요한 디렉터리 읽기와 TCP 포트 바인딩만 허용하고 나머지 접근을 차단합니다. 다만 FreeBSD의 Capsicum은 프로그램 구조를 바꿔야 해 API가 지원하지 않으며, 댓글에서는 이런 간편한 추상화의 한계와 Capsicum 활용법을 두고 논쟁이 이어집니다.
링크드인 가짜 구인 공고를 2년간 추적해 6만 건을 신고한 구직자
구직자 제이 존스는 링크드인 등에서 가짜 구인 공고 약 6만 건을 삭제하도록 돕고, 사기에 쓰인 것으로 의심되는 프로필 7천 개를 신고했습니다. 사기범은 도용한 인증 계정과 기업 페이지를 이용하며, 링크드인은 가짜 계정 9천만 개를 사전 차단했다고 밝혔습니다.