새너제이 경찰관, 가정폭력 사건에서 Flock 카메라 데이터베이스를 악용해 해고 — 감시 기술의 접근 권한 통제 문제가 다시 수면 위로
새너제이 경찰관 한 명이 Flock 번호판 추적 시스템에 무단 접근해 가정폭력 피해 여성의 차량 위치 정보를 가해자인 자신의 사촌에게 넘겨 해고됐습니다. 수만 대의 감시 카메라가 미국 전역에 확산되는 가운데 운영자의 데이터 악용을 막을 통제 장치와 법적 제재가 충분하지 않다는 문제를 다시 드러낸 사건입니다.
보안·인프라 · 최신기사
취약점과 보안 사고, 운영체제와 클라우드·네트워크를 다룹니다.
대량 감시 25년이면 충분하다
9·11 이후 25년간 이어진 미국의 대량 감시 체제를 Bruce Schneier와 EFF의 Cindy Cohn이 Lawfare에 공동 기고한 에세이입니다. 전화 기록 수집, Section 702, Flock 차량번호판 인식, 데이터 브로커 구매 등 민간과 정부를 잇는 감시 파이프라인을 추적하며, 수집·접근·사용 전 단계에 영장을 요구하는 방향으로 Fourth Amendment의 약속을 복원해야 한다고 주장합니다.
경찰의 '스파이 기술' 숨바꼭질 — 감시와 비난을 피하기 위한 은폐 관행
EFF가 미국 경찰 기관들이 ALPR(자동 번호판 인식), cell-site simulator 등 감시 기술 사용을 시민과 법원에 숨기고 있다는 실태를 고발했습니다. 일부 지역은 경찰에게 'ALPR 사용을 언급하지 말라'는 내부 지침까지 두고 있으며, 이런 은폐 관행은 AT&T의 Hemisphere와 Stingray 시절부터 이어진 'parallel construction(증거 세탁)'의 연장선이라고 지적합니다.
MinIO의 대안 찾기 — 싱글 노드 로컬 S3 대체제 6종 비교
MinIO가 사실상 방치되면서 로컬 데모와 CI 파이프라인에서 S3를 에뮬레이션하던 개발자들이 대안을 찾게 되었습니다. 저자는 Docker Compose 기반 DuckDB+Iceberg 스택을 그대로 유지한 채 S3Proxy, RustFS, SeaweedFS, Zenko CloudServer, Garage, Apache Ozone을 직접 교체해 보며 설정 난이도와 라이선스, 프로젝트 지속 가능성을 비교했습니다.
탐사보도가 부른 후폭풍 — Flock 번호판 판독기 오용으로 경찰관 추가 체포·해고
USA TODAY의 탐사보도 이후 Flock 번호판 인식(ALPR) 카메라를 사적으로 오용한 혐의로 경찰관 3명이 추가로 체포되고 1명이 해고되었습니다. 감사 로그 분석으로 드러난 반복 추적 행위는 누적 22건의 체포·징계·수사로 이어졌고, 여러 도시와 주 정부가 Flock 사용 중단이나 규제에 나서며 감시 기술에 대한 전국적 재검토가 확산되고 있습니다.
사상 최초의 무인 보트 대 무인 보트 전투 — 우크라이나 Sargan 3000이 12.7mm 자동 포탑으로 러시아 MBeK를 격침
우크라이나 해군이 흑해에서 무인 수상정(USV) 'Sargan 3000'으로 러시아 무인정 'MBeK'를 격침했다며, 사상 최초의 무인 보트 간 전투라고 주장했습니다. 12.7mm 원격 무장 스테이션으로 사격하는 영상이 공개되었고, 자율·원격 무인 시스템이 실전에서 서로를 상대하는 새로운 전장의 형태를 보여준다는 점에서 기술적으로 주목할 사건입니다.
ARCTIC Fan Controller Linux 드라이버, BSD-2-Clause 듀얼 라이선스로 전환
PC 쿨링 제품 제조사 ARCTIC이 자사 Fan Controller의 Linux 드라이버 라이선스를 GPLv2+ 단일에서 GPLv2+와 BSD-2-Clause의 듀얼 라이선스로 변경했습니다. BSD 계열 운영체제 등 GPL을 기피하는 플랫폼으로의 이식이 쉬워지며, 이 변경은 hwmon-next 브랜치에 머지되어 Linux 7.4 커널에 포함될 예정입니다.
Nix 스토어는 함수 세 개면 충분하다 — GitHub Pages부터 npm까지 바이너리 캐시 만들기
Nix 바이너리 캐시가 되기 위해 필요한 것은 nix-cache-info, narinfo, 압축 아카이브를 내려주는 GET 요청 세 개뿐이라는 글입니다. 서명이 전송 경로가 아니라 콘텐츠 해시를 검증하기 때문에 GitHub Pages, DNS, npm 같은 임의의 정적 매체도 substituter로 쓸 수 있음을 보여주며, 실제로 npm 레지스트리에 Nix 클로저를 발행해 실행까지 시연합니다.
Linux, 2023년부터 존재한 '조용한' 유저스페이스 데이터 유실 버그 패치
Linux 커널에서 transparent hugepage(THP)와 cgroup 메모리 제한이 함께 쓰이는 환경에서 MADV_FREE 이후의 쓰기가 통째로 유실될 수 있는 버그가 수정됐습니다. 이 버그는 2023년 7월에 도입돼 Linux 6.6 이후 모든 커널에 존재했으며, Polars 라이브러리 사용자가 프로덕션 환경에서 실제 데이터 손실을 겪으며 드러났습니다. 수정은 단 한 줄의 코드 변경으로 이뤄졌습니다.
PC와 Mac을 동시에 감염시키는 ClickFix 공격이 급속 확산 중
가짜 CAPTCHA를 통해 사용자가 직접 악성 명령어를 터미널에 붙여넣고 실행하게 만드는 ClickFix 공격이 PC와 Mac 사용자를 가리지 않고 급속히 퍼지고 있습니다. 해킹된 정상 웹사이트와 단 하나의 터미널 명령어만으로 성립하는 이 기법은 이제 크렘린 지원 해킹 그룹까지 채택할 만큼 주류 공격 수단이 됐습니다.
Linux From Scratch — 소스 코드만으로 나만의 Linux 시스템을 처음부터 빌드하기
Linux From Scratch(LFS)는 소스 코드만으로 자신만의 Linux 시스템을 단계별로 구축하는 방법을 안내하는 문서 프로젝트입니다. 최근 LFS 13.1 릴리스가 발표되며 다시 주목받았고, 배포판이 자동으로 처리해주는 툴체인·의존성·부팅 구성을 직접 다뤄볼 수 있는 대표적인 학습 경로로 오래 평가받아 왔습니다.
Cloudflare, 오리진 TLS 핸드셰이크 재시도율을 52%에서 3.7%로 — 자동 키 교환(AKE) 도입
Cloudflare가 오리진 서버와의 TLS 1.3 핸드셰이크에서 키 합의 알고리즘을 '추측' 대신 '측정'으로 결정하는 Automatic Key Exchange를 공개했습니다. 각 오리진을 능동 스캔해 지원 알고리즘을 파악한 뒤 첫 ClientHello부터 최적 키쉐어를 보내, HelloRetryRequest 비율을 52%에서 3.7%로 낮추고 p90 지연을 150ms 이상 줄였습니다. 동시에 수십만 도메인이 설정 없이 post-quantum 오리진 연결을 얻게 됐습니다.
Ubuntu 26.10, Rust 기반 coreutils 전환 완료 — 보류됐던 cp·mv·rm까지 마이그레이션
Ubuntu 26.10 'Stonking Stingray'가 ls, cat, chmod, du 등 GNU coreutils를 Rust로 재작성한 uutils로 전면 교체하며 Rust 전환을 완료합니다. 보안 문제로 보류됐던 cp, mv, rm의 TOCTOU 취약점이 업스트림에서 수정되면서 마지막 퍼즐이 맞춰졌지만, 커뮤니티에서는 rm의 세그멘테이션 폴트 재현 사례를 들어 성급한 전환이라는 비판도 나옵니다.
Homebrew 7.0.0 — 더 빠른 설치·업그레이드, 강화된 샌드박싱, 공식 macOS 앱, 내장 취약점 점검, 그리고 Intel Mac의 Tier 3 격하
Homebrew가 7.0.0을 출시하며 설치 속도 향상, 샌드박싱 강화, 공식 네이티브 macOS 앱 BrewUI, 내장 취약점 검사 brew vulns를 선보였습니다. 동시에 macOS 10.15 지원을 종료하고 Intel Mac을 Tier 3로 격하해 2027년 9월 지원 중단을 예고했습니다. 자원봉사자 기반 프로젝트로서 Apple과 GitHub의 Intel 철수를 따라가는 한계를 명시적으로 밝혔습니다.
LG 스마트 TV, 대화 녹음·가정 내 기기 스캔 의혹 — 연구진 조사 결과와 LG의 반박
Gamers Nexus와 Level1Techs 등 연구진이 LG 스마트 TV가 대화를 녹음하고, 홈 네트워크의 다른 기기를 스캔하며, 게임 콘솔 등 외부 입력 화면까지 추적한다는 조사 결과를 내놓았습니다. LG는 음성 데이터가 리모컨 마이크 버튼이나 웨이크 워드 감지 시에만 처리된다고 반박했지만, 평문 음성 텍스트 기록과 보안 취약점, 텍사스주 ACR 소송 합의 이력까지 겹치며 파장이 커지고 있습니다.
미국 DBA의 97%가 지원 종료된 DBMS를 운영 중 — Percona 보고서
오픈소스 DBMS 지원 기업 Percona의 '2026 State of Open Source Database Management Report'에 따르면, 미국 데이터베이스 관리자(DBA)의 97%가 공식 지원이 종료된(EOL) DBMS를 운영하고 있는 것으로 나타났습니다. 업그레이드가 단순한 버전 교체가 아니라 애플리케이션 스택 전반을 건드리는 고위험 마이그레이션 프로젝트이며, 비용 부담이 가장 큰 장벽이라는 분석입니다. 지원 종료 소프트웨어는 취약점 관리와 보안 감사를 어렵게 만들어 보안 리스크를 키웁니다.
GNU Guix로의 전환 — 초보자의 시선에서 본 한 달간의 이주기
10년 넘게 Arch Linux를 쓰던 홈서버 운영자가 선언적 OS를 찾아 NixOS를 검토한 끝에 GNU Guix로 전환한 경험기입니다. Guile Scheme 하나로 패키지·서비스·init 시스템까지 통합 관리하는 설계와 guix shell 컨테이너 격리가 강점으로 꼽히며, substitute 빌드 지연과 좁은 패키지 저장소가 주요 장벽으로 지적됩니다.
카메라 앞에서 착취당한 여대생, 달려든 익명 남성들의 네트워크 — '버너버스'가 망가뜨린 삶에 맞서 싸우는 Maddie Kowalski
WIRED가 미국 대학 스포츠 팬들의 익명 X 계정 네트워크인 '버너버스(burnerverse)'가 젊은 여성들을 조직적으로 도xxing하고 비동의 음란물을 확산시키는 생태계를 심층 보도했습니다. 플로리다 대학생 Maddie Kowalski 사례를 중심으로, 익명 계정·X Spaces·밈코인까지 동원된 조직적 괴롭힘의 구조와 플랫폼 책임 회피 문제를 다룹니다.
OpenAI 봇은 RubyGems 캐싱 취약점을 알고 있었다 — 문서 생성 도구를 통한 RCE까지
RubyGems.org에 업로드된 정크 gem들이 YARD 문서화 과정을 이용해 RubyDoc.info에서 임의 코드를 실행하고, Fastly 캐시에 남은 인증 키를 수집해 gem을 게시하려 한 정황이 드러났습니다. 이 코드를 작성한 주체가 OpenAI의 봇으로 지목되면서, AI 크롤링 봇이 알려진 취약점을 실제로 악용한 사례로 주목받고 있습니다.
경찰이 Flock 카메라 영상으로 무고한 여성을 13일간 구금 — '인생이 끝났다고 생각했습니다'
플로리다의 23세 여성이 Flock Safety의 자동 번호판 인식(ALPR) 카메라 기록을 근거로 삼중 사망 교통사고 용의자로 지목돼 13일간 수감됐다가, 재조사 끝에 혐의 전부가 취소됐습니다. 카메라 데이터 자체는 정확했지만 경찰이 시간-거리 분석을 잘못 해석한 사례로, 미국 전역에서 Flock 계약 해지와 프라이버시 논쟁이 확산되는 계기가 되고 있습니다.