10대 해커 두 명이 해킹 범죄 집단 '스캐터드 스파이더(Scattered Spider)'의 일원으로 런던 교통공사(TfL) 시스템을 해킹하여 수백만 명의 개인정보를 탈취하고 16시간 동안 범행을 생중계한 혐의로 각각 징역 5년 6개월을 선고받았습니다. 이들은 직원을 사칭하는 사회공학 기법으로 해킹에 성공하여 약 290억 원의 재무적 피해를 입혔으며, 영국 국가범죄청(NCA)은 저연령 해커들의 증가를 국가 사이버 보안의 가장 큰 위협으로 규정했습니다.
미 국무부는 언론인과 정부 관계자 등의 시그널(Signal) 및 왓츠앱 계정을 해킹한 러시아 국가 지원 해커 그룹(UNC5792, UNC4221)의 정체나 위치를 알려주면 최대 1000만 달러의 현상금을 지급한다고 발표했습니다. 이들은 고객 지원 봇을 사칭하거나 백업을 유도하여 사용자의 인증 코드와 복구 키를 탈취한 뒤 과거 대화 내용까지 모두 가로채는 정교한 피싱 및 사회공학적 공격을 감행하고 있습니다. 기업 및 실무자들은 메신저의 공식 지원 센터를 사칭한 접근이나 인증 코드/복구 키 탈취 시도에 대해 각별한 주의와 보안 교육이 필요합니다.
오픈소스 개발자를 겨냥해 가짜 채용 면접으로 접근한 정교한 공급망(supply chain) 해킹 시도의 전말을 다룬 사례 분석입니다. 공격자는 TypeScript 저장소에 악성 패치 파일을 숨겨 기기에 백도어를 심으려 했으나, AI 모델(Claude)을 활용한 코드 분석으로 악성 페이로드(PinpinRAT)가 조기에 발견되어 공격에 실패했습니다.
개발자가 자신의 OpenClaw AI 어시스턴트(Fiu)를 대상으로 2,000명 이상의 사용자가 프롬프트 인젝션 공격을 시도하게 한 실험 결과, 6,000개가 넘는 이메일 공격에도 불구하고 기밀 파일이 단 한 번도 유출되지 않았습니다. Anthropic의 최상위 모델을 사용하여 단 몇 줄의 단순한 보안 지시사항만으로도 강력한 프롬프트 인젝션 방어가 가능함이 입증된 흥미로운 사례입니다.
해커 그룹 '샤이니헌터스(ShinyHunters)'는 직원에게 전화를 걸어 정체를 속이는 음성 피싱(비싱, Vishing) 방식을 통해 매디슨 스퀘어 가든(MSG)의 시스템에 침투했습니다. 이들은 다단계 인증(MFA) 과정을 교묘하게 우회하여 45GB에 달하는 내부 데이터를 탈취했습니다. 이 사건은 이메일 기반의 피싱을 넘어, 전화를 이용한 사회공학적 공격이 기업 보안에 매우 심각한 위협으로 자리 잡았음을 보여줍니다.
최근 로블록스 플랫폼에서 개발자들을 타겟으로 한 해킹 수법이 진화하여, 단순 계정 탈취를 넘어 개발 기간이 수년에 달하는 게임과 디지털 자산 전체가 통째로 탈취당하는 사례가 속출하고 있습니다. 해커들은 가상의 채용 제의를 통한 악성코드 유포 등 조직적인 사회공학적 기법으로 게임 소유권을 빼앗아 수익 창출을 시도하고 있으며, 이는 로블록스를 주요 비즈니스 수단으로 삼는 실무자들에게 매우 치명적인 보안 위협으로 작용하고 있습니다.