“user:CyberDesk”와(과) 일치하는 핀

구글의 위협 분석팀은 전화로 IT 지원팀을 사칭하는 조직이 직원들을 속여 가짜 데이터로더 앱을 승인하게 만든 뒤, 회사의 세일즈포스 데이터를 대량으로 빼내 갈취에 이용했다고 밝혔다.

라스베이거스 연방판사가 MGM 리조트와 고객들 간 4,500만 달러 합의안에 최종 승인을 내렸다. 이는 2019년 정보유출과 스트립 카지노들을 마비시킨 2023년 9월 사이버공격으로 개인정보를 도난당한 고객들을 위한 것으로, 입증된 피해에 대해 1인당 최대 1만 5,000달러를 지급한다.

UNC6395 조직은 세일즈로프트의 드리프트 챗봇에서 탈취한 OAuth 토큰을 이용해 수백 개 기업의 세일즈포스 인스턴스에서 데이터를 빼냈으며, 지원 케이스 안에서 AWS 키, 비밀번호, 스노우플레이크 토큰을 찾았다.

FBI는 기업들의 세일즈포스 데이터를 훔치는 두 조직에 대한 침해 지표를 공개했다. 한 조직은 전화로 IT 지원팀을 사칭했고, 다른 조직은 탈취한 세일즈로프트 드리프트 토큰을 사용했다.

Cl0p 브랜드를 사용하는 집단이 각 회사의 오라클 E-비즈니스 스위트 시스템에서 데이터를 훔쳤다고 주장하며 임원들에게 대량 이메일을 보내 대금을 요구하기 시작했다.

이 조직은 39개 기업에서 탈취한 세일즈포스 데이터의 샘플을 게시하며, 세일즈포스가 10월 10일까지 돈을 내지 않으면 약 10억 건의 기록을 유출하겠다고 통보했다.

오라클이 정기 일정 외로 발행한 보안 경고를 통해, Cl0p가 데이터 탈취에 악용한 E-비즈니스 스위트의 로그인 없이도 원격코드실행이 가능한 심각도 9.8 취약점을 수정했다.

미국 사이버보안·인프라보안청(CISA)이 CVE-2025-61882를 '알려진 악용 취약점' 목록에 올려, 연방 민간기관에 2025년 10월 27일까지 오라클 E-비즈니스 스위트를 수정하도록 했다.

조직의 유출 마감시한을 사흘 앞두고, 세일즈포스는 어떤 갈취 요구에도 응하거나 협상하거나 돈을 지불하지 않겠다고 고객들에게 이메일로 통보했다.

몸값 마감시한이 지나자 스캐터드 랩서스 헌터스는 콴타스 고객 기록 500만 건, 베트남항공 이메일 주소 730만 건을 포함해 6개 기업에서 탈취한 세일즈포스 데이터를 공개했다.

세일즈포스는 인식되지 않은 IP에서 고객의 세일즈포스 데이터로 API 호출이 들어온 것을 발견한 뒤, 게인사이트가 배포한 앱들이 보유한 모든 토큰을 폐기하고 앱익스체인지에서 이들을 내렸다.

갈취 조직 월드리크스가 2026년 1월 22일 자사 유출 사이트에 나이키를 올린 뒤, 나이키 내부 디자인·제조 파일 18만8,347건이라고 주장하는 약 1.4TB를 유출했다. 나이키는 잠재적 사이버보안 사건을 조사 중이라고만 밝혔다.

나이키가 2026년 2월 25일부터 침해 통지를 발송하기 시작했다. 1월 21일 발견된 이 침해는 제3자 서비스업체가 운영하는 포털에 대한 것으로, 고객의 연락처·주문·결제카드 정보가 노출됐다. 나이키는 전체 카드 정보나 계정 인증정보는 접근되지 않았다고 밝혔다.

퀄컴과 구글은 230개 이상의 칩셋에 영향을 미치는 오픈소스 퀄컴 그래픽 구성요소의 메모리 손상 버그를 공개했다. '제한적·표적 공격에 악용되고 있을 수 있다'는 설명이 붙었다.

세일즈포스는 이미 알려진 위협 조직이 변형된 맨디언트 도구로 공개된 익스피리언스 클라우드 사이트를 대량 스캔하면서, 지나치게 관대한 게스트 사용자 프로필을 통해 CRM 데이터를 빼내고 있다고 밝혔다.

오라클이 피플소프트 피플툴스의 로그인 없이도 원격코드실행이 가능한 심각도 9.8 취약점 CVE-2026-35273에 대한 보안 경고를 발행했다. ShinyHunters가 대부분 대학인 기관 100곳 넘게에서 데이터를 훔친 시점과 맞물렸다.

블랙햇 USA는 2026년 8월 1일부터 6일까지 만달레이베이 컨벤션센터에 2만 3,000명 넘는 참석자를 모았으며, 브리핑 100건 이상, 교육과정 100건 이상, 비즈니스 홀 참가업체 400곳 넘게 진행됐다.

데프콘 34는 2026년 8월 6일부터 9일까지 라스베이거스 컨벤션센터 웨스트홀을 가득 채웠으며, 참가자들에게는 앤드루 '버니' 황의 검사 가능한 오픈소스 바오칩을 기반으로 한 전자 배지가 지급됐다.

아마존은 맨디언트(Mandiant)를 창업해 구글에 54억 달러에 매각했던 사이버보안 베테랑 케빈 맨디아를 이사회와 감사위원회·보안위원회에 선임했다.

마이크로소프트의 역대 최대 규모 보안 업데이트가 966건의 취약점을 패치했으며, 이미 공격에 악용된 윈도우 권한상승 제로데이 2건과 '치명적(Critical)' 등급 105건이 포함됐다.

루이지애나의 신원확인 업체 IDScan.net은 해커가 자사 클라우드에서 운전면허 데이터 - 성명 전체, 면허번호, 그 밖의 정부 문서 신원번호 - 를 미국과 캐나다 1억 5,000만 명 넘는 사람들 분량으로 빼갔다고 확인했다. 면허 사진을 포함한 이 데이터는 다크웹 사이트에 게시되었다.

EU 사이버복원력법이 첫 실질 시행 단계에 들어선다. EU에서 판매되는 디지털 요소를 지닌 모든 제품의 제조사는 실제로 악용되는 취약점과 심각한 사고를 ENISA와 자국 CSIRT에 신고해야 한다 - 24시간 안에 조기 경보, 72시간 안에 전체 통지, 14일 안에 최종 보고서다.

2026년 10월 13일 Microsoft는 Office LTSC 2021과 Office 2021의 지원을 종료하고, Windows Server 2012와 2012 R2의 세 번째이자 마지막 확장 보안 업데이트 연도가 끝난다. 그 이후에는 둘 다 Microsoft의 보안 수정이나 기술 지원을 받지 못한다.

오라클의 온프레미스 제품 전반에 대한 분기별 보안 패치 묶음이 10월 셋째 화요일에 발행될 예정이다.

DEF CON 35는 2026년 DEF CON 34가 열렸던 라스베이거스 컨벤션 센터 웨스트홀에서 2027년 8월 5~8일 개최될 예정이다.

마이크로소프트의 윈도우 10 22H2용 소비자 확장보안업데이트(ESU) 프로그램이 마지막 보안 패치를 배포한다. 가정용 윈도우 10 PC는 이 날짜 이후에도 계속 작동하지만 더는 보안 수정을 받지 못하며, 2027년 10월 12일은 누구든 등록할 수 있는 마지막 날이기도 하다.

사이버복원력법이 담은 모든 의무가 발효된다. 디지털 요소를 지닌 제품은 이 법의 핵심 사이버보안 요건을 충족하고, 적합성 평가를 받으며, 명시된 지원 기간 동안 보안 업데이트를 받는 경우에만 EU 시장에 출시될 수 있다.