실제 보도된 최근 보안 사고 9건을 골라, 공격자가 무엇을 노렸고 어떤 기술적 허점을 파고들었는지 먼저 개념을 짚어드립니다. 각 문제는 사건의 실제 공격 기법·목표를 기준으로 출제되며, 정답을 고르면 즉시 정오답과 해설이 표시됩니다.
이번 회차에서 다루는 9개 사건
- 쿠팡 개인정보 대량 유출 — 퇴사자가 회수되지 않은 JWT 서명키를 이용, 5개월간 인증을 우회해 3,367만 건 조회. 내부자 위협의 전형.
- 티빙(TVING) 침해사고 — 유출 이후 크리덴셜 스터핑 확산 우려로 비밀번호 변경 권고.
- 네덜란드 오디도(Odido) 통신사 해킹 — IT 헬프데스크 직원을 사칭한 보이스피싱(비싱)으로 내부 시스템 접근권 탈취, 600만 명 정보 유출.
- Claude for Chrome 확장 취약점 (ClaudeBleed / 합성 클릭) — 과신된 브라우저 통신 흐름을 악용해 임의의 다른 확장 프로그램이 AI 에이전트의 권한을 상속(Confused Deputy), 간접 프롬프트 인젝션과 결합.
- 노트패드++(Notepad++) 공급망 공격 — 업데이트 트래픽을 가로채 악성 바이너리 배포, 중국계 공격 그룹 Lotus Panda 관련 추정, 6개월간 인프라를 주기적으로 교체.
- 제이스크램블러(jscrambler 유사) npm 패키지 사칭 — 설치 시 postinstall 스크립트로 개발자 PC의 자격증명·환경변수 탈취.
- 클릭픽스(ClickFix) 캠페인 — 가짜 보안 인증/캡차 화면으로 사용자가 직접 악성 명령어를 클립보드에 복사해 실행하도록 유도, 국가 배후 추정 그룹과 연계.
- 글래스웜(GlassWorm) — 보이지 않는 유니코드 문자로 코드 리뷰를 회피하고, 솔라나 블록체인을 명령제어(C2) 인프라로 사용하는 자기 복제형 VS Code 확장 웜.
- 北 APT37 캠페인 — 연구·학계를 겨냥한 스피어피싱 기반 정보 탈취 공작.