AI & LLM 模型 API Key凭证代码仓库与云环境中泄露

Flare 的一项最新研究发现，超过 10,000 个 Docker Hub 容器镜像泄露了生产系统、CI/CD 数据库或大型语言模型 (LLM) 密钥的凭证。“42% 的泄露镜像包含五个或更多密钥，这意味着单个容器即可解锁整个云环境、CI/CD 流水线和数据库，”该公司表示。“AI LLM 模型密钥是最常泄露的凭证，泄露的密钥近 4,000 个，这表明 AI 的普及速度已经远远超过了安全控制措施的实施速度。” 此次泄露构成严重风险，因为它使用户能够完全访问云环境、Git 代码库、CI/CD 系统、支付集成和其他核心基础设施组件。

세일즈포스 공급망 공격으로 인해 유출된 글로벌 자동차 대기업 스텔란티스 데이터

글로벌 자동차 기업인 Stellantis는 타사 서비스 제공업체의 플랫폼 침해로 인해 북미 고객 데이터 중 일부가 도난당한 사실을 확인했습니다. 이 공격은 Salesforce 공급망과 관련이 있으며, 공격자는 권한을 넘어 고객의 주소록 정보에 액세스했습니다. 이 공격은 스텔란티스의 Salesforce 인스턴스에서 이름과 연락처 정보를 포함한 1,800만 개 이상의 기록을 훔쳤다고 주장하는 해커 그룹 ShinyHunters와 관련된 것으로 추정되며, ShinyHunters는 올해 초부터 보이스피싱 및 기타 방법을 통해 여러 차례 Salesforce 고객을 공격하여 Google을 비롯한 고객에게 영향을 미쳤습니다, Cisco, 아디다스, 루이비통 등 다양한 기업에 영향을 미쳤습니다.

구글 크롬 V8 엔진의 유형 난독화 취약점(CVE-2025-6554)

취약점 설명

CVE-2025-6554는 구글 크롬의 V8 엔진의 유형 혼동 취약점입니다. 버전 138.0.7204.96 이전의 Google Chrome에서 원격 공격자는 악성 HTML 페이지를 조작하여 임의의 읽기 및 쓰기 작업을 수행할 수 있습니다.

취약점이 영향을 미치는 버전

구글 크롬 버전이 138.0.7204.96보다 낮습니다.

취약점 기술 세부 정보

CVE-2025-6554는 V8 자바스크립트 및 웹어셈블리 엔진의 유형 혼동 취약점입니다. 유형 난독화 취약점은 악용되어 임의의 코드 실행 및 프로그램 충돌로 이어질 수 있는 예기치 않은 소프트웨어 동작을 유발할 수 있으므로 심각한 결과를 초래할 수 있습니다.

취약성 영향 표면 평가

이 취약점은 제로데이 익스플로잇으로, 공격자가 수정 사항이 나오기 전에 익스플로잇을 시작한다는 의미입니다. 실제 공격에서 해커는 이러한 취약점을 통해 스파이웨어를 설치하거나, 드라이브 바이 다운로드를 시작하거나, 사용자가 악성 웹사이트를 열도록 유도하여 유해한 코드를 조용히 실행할 수 있습니다.

이 취약점은 구글의 위협 분석 그룹(TAG)의 클레망 르시뉴가 2025년 6월 25일에 발견하여 보고한 것으로, 국가가 후원하는 공격자나 감시 작전과 관련된 고도로 표적화된 공격에 사용되었을 가능성이 있다고 합니다.TAG는 일반적으로 정부 후원 공격과 같은 심각한 위협을 탐지하고 조사하는 기관입니다.

또한 Google은 다음 날 모든 플랫폼의 안정 릴리스 채널로 푸시된 구성 변경을 통해 이 문제가 완화되었다고 밝혔습니다. 일반 사용자에게는 아직 위협이 널리 퍼져 있지 않을 수 있지만, 특히 민감하거나 가치가 높은 데이터를 다루는 경우에는 긴급하게 패치를 적용해야 합니다.

CVE-2025-6554는 CVE-2025-2783, CVE-2025-4664, CVE-2025-5419에 이어 구글이 올해 초부터 해결한 네 번째 Chrome 제로데이 취약점입니다. 하지만 CVE-2025-4664가 악의적으로 악용되었는지 여부는 불분명하다는 점에 유의할 필요가 있습니다.

취약성 해결 권장 사항

잠재적인 위협으로부터 보호하려면 Chrome을 Windows용 138.0.7204.96/.97, macOS용 138.0.7204.92/.93, Linux용 138.0.7204.96으로 업데이트하는 것이 좋습니다.

브라우저가 최신 버전인지 확실하지 않은 경우 설정 > 도움말 > Google 크롬 정보로 이동하면 자동으로 최신 업데이트가 실행됩니다. -최신 업데이트가 자동으로 실행됩니다. 여러 엔드포인트를 관리하는 조직과 IT 팀의 경우 자동 패치 관리를 활성화하고 브라우저 버전 규정 준수를 모니터링하는 것이 중요합니다.

Microsoft Edge, Brave, Opera, Vivaldi 등 다른 Chromium 기반 브라우저 사용자도 수정 사항이 제공되면 바로 적용하는 것이 좋습니다.

중국의 첫 번째 하위 사이버 보안 보험 서비스 파일럿 정책은 1,500개 이상에 달했습니다.

중국 최초의 서브 네트워크 보안 보험 서비스 시범 사업은 1,500개 이상의 기업 보험에 가입하여 총 보험료 규모가 1억 5천만 위안 이상, 총 보험 금액이 약 115억 위안에 달하는 괄목할 만한 성과를 거두었습니다. 거주자를 위한 사기 방지 보험은 200만 건을 돌파했으며, 총 보험료는 2,400만 위안, 총 보험금은 1,000억 위안이 넘었습니다. 사이버 보안 보험은 사이버 보안과 금융 서비스의 혁신적인 융합으로서 기업의 사이버 보안 위험 대처 능력을 강화하고 중소기업의 디지털 전환을 촉진하며 사이버 보안을 위한 사회화된 서비스 시스템을 구축하고 사이버 보안 산업의 고품질 발전을 촉진하는 데 도움이 됩니다.

애드스파워 지문 브라우저 해킹 사건

애드스파워 지문 브라우저는 1월 21일 18:00~1월 24일 18:00(UTC+8) 사이에 애드스파워를 사용 중이고 확장 지갑을 설치하거나 확장 지갑을 수동으로 업데이트한 경우, 애드스파워의 확장 지갑(예: MetaMask 등)이 백도어가 있는 버전일 수 있다고 투명하게 침해 사실을 공개했습니다. 백도어는 도우미/비밀키를 훔칩니다.
공식 발표는 아래와 같습니다:
사용자 여러분.

2025년 1월 24일, 애드스파워 보안팀은 일부 암호화폐 지갑 플러그인이 악의적으로 대체된 것을 발견했습니다. 저희는 이 문제를 매우 심각하게 받아들이고 있으며, 회원님의 데이터를 안전하게 보호하기 위해 즉시 문제를 해결했습니다.

자산을 더욱 안전하게 보호하려면 1월 21일 18:00~1월 24일 18:00(UTC+8) 사이에 암호화된 지갑 플러그인을 업데이트하거나 설치하신 경우, 플러그인을 다시 설치하고 새 보안 지갑 주소로 자금을 이체하실 것을 권장합니다.

이 기간 동안 활동을 하지 않거나 앱 내 알림을 받지 못하더라도 계정은 안전하므로 걱정할 필요가 없습니다.

하지만 이러한 상황으로 인해 불편과 불안을 느끼셨을 수 있다는 점을 이해합니다. 추가적인 조사와 철저한 문제 해결을 위해 슬로우 포그 테크놀로지에 의뢰했습니다.
슬로우미스트_팀
조사 및 증거 수집에 참여하세요.

궁금한 점이 있거나 도움이 필요하면 클라이언트 터미널 오른쪽 하단의 온라인 고객 서비스 또는 이메일(support@adspower.net)을 통해 언제든지 문의하시기 바랍니다.

여러분의 이해와 성원에 감사드리며, 애드스파워 팀은 더욱 안전하고 안정적인 서비스를 제공하기 위해 계속 노력하겠습니다🙏.

AdsPower 팀

7만 명을 체포하고 160명 이상을 구조한 중국과 여러 국가가 전기 사기에 맞서기 위해 공동 작전을 펼칩니다.

랑캉 법 집행 협력 센터는 2024년 8월부터 12월까지 캄보디아, 중국, 라오스, 미얀마, 태국, 베트남의 법 집행 기관과 협력하여 지역 통신망 사기 및 그 파생 상품과 총기 및 탄약 밀수에 공동으로 대처하는 "시걸" 합동 법 집행 작전을 조직하고 시행했습니다. 이 작전 기간 동안 양측은 주로 보이스피싱을 포함한 다양한 유형의 범죄 160여 건을 단속하고 7만 명 이상의 용의자를 체포했으며 160명 이상의 피해자를 구출했습니다.
올해 센터는 적절한 시기에 '갈매기' 공동 작전 2단계를 개시하여 통신망 사기 및 파생 범죄에 지속적으로 대응하고, 특히 각국의 조난자 및 갇힌 사람을 구조하는 데 총력을 기울여 역내 각국 국민의 생명과 재산의 안전, 지역 안보와 안정을 효과적으로 보호할 것입니다.

의료 업계에서 235,000명 이상의 환자 데이터 유출, 의료 기관이 1,000만 달러 이상의 보상금 지급

최근 미국 뉴욕주 법원은 원 브루클린 헬스 시스템에 대한 집단 소송에 대해 150만 달러(1086만 루피)의 합의금을 예비 승인했습니다. 이 소송은 2022년 11월에 발생한 사이버 공격으로 인해 235,000명 이상의 민감한 건강 데이터가 유출된 데 따른 것입니다.
제안된 합의안에 따라 자격을 갖춘 집단 소송 회원은 최대 2,500달러의 실제 본인 부담 손해배상금과 데이터 유출의 여파를 처리하는 데 소요된 시간(시간당 25달러로 최대 4시간)에 대한 보상금을 청구할 수 있습니다.

업계 '내부자' 입찰, 30만 명의 주택 소유자 정보 유출.

최근 산둥성 X시 공안국은 시민의 개인정보를 침해한 사건을 적발하고 60여 명의 용의자를 체포했습니다. 용의자들은 부동산 판매원의 신분을 이용해 소유자의 이름, 휴대폰 번호, 집 번호, 가구 유형, 신분증 번호, 은행 대출 정보 등을 인테리어, 가전제품, 가구 회사에 판매했으며, 30만 건 이상의 정보가 유출된 것으로 밝혀졌습니다. 그는 "대략 개당 0.5위안에서 10위안 정도"라며 "오래된 동네는 집주인의 리모델링 의지가 부족해 상대적으로 저렴하고, 신도시나 인수를 앞둔 동네, 빌라 지역은 집주인의 정보에 비해 가격이 조금 더 비싸다"고 말했다. 20만 위안이 넘는 금액이 관련된 이번 사건에 대해 경찰은 심층 수사를 계속하고, 기업에는 데이터 보호를 강화하도록, 일반인에게는 개인정보 보호에 대한 인식을 제고하도록 촉구할 예정입니다. 유출 행위가 발견되면 경찰은 권익을 보호하기 위해 적시에 조치를 취해야 합니다.

사이버 보안 기관 구축을 위한 인공지능 안전 규제 시스템

신화통신은 네트워크 보안 시스템 강화와 인공지능 안전 모니터링 시스템 구축에 관한 중국 공산당 중앙위원회의 '중국식 현대화 추진을 위한 개혁을 더욱 전면적으로 심화할 데 관한 결정'을 발표할 권한을 부여받았습니다.

캐나다 의료 기관에서 민감한 개인 정보의 대규모 데이터 유출 사고 발생

2024년 5월 30일, 치우롱 랜섬웨어 그룹은 캐나다 브리티시컬럼비아주 코퀴틀람에 위치한 병원 및 의료 산업 관련 회사인 인디고 ENT 그룹과 관련된 대규모 데이터 유출 사건을 발표했습니다. 이 단체가 공유한 게시물에 따르면, 이들은 몇 주 동안 인디고 이비인후과 네트워크에 침투했으며, 그 기간 동안 수천 개의 개인 기밀 및 보호 대상 건강 정보(PHI)와 환자의 개인 식별 정보(PII)를 훔쳤다고 주장했습니다.