웹사이트에 실제로 일어난 일.
출처와 함께, 한곳에.

GMO 사이버시큐리티 by 이에라에는 잇따른 부정 접근의 공격 서버에서, AI가 스스로 조사하고 시험하는 침투 테스트 도구 "ARTEX"가 쓰였다고 발표했습니다. 조사한 1대는 일본 기업 약 20곳(그중 9곳은 같은 업종)을 표적으로 하고 있었고, AI를 쓰는 비슷한 공격 서버가 6대 더 발견되었습니다. 표적 중 8곳은 9~10월에 정보 유출을 공표했습니다(표적이 된 기업이 모두 침입당한 것은 아닙니다). 한국 금융기관 공격에서도 같은 도구가 쓰였다고 CrowdStrike가 보고했습니다. 도구는 공개되어 있었지만 지금은 공개가 중단되었습니다.

침입 경로의 약점은 발표되지 않았습니다. GMO는 다른 글(10월 15일)에서, 공격하는 쪽이 AI를 써서 지원이 끝난 제품이나 약점 목록(CVE)에 실리지 않은 버전의 약점을 찾고 있다고 지적합니다. 그래서 같은 종류의 소견으로 보여 줍니다.

전국 지자체가 방재 메일 등에 쓰는 일괄 발송 서비스 "SpeeCAN RAIDEN"이 제3자의 부정 접근을 받았다고, 운영사인 주식회사 아르카디아가 발표했습니다. 유출 가능성이 있는 것은 추정으로 메일 주소 약 313만 6천 건·전화번호 약 10만 5천 건·팩스 번호 약 1만 5천 건입니다. 요코스카시는 방재 정보 메일 47,065명 등의 메일 주소가 유출되었을 우려가 있고 등록자에게 수상한 메일이 이미 도착하고 있다며 4개 서비스를 멈췄습니다. 같은 회사의 119 신고 서비스(NET119)에서도 이용자의 이름·생년월일·주소 등이 유출되었을 가능성이 있다고 발표되었습니다.

지자체 사이트 자체가 아니라 위탁처 서비스의 사건입니다. 침입 수법은 발표되지 않았고, 공격형 AI 에이전트(ARTEX)와의 관계도 발표되지 않았습니다.

시가 위탁한 사업의 행사 신청 폼에서 위탁업체가 열람 설정을 잘못해, 신청한 사람이 다른 신청자의 입력 내용을 볼 수 있는 상태가 되었습니다. 40명분의 이름·학년·전화번호·팩스번호·이메일 주소·응모 동기가 대상입니다. 10월 14일 신청자의 연락으로 확인되었고, 위탁업체가 같은 날 설정을 고쳤습니다.

원인은 암호화(https)가 아니지만, 폼에 입력한 내용이 다른 사람에게 보인 예입니다.

7월 14일 시의 디지털 아카이브 사이트 ‘데지마치’에 시스템 취약점을 이용한 부정 접근이 있었고, 일부 페이지가 온라인 카지노 사이트로 유도하는 페이지로 변조되었습니다. 8월 28일 외부의 신고로 확인되었습니다. 시는 시스템을 네트워크에서 분리하고 서비스를 중지한 뒤 자세히 조사하고 있습니다.

영국 스코틀랜드 스코티시 보더스 의회 사이트에 있는 지역 커뮤니티 카운슬 링크 69개 중 16건이 해외 온라인 도박 사이트로 연결되어 있었습니다. 16건 중 15건은 약 8년 전에 작동을 멈춘 외부 안내 사이트에 있던 주소로, 오래된 링크가 그대로 남아 있었습니다. BBC 스코틀랜드 보도 뒤 의회는 해당 링크를 모두 삭제했습니다.

대학이 계약한 렌털 서버에서, 한 사이트가 쓰던 Joomla 확장 기능 ‘JCE’의 취약점이 6월 초에 이용되어 서버를 밖에서 조작하는 부정 프로그램(웹셸)이 설치되었습니다. 7월 하순까지 같은 서버의 다른 사이트로도 퍼진 것으로 보이며, 부정 계정과 검색 결과를 오염시키는 스팸이 발견되었습니다. 대학은 같은 서버의 여러 사이트 공개를 중지했습니다.

호주 사이버보안센터(ACSC)는 사이트 관리 시스템(CMS)과 그 플러그인의 약점을 이용하는 전 세계 규모의 공격이 이어지고 있다고 주의를 환기했습니다. 많은 중소기업 사이트에 외부에서 조작하기 위한 파일(웹셸)이 설치되었습니다. 대상은 WordPress 플러그인, Craft CMS, Joomla의 JCE 등 17건의 약점이며, 모두 수정 업데이트가 나와 있고 몇 달 전에 나온 것도 있습니다.

개별 기업 이름은 공개되지 않았습니다.

대학 사이트의 ‘버추얼 투어’에 쓰던 도구의 취약점이 이용되어, 일부 페이지에서 대학과 관계없는 외부 사이트로 전송되게 되었습니다. 6월 12일에 확인되었습니다. 대학은 개인정보나 기밀정보 유출은 없다고 발표했습니다.

대학 사이트에 공개하던 ‘버추얼 캠퍼스 투어’ 소프트웨어의 취약점이 이용되어 부정한 URL이 만들어져 검색 결과에 나왔고, 대학 도메인 아래에 대학과 관계없는 내용이 표시되었습니다. 6월 17일에 확인되었습니다. 대학은 서버 침입이나 파일 변경, 개인정보·기밀정보 유출은 없다고 발표했습니다.

시구정촌의 세무 부서("시청 시민세과" 등)를 사칭해 코드 결제로 주민세 납부를 재촉하는 위조 메일에 총무성이 주의를 환기했습니다. 전국 .lg.jp 862개 단체(도도부현과 시·구) 중 위조 메일을 막는 설정(DMARC 격리·거부)까지 한 곳은 16개 단체·1.9%입니다(2026년 3월 발표 조사).

영국 통신회사 Virgin Media O2가 검색이나 AI 도구에서 가짜 고객센터 전화번호가 표시되는 것에 주의를 당부했습니다. 회사 조사에 따르면 영국인의 13%(약 8명 중 1명)가 검색이나 AI 도구에서 가짜 고객센터 번호를 본 적이 있고, 10%는 AI 도구가 내놓은 번호에 의지합니다. 회사는 이런 번호로 전화해 사기를 당한 고객 사례에 대응해 왔다고 밝혔습니다. 번호는 회사 공식 사이트·앱·청구서에 실린 것만 쓰도록 권합니다.

닫은 시 사이트의 주소(도메인) 중 5건이 제3자에게 넘어갔다며 목록을 공표했습니다. "시와 무관" "위험한 사이트로 유도될 우려" "호기심으로 열지 말 것"을 당부하고, 링크를 남긴 곳에 삭제를 요청하고 있습니다.

Microsoft는 조직 자체 도메인에서 내부로 보낸 것처럼 보이는 피싱 메일이 2025년 5월부터 많이 보이게 되었다고 보고했습니다. 메일 경로가 복잡하고 사칭 방지 설정이 올바르지 않은 조직의 도메인이 이용되었으며, 다양한 업종의 조직에 도착했습니다. 조직을 상대로 한 금전 사기에도 이용되었습니다. Microsoft는 DMARC를 거부(reject), SPF를 엄격한 실패(hard fail)로 설정하면 막기 쉬워지며, 느슨한 설정으로는 사칭을 막을 수 없다고 설명합니다.

도서관 사이트의 취약점이 이용되어, 2016년 3월~2025년 2월에 올린 약 100건의 기사에 부정한 스크립트가 심어졌습니다. 2025년 2월 6일~11월 13일에 방문한 사람에게 수상한 광고나 외부 사이트로의 강제 이동이 일어났을 우려가 있습니다. 대학은 사이트를 닫고 간단한 임시 사이트로 바꾸었으며, CMS 본체·테마·플러그인을 깨끗한 것으로 교체해 다시 만들겠다고 했습니다.

아시아·아프리카 언어문화연구소의 연구 성과를 공개하는 서버에서 사이트를 갱신하는 시스템(CMS)의 취약점을 이용한 부정 접근이 있었고, 일부 페이지가 온라인 카지노 사이트로 전송되도록 변조되었습니다. 영향 우려 기간은 2025년 6월 5일~8월 8일입니다. 대학은 서버를 멈추고, 취약점을 고치고 변조된 파일을 지운 뒤 재개하겠다고 했습니다.

모니터링 도구의 약점을 이용한 부정 접근으로 결제 페이지용 JavaScript가 변조되었습니다. 2025년 7월 23일부터 8월 8일까지 카드 30,431건(고객 29,932명)의 정보가 유출되었을 가능성이 있습니다. 카드 번호·유효기간·보안 코드 외에 이름·주소·전화번호·이메일 주소도 포함됩니다. 8월 8일 카드 결제를 중단했습니다.

출처에 따르면 원인은 결제 페이지용 JavaScript 변조입니다. 출처는 CSP를 언급하지 않습니다.

Google 검색에 나오는 AI 개요(AI Overviews)가 보여 준 전화번호로 걸었더니 회사가 아니라 사기범에게 연결되었다는 보고가 이어졌습니다. 미국에서는 Royal Caribbean 고객센터 번호를 찾던 사람이 그 번호로 전화해 신용카드 정보를 알려 주고 말았습니다. 인도에서는 Swiggy Instamart 고객센터 번호를 찾던 사람에게 번호가 표시되었지만, 이 회사에는 전화 창구가 없고 채팅만 있었습니다. Google은 문제를 파악하고 있으며, 확인된 몇몇 번호에 조치했다고 보도되었습니다.

보안 회사 Netcraft가 금융·소매·IT·공공요금 분야 50개 브랜드에 대해 AI(GPT-4.1 계열 모델)에게 '로그인하는 사이트 주소'를 평범한 말로 물었습니다. 제시된 97개 도메인 중 브랜드 소유는 66%였고, 29%는 등록되지 않았거나 쓰이지 않는 주소, 5%는 관계없는 다른 회사의 것이어서 합계 34%가 브랜드 소유가 아니었습니다. 다른 사례에서는 AI 검색 Perplexity가 Wells Fargo 로그인 주소로 진짜를 흉내 낸 가짜 페이지를 진짜보다 위에 보여 주었습니다.

호주 국세청(ATO)은 ATO를 사칭한 이메일 사기 신고가 전년 같은 시기보다 300% 넘게 늘었다고 알렸습니다. 세금 신고 시기에는 연락을 기다리는 사람이 많아 사기 신고가 늘어난다고 설명합니다. ATO는 개인정보를 회신하게 하거나 온라인 서비스에 로그인하게 하는 링크가 담긴 메시지를 요청 없이 보내지 않는다고 당부했습니다.

출처는 위조 메일 발신자 설정(DMARC 등)은 언급하지 않습니다. 이름을 사칭한 위조 메일의 예로 인용합니다.

국세청은 국세청 도메인 주소(@nts.go.kr)까지 악용한 해킹 메일이 발송되는 등 진위를 가리기가 어려워지고 있다고 설명했습니다. 이에 따라 2025년 6월 27일부터 받은 메일이나 문자가 실제로 국세청이 보낸 것인지 홈택스에서 확인할 수 있는 서비스를 시작했습니다.

출처는 DMARC 등의 설정은 언급하지 않습니다. 조직의 도메인을 사칭한 위조 메일의 예로 인용합니다.

네덜란드 단투마디얼시는 2017년부터 dantumadiel.frl을 썼지만, 비슷한 dantumadiel.nl은 등록하지 않았습니다. 지역 방송국 Omrop Fryslân이 이 .nl 주소를 빌리자 일주일 남짓 사이에 시 앞으로 보낸 메일 36통이 도착했고, 시민번호(BSN), 이의 신청, 아동 지원 등의 정보가 들어 있었습니다. 시 스스로도 이 주소로 메일을 보냈고, 2024년 7월부터 2025년 3월까지 시 소식지 8호에 실었습니다. 그 뒤 시는 .nl 주소를 사들여 공식 사이트로 연결되도록 했습니다.

홈페이지가 3번 변조되어 전체 페이지를 닫았습니다. 재개까지 약 36일, 장서 검색·예약은 전화로 받았습니다. 현의 발표에 따르면 관리 소프트웨어에 ID·비밀번호를 잇달아 시도한(무차별 대입) 흔적과, 일부 소프트웨어에 최신 업데이트가 적용되지 않은 것이 확인되었습니다. 현이 오랜 기간의 불편을 사과했습니다.

순천향대학교 대표 홈페이지에서 서버 소프트웨어(웹로직)의 약점이 이용되어 악성 파일(웹셸)이 설치되었습니다. 학생 등의 이름·학과·학번·주소·연락처 등 2,000여 건이 탈취되어 SNS에 유포되었습니다. 오라클이 2017년 10월 배포한 보안 패치는 약 6년 동안 적용되지 않았습니다. 경성대학교 포털도 같은 방식으로 공격받았습니다.

10년 이상 된 구형 쇼핑몰 솔루션 'e나무'의 장바구니 페이지가 공격받아, 이를 쓰던 17개 사업자의 홈페이지에서 주문자 개인정보 122건이 유출되었습니다. 대부분의 사업자는 새 시스템으로 옮겼지만, 일부 소규모 사업자가 구형 솔루션을 계속 쓰고 있었습니다. 개인정보보호위원회는 구형 솔루션의 기술 지원을 소홀히 했다며 NHN커머스에 과징금 870만 원 등을 부과했습니다.

영국 전력의 수급과 정산 데이터를 제공하는 Elexon의 Insights Solution(data.elexon.co.uk)에서 TLS 인증서가 2024년 7월 8일 기한으로 만료되어 브라우저에 인증서 경고가 표시되었습니다. 데이터를 자동으로 받는 구조(API)도 멈출 우려가 있었습니다. 인증서는 7월 9일 점심 무렵 갱신되었고, 중단은 반나절 정도였습니다(The Register 보도).

행정안전부가 운영하는 '정부기관 공식 누리집 검색'에는 5,826개 사이트가 실려 있었지만, 언론 조사에서 356곳은 접속되지 않았고 5곳은 주소가 잘못 표기되었으며 2곳은 다른 사람에게 넘어간 옛 주소였습니다. 2곳은 기관이 주소를 go.kr로 옮긴 뒤 비어 있던 or.kr 주소로, 성인용품 판매 사이트와 불법 도박 사이트로 연결되었습니다. 보도 뒤 행정안전부는 안내 주소를 삭제하거나 링크를 바꿨습니다.

미국 FBI·국무부·NSA가 공동으로, 북한의 Kimsuky라 불리는 그룹이 DMARC 설정이 미흡한 점을 이용해 사칭 메일을 보내고 있다고 주의를 당부했습니다. 메일은 실존하는 기자·연구자·동아시아 전문가를 사칭했습니다. DMARC가 올바르게 설정되어 있지 않으면 정상 주소(도메인)에서 온 것처럼 보이는 메일을 보낼 수 있다고 설명합니다. 대책으로 DMARC를 격리(p=quarantine) 또는 거부(p=reject)로 설정하도록 권고했습니다.

벨기에에서 2019년 두 마을이 합병해 펠트시가 된 뒤, 옛 마을 주소 overpelt.be가 갱신되지 않아 모르는 사람에게 넘어갔습니다. 지금은 그 사람이 '@overpelt.be' 메일 주소도 다룰 수 있는 상태이고, 사이트는 여러 주제의 블로그처럼 되어 있습니다. 시는 2022년에 알아차리고 되사려 했지만 하지 못했습니다. 같은 시기 한 보안 연구자가 복지 기관과 경찰 구역 등이 쓰던 만료된 주소 107건을 사들여 주의를 당부했습니다.

영국 세무 당국 HMRC는 1월까지 1년 동안 수상한 연락에 대한 시민 신고 207,800건에 대응했다고 발표했습니다(그 전 1년은 181,873건). 그중 79,000건 이상이 가짜 세금 환급을 내세운 것이었습니다. 사기범은 메일·전화·문자로 정부의 연락을 흉내 내어 진짜처럼 보이게 합니다. HMRC는 환급 대상임을 메일이나 전화 등으로 알리지 않는다고 당부했습니다.

출처는 위조 메일 발신자 설정(DMARC 등)은 언급하지 않습니다. 이름을 사칭한 위조 메일의 예로 인용합니다.

에어캐나다 사이트의 챗봇이 상조 할인 운임은 항공권 발행일로부터 90일 이내에 신청하면 된다고 답했고, 이용자는 정상 운임으로 항공권을 샀습니다. 실제로는 여행을 마친 뒤의 할인은 인정되지 않았고, 이는 사이트의 다른 페이지에 적혀 있었습니다. 항공사는 챗봇의 답에 책임을 질 수 없다고 주장했지만, 브리티시컬럼비아주 민사분쟁심판소는 챗봇도 사이트의 일부이며 답의 정확성에 충분한 주의를 기울이지 않았다며 항공사에 지급을 명령했습니다.

전화번호나 주소가 아니라 AI의 답이 공식 페이지와 달랐던 사례입니다.

네덜란드 정부 표준화 포럼(Forum Standaardisatie)의 조사에 따르면, 중앙 기관과 시 등 2,661개 도메인 중 2023년 중반에 DMARC 정책(policy)이 확인된 곳은 81%였습니다. 자료는 DMARC·DKIM·SPF를 함께 쓰면 메일 사칭을 막고 관공서 이름을 이용한 피싱을 어렵게 한다고 설명합니다. 이어 나머지 19% 도메인에는 관공서 이름을 이용한 피싱 메일을 막기 위한 엄격한 DMARC 정책이 아직 필요하다고 밝혔습니다. 시(363개 도메인)에서는 90%였습니다.

쓰지 않게 된 현 사이트의 주소(도메인) 5건이 경매 등으로 제3자에게 넘어갔습니다. 현은 "현과 무관"하다고 주의를 당부하고 링크를 남긴 곳에 삭제를 요청했습니다.

전자 신청 서비스의 결함으로 구민의 조성 신청 2건과 사업자의 보조 신청 3건(51명분의 개인정보)이 같은 서비스를 쓰는 다른 지자체로 전달되었습니다. 구가 사과하고 삭제를 요청했습니다(구는 지자체 간 폐쇄망 안의 일로 외부 유출은 없다고 합니다).

원인은 암호화가 아니지만, 신청 내용이 다른 사람의 손에 넘어간 피해의 예입니다.

2023년 6~7월, 미국 연방 정부 기관에서 외부에 공개된 웹 서버 2대가 침입당했습니다. 두 서버 모두 오래된 버전의 Adobe ColdFusion(2016 및 2021 초기 버전)으로 운영되고 있었습니다. CISA는 두 서버 모두 오래된 버전의 소프트웨어로 운영되고 있었다고 밝혔습니다.

기관 이름은 공개되지 않았습니다. CISA는 데이터가 반출된 증거는 확인되지 않았다고 밝혔습니다.

미국 메릴랜드주에서 약 80만 장의 자동차 번호판에 인쇄된 기념 사이트 주소(starspangled200.org)가 몇 달 동안 필리핀 온라인 카지노를 홍보하는 사이트로 넘어가 있었습니다. 이 주소는 원래 주의 기념행사 위원회의 것이었고, 2016년부터 주인이 여러 번 바뀌었습니다. 주 차량관리국(MVA)은 주 IT 부서와 함께 도메인 중개업자에게 의뢰해 주소를 되찾고 자체 홈페이지로 연결되도록 했습니다.

사이트 관리 시스템(CMS)의 약점이 이용되어 변조되었고, 방문자가 다른 악의적인 사이트로 자동으로 보내지는 상태가 되었습니다. 사이트를 멈추고 조사했습니다.

2023년 4월 주말, 위성 인터넷 Starlink가 전 세계에서 몇 시간 동안 연결되지 않았습니다. SpaceX의 일론 머스크는 원인을 '지상국 인증서 만료'라고 게시하고, 한 곳 때문에 전체가 멈추는 다른 약점이 없는지 점검하고 있다고 밝혔습니다.

웹사이트 인증서가 아니라 지상국 인증서입니다. 만료로 서비스가 멈춘 예로 인용합니다.

신용카드 회사 등을 사칭한 메일로 가짜 사이트에 유도해 카드 번호 등을 빼내는 피싱이 많이 발생하고 있다며, 총무성·경찰청·경제산업성이 카드 회사 등에 대책 강화를 요청했습니다. 피싱 메일은 도메인 이름을 사칭해 보내지는 경우가 많다며, 메일을 보내지 않는 것을 포함한 모든 도메인에 DMARC를 도입하고 사칭 메일을 수신 거부하는 정책으로 운용하도록 요청했습니다.

미국 연방 정부 기관의 웹 서버에서 2013년 버전 그대로 쓰이던 부품(Telerik UI for ASP.NET AJAX)의 약점이 이용되었습니다. 2022년 11월부터 2023년 1월 초까지 여러 사이버 공격자가 서버에 파일을 올려 실행했습니다. 부품 제작사에 따르면 2020년 초 이전 버전은 이 약점을 가지고 있습니다.

기관 이름은 공개되지 않았습니다. 2023년 4월에는 다른 기관에서도 같은 부품의 구버전 약점이 이용되었습니다.

Amazon은 고객이 신고한 Amazon 사칭 사기 중 50% 이상이 가짜 주문 확인이었다고 발표했습니다. 그해 20,000개가 넘는 피싱 사이트와 10,000개의 전화번호 삭제를 시작했습니다. 또 같은 해 20개가 넘는 나라에서 메일 확인 기술을 도입해, Gmail이나 Yahoo! 등에서는 Amazon 로고 아이콘으로 정말 Amazon이 보낸 메일임을 알 수 있게 했습니다.

출처는 DMARC를 명시하지 않습니다. 발신자 확인 구조를 도입한 기업의 예로 인용합니다.

2022년 6월 1일 자정부터 6월 2일 12시 4분까지 회사 홈페이지(www.gyosei-system.co.jp)를 열면 오류가 표시되었습니다. 원인은 SSL 인증서의 유효기간 만료였습니다. 회사는 사과문을 내고 관리 체제를 강화하겠다고 밝혔습니다.

2022년 1월 14일, 외교부와 내각 포털 등 약 15개의 정부 사이트가 변조되어 멈췄습니다. 우크라이나 CERT는 사이트 관리에 쓰는 October CMS의 약점이 이용되었을 가능성이 높다고 밝혔습니다. 이 약점을 고치는 업데이트는 2021년 8월에 나와 있었습니다.

온라인 쇼핑몰 사이트에 악성 코드가 삽입되어, 로그인한 6,241명의 이메일 주소와 비밀번호, 그리고 다른 98명의 카드 번호·유효기간·보안 코드가 탈취되었습니다. 사이트는 Magento 1.9로 운영되었고, Adobe가 배포한 4개의 보안 패치가 적용되지 않았습니다. Magento 1의 지원은 2020년 6월 30일에 끝났습니다. 싱가포르 개인정보보호위원회(PDPC)는 8,000싱가포르달러의 과징금을 부과하고 6개월 안에 지원되는 버전으로 올리도록 명령했습니다.

2021년 8월, 선거관리위원회의 메일 서버(Microsoft Exchange)가 침입당해, 2022년 10월까지 선거인 명부에 있는 약 4,000만 명의 이름과 주소에 접근할 수 있는 상태였습니다. 영국 개인정보 감독기관(ICO)에 따르면, 이용된 약점을 고치는 업데이트는 2021년 4월과 5월에 나와 있었지만 적용되지 않았습니다. 비밀번호 규칙도 부족했습니다.

침입 경로는 공개 사이트가 아니라 외부에서 쓸 수 있는 메일 서버입니다. 외부에서 보이는 소프트웨어의 업데이트가 늦어진 예로 보여 줍니다.

2021년 2월 15일(미국 태평양 시간), 인증서 설정 업데이트에 문제가 생겨 Google Voice 프런트엔드 시스템에서 쓰던 TLS 인증서가 만료되었습니다. 새로 연결하려던 단말기는 연결되지 않아 인터넷 전화를 걸거나 받을 수 없는 상태가 합계 4시간 22분 이어졌습니다. Google은 사과하고, 만료가 다가올 때의 알림을 늘리고 인증서 교체 자동화를 개선하겠다고 밝혔습니다.

검사 회사로부터 검사 결과를 받는 시스템의 디지털 인증서가 7월 31일에 갱신되지 않아 8월 4일까지 무효 상태였습니다. 7월 25일부터의 서버 장애와 겹쳐 약 30만 건의 코로나19 검사 결과가 처리되지 않거나 집계되지 않은 채 남았습니다. 주 보건복지부 장관이 경위를 설명했습니다.

공개 웹사이트가 아니라 데이터를 받는 시스템의 인증서입니다. 만료로 시스템이 멈춘 예로 인용합니다.

미국 3개 주 8개 시에서 주민이 공공요금 등을 내는 사이트(Click2Gov)의 결제 페이지에 JavaScript가 삽입되었습니다. 입력된 카드 번호·보안 코드·유효기간·이름·주소가 외부 서버로 보내졌습니다. 조사한 회사는 2020년 4월 10일경부터 이어졌다고 봅니다. 8개 시 중 5개 시는 2018년에도 피해를 입었습니다.

출처에 따르면 원인은 결제 페이지에 삽입된 스크립트입니다. 출처는 CSP를 언급하지 않습니다. 출처는 조사 회사의 보고서이며 시의 이름은 적혀 있지 않습니다.

2020년 2월 3일 아침, Microsoft Teams를 약 3시간 동안 쓸 수 없었습니다. 로그인하려던 사람에게는 HTTPS 연결을 할 수 없다는 오류가 표시되었습니다. Microsoft는 '인증 인증서가 만료되었다'고 설명하고, 새 인증서를 배포해 복구했습니다.

2019년 10월 7일 제3자가 macys.com의 두 페이지(결제 페이지와 My Account 지갑 페이지)에 부정 코드를 추가했습니다. 이 코드는 고객이 그곳에 입력한 이름·주소·전화번호·이메일 주소·카드 번호·보안 코드·유효기간을 가로채는 것이었습니다. 10월 15일 다른 사이트와의 수상한 통신으로 알아차리고 같은 날 코드를 제거했습니다. 스마트폰과 앱 이용은 해당되지 않았습니다.

출처에 따르면 원인은 페이지에 추가된 부정 코드입니다. 출처는 CSP를 언급하지 않습니다.

2019년 7월, 온라인 쇼핑몰 결제 부분에 이미 알려진 약점이 이용되어, 카드로 구매한 사람의 이름·주소·카드 유효기간·보안 코드가 수집되었습니다. 조사에 따르면 그 약점을 고치는 업데이트는 공격 3년 전에 나와 있었습니다. 사이트에 업데이트가 적용된 것은 2020년 7월 10일이며, 약 1년 동안의 구매가 대상이 되었습니다. 피해는 미국 전역에서 약 32만 명입니다.

2019년 1월, 미국 정부 기관의 셧다운이 이어지는 가운데 .gov 사이트에서 쓰이던 80개가 넘는 TLS 인증서가 만료된 채 갱신되지 않았습니다(Netcraft 조사). 법무부·NASA·항소법원 등의 사이트에서 브라우저가 경고를 표시했습니다. 법무부 사이트(ows2.usdoj.gov)는 인증서가 2018년 12월 17일에 만료되었고 HSTS 사전 등록 목록에 있었기 때문에, Chrome과 Firefox에서는 경고를 넘어 진행할 수 없어 열 수 없는 상태가 되었습니다.

2018년 12월 6일 오후 1시 39분경부터 오후 6시 4분까지 소프트뱅크와 와이모바일의 휴대전화(LTE)를 전국에서 쓸 수 없거나 쓰기 어려운 상태가 되었습니다. 장비를 만드는 에릭슨은 초기 조사에서 소프트웨어에 들어 있던 인증서의 만료를 원인으로 발표했고, CEO가 사과했습니다. 비슷한 장애가 에릭슨 설비를 쓰는 해외 11개국 사업자에서도 거의 같은 시각에 일어났다고 보도되었습니다.

웹사이트 인증서가 아니라 휴대전화망 장비에 들어 있던 인증서입니다. 만료로 시스템이 멈춘 예로 인용합니다.

2018년 6월 22일부터 9월 5일까지 사이버 공격자가 사내 네트워크에 들어가 사이트(britishairways.com)의 JavaScript 파일을 고쳐 썼습니다. 8월 21일부터 15일간 고객이 입력한 카드 정보의 사본이 사이버 공격자가 가진 다른 도메인(BAways.com)으로 보내졌습니다. 영국 데이터 보호 기관(ICO)은 약 429,612명의 정보가 접근되었을 가능성이 있다고 보고, 2020년 10월 2,000만 파운드의 제재금을 부과했습니다.

출처에 따르면 원인은 사이트의 JavaScript 변조입니다. 출처는 CSP(실행할 수 있는 스크립트를 제한하는 설정)를 언급하지 않습니다. 페이지 안에서 동작하는 스크립트가 입력 내용을 읽은 예로 인용합니다.

결제 페이지에도 두었던 외부 회사 챗봇의 JavaScript에 사이버 공격자가 부정 코드를 넣었습니다. 그 코드가 이름·카드 번호·유효기간·보안 코드 등 고객이 입력한 내용을 모았습니다. 유럽의 940만 명(그중 영국 150만 명)에게 영향 가능성이 통지되었습니다. 영국 ICO는 2020년 11월 125만 파운드의 제재금을 부과했습니다.

ICO는 결제 페이지에 외부 스크립트를 넣는 위험이 이전부터 알려져 있었다고 하며, SRI(스크립트 변조 여부를 확인하는 방식)와 CSP(어디의 스크립트를 불러올 수 있는지 정하는 설정) 등의 대책을 들었습니다. 회사는 당시 CSP를 사용하지 않았다고 인정했습니다.

튀르키예 통신사(Türk Telekom)의 네트워크 안에서 Avast·CCleaner·Opera·7-Zip 등의 공식 사이트에서 소프트웨어를 내려받으려던 사람이 스파이웨어가 들어간 버전으로 바뀌었습니다. 이 사이트들은 HTTPS를 지원하더라도 처음에는 암호화하지 않는(HTTP) 다운로드로 안내했기 때문에 도중에 바꿔치기되었다고 보고되었습니다. 보고서는 튀르키예와 시리아의 수백 명에게 영향이 있었다고 합니다.

출처는 연구 기관(Citizen Lab)의 보고서입니다. 보고서는 소프트웨어 배포 사이트를 중심으로 HTTPS를 널리 쓰도록 요구합니다.

2018년 2월 11일 많은 사이트가 불러오던 음성 읽기 부품(Browsealoud)의 JavaScript가 변조되어, 방문자의 기기에서 암호화폐를 채굴하는 코드가 실행되었습니다. 영국 ICO, NHS(국가 의료) 기관, 지방 관청 등 4,000개가 넘는 사이트가 영향을 받았습니다. 영국 NCSC(국가 사이버 보안 기관)에 따르면 이용자의 돈이 빠져나가지는 않았지만, 기기 성능과 배터리에 영향을 주었을 가능성이 있습니다.

NCSC는 외부 JavaScript를 넣을지 신중히 판단할 것, SRI(스크립트 변조 여부를 확인하는 방식), CSP(어디에서 스크립트를 불러올 수 있는지 정하는 설정)를 들었고, 잘 정한 CSP가 있었다면 이 공격을 막을 수 있었다는 연구자들의 견해도 소개했습니다.