공대생의 이것저것☀︎

11월 3일 새벽, 클라우드 배포 서비스 Primcloud의 창업자 Josh Manders가 X에 글을 올렸다. 경쟁사 Railway에 "당신네 직원이 왜 우리 인프라를 뚫으려 하느냐"고 공개적으로 물은 것이다. Manders에 따르면 Railway 엔지니어가 돌린 AI 에이전트가 약 15분 동안 명령 24개를 실행했다. 고객 시크릿을 전부 요청했고, 내부 주소 65,536개를 두 번 포트 스캔했다. 모두 막혔고 빠져나간 데이터는 없다는 것이 Primcloud 쪽 설명이다. Railway CEO는 바로 사과했다. 다만 의도적인 침투였는지, 테스트용 에이전트가 폭주한 것인지는 아직 양쪽 말이 다르다. 아래 공격 내용은 Primcloud의 주장이고, 로그나 명령 기록은 공개되지 않았다. Primcloud가..

대통령 전용기 탑승자 168명의 여권정보가 해킹이 아니라 악성코드 검사 사이트를 통해 밖으로 나갔다. 파일이 올라간 날은 6월 2일이고, 알려진 건 11월 2일이다. 약 5개월 동안 누군가 내려받을 수 있는 상태였다는 뜻이다. 파일이 올라간 곳은 구글이 운영하는 VirusTotal이다. 보안 일을 하는 사람이라면 하루에도 몇 번씩 여는 사이트이고, 그래서 더 흔하게 생기는 사고이기도 하다. 이번 글은 사고 분석 입장에서 정리했다. 누가 올렸는지는 아직 조사 중이라 단정하지 않고, 검사하려고 올린 파일이 어떻게 공개 자료가 되는지에 집중했다. 지금까지 확인된 사실노출된 파일은 6월 대통령의 벨기에·프랑스·이탈리아 순방을 앞두고 만든 탑승자 명단 엑셀 파일로 보도됐다. 대통령과 영부인, 고위 공직자, 대통..

화상 면접에서 만난 지원자의 얼굴과 목소리가 둘 다 진짜가 아닐 수 있다. 마이크로소프트(MS)가 공개한 북한 IT 인력의 수법이 그렇다. 신분증 사진은 얼굴 합성 앱으로 바꾸고, 면접에서는 음성 변조 프로그램으로 억양을 지운다. MS는 10월 29일 북한 해킹 조직들의 AI 활용 수준을 네 단계로 평가한 보고서를 냈다. 위장취업을 맡은 조직 Jasper Sleet는 맨 위인 '운영화' 단계에 올랐다. 일상 업무 곳곳에 AI가 들어가 있다는 뜻이다. 이 블로그에서는 국내 첫 적발 사례와 노트북 농장을 다뤘다. 이번 글은 그 사이의 빈칸, 즉 가짜 지원자가 AI로 서류와 면접을 통과하고 입사 뒤에도 들키지 않는 방법을 정리했다. 날짜부터 짚고 가야 하는 보고서이 주제를 찾아보면 MS 자료가 여러 개 나온..

2026년 6월 12일, 미국 Citizens Bank 코네티컷 지점의 모기지 책임자가 사표를 냈다. 그 뒤 49분 동안 같은 팀 6명이 줄줄이 사직했고, 그날 안에 2명이 더 나갔다. 이들은 모두 핀테크 은행 SoFi로 옮겼다. Citizens는 9월 9일 코네티컷 연방지방법원에 SoFi를 상대로 소송을 냈다. 사람을 데려간 것만 문제 삼은 게 아니다. 떠나기 직전 고객 목록이 개인 메일로 나갔고, 고객 정보가 담긴 스프레드시트가 외부로 올라가려 했고, 대출 진행 현황 보고서가 출력됐다는 주장이 소장에 들어 있다. 앞선 퇴사자 보안 글은 회사를 떠난 뒤에도 남아 있는 계정과 키를 다뤘다. 이번 글은 그 반대편, 사표를 내기 전 며칠 동안 무엇이 나가는지와 팀이 한꺼번에 움직일 때 생기는 문제를 정리한다..

전역한 지 몇 년 된 선배가 연락해 온다. 홍콩에 아는 사람이 있는데, 미군에 관한 글을 써 주면 돈을 준다고 한다. 처음 부탁은 공개된 자료로 쓸 수 있는 수준이었다. 미 육군 전역자 Ruoyu Duan이 9월 16일 미국 오리건주 연방법원에서 국방정보 수집·전달 공모 혐의를 인정했다. 법무부와 현지 언론이 공개한 내용을 보면, 현역 군인을 끌어들인 방식은 위에 쓴 장면과 크게 다르지 않았다. 그렇게 시작된 일은 3년 뒤 'TOP SECRET'이 찍힌 하드디스크가 부대 밖으로 팔려 나가는 데까지 갔다. 이 사건에서 공개된 사실과 세 사람의 역할, 회사 보안 쪽에서 다시 보게 되는 지점을 정리했다. 9월 16일 Duan이 인정한 혐의Duan은 41세로, 2013년부터 2017년까지 육군 현역으로 복무했..