Zoomsday: AI를 활용해 단 하루 만에 치명적인 Zoom 익스플로잇 구축

요약

• 한 보안 연구원이 20개 미만의 AI 프롬프트를 사용하여 Zoom 결함을 찾아내고 악용했습니다.
• 이 버그는 Zoom의 주석 도구에 영향을 미쳤으며 공격자가 다른 참가자의 장치에서 코드를 실행할 수 있게 했습니다.
• Zoom은 취약점이 공개적으로 공개되기 전에 이를 수정했습니다.

AI는 심각한 보안 결함을 더 빠르고 쉽게 찾을 수 있도록 만들고 있습니다. 이제 한 연구원이 공개적으로 사용 가능한 모델을 사용하여 화상 채팅 플랫폼인 Zoom에서 취약점을 찾고 24시간 이내에 작동하는 공격을 24시간 미만에 구축했다고 말합니다.

화요일에 발표된 보고서에서 이를 ‘Zoomsday’라고 명명한 이스라엘 사이버 보안 기업 A Security는 한 연구원이 20개 미만의 AI 프롬프트를 사용하여 피해자의 아무런 조치 없이도 회의 중인 누군가가 다른 참가자의 장치를 제어할 수 있는 Zoom의 주석 도구 결함을 발견했다고 밝혔습니다.

“악성 코드가 피해자의 장치에서 실행되면, 위협 행위자는 조용히 개인 데이터를 훔치거나, 마이크나 카메라를 켜서 대상을 감시하거나, 다른 악성 소프트웨어를 설치할 수 있습니다.”라고 A Security는 썼습니다. “대규모 통화에서는 단 하나의 메시지로 방 안의 모든 대상을 공격할 수 있으며, 안전한 자리는 없습니다.”

A Security에 따르면, 이 공격은 Windows, macOS, Linux, Android, 및 iOS용 Zoom 앱에서 테스트되었습니다. 이 기업은 이러한 익스플로잇을 구축하는 데 과거에는 전문가, 수개월의 작업, 그리고 막대한 예산이 필요했다는 점을 들어 이를 “국가 차원급(nation-state-grade)”이라고 불렀습니다.

이 결함들은 CVE-2026-53413, CVE-2026-53414, 및 CVE-2026-53415로 추적됩니다. CVE는 보안 취약점에 대한 공개 식별자입니다.

“이와 같은 익스플로잇은 무기입니다. 정부는 이들의 수출을 규제합니다. 범죄 조직은 이를 위해 수백만 달러를 지불합니다.”라고 그들은 썼습니다. “하나를 확보하려면 항상 국가 차원의 인프라, 엘리트 팀, 그리고 수개월의 작업이 필요했습니다.”

A Security는 이 익스플로잇을 통해 공격자가 회의에 참석하거나 호스팅할 수 있고, 모든 참가자를 대상으로 삼을 수 있으며, “피해자의 어떠한 조치도 필요하지 않고 침해를 나타내는 시각적 단서도 없이” 그들의 기기를 장악할 수 있다고 말했습니다.

“이것은 양방향으로 작동했습니다. 침해된 발표자는 모든 참가자에게 도달할 수 있었고, 모든 참가자는 발표자에게 도달할 수 있었습니다.”라고 그들은 썼습니다.