MCP 서버를 통한 Mittwald 호스팅 공격: 관리 서비스 중단, 고객은 계정을 점검해야 합니다

무슨 일이 있었나

2026년 11월 12일 heise는 독일 웹 호스팅 업체 Mittwald가 MCP 서버를 통한 공격을 받았다고 보도했습니다. MCP(Model Context Protocol) 서버는 도구와 자동화를 다른 서비스 및 데이터에 연결합니다. Mittwald는 현재 비상 모드에 있습니다. 웹사이트는 제한된 모드로 운영되고 있으며, 블로그는 오프라인 상태이고, 고객용 관리 서비스는 중단되었습니다.

확보한 보도에는 공격자가 MCP 서버를 통해 어떻게 침입했는지, 어떤 시스템에 접근했는지, 고객 데이터, 웹사이트 또는 접근 자격 증명이 영향을 받았는지는 나와 있지 않습니다. Mittwald가 확인하기 전까지 이 사항들에 대한 어떤 진술도 미확정으로 보시기 바랍니다.

누가 위험에 처해 있나

• Mittwald에서 웹사이트, 웹 쇼핑몰 또는 기타 서비스를 호스팅하는 에이전시, 기업 및 개인입니다.
• 접근 데이터나 웹사이트가 노출된 경우 이들의 최종 고객입니다. 현재까지 이는 확인되지 않았습니다.

Mittwald에서 아무것도 호스팅하지 않고 Mittwald 서비스에 연결하지 않는다면, 이번 사고는 직접적인 영향을 주지 않습니다.

지금 해야 할 일

1. 정보는 Mittwald의 공식 채널을 통해서만 확인하십시오. 이번 사고를 빌미로 한 피싱 이메일과 전화에 주의하십시오. 예상치 못한 메시지의 링크를 통해 자격 증명을 입력하지 마시고, 전화를 건 사람에게 접근 데이터를 알려주지 마십시오.
2. 관리 서비스가 중단된 동안에는 서두르지 마십시오. 나중에 빠르게 처리할 수 있도록 Mittwald에 보유한 프로젝트, 도메인 및 계정을 기록해 두십시오.
3. 관리 서비스가 복구되면 Mittwald 고객 계정의 비밀번호를 변경하고, 제공되는 경우 2단계 인증을 활성화하십시오.
4. Mittwald에 저장되어 있었거나 Mittwald와 함께 사용한 다른 자격 증명을 교체하십시오. 여기에는 API 토큰, SSH 키, FTP/SFTP 및 데이터베이스 비밀번호, 메일함 비밀번호가 포함됩니다. 또한 해당 호스팅에 있는 CMS 및 쇼핑몰 관리자 계정의 비밀번호도 변경하십시오.
5. 호스팅 계정에 MCP 서버, AI 도구 또는 기타 자동화를 직접 연결하셨다면, 해당 토큰을 폐기하고 필요한 최소 권한으로 새로 발급하십시오.
6. Mittwald 외부에 보관 중인 모든 사이트의 최신 백업이 있는지 확인하십시오. 정상 상태로 복원해야 할 수도 있으므로 아직 이전 백업을 덮어쓰지 마십시오.
7. 발생한 상황을 고객에게 쉬운 말로 알리고, Mittwald가 발표하는 공지는 그대로 전달하십시오.

영향을 받았는지 확인하는 방법

• 관리 서비스가 복구되면 Mittwald 계정의 활동 기록, 사용자 및 접근 목록, SSH 키와 API 토큰을 검토하십시오. 직접 만들지 않은 항목이 있는지 살펴보십시오.
• 웹사이트 파일을 자체 백업이나 Git 저장소와 비교하십시오. 새로운 또는 변경된 PHP 파일, CMS나 쇼핑몰의 알 수 없는 관리자 사용자, 변경된 DNS 레코드나 메일 전달 설정이 있는지 확인하십시오.
• 2026년 11월 12일 전후의 사이트 접근 로그와 오류 로그에서 비정상적인 로그인이나 업로드가 있었는지 확인하십시오.
• 어떤 시스템과 데이터가 영향을 받았는지에 대한 Mittwald의 공지를 계속 확인하십시오. Mittwald가 고객 데이터나 접근 자격 증명이 노출되었다고 확인하면, 자체적인 개인정보 보호 신고 의무를 검토하십시오.

업데이트 2026년 11월 14일

Mittwald는 이제 공격자가 Mittwald 자체 MCP 서버의 취약점을 이용했다고 밝혔습니다. 이 서버는 고객이 mStudio 관리 플랫폼을 AI 어시스턴트에 연결할 수 있게 해 줍니다. 공격자는 이를 통해 세션 토큰을 읽었고 고객 프로젝트 56개에 침입했습니다. Mittwald에 따르면 비밀번호는 읽히지 않았으며 모든 세션 토큰은 폐기되었습니다. 영향을 받은 고객에게는 개별 이메일로 안내하고 있습니다. 보도에 따르면 공격자는 2026년 10월 21일에 처음 이 취약점을 탐색했고, 10월 27일에 이를 악용했으며, 11월 4일에 발견되었습니다. Mittwald는 11월 5일에 MCP 서버, mStudio 및 SSH를 차단했고, 이후 접근을 다시 열었다가 11월 12일 밤에 SSH, mStudio 및 고객 센터를 다시 차단했습니다. 웹사이트와 메일함은 계속 접근 가능한 상태입니다. Mittwald는 자사 웹사이트가 탈취되거나 훼손되지 않았다고 밝히고 있습니다.

• Mittwald로부터 개별 안내 메일이 왔는지 받은편지함을 확인하십시오. 메일을 받았다면 명시된 프로젝트는 침해된 것으로 간주하고, 이 경고의 파일, 사용자 및 로그 점검을 최소 2026년 10월 21일까지 거슬러 올라가 진행하십시오.

• 접근이 복구되면 mStudio에 대한 모든 MCP 또는 AI 어시스턴트 연결을 삭제하고 다시 생성하십시오. Mittwald가 서버가 수정되었음을 확인할 때까지 다시 연결하지 마십시오.

• https://www.heise.de/en/news/MCP-server-attack-puts-host-Mittwald-in-crisis-mode-11522845.html

• https://www.mittwald-status.de/incidents/255116

• https://blured.de/wissen/security-alerts/2026-11/mittwald-mcp-server-sicherheitsvorfall/

• https://ms-aktuell.de/welt/cyberangriff-mittwald-08-11-2026/

출처

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://www.heise.de/news/Angriff-ueber-MCP-Server-Webhoster-Mittwald-im-Krisenmodus-11522728.html