'PREY-0058'이라는 위협 그룹이 회사 IT 헬프데스크 직원을 사칭해 임원들에게 전화를 걸고, 가짜 Microsoft 365 로그인 페이지로 유도해 계정 비밀번호와 MFA(다단계 인증) 토큰을 훔치는 공격이 확산되고 있습니다. 공격자는 훔친 세션 토큰을 이용해 피해자의 SharePoint·OneDrive·Exchange·Box에서 대량의 데이터를 빼낸 후 금전을 요구합니다. 악성코드나 네트워크 침투 없이 오직 훔친 토큰만으로 움직이기 때문에 탐지가 어렵습니다. 미국 내 건설·의료·금융·부동산·전문서비스 업종이 주요 표적이며, 수백 개 기업을 사칭하는 가짜 도메인이 이미 발견되었습니다. 조직은 조건부 액세스 정책 적용, 피싱에 강한 MFA 도입, SharePoint 접근 범위 축소, 직원 보이스피싱 교육을 즉시 시행해야 합니다.
위협 클러스터 PREY-0058이 임원을 대상으로 IT 헬프데스크를 사칭한 전화(비싱, vishing)를 걸어 가짜 Microsoft 365 인증 페이지로 유도한 뒤, AitM(중간자 공격) 방식으로 자격증명과 MFA 세션 토큰을 탈취하고 SharePoint·OneDrive·Exchange·Box에서 대규모 데이터를 유출, 이후 협박(extortion)을 감행하고 있다.
경영진 계정 장악을 통한 기업 핵심 데이터 대량 유출 및 금전 협박 피해; 미국 건설·의료·금융·부동산·전문서비스 업종 피해 확인; 악성코드 없이 세션 토큰 재사용(session replay)으로 탐지 회피.
피해자가 실제처럼 보이는 피싱 URL(피해 조직명+미끼 도메인 조합)에 접속해 AitM 프록시를 통해 자격증명과 MFA 승인을 그대로 넘기고, 공격자가 주거용 프록시(residential proxy)를 통해 합법적인 세션처럼 위장해 재접속.
조건부 액세스(Conditional Access) 정책 구현, 피싱 저항성 MFA(FIDO2 등) 도입, SharePoint 데이터 접근 범위 최소화, 임직원·헬프데스크 대상 비싱 인식 교육 실시.
이 공격은 엔드포인트 악성코드나 내부 네트워크 이동 없이 토큰 재사용만으로 완성되므로, 주거용 프록시 IP를 통한 비정상 로그인, SharePoint 대량 검색·접근 이벤트, 사서함 대량 수집, 신규 등록된 인증 테마 도메인 접속을 중심으로 탐지 체계를 구성해야 한다.
본문
Ravie Lakshmanan | 2026년 9월 7일 | 피싱 / 신원 보안
위협 헌터들이 Microsoft 365 및 기타 SaaS(Software-as-a-Service) 서비스를 겨냥한 광범위한 데이터 탈취·협박 위협 클러스터의 세부 내용을 공개했다. 이 클러스터는 IT 헬프데스크를 사칭한 비싱(vishing, 음성 피싱), AitM(Adversary-in-the-Middle, 중간자 공격) 방식의 세션 토큰 탈취, 주거용 프록시(residential proxy)를 통한 로그인을 결합해 공격을 수행한다.
주로 이사(Director)·부사장(Vice President) 등 경영진을 표적으로 삼는 이 활동은 Arctic Wolf가 PREY-0058이라는 이름으로 추적하고 있으며, 구글 산하 Mandiant가 UNC6671로 지칭하는 데이터 협박 그룹과 공격 기법상 상당한 유사점을 공유한다고 밝혔다.
또한 'Cinder'라고 알려진 데이터 협박 위협 행위자는 Cinder 유출 사이트에 등록된 조직과 'Pink' 관련 조직 간의 겹침을 근거로, Pink 활동의 또 다른 리브랜딩이거나 그 연속일 가능성이 높다고 덧붙였다.
이처럼 끊임없이 바뀌는 이름들이 단일한 행위자 정체를 의미하는 것은 아니며, 구글이 지난달 초 밝힌 것처럼 동일한 피싱 인프라를 공유하는 제휴 조직·분파 그룹들의 느슨한 집합에 가깝다.
공격 체인은 위협 행위자가 내부 IT 또는 헬프데스크 직원을 사칭해 전화를 걸고, 잠재적 피해자를 <피해 조직명>.<미끼 도메인> 형태의 인증 테마 URL로 유도하는 것으로 시작된다. Arctic Wolf가 식별한 미끼 도메인 일부는 아래와 같다:
- assignpasskey[.]com
- mfaregister[.]com
- nowsso[.]com
- oskeysetup[.]com
- oursso[.]com
- passkey-mfa[.]com
- passkeydeploy[.]com
- registermymfa[.]com
- setpasskey[.]com
공격은 공격자가 통제하는 AitM Microsoft 365 로그인 흐름으로 이어지며, 이를 통해 자격증명과 MFA(다단계 인증) 승인을 수집해 인증된 세션 토큰을 획득한다. 탈취된 토큰은 이후 NodeMaven과 같은 프록시 인프라 — 피해자와 동일한 지리적 위치 및 ASN(자율 시스템 번호)으로 해석되는 IP 주소 — 를 통한 세션 재사용 공격(session replay attack)에 활용된다.
"초기 로그인 활동에는 'My Signins', 'My Profile', 'My Apps' 같은 애플리케이션이 관여하며, 이를 통해 계정 정보와 피해자가 이용 가능한 애플리케이션을 파악합니다"라고 연구원 Steven Campbell, Trevor Daher, Stefan Hostetler, Joshua Riccio가 분석 보고서에서 밝혔다.
"초기 접근 이후 위협 행위자들은 SharePoint와 Entra ID에 대한 정찰 기법을 수행합니다. SharePoint 정찰에는 contentclass:STS_Site, contentclass:STS_Web 등의 SearchQueryPerformed 이벤트와 페이지네이션을 위한 indexdocid 와일드카드 검색이 포함됩니다."
마지막 단계에서 위협 행위자들은 SharePoint, OneDrive, Exchange, Box에서 대규모 수집 및 외부 유출을 수행하고, 이후 피해자에게 협박 요구를 전달한다.
PREY-0058의 주목할 만한 특징은 엔드포인트 악성코드 배포나 네트워크 기반 내부 이동이 전혀 없다는 점이다. 미끼 인프라의 서브도메인을 추가 분석한 결과, 실제 기업들을 사칭하는 수백 개의 항목이 발견되었다.
표적은 주로 미국에 분포하며, 건설·엔지니어링, 의료·제약, 부동산·자산관리, 금융, 전문서비스 업종이 중심이다.
이 위협에 대응하기 위해 조직들은 조건부 액세스(Conditional Access) 정책 구현, 피싱 저항성 MFA 도입, SharePoint에서 사용자의 데이터 접근 범위 제한, 임직원 및 헬프데스크 직원 대상 비싱 위험 교육을 권고받고 있다.
"방어자들은 비정상적인 주거용 프록시 토큰 재사용, SharePoint 정찰 및 대량 접근, 사서함 수집, 신규 등록된 인증 테마 미끼 인프라를 탐지함으로써 이 활동을 차단할 수 있습니다"라고 Arctic Wolf는 밝혔다.
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
