공격자들이 직원의 개인 휴대폰에 전화·문자를 보내 내부 IT 직원인 척 속인 뒤, Microsoft 365 기업 계정 접근 권한을 탈취하는 소셜 엔지니어링 캠페인이 2026년 5월부터 활발하게 진행 중입니다. 피해자가 가짜 Microsoft 로그인 페이지에 정보를 입력하는 순간, 공격자는 AiTM(중간자 피싱) 방식으로 세션을 가로채 계정에 침투합니다. 침투 후에는 자신만의 MFA(다중 인증) 수단을 등록해 장기적인 접근 거점을 확보하고, Microsoft Graph API를 이용해 파일·이메일·계정 정보를 수 시간에서 수일에 걸쳐 조용히 빼냅니다. 시간당 1,000건 미만으로 속도를 조절해 자동 경보를 피하는 점이 특징입니다. 이 캠페인은 ShinyHunters·Falcon·Helix 등 실제 활동 중인 금전 갈취 조직과 연계된 것으로 확인됐습니다.
Storm-3121·Storm-3032 등 위협 행위자들이 직원 개인 휴대폰으로 IT 부서를 사칭해 전화·문자를 보내고, 가짜 Microsoft 로그인 페이지로 유도해 기업 Microsoft 365 계정을 탈취하는 캠페인. 2026년 5월부터 추적 중.
SharePoint Online, OneDrive for Business, Exchange Online의 파일과 이메일 대량 유출. 공격자는 자체 MFA 수단을 등록해 초기 토큰 만료 후에도 지속 접근 가능. ShinyHunters·Falcon·Helix 금전 갈취 작전으로 이어질 수 있음.
직원 개인 기기는 기업 MDM(기기 관리) 밖에 있어 초기 접촉 흔적이 거의 남지 않음. AiTM 피싱 및 디바이스 코드 인증 흐름 악용으로 MFA를 우회하고, 공개 SNS·링크드인 등에서 수집한 조직 정보를 사전 준비에 활용.
Microsoft는 ▲Conditional Access를 통한 피싱 저항성 MFA 적용 ▲새 앱 동의에 관리자 승인 요구 ▲Exchange·SharePoint·Graph 권한 앱 접근 시 관리 기기 조건 설정을 권고. Microsoft Graph 활동을 개별 요청이 아닌 행동 흐름 전체로 상관 분석하도록 요구.
Graph API 호출은 단건으로는 정상처럼 보이므로, 동일 계정·토큰이 사용자→그룹→메일→파일 순서로 여러 범주를 연속 조회할 때를 이상 행동으로 탐지하도록 SIEM 규칙을 구성해야 합니다. 또한 계정에 새 MFA 수단이 등록되는 이벤트를 실시간 알림으로 설정하는 것이 핵심 대응책입니다.
본문
공격자들이 사내 IT 직원을 사칭해 직원의 개인 휴대폰으로 전화를 걸거나 문자를 보내는 소셜 엔지니어링 캠페인을 통해 기업 클라우드 계정 접근 권한을 빼앗고 있습니다. 일단 침투에 성공하면 Microsoft 365 앱, SharePoint, OneDrive, 이메일 받은편지함에서 파일과 메일을 수 주에 걸쳐 탈취한다고 Microsoft Security Research가 밝혔습니다.
(출처: Microsoft)
연구팀은 2026년 5월부터 이 캠페인을 추적해 왔습니다. 초기 접촉이 회사가 관리하지 않는 개인 휴대폰을 통해 이뤄지는 경우가 많아 조사관이 찾을 수 있는 흔적이 거의 남지 않습니다. 검토한 여러 사례에서 유일한 단서는 해당 직원이 전화나 문자를 받았던 사실을 기억하는 것뿐이었습니다.
"발신자는 서비스 중단을 피하려면 패스키(passkey), MFA(다중 인증), 또는 SSO(단일 로그인) 설정을 즉시 업데이트해야 한다며 긴박감을 조성합니다"라고 연구팀은 밝혔습니다. 이후 직원에게 Microsoft 로그인 화면처럼 꾸민 페이지로 연결되는 링크가 전송됩니다.
"패스키를 주제로 한 미끼가 자주 사용되지만, 패스키 등록이 공격자의 진짜 목적인 경우는 드뭅니다. 오히려 패스키 서사는 피해자를 AiTM(적대적 중간자, adversary-in-the-middle) 피싱 또는 디바이스 코드 인증 흐름으로 유도하기 위한 설득력 있는 구실로 활용됩니다"라고 Microsoft는 설명했습니다.
공격자들은 접촉 전에 링크드인 등 공개 전문 네트워킹 사이트를 포함한 공개 출처에서 직원 정보와 조직 구조를 수집하는 사전 작업을 수행하는 것으로 보입니다. 일부 사례에서는 이미 침해된 직원 계정을 이용해 Microsoft Teams를 통해 동료들에게 동일한 패스키 피싱 메시지를 보내기도 했는데, 이 수법은 피해자가 링크를 클릭할 가능성을 높입니다.
"일반적으로 관찰되는 기법 중 하나는 일반적인 도메인을 등록한 뒤 서브도메인에 대상 조직 이름을 삽입해, 얼핏 보면 친숙해 보이는 URL을 만드는 것입니다. 동일한 조직을 노리는 여러 도메인을 생성해 필요에 따라 인프라를 교체하기도 합니다"라고 연구팀은 설명했습니다.
침해된 계정은 지속적인 거점이 된다
계정 침투에 성공하면 공격자의 우선순위는 접근 상태를 유지하는 것으로 바뀝니다. 실제 사용자 없이도 향후 로그인 인증 요청을 승인할 수 있도록, 침해된 계정에 자신의 전화번호, 인증 앱, 또는 소프트웨어 기반 OTP(일회용 비밀번호) 토큰을 등록합니다.
Microsoft는 이를 "지속적 영구 접근 메커니즘(durable persistence mechanism)"이라 부르며, 공격자가 등록한 MFA 수단이 그대로 유지되는 한 최초 탈취한 토큰이나 세션이 만료된 후에도 접근이 유지된다고 설명했습니다.
Microsoft Graph 활동은 탐지하기 어렵다
거점을 확보한 공격자는 Microsoft 365 테넌트 전반에서 사용자, 파일, 메일, 권한을 연결하는 API인 Microsoft Graph로 눈을 돌립니다. 이 API를 통해 계정, 그룹, 관리자 역할, 등록된 인증 수단, 연결된 애플리케이션을 열거합니다.
Microsoft는 이 단계가 포착하기 가장 어렵다고 강조했습니다. /users나 /sites 같은 엔드포인트에 대한 단일 요청은 일반적인 기업 트래픽처럼 보입니다. 이상 신호는 동일한 계정 또는 액세스 토큰이 사용자·그룹 데이터에서 메일·파일 콘텐츠로 이어지는 여러 범주의 Graph 쿼리를 순차적으로 처리할 때만 드러납니다.
"이번 공격은 Graph 활동을 개별 API 요청이 아니라 행동 진행 패턴과 교차 이벤트 상관관계를 중심으로 전체적으로 평가해야 하는 이유를 잘 보여주는 사례입니다."
데이터 유출은 사용량 임계값 아래로 유지된다
마지막 단계는 수집입니다. Microsoft는 SharePoint Online과 OneDrive for Business에서 대용량 파일 접근 및 다운로드가 발생했으며, 일부 침해 사례에서는 REST API를 통해 Exchange Online의 이메일도 탈취됐음을 확인했습니다.
연구팀은 공격 속도를 "측정되고 지속적"이라고 표현했습니다. 일부 침해에서는 수 시간, 다른 경우에는 수 일에 걸쳐 이어졌으며, 공격자들은 시간당 파일이나 이메일을 1,000건 미만으로 제한했습니다. 이 임계값 덕분에 트래픽이 정상적인 계정 사용과 섞여 사용량 경보를 울리지 않으면서도 대량의 데이터를 빼낼 수 있습니다.
트래픽에는 자주 python-httpx 사용자 에이전트(user agent)가 포함되는데, 이는 폴더를 하나씩 클릭하는 방식이 아닌 자동화된 대용량 접근을 나타내는 지표입니다. 다만 Microsoft는 이 단서 하나만으로 너무 많은 것을 판단하지 말 것을 권고했습니다.
"사용자 에이전트 자체만으로는 악의적 활동으로 간주해서는 안 됩니다"라고 연구팀은 밝혔습니다. "대신 데이터 용량, 영향받은 계정, 출처 인프라, 사전 정찰 활동, 계정 침해 증거를 포함한 더 넓은 맥락에서 평가해야 합니다."
Microsoft Threat Intelligence는 초기 접근 활동을 Storm-3121, Storm-3032 등 다양한 위협 행위자들의 소행으로 귀속시켰습니다. Storm-3121은 ShinyHunters 및 Falcon 금전 갈취 작전과 연계돼 있으며, Storm-3032는 BlackFile 그룹에서 파생돼 현재 Helix라는 이름으로 독자적인 금전 갈취 활동을 펼치고 있습니다.
대응책으로 Microsoft는 Conditional Access를 통한 피싱 저항성 MFA 적용, 신규 앱 동의에 대한 관리자 승인 요구, Exchange·SharePoint·Graph 권한 애플리케이션 로그인 시 관리 기기 조건 설정 등 일반적인 방어 조치를 권고했습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
