마이크로소프트가 주도하는 민관 합동 대응팀이 'EvilTokens'라는 피싱(가짜 로그인 페이지로 계정을 탈취하는 공격) 서비스를 차단했습니다. 이 서비스는 1만 개 이상의 조직에서 1만 2,000개가 넘는 이메일 계정을 침해했으며, 2026년 2월부터 텔레그램을 통해 판매됐습니다. 공격자들은 피해자가 정상적인 마이크로소프트 로그인 과정에서 인증 코드를 입력하도록 유도해 비밀번호 없이도 계정에 접근할 수 있었고, 내장된 AI 챗봇이 이메일 내용을 분석해 송금 담당자를 식별하고 사기 메시지까지 자동으로 작성해줬습니다. 수사기관이 50개 웹사이트와 150개 이상의 도메인을 압수·차단했으며, 영국에서 용의자 2명이 체포됐습니다. 기업은 이메일 계정 침해 후 세션·토큰 즉시 폐기, 결제 정보 변경 요청의 2차 경로 확인 등 대응 조치를 즉시 점검해야 합니다.
마이크로소프트 등 민관 합동 대응팀이 피싱 서비스 'EvilTokens'를 차단했다. 이 서비스는 1만 2,000개 이상의 기업 이메일 수신함을 침해했으며, 내장된 AI 도구로 이메일을 자동 분석해 금융 사기를 지원했다.
전 세계 1만 개 이상 조직이 피해를 입었으며, 피해 업종은 도소매 유통·건설·금융·고등교육·의료 등 다양하다. 침해된 계정을 통해 송금 지시 위조, 거래처 사칭 사기(BEC)가 가능했다.
피해자가 마이크로소프트의 정상 로그인 페이지에서 인증 코드를 입력하도록 유도하는 AiTM(중간자 피싱) 방식으로 세션 토큰을 탈취했다. 비밀번호를 재설정해도 토큰·세션을 함께 폐기하지 않으면 접근 권한이 유지된다.
미국 버지니아 동부지방법원의 승인 아래 50개 웹사이트·150개 이상 도메인을 압수·차단했다. 영국 경찰이 용의자 2명(32세, 38세)을 체포했으며, 마이크로소프트는 피해 고객에 통보하고 계정 복구를 지원했다.
계정 침해 발생 시 비밀번호 재설정만으로는 부족하며, 모든 활성 세션과 토큰을 즉시 폐기해야 한다. 송금 정보 변경·자금 이체·이상 거래 승인 요청은 이메일 외 신뢰할 수 있는 별도 채널로 반드시 재확인해야 한다.
본문
1만 개 이상의 조직에서 1만 2,000개가 넘는 이메일 수신함을 침해한 피싱 서비스 EvilTokens가, 마이크로소프트가 주도하는 법 집행기관 및 민간 부문 파트너 연합에 의해 차단됐다.
미국 버지니아 동부지방법원의 허가를 받아, 마이크로소프트와 Health-ISAC은 Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation, TRM Labs와 협력해 서비스 운영에 사용된 웹사이트 50개를 압수하고 인프라와 연결된 150개 이상의 도메인을 비활성화했다.
압수 공지 (마이크로소프트)
마이크로소프트는 피해 고객에게 통보하고, 침해된 계정의 복구를 지원했으며, 추가 수사를 위한 정보를 공유했다.
마이크로소프트 디지털범죄수사팀(Digital Crimes Unit) 부법무팀장 겸 GM인 스티븐 마사다(Steven Masada)는 "어떤 단일 조직도 혼자서는 EvilTokens를 차단할 수 없었습니다. 이 서비스는 호스팅 제공업체, 클라우드 서비스, AI 도구, 금융 서비스 및 기타 온라인 리소스에 의존했으며, 사이버 범죄자들은 이를 대규모 사기를 지원하는 데 악용했습니다"라고 밝혔다.
2026년 9월 11일, 런던경찰청 사이버범죄팀 수사관들이 EvilTokens 운영과 관련된 혐의로 32세와 38세 남성 2명을 체포했다. 두 사람 모두 수사가 진행되는 동안 조건부 보석으로 석방된 상태다.
피해자의 이메일을 읽는 AI 챗봇
2026년 2월에 출시된 이 서비스는 범죄자들에게 이메일 계정 접근 권한과 함께 내부 내용을 분석하는 AI 챗봇을 제공했다.
피해자들은 마이크로소프트의 정상 로그인 페이지에서 인증 코드를 입력하도록 유도됐다. 이 일반적인 단계를 완료함으로써 피해자들은 자신도 모르게 비밀번호를 노출하지 않고도 계정 접근 권한을 넘겨주게 됐다.
마사다는 "연결된 세션과 토큰을 함께 폐기하지 않으면, 비밀번호를 재설정한 후에도 해당 접근 권한이 유지될 수 있습니다"라고 지적했다.
수신함에 침투하면, 서비스의 AI 도구는 이메일을 요약·번역하고, 금융 관련 대화를 추출하며, 조직 내 역할을 파악하고, 신뢰 관계를 매핑할 수 있었다. 사전 설정된 프롬프트는 전신 송금 논의 검색, 거래처 청구서 위치 파악, 조직의 "자금 담당자" 식별, 그리고 사칭하기에 가장 적합한 인물 결정 등을 지원했다. 또한 이 플랫폼은 신뢰할 수 있는 연락처를 사칭하는 메시지 초안 작성도 가능했다.
마사다는 AI가 "누구를 표적으로 삼고, 누구를 사칭할지 결정하는 데 도움을 줬다"고 덧붙였다.
마이크로소프트는 피해자 활동의 최고 집중도가 미국, 캐나다, 영국, 호주, 인도, 프랑스에서 관찰됐다고 밝혔다. 피해 조직은 도소매 유통과 건설업부터 금융 서비스, 고등교육, 의료 분야까지 다양했다.
마사다는 "텔레그램을 통해 가입비 $1,500과 정기 구독료 $500에 판매된 EvilTokens는 계정 침해, 수신함 분석, 표적 선정, 사기 준비를 단일 서비스로 결합했습니다. 신원 공격, 클라우드 시스템, 사회공학, 금융 사기에 걸친 경험이 필요했던 기능들을 기성품 인터페이스를 통해 이용할 수 있게 됐습니다"라고 설명했다.
마이크로소프트 수사관들은 역공학(reverse engineering)과 AI 기반 도구를 활용해 증거를 분석하고 서비스를 지원하는 인프라를 식별했다.
마사다는 "EvilTokens를 지원하는 인프라는 차단됐지만, 이 서비스가 보여준 모델은 함께 사라지지 않을 것입니다. EvilTokens는 침해된 계정과 이러한 기능들이 결합되어 금융 사기를 가속화할 수 있는 방식의 초기 사례를 제시했습니다"라고 경고했다.
그는 조직들이 수신함이 침해되면 범죄자들이 "수 분 안에 그 내용을 파악할 수 있다"고 가정해야 한다고 조언했다.
마사다는 "강력한 신원 보호와 모니터링은 여전히 필수적이지만, 조직들은 결제 정보 변경, 자금 이체, 이상 거래 승인 요청을 신뢰할 수 있는 별도의 2차 채널을 통해 독립적으로 검증해야 합니다"라고 결론지었다.
