마이크로소프트가 내년 10월부터 로그인 인증 시스템인 Entra ID의 보안을 강화한다고 밝혔습니다. 로그인 화면에서 외부 스크립트가 함부로 끼어드는 것을 막는 새로운 정책(CSP, 콘텐츠 보안 정책)을 적용해, 신뢰할 수 있는 마이크로소프트 서버에서 나온 스크립트만 실행되도록 제한하는 것입니다. 이렇게 하면 로그인 페이지에 악성 코드를 몰래 심어 계정 정보를 훔치는 크로스사이트 스크립팅(XSS) 공격을 예방할 수 있습니다. 다만 로그인 화면에 스크립트를 끼워 넣는 브라우저 확장 프로그램이나 도구를 쓰는 기업은 이 변경 후 해당 도구가 작동하지 않을 수 있어, 미리 테스트해보고 대비해야 합니다. 이번 조치는 2023년 중국 해커들이 여러 기관의 이메일을 대거 침해한 사건 이후 마이크로소프트가 추진 중인 보안 강화 계획의 일환입니다.
마이크로소프트가 2026년 10월 중순부터 Entra ID 로그인 화면에 콘텐츠 보안 정책(CSP)을 적용해 마이크로소프트 CDN이 아닌 외부 스크립트의 실행을 차단한다.
로그인 페이지에 악성 스크립트를 주입해 자격 증명을 훔치는 크로스사이트 스크립팅(XSS) 등 공격을 막을 수 있지만, 로그인 화면에 코드를 주입하던 기존 브라우저 확장 프로그램·도구는 더 이상 작동하지 않을 수 있다.
2023년 중국발 해커들이 Exchange Online 메일함을 대규모로 침해한 사건을 계기로 마이크로소프트가 추진 중인 '보안 미래 이니셔티브(Secure Future Initiative)'의 일환이다.
마이크로소프트는 기업 고객에게 로그인 화면에 코드를 주입하는 도구 사용을 중단하고, 변경 적용 전에 로그인 시나리오를 테스트해 브라우저 개발자 콘솔에서 CSP 위반 여부를 확인하라고 권고했다.
이 변경은 테넌트 설정 없이 자동 적용되며 사용자 로그인 자체는 계속 가능하지만, MSAL·API 기반 인증 흐름과 달리 브라우저 기반 로그인(login.microsoftonline.com)을 쓰는 조직은 사전 점검이 필요하다.
본문
마이크로소프트는 고객들에게 Entra ID 인증 시스템이 다음 달부터 외부 스크립트 주입 공격에 대해 더 나은 보호를 받게 될 것이라고 다시 알렸습니다.
이 회사는 2025년 11월 발표에서 Entra ID 로그인을 스크립트 주입 공격으로부터 보호하려는 계획을 처음 공개했습니다.
BleepingComputer가 확인한 월요일자 메시지 센터 업데이트에 따르면, 마이크로소프트는 Entra ID 로그인 시 신뢰할 수 있는 마이크로소프트 콘텐츠 전송 네트워크(CDN) 도메인의 스크립트만 허용하는 추가적인 콘텐츠 보안 정책(Content Security Policy, CSP) 방어 기능을 적용하기 시작할 예정입니다.
이번 롤아웃은 2026년 10월 말까지 완료될 예정이며, 그 이후에는 모든 사용자가 악성 코드를 웹사이트에 주입해 자격 증명을 훔치는 크로스사이트 스크립팅(cross-site scripting, XSS) 공격을 포함한 다양한 로그인 보안 위험으로부터 보호받게 됩니다.
"마이크로소프트 Entra ID는 2026년 10월 중순부터 외부 스크립트 주입을 차단하는 콘텐츠 보안 정책을 강제 적용해 로그인 보안을 강화할 것입니다,"라고 회사는 밝혔습니다. "이 변경은 인증 과정에서 신뢰할 수 있는 마이크로소프트 호스팅 스크립트만 실행되도록 허용하고 승인되지 않았거나 외부에서 주입된 코드를 차단함으로써 크로스사이트 스크립팅(XSS)과 같은 위협으로부터 사용자를 보호하는 데 도움이 됩니다."
마이크로소프트는 기업 고객들에게 새로운 CSP 변경이 적용되기 전에 로그인 페이지에 코드나 스크립트를 주입하는 브라우저 확장 프로그램과 도구 사용을 중단하라고 권고했습니다.
또한 다음 달 마감 기한 전에 로그인 시나리오를 테스트해 코드 주입 도구에 대한 의존성 문제를 파악하고 해결할 것을 촉구했습니다. IT 관리자는 브라우저 개발자 콘솔에서 로그인 흐름을 검토하고, 차단된 스크립트에 대한 세부 정보와 함께 빨간색 텍스트로 표시되는 위반 사항을 확인함으로써 잠재적 영향을 파악할 수 있습니다.
CSP 정책 위반 (마이크로소프트)
"지원되지 않는 스크립트 주입 도구가 더 이상 작동하지 않더라도 사용자는 계속 로그인할 수 있습니다. 이 변경은 서비스 업데이트의 일부로 기본 적용되며 테넌트 구성이 필요하지 않습니다,"라고 회사는 덧붙였습니다.
"마이크로소프트 인증 라이브러리(Microsoft Authentication Library, MSAL)와 API 기반 인증 흐름은 영향을 받지 않습니다. CSP 강제 적용은 login.microsoftonline.com을 사용하는 브라우저 기반 로그인 경험에만 적용되기 때문입니다."
이번 변경은 2023년 5월과 6월 중국 해커들이 전 세계 수십 개 조직과 수백 명 개인의 Exchange Online 메일함을 침해한 사건 이후 발표된 마이크로소프트의 보안 미래 이니셔티브(Secure Future Initiative, SFI)의 일환입니다.
같은 이니셔티브의 일환으로, 마이크로소프트는 Windows 버전의 Microsoft 365 및 Office 2024 앱에서 모든 ActiveX 컨트롤을 비활성화했으며, Microsoft 365 보안 기본값을 업데이트해 레거시 인증 프로토콜을 통한 Office, SharePoint, OneDrive 파일 접근을 차단했습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
