ShinyHunters, Helix 등 랜섬웨어·갈취 조직과 연계된 해커들이 2026년 5월부터 기업 직원들에게 전화나 문자를 보내 "패스키(Passkey)나 MFA(다중 인증) 설정을 지금 바꾸지 않으면 계정이 잠긴다"고 속여 마이크로소프트 365 계정을 탈취하고 있습니다. 피해자가 가짜 로그인 페이지에 접속하면 공격자는 실시간으로 세션 토큰을 가로채거나(AiTM 기법), 피해자가 직접 인증 코드를 입력하게 유도해 계정 권한을 빼앗습니다(디바이스 코드 피싱). 계정을 장악한 뒤에는 SharePoint, OneDrive, Exchange에서 문서·이메일을 대량으로 몰래 내려받으며, 탐지를 피하기 위해 시간당 1,000건 미만씩 수 시간에서 수일에 걸쳐 천천히 빼냅니다. 피해를 막으려면 피싱에 강한 MFA를 사용하고, 불필요한 디바이스 코드 인증을 비활성화하며, 새로운 MFA 등록이나 이상한 Graph API 호출 등 비정상 행동을 빠르게 감지해야 합니다.
ShinyHunters·Helix 등 갈취 조직 연계 해커들이 IT 헬프데스크를 사칭해 직원에게 전화·문자를 보내고, 가짜 Microsoft 로그인 페이지로 유도해 세션 토큰을 탈취하거나 디바이스 코드 피싱으로 계정 접근 권한을 가로채는 캠페인이 2026년 5월부터 확인됨.
Microsoft 365 계정 장악 후 SharePoint·OneDrive·Exchange에서 기업 문서·이메일 대량 유출. Salesforce·Google Workspace·Slack 등 SSO 연결 앱까지 피해 확대 가능. 공격자가 MFA 수단을 추가 등록해 초기화 전까지 지속 접근 가능.
AiTM(적대적 중간자) 피싱으로 세션 토큰 탈취, 또는 Microsoft 정식 인증 페이지를 악용한 디바이스 코드 피싱으로 OAuth 토큰 발급. SNS·링크드인 등 공개 정보로 타깃 사전 조사 후 정교한 사회공학 적용.
침해 계정의 활성 세션·토큰 즉시 폐기, 자격증명 재설정, 공격자가 추가한 MFA 수단·메일박스 규칙 제거, 인증 수단 재등록 요구. 피싱 저항성 MFA 도입, 민감 리소스를 관리 기기로 한정, 디바이스 코드 인증 불필요 시 비활성화.
Graph API의 /users·/groups·/sites 요청 자체는 정상이지만, 동일 계정·토큰이 짧은 시간에 여러 리소스를 순차 탐색한 뒤 메일·파일 접근으로 이어지면 침해 신호로 봐야 함. python-httpx 에이전트를 쓰는 SharePoint/OneDrive 접근과 신규 MFA 등록을 트리거로 알람을 설정할 것.
본문
Microsoft에 따르면 ShinyHunters, Helix 등 갈취 조직과 연계된 위협 행위자들이 패스키(Passkey)·싱글 사인온(SSO) 테마의 사회공학 공격을 이용해 기업 Microsoft 계정을 침해하고 Microsoft 365 서비스에서 데이터를 훔치고 있습니다.
이 활동은 2026년 5월부터 관찰됐으며, 공격자가 표적 조직과 직원을 사전 조사한 뒤 기업 IT 헬프데스크로 위장해 피해자에게 전화하거나 메시지를 보내는 방식으로 시작됩니다.
공격자는 직원들에게 기업 시스템 접근 권한을 잃지 않으려면 패스키, MFA(다중 인증), 또는 SSO 설정을 긴급히 업데이트해야 한다고 말합니다.
이후 피해자는 정식 Microsoft 로그인 페이지처럼 꾸민 피싱 사이트로 유도되며, 링크가 직원 개인 휴대폰에 SMS로 전송되는 경우도 있습니다.
Microsoft는 미끼가 자주 패스키를 중심으로 구성되지만, 공격자가 실제로 패스키를 등록하려는 것은 아니라고 밝혔습니다.
대신 패스키 미끼는 표적 직원이 AiTM(적대적 중간자) 피싱 사이트에 로그인하거나 디바이스 코드 인증 흐름을 사용하도록 속이는 데 활용됩니다.
AiTM 공격은 위협 행위자가 자격증명과 세션 토큰을 가로챌 수 있게 합니다. 디바이스 코드 피싱은 피해자를 속여 Microsoft의 정식 인증 페이지를 통해 공격자가 제어하는 클라이언트에 계정 접근을 허가하도록 만듭니다.
Microsoft는 공격자들이 직원 타깃팅 전에 광범위한 사전 조사를 수행한다고 밝혔습니다.
"행위자는 공격 전 조사에 상당한 투자를 하는 것으로 보이며, 소셜 네트워크와 전문직 프로필 플랫폼 등 공개 출처에서 직원 및 조직 구조에 관한 정보를 수집할 가능성이 높습니다"라고 Microsoft는 설명합니다.
위협 행위자들은 또한 회사명에 패스키·SSO·키 동기화·계정 설정·신원 확인 관련 단어를 조합한 피싱 도메인을 등록합니다.
Microsoft가 확인한 예시로는 passkeyhelpdesk[.]com, secure-passkey[.]com, setupmypasskey[.]com, add-passkey[.]com, integratedsso[.]com, oktasession[.]com, keysyncos[.]com, oskeysync[.]com 등이 있습니다.
공격자들은 피싱 포털을 더 설득력 있게 보이기 위해 company-name.secure-passkey[.]com처럼 서브도메인에 피해 회사명을 넣는 경우가 많습니다.
Microsoft는 초기 접근 활동을 Storm-3121과 Storm-3032를 포함한 동일한 갈취 생태계에서 운영되는 복수의 위협 행위자들에 귀속시킵니다.
Storm-3121은 ShinyHunters 및 Falcon 갈취 조직과 연관되며, Storm-3032는 현재 Helix라는 이름으로 활동하는 BlackFile 갈취 조직 멤버들과 연계된 것으로 추정됩니다.
이 활동은 Google 위협 인텔리전스가 UNC6671 위협 클러스터로 문서화한 공격과 중첩됩니다.
Google은 이전에 UNC6671이 전화 기반 사회공학 및 패스키 테마 피싱 인프라를 사용해 기업 아이덴티티를 침해한 뒤 기업 클라우드 환경에 접근한다고 보고한 바 있습니다.
Google은 또한 UNC6671 활동을 BlackFile, Helix, Falcon, Pink, Redact를 포함한 동일 갈취 조직들과 연결지었습니다.
침해 후 Microsoft 클라우드 내부 탐색
Microsoft의 새 연구는 계정 침해 후 Microsoft 클라우드 환경 내부에서 무슨 일이 벌어지는지 자세히 보여줍니다.
조사된 한 공격에서 Microsoft는 Entra 로그에서 "OfficeHome"으로 식별된 Microsoft 365 서비스에 비관리 기기로부터 의심스러운 로그인이 발생한 것을 확인했습니다.
OfficeHome은 브라우저를 통해 접근하는 Office 애플리케이션을 포함한 Office 365 포털의 공유 인프라와 관련됩니다.
MFA를 완료한 후 공격자는 유효한 세션을 수립하고 침해된 계정으로 접근할 수 있는 리소스를 확인하기 시작했다고 Microsoft는 밝혔습니다.
수 분 내에 해당 세션은 계정에 할당된 애플리케이션 확인을 위한 My Apps, 조직 정보 확인을 위한 My Profile, Microsoft Approval Management, 계정 관리 인터페이스, My Sign-Ins 접근에 사용됐습니다.
이후 공격자는 SharePoint Online, Outlook Web, Microsoft 365 협업·검색 서비스, 내부 비즈니스 애플리케이션, 가상 데스크톱 관련 인증 흐름에 접근했습니다.
Microsoft에 따르면 세션은 약 한 시간 동안 유지되며 공격자는 민감한 파일과 내부 애플리케이션 목록을 열람했습니다.
또 다른 공격에서는 패스키 사회공학 공격이 디바이스 코드 피싱으로 이어졌으며, 피해자는 Microsoft의 정식 인증 페이지에 제공된 코드를 입력하도록 설득당했습니다.
Microsoft의 디바이스 인증 양식
이로 인해 공격자가 제어하는 OAuth 애플리케이션에 인증 토큰이 발급되고, 위협 행위자는 추가 MFA 도전 없이 피해자 계정에 접근할 수 있게 됩니다.
이제 공격자는 Microsoft 365, Salesforce, Google Workspace, Dropbox, Adobe, SAP, Slack, Zendesk, Atlassian 등 사용자의 모든 리소스와 연결된 SSO 애플리케이션에 접근할 수 있습니다.
세 번째 공격에서는 위협 행위자가 며칠 전 인증 앱이 등록된 것으로 추정되는 계정의 이전에 탈취된 자격증명을 사용했습니다.
Microsoft에 따르면 위협 행위자들은 이후 자동화된 Node.js 시스템과 Microsoft Graph를 이용해 정찰을 수행했습니다.
접근 권한을 얻은 후 공격자들은 자신이 제어하는 MFA 수단을 추가해 지속성을 확보하는 경우가 많습니다.
Microsoft에 따르면 공격자들은 침해된 아이덴티티에 새 전화번호, 인증 앱, 소프트웨어 기반 일회용 비밀번호 토큰을 등록합니다.
이를 통해 위협 행위자는 피해자의 도움 없이 향후 MFA 도전을 통과할 수 있지만, Microsoft는 자격증명과 세션을 완전히 초기화하면 지속성이 제거된다고 밝혔습니다.
이후 공격자들은 Microsoft Graph를 이용해 피해자의 클라우드 환경을 열거합니다.
Microsoft가 확인한 Graph 요청은 다음을 열거합니다:
- 조직, 라이선스, 활성화된 서비스
- 사용자, 그룹, 그룹 구성원
- 디렉터리 역할 및 권한 있는 계정
- 등록된 인증 수단
- 애플리케이션 및 서비스 주체
- OAuth 권한 및 애플리케이션 역할 할당
- SharePoint 사이트, 문서 라이브러리, 폴더, 파일
- OneDrive 리소스
- 메일 폴더, 메시지, 첨부파일
Microsoft는 /users, /groups, /sites 같은 Graph 요청이 기업 환경에서 일반적이므로 경보를 울리지 않을 수 있다고 밝혔습니다.
그러나 동일한 계정·애플리케이션·액세스 토큰이 여러 리소스를 빠르게 이동하며 권한과 인증 설정을 확인한 뒤 이메일·첨부파일·파일·문서에 접근하기 시작하면 더욱 의심스러운 활동이 됩니다.
정찰 이후 공격자들은 Microsoft 365로부터 클라우드 데이터 수집 단계로 넘어갑니다.
"Microsoft는 Microsoft SharePoint Online과 Microsoft OneDrive for Business를 표적으로 한 대용량 접근·다운로드 활동을 관찰했으며, 일부 침해는 REST API 기반의 이메일 콘텐츠 접근을 통해 Microsoft Exchange Online까지 확대됐습니다"라고 Microsoft는 설명합니다.
"SharePoint와 OneDrive 전반에서 해당 활동은 상당한 양의 FileAccessed 및 FileDownloaded 이벤트를 생성했으며, 이는 클라우드에 저장된 문서와 조직 데이터의 체계적인 검색을 나타냅니다."
Microsoft는 SharePoint·OneDrive 접근 및 유출 시 python-httpx 사용자 에이전트를 사용한 연결이 관찰됐다며 자동화된 것으로 보인다고 밝혔습니다.
또한 공격자들은 탐지를 피하기 위해 빠른 "스매시 앤 그랩" 방식의 탈취를 피하는 것으로 보입니다.
Microsoft는 데이터 탈취가 대신 몇 시간에서 수일에 걸쳐 지속되며, 위협 행위자들이 정상 트래픽에 섞이기 위해 한 시간에 1,000건 미만의 파일이나 이메일에만 접근한다고 밝혔습니다.
Microsoft는 새로운 MFA 등록이 뒤따르는 비정상적 로그인, Microsoft Graph 정찰, SharePoint·OneDrive·Exchange에 대한 의심스러운 접근을 탐지할 것을 권고합니다.
계정이 침해된 경우, 관리자는 활성 세션과 토큰을 즉시 폐기하고, 자격증명을 초기화하며, 공격자가 추가한 인증 수단이나 메일박스 규칙을 제거하고, 사용자가 인증 수단을 재등록하도록 요구해야 합니다.
Microsoft는 또한 피싱 저항성 MFA 사용, 민감한 클라우드 리소스를 관리 기기로 한정, 필요하지 않을 때 디바이스 코드 인증 비활성화를 권고합니다.
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
