"BigBear 2.0"라는 서비스형 피싱(PhaaS) 플랫폼이 258개 조직의 다중 인증(MFA)을 우회해 Microsoft 365 계정 5,000여 개의 자격증명을 탈취했습니다. 이 플랫폼은 공격자가 피해자와 Microsoft 서버 사이에 몰래 끼어들어 MFA 완료 후 발급되는 세션 쿠키까지 가로채는 방식(중간자 공격)을 사용합니다. 특히 FIDO2/WebAuthn 같은 강력한 인증 수단을 교란하는 자바스크립트를 써서 피해자를 더 취약한 인증 방식으로 유도하고, 지역별 일반 가정용 IP를 사용해 Microsoft의 이상 탐지를 회피합니다. 현재 피싱 인프라 일부는 오프라인이지만 관리 패널은 여전히 온라인 상태이며, 최소 5개 제휴 운영자가 텔레그램으로 실시간 탈취 정보를 받고 있어 위협이 지속 중입니다. 피해 가능성이 있는 조직은 즉시 비밀번호 초기화, 세션 무효화, 고권한 계정 재인증을 실시해야 합니다.
BigBear 2.0라는 서비스형 피싱 플랫폼이 Evilginx2 기반 중간자(AiTM) 프록시를 통해 Microsoft 365의 MFA를 우회하고 세션 쿠키를 탈취했다. 42개 VPS 노드로 운영되며 최소 5명의 제휴 공격자에게 임대되고 있다.
258개 조직에서 MFA 우회 인증이 완료됐으며, 5,137건의 자격증명(완전 MFA 우회 474건, 평문 비밀번호 1,032건, 세션 쿠키 4,148건)이 유출됐다. 40개국 이상, 3,331개 고유 피해자 IP가 영향을 받았다.
AiTM 프록시가 피해자와 Microsoft 인증 서버 사이에 개입해 MFA 완료 후 발급되는 세션 쿠키를 가로챈다. FIDO2/WebAuthn을 비활성화하는 커스텀 자바스크립트와 69개국 가정용 IP 프록시로 탐지를 회피한다.
CloudSEK이 수사기관 및 피해 조직에 통보하고 책임공개 보고서를 제출했다. 피싱 인프라는 약 3주간 오프라인 상태이나 관리 패널은 아직 온라인이다.
노출된 비밀번호를 즉시 초기화하고 활성 세션·갱신 토큰을 전면 폐기한 뒤 고권한 계정을 강제 재인증해야 한다. 피싱 저항성이 있는 FIDO2/WebAuthn 인증을 적용하고, 위치 기반 신호 대신 관리 디바이스 요건을 포함한 조건부 액세스 정책을 설정해야 한다.
본문
"BigBear 2.0"라는 서비스형 피싱(Phishing-as-a-Service) 프레임워크가 258개 조직의 다중 인증(MFA)을 우회하고 Microsoft 365 자격증명 5,000건 이상을 탈취하는 데 사용됐다.
사이버보안 기업 CloudSEK의 연구원들이 해당 서비스의 관리 패널에 관리자 권한으로 접근해 확인한 결과, 이 서비스는 42개의 VPS(가상 사설 서버) 노드를 운영하며 모두 Microsoft 365를 표적으로 설정되어 있었다.
연구원들에 따르면, 이 캠페인은 Evilginx2 기반의 중간자(Adversary-in-the-Middle, AiTM) 프레임워크를 사용해 비밀번호와 인증된 세션 쿠키를 가로챈다. 이를 통해 공격자는 피해자가 MFA 인증을 완료한 뒤에도 계정을 탈취할 수 있다.
BigBear는 "offy"라는 설정을 사용해 피해자와 Microsoft의 정식 인증 인프라 사이에 중간자(AiTM) 프록시를 구성한다.
이를 통해 공격자는 MFA를 포함한 자격증명과 세션 쿠키를 탈취하고, API를 통해 재사용하여 피해자의 인증 세션을 가로챌 수 있다.
캠페인 타임라인
출처: CloudSEK
Microsoft 365는 Exchange Online, Teams, SharePoint, OneDrive, Entra ID 인증 등을 포함하는 Microsoft의 클라우드 생산성·ID 생태계다.
Microsoft 365 인증 세션이 탈취되면 이메일과 파일이 노출될 뿐 아니라, 싱글 사인온(SSO)으로 연결된 다른 애플리케이션에도 접근이 가능해질 수 있다.
CloudSEK에 따르면, BigBear는 수백 개 조직을 침해하고 수천 건의 쿠키를 탈취하기에 충분할 만큼 효과적인 것으로 입증됐다.
CloudSEK은 BleepingComputer와 공유한 보고서에서 "해당 패널은 5,137건의 자격증명 레코드를 유출했으며, 여기에는 MFA 우회 인증 완료 474건, 평문 비밀번호 1,032건, 세션 쿠키 4,148건이 포함된다. 40개국 이상, 3,331개의 고유 피해자 IP가 영향을 받았으며, 작성 시점 기준 공격은 여전히 진행 중"이라고 밝혔다.
"다수 사용자가 이용하는 이 PhaaS 패널은 최소 5명의 제휴 운영자에게 임대되고 있으며, 각 운영자는 텔레그램 유출 봇을 통해 실시간으로 탈취된 자격증명을 수신하고 있다."
광범위한 표적 데이터셋에는 461개 조직이 포함됐으나, CloudSEK은 실제로 MFA 우회 침해가 한 건 이상 완료된 조직은 258개라고 명확히 밝혔다.
또한 CloudSEK은 BigBear가 FIDO2/WebAuthn 인증을 방해하는 커스텀 자바스크립트를 사용한다는 사실도 발견했다. 이 스크립트는 브라우저의 해당 기능을 비활성화해 피해자를 더 취약한 인증 방식으로 강제 유도한다.
효과를 높이기 위해 이 플랫폼은 69개국의 지역별 일반 가정용 프록시(Residential Proxy)를 사용하여 피해자의 위치와 일치하는 가정용 IP 주소로 접속함으로써, Microsoft의 인증 서버가 해당 활동을 의심스럽게 탐지하지 못하도록 한다.
BigBear 패널의 프록시 설정 화면
출처: CloudSEK
CloudSEK은 수사 기관과 여러 피해 조직에 통보하고, 책임공개(Responsible Disclosure) 보고서에 자격증명 정보를 포함시켰다.
작성 시점 기준, 관리 패널은 온라인 상태를 유지하고 있으나 피싱 인프라는 약 3주째 오프라인 상태다.
BigBear 활동으로 잠재적 피해를 입은 조직은 노출된 비밀번호를 초기화하고, 활성 세션·갱신 토큰(Refresh Token)을 폐기하며, 고권한 계정에 대해 강제 재인증을 실시해야 한다.
또한 피싱 저항성이 있는 FIDO2/WebAuthn 인증을 의무화하고, 지리적 위치 신호에 의존하는 대신 관리 디바이스 요건을 포함한 조건부 액세스(Conditional Access) 정책을 적용하는 것이 권장된다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
