FBI는 2025년 말부터 정치인·기자·학자 등 유명 인사와 그 주변인을 노린 'OAuth 동의 피싱(OAuth consent phishing)' 공격이 계속되고 있다고 경고했습니다. 공격자는 Microsoft나 Google 같은 정식 서비스의 로그인 화면을 그대로 이용하기 때문에, 피해자가 속아서 권한을 허용하면 비밀번호 없이도 이메일·파일에 무제한 접근할 수 있게 됩니다. 이 방식은 다단계 인증(MFA)도 우회하며, 비밀번호를 바꿔도 공격자의 접근이 차단되지 않는다는 점이 특히 위험합니다. 피해를 막으려면 계정의 '앱 권한 설정'에서 해당 토큰을 직접 취소해야 합니다. FBI는 출처를 알 수 없는 메시지의 링크를 클릭할 때 각별히 주의하고, 신뢰할 수 없는 애플리케이션에는 절대 권한을 부여하지 말 것을 권고했습니다.
FBI IC3이 2025년 말부터 지속되고 있는 OAuth 동의 피싱 캠페인을 공식 경고했다. 공격자는 정부 관계자·언론인 등을 사칭해 피해자에게 악성 OAuth 앱 링크를 보내고, 피해자가 권한을 승인하면 계정에 영구적으로 접근한다.
비밀번호와 MFA를 모두 우회해 이메일·파일 등 민감 데이터에 무제한 접근 가능하며, 비밀번호 변경 후에도 공격자의 접근이 유지된다. 공격자는 피해자로 가장해 이메일 발송·문서 열람 등 모든 계정 행위를 수행할 수 있다.
OAuth 프레임워크의 위임 인증 구조를 악용했다. 공격자가 정식 OAuth 공급자(Microsoft, Google 등)에 악성 앱을 등록하고, 소셜 엔지니어링으로 피해자를 유도해 권한 동의를 얻는다.
피해자는 계정의 앱 보안 설정에서 악성 앱 토큰을 직접 취소해야 한다. FBI는 모르는 번호·계정의 메시지를 주의하고, 발신자 신원을 독립적으로 확인하며, 신뢰할 수 없는 앱에 권한을 부여하지 말 것을 권고했다.
임직원 보안 교육 시 'MFA가 있어도 OAuth 피싱은 막히지 않는다'는 점을 명시해야 한다. 정기적으로 계정에 연결된 서드파티 앱 목록을 감사하고, 불필요하거나 의심스러운 앱의 토큰을 즉시 취소하는 절차를 마련해야 한다.
본문
FBI는 공격자들이 著名人과 그 친인척·개인 지인을 표적으로 삼아 개인 이메일과 파일을 포함한 계정에 지속적으로 접근하고 있다고 경고했다.
FBI 산하 인터넷범죄신고센터(IC3)는 'OAuth 동의 피싱(OAuth consent phishing)'이라는 기법을 활용한 이 활동이 2025년 말부터 계속되고 있다고 밝혔다. FBI는 이를 "비밀번호 없이 사용자 계정에 접근하는 기만적이고 정교한 방식"이라고 설명했다.
OAuth는 사용자가 직접 로그인 자격증명을 넘기지 않고도 하나의 애플리케이션이 다른 서비스의 사용자 계정에 대한 접근을 요청할 수 있도록 하는 프레임워크다.
FBI는 권고문에서 "최근 확인된 활동에는 상업용 메시징 앱(CMA)에서 정부 관리·언론인·공인 등을 사칭하고, 공격자가 통제하는 앱을 통해 파일 공유 서비스로 위장한 악성 링크에 접속하도록 표적을 유도하는 행위가 포함된다"고 밝혔다.
당국에 따르면, 공격자는 정식 OAuth 공급자에 악성 앱을 등록하며 이를 "서드파티 개인 스토리지 또는 신원 확인 서비스"처럼 보이도록 이름 붙이기도 한다.
이후 공격자는 상업용 메시징 앱이나 이메일을 통해 기자·학자·행사 주최자로 행세하며 표적에게 접근해, 문서 검토나 앱을 통한 신원 확인을 요청한다.
링크를 누른 피해자는 Microsoft나 Google 같은 정식 서비스 공급자의 실제 로그인 페이지로 이동한다.
피해자가 권한 요청을 승인하는 순간, 공격자의 앱은 승인된 권한 범위 내에서 해당 계정에 대한 접근을 얻는다. 이 시점부터 공격자는 피해자의 비밀번호 없이도 피해자인 것처럼 이메일을 읽고 발송하며 민감한 데이터에 접근할 수 있다.
FBI는 비밀번호를 변경해도 이 접근이 차단되지 않는다고 지적했다. 피해자가 직접 앱 보안 설정에서 토큰을 무효화해야 한다.
FBI는 "공격자들이 정식 인증 프로토콜을 통해 악성 앱을 등록하고 소셜 엔지니어링 전술을 활용하면 비밀번호와 다단계 인증(MFA)을 모두 우회할 수 있어, 동의 피싱이 특히 위험하다"고 경고했다.
FBI는 모르는 전화번호나 계정에서 오는 메시지를 주의 깊게 살피고, 발신자 신원을 독립적으로 확인할 것을 권고했다. 또한 신뢰할 수 있는 앱에만 권한을 부여하도록 조언했다.
FBI는 공격의 배후나 피해자가 누구인지는 공개하지 않았다.
