'UNK_CondorFiltration'이라는 이름의 해킹 캠페인이 TeamFiltration(계정 열거·패스워드 스프레이·데이터 탈취에 사용되는 공격 프레임워크)을 이용해 칠레의 금융기관과 소매업체 28개 Microsoft 365 테넌트, 5,700개 이상의 계정을 공격했습니다. 공격자는 1,487개의 AWS IP 주소를 동원해 2026년 7월~8월 세 차례에 걸쳐 무차별 대입을 시도했고, 결국 7개 계정을 탈취했습니다. 피해 계정 모두 IT팀이 발급 후 비밀번호를 한 번도 바꾸지 않은 채 방치된 서비스 계정이었으며, MFA(다중 인증)도 적용되지 않았습니다. 공격자는 계정 탈취 2분 이내에 독일 VPN을 경유하여 Azure Portal, SharePoint, Microsoft Graph API 등에 접근했으며, 데이터 수집·유출 가능성이 있습니다. 이번 사례는 방치된 비인간 계정(서비스 계정)이 기업 보안의 심각한 취약 고리임을 보여줍니다.
TeamFiltration 오픈소스 공격 프레임워크를 활용한 UNK_CondorFiltration 캠페인이 칠레 금융기관·소매업체 28개 Microsoft 365 테넌트를 대상으로 패스워드 스프레이 공격을 전개했다. 5,700개 이상의 계정에 공격이 시도되어 7개 계정이 실제로 침해되었다.
침해된 계정을 통해 Microsoft Office, OneDrive, Teams, SharePoint Online, Azure Portal, Microsoft Graph API에 대한 접근이 확인되었으며 데이터 탈취 가능성이 있다. 침해 7분 내에 6개 계정이 뚫렸고, 2분 내에 독일 VPN 경유 후속 공격이 이어졌다.
IT팀이 발급 후 방치된 서비스 계정에 기본 비밀번호가 그대로 남아 있었고 MFA가 적용되지 않았다. 직원 계정과 달리 정기 비밀번호 변경 정책의 적용을 받지 않아 장기간 노출 상태가 유지되었다.
Proofpoint가 캠페인 전모를 공개했다. 서비스 계정 기본 비밀번호 즉시 교체, MFA 일괄 적용, 미사용·방치 계정 비활성화 및 모니터링 강화가 권고된다.
서비스·기능 계정은 사람이 사용하는 계정과 동일한 수준의 자격증명 관리(정기 교체·MFA)를 적용해야 한다. '아무도 안 쓰는 계정'일수록 공격자의 표적이 된다는 점을 인식해야 한다.
본문
Ravie Lakshmanan 2026년 9월 24일 · 클라우드 보안 / 아이덴티티 보안
사이버보안 연구진이 UNK_CondorFiltration이라는 코드명의 활성 TeamFiltration 캠페인 상세 정보를 공개했다. 이 캠페인은 28개 Microsoft 365 테넌트에 걸쳐 5,700개 이상의 계정을 표적으로 삼았다.
Proofpoint에 따르면 해당 활동은 주로 칠레의 소매업체와 금융기관에 집중됐으며, 1,487개의 고유 AWS EC2 소스 IP 주소로부터 발생했다.
"이번 캠페인은 7개 계정을 침해했으며, 침해된 계정 모두 개인 직원 계정이 아닌 비관리 기능 계정 또는 서비스 계정이었습니다. 이는 기본값 그대로이거나 교체되지 않은 비밀번호를 사용하고 MFA(다중 인증)가 없는 잊혀진 비인간 아이덴티티에 대한 심각한 노출 공백을 부각시킵니다." 엔터프라이즈 보안 기업은 성명에서 이같이 밝혔다.
이 Microsoft 365 무차별 대입 공격 캠페인은 2026년 7월 말부터 8월까지 세 차례에 걸쳐 전개된 것으로 알려졌으며, 칠레의 한 이름을 밝히지 않은 소매업체가 관찰된 전체 인증 이벤트의 78.3%를 집중적으로 받았다.
- 7월 21
24일: 두 개의 주요 칠레 은행을 대상으로 하루에 약 100120개의 고유 계정을 표적으로 삼음 - 7월 26~28일: 또 다른 주요 칠레 금융기관을 대상으로 7월 27일 약 1,520개 계정으로 최고점에 달한 뒤 급격히 감소
- 8월 13~16일: 칠레의 주요 소매업체를 대상으로 8월 15일 약 1,560개 계정으로 최고점에 달해 7개 계정 침해로 이어짐
증거에 따르면 위협 행위자는 IT팀이 발급했으나 한 번도 교체하지 않은 자격증명을 포함해 기본 비밀번호로 계정을 스프레이 공격한 것으로 보인다. 해당 활동은 개인 직원 계정이 아닌 휴면 서비스 계정을 주로 표적으로 삼았는데, 이는 사용자들이 주기적으로 비밀번호를 변경하도록 요구받기 때문이다.
Proofpoint에 따르면 이들 서비스 계정은 비즈니스 운영을 위해 발급됐다가 모니터링 없이 방치되었으며, 최초 자격증명이 그대로 남아 있었다. 모든 성공적인 침해 사례는 기본 비밀번호를 사용하는 미모니터링 서비스 계정과 연결되어 있다.
침해된 7개 계정 중 6개는 7분 이내에 뚫렸으며, 이는 개별적으로 표적화된 자격증명 스터핑(credential stuffing)보다는 공유 혹은 기본 비밀번호 세트를 사용했을 가능성을 강하게 시사한다.
이 캠페인은 Entra ID 계정을 "열거·스프레이·탈취·백도어 설치"하도록 설계된 합법적인 크로스 플랫폼 공격용 프레임워크인 TeamFiltration의 사용이 특징이다. 이를 통해 운영자는 이메일 계정 유효성 검증, 열거된 계정에 대한 일반적 또는 특정 비밀번호 테스트, 민감 데이터 수집, OneDrive에 대한 비밀 대화형 접근 획득이 가능하다.
침해된 계정 대부분에서 위협 행위자는 발판을 활용해 Microsoft Office, OneDrive, Teams에 접근했으며, 이는 데이터 수집 및 유출을 시사할 수 있다. 다만 로그인 이벤트만으로는 실제 유출의 증거로 볼 수 없다.
성공적인 침해 후 2분도 채 지나지 않아 운영자는 독일 VPN 노드로 전환해 기업 VPN("vpn.[redacted].cl/SAML20/SP")을 탐색하고, Azure Portal에 접근하며, SharePoint Online을 탐색하고, Microsoft Graph API 토큰 요청을 시작한 것이 관찰되었다.
TeamFiltration이 악의적인 공격에 사용된 것은 이번이 처음이 아니다. 2025년 6월 Proofpoint는 이 오픈소스 침투 테스트 프레임워크를 이용해 수백 개 조직의 클라우드 테넌트에서 80,000개 이상의 사용자 계정을 표적으로 삼은 UNK_SneakyStrike라는 또 다른 위협 클러스터를 상세히 분석한 바 있다.
"UNK_CondorFiltration 캠페인은 기업 아이덴티티 경계에서 가장 취약한 고리가 피싱을 당한 직원이나 제로데이 익스플로잇이 아닌 경우가 많다는 사실을 상기시켜 줍니다." Proofpoint는 이어 말했다. "그것은 바로 잊혀진 계정입니다. 편의를 위해 발급됐다가 다시는 검토되지 않은 서비스 계정은 구조적으로 보호받지 못하는 공격 표면입니다."
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
