공격자, 패스키 피싱으로 Microsoft 클라우드 계정 탈취 및 데이터 유출

한 줄 요약

Microsoft가 두 가지 사이버 공격 캠페인을 공개했습니다. 첫 번째는 생성형 AI를 활용해 CEO를 사칭한 이메일로 100만 건 이상의 금융 사기를 시도한 사건이고, 두 번째는 '패스키(Passkey) 업데이트'를 빙자해 직원을 속여 마이크로소프트 클라우드 계정을 탈취하는 공격입니다. 두 번째 공격에서 해커들은 피해자의 개인 전화번호로 IT 헬프데스크를 사칭해 연락한 뒤 가짜 사이트로 유도해 계정을 장악하고, 이후 SharePoint·OneDrive·이메일 등에서 대규모로 데이터를 빼냈습니다. 공격자들은 자신의 다중 인증(MFA) 수단을 피해자 계정에 등록해 지속적인 접근 권한을 유지했기 때문에, 피해자가 비밀번호를 바꿔도 계속 접속할 수 있었습니다. 조직 내 금융 담당자와 일반 직원 모두 표적이 될 수 있으므로, MFA 등록 내역 모니터링과 Graph API 사용 행위 분석이 시급합니다.

사건

Microsoft가 2026년 두 건의 위협 캠페인을 공개했다. 하나는 CEO 사칭 이메일로 ACH 송금을 유도하는 100만 건 이상의 금융 사기이고, 다른 하나는 패스키·MFA 업데이트를 미끼로 Microsoft 클라우드 계정을 탈취한 뒤 대규모 데이터를 유출하는 공격이다.

영향

피해 기업의 SharePoint Online, OneDrive for Business, Exchange Online 내 파일과 이메일이 수 시간에서 수 일에 걸쳐 외부로 유출됐다. 공격자는 MFA 수단까지 등록해 장기적인 접근 권한을 확보했다.

원인

공격자들은 소셜 미디어·직업 프로파일링 플랫폼에서 수집한 직원 정보를 바탕으로 보이스 피싱 및 SMS 피싱을 결합했다. AitM(중간자) 또는 디바이스 코드 인증 흐름을 악용해 자격 증명이나 쿠키 없이도 MFA를 우회했다.

대응

Microsoft는 Storm-3121, Storm-3032(UNC6671) 등 위협 행위자를 추적하고 있으며, Graph API 활동을 단일 요청이 아닌 행위 패턴 전체로 분석해야 한다고 강조했다.

실무 포인트

MFA 등록 이벤트(특히 새 전화번호·인증앱 추가)를 실시간으로 감사하고, Microsoft Graph API의 대용량 열거·다운로드 패턴을 이상 행위로 탐지하도록 SIEM 룰을 설정해야 한다. 직원 보안 인식 교육에 '패스키·MFA 업데이트 요청 사칭' 시나리오를 반드시 포함해야 한다.

본문

Microsoft가 위협 행위자들이 서드파티 이메일 전송 인프라를 악용해 금융 사기 메시지를 대량 발송하고, 패스키(Passkey) 테마의 소셜 엔지니어링으로 클라우드 환경을 침해하는 두 가지 캠페인의 세부 내용을 공개했다.

이 기술 기업에 따르면 첫 번째 캠페인은 2026년 8월 3일부터 5일 사이에 100만 건 이상의 사기 이메일을 발송한 것으로, 다양한 표적 기업의 CEO를 사칭해 해당 기업 경리 부서가 ServiceNow 연간 구독료 명목의 ACH(자동 결제 처리) 이체를 개시하도록 유도하는 방식이었다.

확인된 증거에 따르면 이 캠페인 운영자들은 생성형 인공지능(AI)을 활용해 수신자에게 맞춤화된 이메일 템플릿과 초안을 작성했다. 공격 대상은 주로 미국 내 기업 사용자였으며, IT 서비스·소비재·부동산·개별 제조업 분야에 걸쳐 있었다.

Microsoft 보안 연구팀은 다음과 같이 밝혔다. "이 캠페인은 실행 전후에 걸쳐 여러 단계를 따른다. 위협 행위자들이 사칭용 도메인을 등록하고, 신뢰받는 인프라를 통해 임원 테마의 결제 요청을 발송하며, 조작된 청구서와 지지 이메일 대화를 삽입한 뒤, 재무 담당자가 ACH 이체를 실행하도록 설득을 시도한다."

"단일 소셜 엔지니어링 미끼에 의존하는 기존 청구서 사기와 달리, 이 캠페인은 임원 사칭, 벤더 브랜드 도용, 조작된 청구서, 그리고 뒷받침하는 이메일 대화를 하나의 통합된 서사로 구성해 수신자의 의심을 줄이도록 설계됐다."

스푸핑된 이메일 메시지에는 가짜 청구서에 대한 '승인'이 담겨 있어 수신자가 공격자 통제 계정으로 결제하도록 유도했다. 위협 행위자는 속임수에 정당성을 부여하기 위해 조작된 이메일 스레드와 가짜 청구서를 함께 포함시켰다.

교묘하게도, 공격자들은 피해 조직의 CEO·CFO·사장을 파악한 뒤 그들의 이름과 이메일 주소를 이메일 서명란에 넣어 표적에게 설득력 있게 보이도록 했다. 이 캠페인은 또한 신뢰받는 브랜드와 인물을 사칭하도록 설계된 허위 도메인과 콘텐츠를 대거 활용했다. 등록된 도메인 중 일부는 다음과 같다.

service-nowinc[.]com
domainlify[.]net

패스키 테마 소셜 엔지니어링을 통한 클라우드 침해

Redmond(마이크로소프트)가 기록한 두 번째 캠페인은 다수의 계정을 표적으로 한 클라우드 기반 침입을 중심으로 하며, 의심스러운 로그인 후 위협 행위자가 자신의 인증 수단을 추가하고, Microsoft Graph API를 대량으로 활용하며, SharePoint와 OneDrive에서 파일을 다운로드하고, REST API를 통해 메일함을 수집하는 행위가 뒤따른다.

2026년 5월부터 탐지된 이 활동은 "프록시 연관 인프라를 사용해 침해된 클라우드 ID에서 자동으로 데이터를 수집하는 행위"와 일치한다고 Microsoft는 밝혔다.

공격은 흔히 신원 중심의 소셜 엔지니어링으로 시작된다. 위협 행위자들은 조직의 IT 헬프데스크를 사칭해 사용자의 개인 전화번호로 전화하거나 메시지를 보내고, 접근 장애를 방지하려면 즉시 패스키·다중 인증(MFA)·싱글 사인온(SSO) 설정을 업데이트해야 한다고 촉구한다.

의심 없는 직원들은 개인 기기로 전송된 SMS를 통해 정식 Microsoft 로그인 화면을 모방한 가짜 웹사이트로 유도된다. 최종 목표는 이 구실을 이용해 AitM(중간자) 또는 디바이스 코드 인증 흐름을 거치도록 안내하고, 자격 증명을 탈취하거나 공격자 명의로 자신도 모르게 접근 권한을 부여하게 만들어 Microsoft 계정을 장악하는 것이다.

Microsoft는 다음과 같이 말했다. "이 행위자는 공격 전 리서치에 상당한 투자를 하는 것으로 보이며, 소셜 네트워킹 및 전문 프로파일링 플랫폼 같은 공개 출처에서 직원과 조직 구조에 관한 정보를 수집하는 것 같다." 또한 "소수의 사례에서 행위자들은 이미 침해된 계정을 악용해 Microsoft Teams를 통해 유사한 패스키 테마 메시지를 전송하는 방식으로 범위를 확장"했다.

더불어, 이 위협 행위자는 패스키·SSO 등록·계정 활성화·신원 인증 등의 테마로 도메인을 등록하면서, 패턴 "<회사명>.<악성 도메인>[.]com" 형태로 표적 조직명을 서브도메인으로 포함시키는 것이 관찰됐다.

passkeyhelpdesk[.]com
secure-passkey[.]com
setupmypasskey[.]com
add-passkey[.]com
integratedsso[.]com
oktasession[.]com
syncmykey[.]com
portalsetuphub[.]com

이 수법은 사이버보안 커뮤니티에서 Cordial Spider, O-UNC-045, PREY-0058, UNC6671이라는 이름으로 추적되는 느슨한 사이버 범죄 집단과 겹치는 부분이 있다는 점도 주목할 만하다. 이 e-크라임 공격자는 여러 공개 협박 브랜드를 운영하면서 기반 피싱 인프라와 공격 대상에서 중복점을 공유하는 조직화된 위협 행위자 집단으로 설명된다.

"UNC6671은 패스키와 관련된 것처럼 가장한 일반 루트 도메인에 호스팅된 자격 증명 수집 패널을 사용하며, 피해자별 서브도메인을 추가해 표적화된 보이스 피싱 캠페인을 용이하게 한다"고 지난달 지적된 바 있다.

이러한 연결 고리의 정확한 성격은 불분명하지만, 분열된 제휴 조직들이 공유 초기 침투 플레이북에 대한 접근을 유지하거나 상품화된 피싱 패널·보이스 피싱 콜러·공유 인프라에 의존한 결과로 추정된다.

Microsoft는 이번 캠페인에서 관찰된 초기 침투 활동을 Storm-3121과 Storm-3032를 포함한 다양한 위협 행위자들에게 귀속시켰다. Storm-3121은 ShinyHunters 및 Falcon(CL-CRI-1182라고도 함)의 협박으로 이어지는 초기 침투 활동을 수행하며, Storm-3032는 BlackFile(CL-CRI-1116이라고도 함) 그룹에서 분리돼 현재 Helix 협박 브랜드로 운영되는 행위자 집단인 UNC6671에 부여된 명칭이다.

Microsoft가 조사한 최소 한 건의 사례에서 위협 행위자들은 비관리 기기에서 Microsoft Office Home에 이상 로그인한 뒤, Graph API를 통해 SharePoint Online과 OneDrive 같은 다른 애플리케이션으로 접근을 확대하고 민감한 파일과 내부 서비스를 열거한 것으로 알려졌다.

또 다른 사건에서는 패스키 미끼를 이용해 디바이스 코드 피싱 공격을 감행하고, 자격 증명이나 쿠키를 탈취하지 않고도 피해자 계정을 장악해 MFA 보호를 사실상 우회했다. Microsoft가 탐지한 세 번째 공격 패턴은 이전 사건에서 얻은 것으로 추정되는 침해 자격 증명을 사용해 자신의 전화 기반 인증 수단을 등록함으로써 MFA를 우회하고 정찰 및 침해 후 활동을 벌이는 것이다.

"초기 접근 후 공격자의 첫 번째 목표는 일시적 침해를 지속적인 발판으로 전환하는 것이었다"고 Microsoft는 밝혔다. "탈취한 자격 증명에만 의존하는 대신, 공격자는 새 전화번호·인증 앱·소프트웨어 기반 일회용 비밀번호(OTP) 토큰을 등록하는 방식으로 자신이 통제하는 MFA 수단을 등록했다."

이 공격자 통제 이중 인증 수단의 이점은 피해자의 참여 없이도 기업 계정에 로그인하고, 취소되지 않은 세션이나 유효한 자격 증명과 결합해 지속적인 접근을 유지할 수 있다는 점이다. 위협 행위자가 MFA 지속성을 확보한 후 취할 수 있는 다양한 행동은 다음과 같다.

Graph API를 이용한 광범위한 내부 정찰 수행 및 침해된 ID로 테넌트 전반의 사용자·그룹·권한·리소스·접근 가능한 콘텐츠 열거.
권한 상승을 위한 역할 및 고가치 계정·서비스 ID 파악.
정보 수집을 위한 메일함 메시지·폴더·첨부 파일 메타데이터 열거.
SharePoint Online 및 OneDrive for Business, 경우에 따라 Microsoft Exchange Online까지 대용량 접근 및 다운로드 활동 수행.
침해된 사용자로부터 수집된 파일과 이메일 콘텐츠의 양에 따라 수 시간에서 수 일에 걸친 지속적인 데이터 유출.
네트워크 기반 지표를 회피하기 위해 공격 생애 주기 전반에 걸쳐 의도적으로 인프라를 교체하고, 인증·정찰·유출 활동에 각각 다른 IP 주소 사용.

"이번 공격은 중요한 탐지 과제를 부각시킨다. Microsoft Graph 남용은 단일 API 호출로 볼 때 거의 의심스럽게 보이지 않는다"고 Microsoft는 말했다. "이번 공격은 Graph 활동을 개별 API 요청이 아닌 행위 진행 상황과 교차 이벤트 상관관계에 초점을 맞춰 종합적으로 평가해야 하는 이유를 보여주는 강력한 사례다."