마이크로소프트, 이메일 계정 1만 2천 개 침해한 기기 코드 피싱 서비스 'EvilTokens' 차단

마이크로소프트는 화요일 EvilTokens 기기 코드 피싱 서비스를 차단했다고 발표했다. 이 서비스는 "공격 체인의 모든 단계에서 인공지능(AI)을 활용"한 것으로 알려졌다.

이번 조치는 미국 버지니아 동부지방법원의 허가를 받아 진행됐으며, Health-ISAC를 비롯해 Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation, TRM Labs가 함께 참여했다. 마이크로소프트는 EvilTokens의 개발 및 운영을 지원한 위협 행위자 그룹을 Storm-2992로 추적하고 있다.

이와 동시에 영국 광역경찰청(Metropolitan Police Service)은 2026년 9월 11일 이 불법 상업 운영과 관련해 32세와 38세 남성 2명을 체포했다. 마이크로소프트는 EvilTokens를 AI를 이용해 이메일 계정을 침해하고 금융 사기 및 스캠을 위한 로드맵을 설계하는 "강력한 사이버범죄 플랫폼"으로 설명했다.

마이크로소프트 디지털범죄부(Digital Crimes Unit) 부법무자문 겸 총괄 매니저 Steven Masada는 다음과 같이 말했다. "EvilTokens는 사이버범죄자들이 이메일 계정에 접근하도록 도왔지만, 이 서비스의 핵심에는 피해자의 받은편지함을 분석해 범죄자들이 신뢰 관계, 결제 승인, 민감한 업무 책임, 그리고 사기가 성공할 가능성이 높은 상황들을 파악할 수 있도록 도와주는 AI 스타일 챗봇이 있었습니다."

"이 플랫폼은 신뢰할 수 있는 연락처를 사칭하는 메시지를 직접 초안으로 작성해 범죄자들이 피해자를 속여 특정 행동을 취하도록 만드는 등 사기 전략까지 추천할 수 있었습니다."

EvilTokens는 2026년 3월 Huntress에 의해 최초로 문서화됐다. OAuth 2.0 기기 인증 흐름(device authorization flow)을 악용하는 서비스형 피싱(PhaaS, Phishing-as-a-Service) 플랫폼으로, 공격자가 자신의 측에서 어떠한 자격증명도 입력하지 않고 피해자 계정의 인증된 세션을 획득할 수 있도록 한다.

탈취된 토큰은 이메일 유출과 지속적인 접근 유지를 위해 남용되며, 통신 내용을 숨기는 악성 받은편지함 규칙을 설정하는 방식이 자주 사용된다. 일부 사례에서는 토큰이 피해자의 받은편지함에 새 기기 접근 권한을 부여하는 데 악용돼 공격자가 장기적인 접근을 유지하는 대안 경로가 되기도 했다.

일반적으로 피싱 공격을 통해 전달되는 악성 미끼는 사용자에게 위협 행위자가 접근하려는 서비스의 기기 코드를 보여준다. 그러면 피해자는 로그인 과정에서 합법적인 인증 URL(예: microsoft.com/devicelogin)에 이 코드를 입력하도록 유도된다.

코드가 입력되면 인증 서버는 공격자의 클라이언트에 액세스 토큰과 리프레시 토큰을 발급하여 피해자의 신원으로 지속적인 접근이 가능하게 된다.

TRM Labs는 "EvilTokens는 계정 탈취, AI 기반 받은편지함 분석, 사기 도구를 단일 상업 서비스로 묶어, 기업 이메일 사기(BEC) 및 청구서 사기를 대규모로 실행하는 데 이전에 필요했던 전문 지식의 수준을 크게 낮췄다"고 밝혔다.

2026년 3월 말 발표된 보고서에서 Sekoia는 EvilTokens를 2026년 2월 중순부터 Telegram에서 PhaaS 모델로 판매되는 턴키 솔루션으로 규정했다. 다양한 자체 호스팅 피싱 템플릿과 AI 기반 기능을 갖추고 있으며, 수집된 이메일 분석, 재무 관련 이메일 스레드 식별, BEC 이메일 초안 작성 등 BEC 워크플로를 자동화한다.

EvilTokens와 연결된 Telegram 계정·채널·그룹 일부는 다음과 같다:

• EvilTokens 관리자 - @eviltokensadmin, @eviltokensadmins, @EvilTokenscontact (백업)
• EvilTokens 스토어 - @EvilTokens_bot, @EvilTokensStorebot
• 공개 채널 - @EvilTokensChannel
• Telegram 그룹 - https://t.me/+wNBoU1Gl2mRiYmU0

다른 AI 관련 도구들은 고객이 이메일을 요약·번역하고, 조직 내 역할을 파악하며, 신뢰 관계를 파악하고, 잠재적 표적을 추천하는 것을 가능하게 했다. 이 서비스는 또한 송금 관련 논의를 찾고, 조직 내 자금 담당자를 파악하며, 공급업체 청구서를 찾고, 사칭하기에 가장 적합한 인물을 특정하기 위한 사전 설정 프롬프트를 제공했다.

마이크로소프트는 "EvilTokens는 계정 침해, 받은편지함 분석, 표적 선정, 사기 준비를 단일 서비스로 결합했다"며 "신원 공격, 클라우드 시스템, 사회공학, 금융 사기 전반의 경험이 필요했던 기능들이 완성된 인터페이스를 통해 제공됐다"고 설명했다.

위협 행위자는 세 가지 제품을 제공한 것으로 확인됐다:

• EvilTokens B2B 발송기(B2B sender): $600
• EvilTokens Office 365 캡처 링크(Office 365 capture link): $1,500
• EvilTokens SMTP 발송기(SMTP sender): $1,000

Sekoia는 2026년 4월 후속 보고서에서 "'Office 365 캡처 링크'는 기기 코드 피싱 키트에 해당한다"며 "일회성 요금 $1,500을 지불하면 제휴자에게 수확된 Microsoft 토큰을 조회할 수 있는 EvilTokens 관리 패널에 대한 평생 접근 권한이 부여된다. 제휴자는 피싱 페이지 코드와 백엔드 연동 및 핵심 기기 코드 피싱 기능을 위한 활성 API 키를 얻기 위해 월 라이선스 비용 $500도 추가로 납부해야 한다"고 설명했다.

이 서비스는 키트와 제어판에 대한 지속적인 접근을 위해 월 구독료 $500도 청구한다. 미끼를 맞춤 설정하고 AI를 이용해 표적화된 피싱 이메일을 작성하는 기능 외에도 EvilTokens는 유료 고객에게 안티봇 리다이렉터(Antibot redirector), B2B 발송기, Office 365 캡처 링크, SMTP 발송기(Simple Mail Transfer Protocol Sender) 등 보조 도구 전체 세트에 대한 접근도 허용했다.

Coinbase는 2025년 10월부터 2026년 6월 사이에 4개의 트론(Tron) 주소에서 약 110만 달러의 플랫폼 수익을 추적했으며, 암호화폐 생태계 전반의 700개 이상 고유 주소에서 EvilTokens에 1,000건 이상의 입금이 이루어진 것을 확인했다.

EvilTokens를 이용한 공격은 청구서, 제안 요청서(RFP), 공유 파일 등 44가지 테마를 활용한 기만적인 이메일 발송을 중심으로 진행된다. 이 메시지에는 악성 URL, PDF 첨부 파일, HTML 파일이 포함되어 다음과 같은 감염 체인을 실행한다:

• 악성 링크 또는 첨부 파일 클릭 시, 사용자를 백그라운드 자동화 스크립트가 실행되는 웹 페이지로 리다이렉트
• 스크립트가 실시간으로 Microsoft ID 공급자와 상호작용하여 실제 기기 코드를 생성
• 사용자 화면에 "코드 복사" 버튼과 함께 코드를 표시하고, "계속" 또는 "Microsoft로 계속" 버튼을 클릭하면 피해자를 공식 microsoft.com/devicelogin 포털로 이동
• 사용자가 실제 Microsoft 사이트에 코드를 붙여넣기
• 활성 Microsoft 세션이 없는 경우, 자격증명 및 MFA(다단계 인증, Multi-Factor Authentication) 코드 입력 요청
• 위협 행위자의 세션이 인증되어 새 기기 등록, 악성 받은편지함 규칙 생성, 또는 민감한 이메일 데이터 유출 가능

동시에 EvilTokens는 가짜 CAPTCHA 검사와 Vercel, Cloudflare Workers, AWS Lambda 같은 높은 신뢰도의 "서버리스" 플랫폼을 활용하는 리다이렉션 체인을 통해 다단계 전달 파이프라인을 구축함으로써 기존 이메일 게이트웨이와 엔드포인트 보안을 우회하여 합법적인 기업 클라우드 트래픽에 섞여들고 도메인 차단 목록 탐지를 회피한다.

마이크로소프트가 공개한 통계에 따르면 EvilTokens는 전 세계 10,000개 이상의 조직에 걸쳐 12,000개 이상의 이메일 받은편지함 침해와 연관된 것으로 나타났으며, 이는 이 서비스가 짧은 기간 동안 위협 행위자들 사이에서 광범위한 인기를 얻었음을 보여준다.

피해자 활동의 최고 집중 지역은 미국, 캐나다, 영국, 호주, 인도, 프랑스로 확인됐다. 표적 조직에는 도소매 유통, 건설, 금융 서비스, 부동산, 고등교육, 의료 분야가 포함된다.

마이크로소프트는 파트너사들과 협력하여 서비스 운영에 사용된 웹사이트 50개를 압류하고 지원 인프라와 관련된 도메인 150개 이상을 비활성화했다.

마이크로소프트는 "EvilTokens는 피해자를 속여 Microsoft의 합법적인 로그인 페이지에 인증 코드를 입력하게 함으로써 범죄자들이 이메일 계정에 접근하도록 도왔다"며 "정상적인 인증 로그인 과정을 완료함으로써 피해자들은 자신도 모르게 비밀번호를 노출하지 않고도 범죄자에게 이메일 계정 접근 권한을 부여했다. 관련 세션과 토큰이 함께 폐기되지 않으면 비밀번호를 재설정한 이후에도 그 접근이 지속될 수 있다"고 설명했다.

더 나아가 툴킷의 상당 부분이 AI 지원(일명 '바이브 코딩(vibe coded)')으로 개발됐다는 증거가 있으며, 이는 기술의 진입 장벽을 낮추고 지망하는 사이버범죄자들이 고급 툴킷을 개발하며 대규모 사기를 저지르는 데 AI가 활용될 수 있음을 시사한다.

Masada는 "EvilTokens는 사기 과정의 상당 부분을 구독 요금제, 고객 지원, 관리 대시보드, 그리고 계정 접근에서 금융 착취로 고객을 이끌도록 설계된 도구들을 갖춘 상업적 서비스 형태로 포장했다"고 덧붙였다.

민간 부문 파트너 중 하나인 SpyCloud는 EvilTokens에 의해 침해된 피해자 계정 8,708개가 포함된 재수집 피싱 데이터를 공유하여 이번 차단 조치를 지원했다고 밝혔다. 이 계정들은 79개국에 걸쳐 있는 6,585개의 고유 기업 이메일 도메인에 해당한다. 가장 이른 수집 기록은 2026년 2월 18일로 거슬러 올라간다.

SpyCloud 수석 수사관 Trevor Hilligoss는 성명에서 "EvilTokens는 AI를 활용해 어려운 부분을 쉽게 만들었다. 20개 이상의 언어로 된 침해 받은편지함을 읽어 탈취할 가치가 있는 대화를 찾아내고, 그 뒤를 잇는 사칭 이메일까지 초안을 작성했다"며 "이것이 과거에 사람의 개입이 필요했던 기업 이메일 사기의 핵심이었으며, 범죄자의 역량에 따라 규모가 결정됐다. EvilTokens는 이를 누구에게나 한 달에 $500로 이용 가능하게 만들었다"고 말했다.

"단 한 번의 조치로 사이트 50개가 압류되고 도메인 150개가 비활성화된 것은 호스팅 사업자, 거래소, 모델 사업자, 데이터 보유자가 동시에 움직였기에 가능했습니다. EvilTokens가 차단을 받을 만한 유일한 서비스형 피싱 플랫폼은 아니지만, 기기 코드 피싱을 최초로 대규모로 구현한 플랫폼이라는 점에서 이번 차단은 어떤 기준으로 보아도 의미 있는 성과입니다."