MS의 비밀번호 재설정 프로세스가 도용 캠페인의 표적이 됐다. [사진: 셔터스톡]
[디지털투데이 AI리포터] 해킹 조직 스톰-2949가 마이크로소프트(MS) 서비스의 비밀번호 재설정 기능을 악용하여 사용자 로그인 자격 증명을 탈취하고 계정에 무단 접근해 민감한 데이터를 대규모로 유출하는 공격을 감행했다.
20일(현지시간) IT매체 테크레이더에 따르면, MS 디펜더 보안 연구팀은 최근 보고서를 발간하고 MS 생태계 내에 존재하는 셀프 서비스 비밀번호 재설정(SSPR) 프로세스가 이번 자격 증명 도용 캠페인의 핵심 표적이 되었다고 밝혔다.
이번 공격은 일반적인 시스템 관리 메커니즘을 정밀하게 파고들어 보안 인프라를 무력화하는 방식을 취하고 있다. 공격자들은 타깃 조직의 환경을 면밀히 분석한 뒤 고도화된 정밀 표적 공격을 수행하며 기업과 생산 환경의 데이터 자산을 심각하게 위협하는 상황이다.
스톰-2949의 구체적인 공격 메커니즘은 치밀한 사회공학적 기법을 기반으로 진행된다. 정상적인 환경에서는 직원이 비밀번호를 잊어버려 재설정을 요청할 경우 사전에 등록된 보조 기기로 다요소 인증(MFA) 알림이 전송되며, 이를 승인해야만 새 비밀번호를 설정할 수 있다. 해킹 조직은 이 과정을 가로채기 위해 먼저 공격 대상을 선정한 뒤 해당 표적의 전화번호와 MS 서비스 로그인용 이메일 주소를 확보했다. 이후 시스템에 비밀번호 재설정 요청을 무단으로 실행하는 동시에 피해자에게 직접 전화를 거는 방식을 취했다.
이들은 통화 과정에서 자신을 사내 IT 기술 지원 담당자로 속인 뒤 시스템 검증을 유도하며 피해자가 모바일 기기에 뜬 MFA 승인 버튼을 누르도록 압박했다. 속아 넘어간 피해자가 인증을 승인하는 순간 공격자들은 계정 제어권을 확보해 즉시 새 비밀번호를 생성했다. 그 다음 단계로 원본 사용자를 계정에서 완전히 쫓아내 접속을 차단했다.
MS 위협 인텔리전스 팀은 이 같은 일련의 공격 과정을 MS 365 애플리케이션과 파일 호스팅 서비스, 클라우드인 애저 호스팅 생산 환경을 겨냥한 체계적이고 정교하며 다층적인 캠페인으로 규정했다.
피해 계정을 확보한 해커들은 내부 폴더와 공유 디렉토리에 접근해 최대한 많은 정보를 인프라 외부로 빼돌렸다. 실제 한 침해 사례에서는 스톰-2949가 원드라이브 웹 인터페이스를 악용해 단 한 번의 조작으로 수천 개의 파일을 자신들의 사설 시스템으로 다운로드한 사실이 확인됐다.
MS는 시스템 방어를 위해 애저 역할 기반 액세스 제어(RBAC) 권한을 최소화하고 애저 키 볼트(Key Vault) 로그를 1년간 보관할 것을 권장했다. 더불어 키 볼트에 대한 접근 권한 축소 및 외부 공용 접근 차단, 애저 스토리지 데이터 보호 옵션 적용 등을 긴급 처방으로 제시했다.
AI리포터
댓글
0