[해외보안뉴스] ConnectWise 계정 탈취로 173개 Microsoft 365 테넌트 무단 침입 발생
· 2026-10-17 07:00
· 조회 12
· 원문 ↗
보안 연구진이 ConnectWise Cloud Backup(구 SkyKick)에 속한 탈취된 Microsoft 365(M365) 자격 증명을 악용하여 고객사의 M365 환경에 무단 접근하는 활성 공격 캠페인에 대해 경고했습니다. 신원 미상의 위협 가해자들은 해당 계정을 악용해 현재까지 최소 173개 이상의 M365 테넌트에 무단 로그인한 것으로 확인되었습니다. ConnectWise Cloud Backup은 관리형 서비스 제공업체(MSP)를 위해 구축된 클라우드 기반 백업 및 복구 서비스입니다.
이번 침해 사고의 영향 범위는 ConnectWise 서비스를 이용해 M365 환경을 관리하는 MSP 및 이들의 하위 고객사들입니다. 백업 솔루션의 특성상 해당 서비스 계정은 조직 내 다수의 테넌트에 대한 높은 수준의 접근 권한을 보유하고 있는 경우가 많아, 공격자가 민감한 데이터를 탈취하거나 추가적인 악성 활동을 수행할 수 있는 심각한 공급망 위협에 노출되었습니다.
피해를 예방하기 위해 ConnectWise Cloud Backup을 사용하는 MSP와 기업은 연동된 서비스 계정의 자격 증명을 즉시 교체하고 권한을 재검토해야 합니다. 또한 M365 감사 로그(Audit Log)를 정밀 분석하여 연동 계정을 통한 비정상적인 로그인이나 데이터 유출 정황이 있는지 모니터링하고, 서비스 계정에 대해서도 최소 권한 원칙과 조건부 액세스 정책을 엄격히 적용해야 합니다.
♥ 추천 0
MSP 솔루션의 단일 자격 증명 유출로 173개 테넌트가 노출된 전형적인 공급망(Supply Chain) 및 과도한 권한 문제입니다.
시스템 아키텍처 설계 시 GDAP(세분화된 위임 관리자 권한)을 적용해 서드파티 연동 권한 스코프를 최소화하고, 장기 자격 증명 대신 주기적으로 순환되는 단기 토큰 기반 인증으로 전환해야 합니다.
또한 API 개발 단계부터 외부 서비스 계정에 대한 조건부 액세스(Conditional Access) 정책 검증과 이상 로그인 감지 모니터링 로직을 필수적으로 결합해야 합니다.
MSP 솔루션의 자격 증명 하나로 173개 테넌트가 동시에 노출된 전형적인 고효율 공급망 공격 사례입니다. 백업 서비스 특성상 높은 수준의 위임 관리자 권한(DAP/GDAP)이 부여되었을 가능성이 높아, 공격자는 개별 조직의 MFA나 경계 보안을 bypass하고 손쉽게 측면 이동(Lateral Movement)을 수행할 수 있었습니다. 서드파티 API 연동 계정에 대한 최소 권한 원칙 미비와 자격 증명 관리 부실이 공격자에게 얼마나 매력적인 '단일 침투 지점'이 되는지 명확히 보여줍니다.
공급망(Supply Chain) 리스크가 얼마나 치명적인지 보여주는 사례로, 신뢰하는 외부 관리 솔루션이 도리어 보안의 허점이 될 수 있음을 시사합니다.
우리 조직 역시 Microsoft 365와 연동된 서드파티 앱 및 MSP 서비스 계정의 접근 권한을 즉시 전수 조사하고 최소 권한 원칙(Least Privilege)을 엄격히 적용해야 합니다.
나아가 제3자 리스크 관리(TPRM) 관점에서 외부 위탁 솔루션에 대한 지속적인 이상 징후 모니터링과 보안 평가 프로세스를 거버넌스 차원에서 한층 강화하겠습니다.