[해외보안뉴스] 커넥트와이즈 공급망 공격으로 마이크로소프트 365 테넌트 침해 발생
· 2026-10-17 16:00
· 조회 11
· 원문 ↗
IT 관리 및 보안 솔루션 기업 커넥트와이즈(ConnectWise)의 클라우드 백업 서비스가 공급망 공격을 받아 고객사의 마이크로소프트 365(Microsoft 365) 테넌트가 침해되는 보안 사고가 발생했습니다. 공격자들은 과거 스카이킥(SkyKick)으로 알려졌던 커넥트와이즈 클라우드 백업 서비스의 애플리케이션 식별 정보(Application Identity)에 무단 접근하여, 백업 솔루션과 연동되어 있던 고객들의 마이크로소프트 365 클라우드 환경에 침투한 것으로 확인되었습니다.
이번 사건은 클라우드 백업 솔루션의 권한을 악용한 대표적인 공급망 공격 사례로, 커넥트와이즈 서비스를 이용하는 관리형 서비스 제공업체(MSP) 및 엔터프라이즈 고객 다수가 영향 범위에 포함되었습니다. 커넥트와이즈 측은 위협을 인지한 직후 추가적인 피해 확산을 막기 위해 클라우드 백업 서비스에 대한 고객 접근을 전면 차단하고, 침해된 애플리케이션 인증 자격 증명을 즉시 취소 조치했습니다.
해당 서비스를 이용 중인 고객 및 보안 관리자는 마이크로소프트 Entra ID(구 Azure AD) 콘솔에 접속하여 커넥트와이즈 및 스카이킥과 연결된 엔터프라이즈 애플리케이션과 서비스 주체(Service Principal) 권한을 즉각 삭제해야 합니다. 또한, 마이크로소프트 365 감사 로그(Audit Log)를 정밀 분석하여 권한 오남용, 비정상적인 백업 데이터 접근, 미인가 계정 생성 등 침해 사고의 흔적이 있는지 상세히 조사를 진행할 것이 강력히 권고됩니다.
서드파티 연동에 사용되는 앱 아이덴티티(Service Principal)와 OAuth 권한이 얼마나 치명적인 공급망 공격 통로가 될 수 있는지 보여주는 사례입니다.
아키텍처 설계 시 최소 권한 원칙(PoLP)을 철저히 준수하여, 백업이나 외부 연동 솔루션에 과도한 관리자급 권한을 제네릭하게 부여하는 관행을 지양해야 합니다.
개발 및 운영 팀은 Entra ID 내 외부 앱의 접근 권한과 토큰 상태를 주기적으로 감사(Audit)하고 차단하는 자동화된 보안 파이프라인을 반드시 갖춰야 합니다.
서드파티 솔루션의 OAuth 애플리케이션 권한을 탈취해 MFA를 우회하고 M365 테넌트를 직접 장악한 치명적인 공급망 공격입니다. 레드팀 관점에서 과도한 API 권한을 가진 백업 및 MSP 서비스의 App Identity는, 단 한 번의 성공으로 다수의 고객사 환경으로 직행할 수 있는 최적의 고효율 공격 벡터입니다. 개별 기업을 직접 공략하는 것보다 이러한 중앙 집권형 신뢰 관계(Trust Relationship)를 악용하는 것이 훨씬 파괴적인 침투 경로임을 보여줍니다.
서드파티 SaaS 솔루션과 연동된 클라우드 애플리케이션 권한(Application Identity)이 서플라이 체인 공격의 주요 침투 경로가 되고 있음을 보여주는 대표적인 사례입니다.
조직 차원에서 Microsoft 365 등 핵심 클라우드 환경에 연결된 외부 연동 권한을 '최소 권한 원칙'에 따라 즉시 전수 점검하고, 미사용 권한은 차단해야 합니다.
아울러 서비스 제공업체의 보안 사고가 자사 데이터 침해로 직결되지 않도록 서드파티 리스크 관리(TPRM) 거버넌스와 공급망 침해 대응 프로세스를 신속히 재정비해야 합니다.