[해외보안뉴스] ConnectWise, 공격자의 Microsoft 365 테넌트 침해로 클라우드 백업 서비스 일시 중단
· 2026-10-18 09:00
· 조회 13
· 원문 ↗
글로벌 IT 서비스 관리 소프트웨어 기업인 ConnectWise가 신원 미상의 위협 악성 행위자에 의해 애플리케이션 식별자(Application Identities)가 남용되는 보안 사고를 조사 중이라고 밝혔습니다. 공격자들은 해당 애플리케이션 권한에 무단 접근한 뒤, 이를 활용해 고객사의 Microsoft 365 테넌트를 침해한 것으로 확인되었습니다.
이번 사건의 여파로 ConnectWise 측은 추가 피해를 막기 위해 ConnectWise Cloud Backup 서비스 관련 식별자(506e08f9-6e9a-4da4-942b-a099a03644ae)를 포함하여 총 7개의 주요 애플리케이션 아이덴티티를 비활성화 처리했습니다. 이에 따라 관련 클라우드 백업 기능이 일시 중단되었으며, 침해된 테넌트의 정확한 수와 내부 데이터 유출 여부에 대한 자세한 조사가 진행되고 있습니다.
ConnectWise 연동 서비스를 이용 중인 고객 및 관리형 서비스 제공업체(MSP)는 사용 중인 Microsoft 365 테넌트 내의 엔트라 ID(Entra ID) / 아주르 AD(Azure AD) 통합 앱 서비스 응용 프로그램 목록을 확인해야 합니다. 비활성화된 앱 권한의 이상 여부를 점검하고, 감사 로그(Audit Logs)를 살펴 서비스 계정을 통한 비정상적인 권한 승인이나 유출 정황이 없는지 즉시 모니터링을 강화할 것이 권장됩니다.
♥ 추천 0
써드파티 SaaS 연동 시 App Identity 자격 증명 관리가 미흡하면 전형적인 서플라이 체인 공격의 통로가 됩니다.
아키텍처 설계 단계부터 최소 권한 원칙(PoLP)을 적용해 OAuth 권한 범위(Scope)를 타이트하게 제한하고, 서비스 간 인증 키의 주기적인 자동 로테이션 체계를 구축해야 합니다.
또한 이번 조치처럼 비상시 특정 앱 ID의 접근 권한을 즉시 차단하고 피해를 격리할 수 있는 서킷 브레이커(Circuit Breaker) 메커니즘을 시스템에 미리 반영해 두는 것이 중요합니다.
서드파티 MSP 애플리케이션의 OAuth 권한을 악용한 매우 치명적인 공급망 공격 벡터입니다. 공격자는 ConnectWise의 App ID를 악용하여 MFA를 우회하고, 연동된 고객사 M365 테넌트로 직접 횡적 이동(Lateral Movement)을 수행할 수 있는 막강한 권한을 확보했습니다. 관리형 서비스에 부여된 과도한 Microsoft Graph API 권한은 타깃 환경 전체를 무력화하는 최적의 침투 통로가 되므로, 해당 App ID 차단과 함께 B2B 통합 앱의 과잉 권한을 즉시 감사해야 합니다.
이번 사건은 서드파티 서비스의 연동 권한(Application Identity)이 공급망 공격의 치명적인 경로가 될 수 있음을 보여줍니다. 우리 조직도 Microsoft 365 등 주요 SaaS에 연결된 외부 앱 권한을 즉시 전수 점검하고, 비인간 계정(Non-Human Identity)에 대한 최소 권한 원칙을 엄격히 재설정해야 합니다. 신뢰받는 글로벌 솔루션이라도 SaaS 간 연결성에 대한 주기적인 감사와 상시 모니터링을 보안 거버넌스의 핵심 항목으로 강화하겠습니다.