[해외보안뉴스] Microsoft 365 토큰 재플레이 공격 발생… 79개 기업 97개 계정 피침해
· 2026-10-26 10:00
· 조회 8
· 원문 ↗
사이버 보안 연구진에 따르면, 공격자가 중간자(AitM, Adversary-in-the-Middle) 릴레이 공격 기법을 활용해 Microsoft 365 로그인 세션을 탈취하고 이를 재플레이(Replay)하는 방식의 사이버 공격이 포착되었습니다. 공격자들은 탈취한 인증 토큰을 재사용하여 다수 기업의 이메일 계정에 무단 침입한 것으로 확인되었습니다.
보안 전문 기업 헌트리스(Huntress)의 조사 결과, 이번 공격으로 총 79개 조직의 97개 Microsoft 365 계정이 침해 피해를 입었습니다. 공격자들은 탈취한 세션 토큰을 사용해 총 497건의 로그인에 성공했으며, 다중 요소 인증(MFA)을 효과적으로 우회하여 피해 기업의 내부 시스템에 지속적인 접근 권한을 확보했습니다.
AitM 기법은 로그인 과정에서 사용자와 실제 인증 서버 사이에 개입하여 MFA 인증을 우회하므로 단순한 2차 인증만으로는 방어가 어렵습니다. 이러한 토큰 탈취 및 재플레이 공격을 막기 위해서는 FIDO2 기반의 피싱 저항성 MFA를 도입하고, 기기 상태 및 위치를 검증하는 조건부 액세스(Conditional Access) 정책을 강화해야 합니다. 또한, 이상 로그인징후 감지 시 즉시 세션을 만료시키고 계정 권한을 다시 설정하는 대응 체계 마련이 시급합니다.
♥ 추천 0
AitM(Adversary-in-the-Middle)을 통한 세션 토큰 탈취는 OTP나 앱 알림 같은 단순 MFA만으로는 방어에 한계가 있음을 명확히 보여줍니다.
인증 아키텍처 관점에서 도메인 바인딩이 보장되는 FIDO2/Passkey 기반의 '피싱 저항성 MFA'로의 전환이 시급합니다.
또한 Token Binding(DPoP) 도입과 함께 CAE(Continuous Access Evaluation)를 활성화하여, 탈취된 토큰의 비정상적인 재사용을 실시간으로 감지하고 세션을 차단하는 제로 트러스트 레이어드 방어가 구현되어야 합니다.
AitM(Adversary-in-the-Middle) 프록시를 활용한 세션 토큰 탈취는 기존의 일반적인 MFA를 확실하게 우회하는 가장 위협적인 공격 벡터입니다. 탈취한 토큰을 재전송(Replay)해 수백 건의 정상 접근을 성공시킨 점은, 인증 이후의 세션 검증 체계가 공격자에게 얼마나 쉽게 무력화되는지 보여줍니다. 레드팀 관점에서 FIDO2 기반의 피싱 저항성 인증이나 토큰 바인딩이 적용되지 않은 M365 환경은 여전히 세션 하이재킹에 매우 취약한 표적입니다.
이번 사건은 단순한 다중인증(MFA) 적용만으로는 중간자 공격(AitM)을 통한 세션 토큰 탈취를 완전히 막을 수 없음을 보여줍니다.
거버넌스 관점에서 우리 조직은 기존 MFA 체계를 FIDO2 기반의 '피싱 저항성(Phishing-resistant)' 인증으로 신속히 전환해야 합니다.
아울러 세션 토큰의 유효 기간을 단축하고 사용자 위치·기기 상태를 지속 검증하는 조건부 액세스(Conditional Access) 정책을 강화해 계정 침해 리스크를 선제적으로 대응하겠습니다.