[해외보안뉴스] 미국 기업을 노리는 'Skyw4lker' 디바이스 코드 피싱 캠페인 주의보
· 2026-10-28 13:00
· 조회 5
· 원문 ↗
최근 미국 내 주요 기업과 기관을 표적으로 삼는 고도화된 피싱 캠페인인 'Skyw4lker'가 포착되었습니다. 보안 분석업체 ANY.RUN의 조사에 따르면, 이번 캠페인은 기존의 전형적인 계정 정보(ID 및 비밀번호) 탈취 방식에 의존하지 않고 정식 클라우드 서비스와 인증 메커니즘을 정교하게 악용하는 특징을 보입니다.
공격자들은 주로 '디바이스 코드 인증(Device Code Authorization)' 방식을 악용하고 있습니다. 피해자에게 신뢰할 수 있는 서비스의 정식 인증 페이지 링크와 코드를 전달한 뒤 이를 입력하게 만드는 수법입니다. 이 과정이 완료되면 공격자는 피해자의 비밀번호나 다중 인증(MFA)을 직접 강탈하지 않고도 기업 계정에 접근할 수 있는 세션 토큰을 정상적으로 부여받게 됩니다.
이러한 방식은 합법적인 비즈니스 워크플로우와 클라우드 인증 체계를 이용하기 때문에 기존 보안 시스템에 뚜렷한 침입 흔적을 남기지 않으며, 전통적인 피싱 탐지 솔루션을 용이하게 우회합니다. 이로 인해 미국 내 수많은 기업의 내부 계정과 데이터가 심각한 침해 위험에 노출되어 있습니다.
이 같은 피싱 공격에 대응하기 위해서는 먼저 기업 내에서 디바이스 코드 인증 흐름이 불필요한 계정에 대해 해당 기능을 비활성화하거나 조건부 액세스(Conditional Access) 정책을 강화해야 합니다. 또한, 사용자가 요청하지 않은 기기 등록이나 코드 입력 요구를 받을 경우 즉시 신고하도록 보안 인식 교육을 실시하고, 클라우드 환경에서의 이상 토큰 발급 및 접근 로그를 주기적으로 모니터링하는 것이 중요합니다.
Device Code Flow처럼 편의성을 위해 도입된 OAuth 인증 메커니즘이 Zero Trust 아키텍처의 새로운 허점이 되고 있네요.
시스템 아키텍처 설계 시 사내에서 실제 사용하지 않는 OAuth Grant Type은 IDP(Entra ID 등) 수준에서 기본 비활성화(Default-Deny) 처리하는 최소 권한 정책이 필요합니다. 아울러 조건부 액세스 정책을 재점검하고, 디바이스 인증 요청에 대한 로그 텔레메트리와 이상 탐지 모니터링 로직을 즉시 강화해야 합니다.
디바이스 코드 인증 흐름(Device Code Flow)을 악용하는 기법은 직접적인 자격 증명 탈취 없이도 정식 OAuth 토큰을 확보하여 기존 MFA 체계를 무력화하는 매우 위협적인 공격 벡터입니다. 피해자가 실제 마이크로소프트 등의 정식 로그인 페이지에서 코드를 입력하도록 유도하기 때문에 사회공학적 기법의 성공률이 높고 보안 솔루션의 탐지도 까다롭습니다. M365 타깃의 레드팀 수행 시 조건부 액세스 정책(CAP) 미비점을 공략해 초기 침투 및 세션 유지를 달성하기에 매우 유용한 시나리오입니다.
전통적인 비밀번호 탈취를 넘어 디바이스 코드 인증(Device Code Flow) 등 정상적인 클라우드 워크플로우를 악용하는 공격은 기존 MFA 체계를 우회할 수 있어 조직에 매우 심각한 리스크입니다.
이에 대응하기 위해 사용하지 않는 인증 프로토콜을 정책적으로 차단하고 조건부 액세스(Conditional Access) 제어를 즉각 강화해야 합니다.
또한, 임직원 보안 인식 교육 또한 단순 링크 클릭 방지를 넘어 신종 OAuth 및 디바이스 승인 요청 공격을 감지할 수 있도록 거버넌스 관점에서 신속히 업데이트하겠습니다.